EdgeConnect SD-Branchリファレンスデザイン
このガイドのこのセクションでは、customer profileに基づいてEdgeConnect SD-Branch展開を設計する方法を説明します。
コンポーネントの選択
このセクションでは、展開に使用する正しいデバイスを選択する方法について説明します。このガイダンスを使用して、次に示すお客様のプロファイルに適したデバイスを選択します。
ハブデバイスの選択 – 考慮すべき4つの側面があります。トンネルの最大数、データセンターから学習するルートの数、インターフェイスの数、インターフェイスの種類です。
ブランチデバイスの選択 – 使用するブランチゲートウェイを決定する際に考慮すべき3つの側面があります。ファイアウォールセッション、インターフェイス数、インターフェイスタイプです。
SD-WANゲートウェイデバイスとスケール番号については、 DataSheetを参照してください。
ライセンスオプション
Foundation -このライセンスは、ブランチまたはヘッドエンド展開のSDブランチ機能に必要なすべての機能を提供します。
Foundation Base -このライセンスは、Foundation Licenseに含まれるすべての機能を提供しますが、ブランチサイトあたり最大75台のクライアントデバイスしかサポートできません。
Foundation with Security -このライセンスは、ブランチまたはヘッドエンド展開のSD-WAN機能に必要なすべての機能を、追加のセキュリティ機能とともに提供します。
Foundation Base with Security -このライセンスは、Foundation with Security Licenseに含まれるすべての機能を提供しますが、ブランチごとに最大75台のクライアントデバイスしかサポートできません。
Advanced -このライセンスは、Foundationライセンスに含まれるすべての機能と、SaaS Express Net ConductorおよびAI Insightsに関連する追加機能を提供します。
Advanced with Security -このライセンスは、Advanced Licenseのすべての機能に加えて、IPSおよびIDS、セキュリティ・ダッシュボード、マルウェア対策に関連する追加のセキュリティ機能を提供します。*
**Virtual Gateway (VGW)ライセンス – **このライセンスはAWS、Azure、およびESXiプラットフォームで利用可能で、必要な帯域幅に基づいてライセンスされます。VGWで使用可能なライセンスタイプは、VGW-500M、VGW-2G、およびVGW-4Gです。
詳細は注文ガイドをご覧ください。
オーバーレイ設計
以下の各お客様プロファイルについて、次の一般的な要件と考慮事項が適用されます。
- IaaS(Infrastructure-as-a-Service)およびSaaS(Software-as-a-Service)アプリケーションを使用するユーザーのエクスペリエンスを、ビジネスがクラウドに移行するにつれて向上させます。
- IPS/DLPを経由してSaaSサービスに送信される特定の機密データを保護します。
- ZoomとMicrosoft Teamsを使用して、リアルタイムのコミュニケーションを行います。 – データセンターでホストされている社内のSQLシステムで、リアルタイムのインベントリデータクエリを実行します。
- FTPファイルの一括転送を使用して、環境全体のデータセンターでホストされているトランザクションを処理します。
- Sales ForceなどのSaaSアプリケーションを使用して、最適なインターネット出力を提供します。
これらの要件に対応するには、次の手順に従います。
– ハブアンドスポークオーバーレイが使用されています。
- SaaSパフォーマンスを向上させるために、SaaS Expressはセールスフォース、ズーム、チームのトラフィックをローカルに分割するために使用されます。
– 優先度の高いDPSポリシーがインベントリクエリに使用されます。その他のアプリケーションは別のDPSポリシーを使用します。
– アプリケーションのセキュリティを確保するために、ステートフルなアプリケーション対応ファイアウォールが有効になり、IPS、Webコンテンツフィルタリング、およびIP評価が有効になります。
ハブの設計
お客様のプロファイルには、次の要件と考慮事項が含まれます。
- 5年間で10 %の成長が見込まれる100の支社サイトに対応
- IaaS(Infrastructure-as-a-Service)およびSaaS(Software-as-a-Service)アプリケーションを使用するユーザーのエクスペリエンスを、ビジネスがクラウドに移行するにつれて向上させます。
- MPLSへの依存を減らして運用コストを削減し、時間の経過とともに完全に段階的に廃止することを目標とします。
設計の概要
| モデルの選択 | 最大IP秒トンネル | 考慮事項 |
|---|---|---|
| 9012 （推奨） | 512 | 8年以上の成長に対応する冗長ゲートウェイのペア。 障害が発生した場合は、1つのボックスですべてのサイトを処理できます。 |
| 7030 （代替） | 512 | 8年以上の成長に対応する冗長ゲートウェイのペア。 障害が発生した場合は、1つのボックスですべてのサイトを処理できます。 |
| vGW-2G （今後） | 4096 | IaaS/SaaS移行に関する今後の検討事項 |
ハブの設計要素の概要を次に示します。
– ゲートウェイはインラインに配置されます。 – 両方のWANトランスポート(INET、MPLS)が各ゲートウェイに接続されています。 – ゲートウェイは、L3を介してLANに接続し、WAN集約ブロックとピアOSPFに接続します。
- SD-WANオーバーレイへの再配布時にDCルートが要約されます。
支店設計
お客様のプロファイルに基づいて、3つの異なる支社サイト設計があり、サイトのサイズごとに3つの異なるテンプレートグループが必要です。中規模および大規模サイトはブランチゲートウェイで標準化され、小規模サイトはMicrobranchで標準化されています。
大規模サイト
お客様のプロファイルに基づいて、大規模サイトには次の要件があります。
*予定外のダウンタイムに対する許容はありません。 *アップタイムは、ゲートウェイHAとセルラーバックアップによって提供されます。
- IPS/DLPを経由してSaaSサービスに送信される企業の機密データの一部は、保護する必要があります。 *サイトには最大200人のユーザーがいます。 *このサイトは既存の40 Mbps接続を使用しており、5G LTEバックアップを使用して200/50 Mbpsの市販インターネット回線を追加する予定です
これらの要件に対応するには、次の手順に従います。
– デュアルゲートウェイはインラインに配置されます。
- MPLSは1つのゲートウェイに接続し、INETは2番目のゲートウェイに接続します。
- WANアップリンク共有が有効になります。
- LTE接続はバックアップとして使用されます。 – ゲートウェイはL3を介してLANに接続し、ピアOSPFを集約されたコアに接続します。
- SD-WANオーバーレイへの再配布時に分岐ルートが要約されます。 – 折りたたまれたコアはVSFスタック内にある必要があります。 – スイッチ接続にアクセスするための縮小されたコアは、LACPトランクである必要があります。 – トンネリングは、スイッチング(UBT)とワイヤレスに対して有効です。
|モデルの選択 |ファイアウォールセッション |考慮事項 | | ———————— | —————– | ———————————————————— | | 9004 LTE （推奨） | 64k |冗長ゲートウェイのペア、ゲートウェイに組み込まれたLTE
SFP/SFP+ポートなし | | 7010 （代替） | 2百万 |は外部LTE接続
SFP/SFP+ポートを必要とします。 | — — —
中規模サイト##
お客様のプロファイルに基づいて、中規模サイトには次の要件があります。
*ダウンタイムに対する許容度が低い *ゲートウェイHAによってアップタイムが向上しますが、セルラーバックアップはありません。 *サイトには最大100人のユーザーがいます。 *既存の30 mbps MPLS接続を使用し、100/10商品のインターネット回線を追加する予定です。
これらの要件に対応するには、次の手順に従います。
– デュアルゲートウェイはインラインに配置されます。
- MPLSは1つのゲートウェイに接続され、INETは2番目のゲートウェイに接続されます。
- WANアップリンク共有が有効になります。 – ゲートウェイはL3を介してLANに接続し、ピアOSPFを集約されたコアに接続します。
- SD-WANオーバーレイへの再配布時に分岐ルートが要約されます。 – 折りたたまれたコアはVSFスタック内にある必要があります。 – スイッチ接続にアクセスするための縮小されたコアは、LACPトランクである必要があります。 – トンネリングは、スイッチング(UBT)とワイヤレスに対して有効になります。
|モデルの選択 |ファイアウォールセッション |考慮事項 | | ———————— | —————– | ———————————————————– | | 9004 （推奨） | 64K |冗長ゲートウェイのペア
SFP/SFP+ポートなし | | 7010 （代替） | 64k |は外部LTE接続
SFP/SFP+ポートを必要とします。 | — — —
小規模サイト
お客様のプロファイルに基づいて、小規模サイトには次の要件があります。
*ダウンタイムが許容される *サイトには最大10人のユーザーがいます。 *サイトで必要なゲートウェイは1つだけで、デバイスレベルのHAやセルラーバックアップは必要ありません。 *このサイトは既存の5 mbps MPLS接続を使用しており、50/10 mbpsの商用インターネット回線を追加する予定です。
これらの要件に対応するには、次の手順に従います。
– 単一のゲートウェイがインラインに配置されます。
- MPLSとINETはゲートウェイに接続されます。 – ゲートウェイはすべてのVLANのデフォルトゲートウェイとして機能します。 – ゲストネットワークはインターネットのブレイクアウトを使用します。
- SD-WANオーバーレイへの再配布時に分岐ルートが要約されます。
|モデル |ファイアウォールセッション |考慮事項 | | ——————- | —————– | —————————— | | 9004 （推奨） | 64k | SFP/SFP+ポートなし | —
代替スモールサイト
これらの要件に対応するには、次の手順に従います。
- 1つのリモートアクセスポイントがインラインに配置されます。
- INETはAPに接続します。
- APはすべてのSSIDのデフォルトゲートウェイとして機能します。
- L3は内部ユーザにルーティングされます。
- L3はゲストネットワークのNAT処理されたSSIDになります。 – 分岐ルートはSD-WANオーバーレイに再配布されます。