Centralized Multi-Site Fabricを実現

OWL Corp.は、SD-WANファブリック全体のネットワークポリシーを簡素化するために、ロールベースのポリシーを実装する予定です。各ブランチサイトでUser Based Tunneling（UBT;ユーザベーストンネリング）を有効にして、ブランチ間でポリシーを拡張する必要があります。

次の手順では、UBTおよびマルチサイトファブリックでロールベースのポリシーを有効にするために、スイッチおよびゲートウェイの設定を変更する方法を示します。UBTは、ブランチゲートウェイでポリシーを一元化します。マルチサイトファブリックはWAN横断でユーザーロールポリシーを伝送し、宛先のブランチゲートウェイまたはVPNCでエンフォースメントすることを可能にします。

Centralized Multi-Site Fabricの要件

• すべてのゲートウェイVLANでジャンボフレームが有効になっている
• スイッチおよびアクセスポイントからユーザーVLANを削除する
• スイッチVLANのMTUを大きくする(9198 MTU)
• スイッチのユーザーロールを変更し、VLANではなくゲートウェイロールを使用する
• UBT-Client-VLAN：このガイドではVLAN 2000を使用する

ポリシー要件

すべてのデバイスにユーザーロールが割り当てられます。アクセスのレベルは、ユーザーロールによって決まります。次のポリシーが構成されています。

マルチサイトファブリックの有効化

このセクションでは、特定のグループ間でマルチサイトファブリックを有効にする方法を説明します。 また、グローバルポリシーマネージャーを使用したユーザーロールの集中型コンフィグレーションについても詳しく説明します。

グローバル・ポリシー・マネージャー内でユーザーロールを設定する必要があり、ポリシーIDとユーザーロールのマッピングがここで行われます。割り当てられたポリシーIDはブランチ間で転送され、ポリシーの伝達が可能になります。宛先ブランチで受信したポリシーIDは、グローバルポリシーマネージャーで構成されたロールの逆引き参照にも使用され、Role-to-Roleポリシーが確実に適用されます。

グローバルクライアントロールの設定

Step 1 グローバルページで、左側のメニューのセキュリティをクリックします。

Step 2 ページの上部にあるクライアントロールタブをクリックします。

Step 3 Rolesテーブルの + 印（プラス記号）をクリックします。

Step 4 次のユーザーロール名を入力します： EMPLOYEE。 Saveをクリックします。

Step 5 次のユーザー・ロールのリストに対して、手順3から4を繰り返します。

• IT-ADMIN
• IT-SUPP
• VISITOR
• PRINTER
• IOTのNO-INET
• IOT-INTERNAL
• IOT-LMT-INET
• REJECT
• QUARANTINE
• CRITICAL
• SECURITY

Step 6 作成したEMPLOYEEロールにカーソルを合わせ、編集 （鉛筆）アイコンをクリックします。

Step 7 権限表で、編集（鉛筆）アイコンをクリックします。

• Allow Source to DestinationのPRINTERボックスをクリックします。
• 割り当てをクリックします。
• 保存をクリックします。

![ロール権限へのロールの割り当て]（./Media/ロール権限へのロールの割り当て.gif）

Step 8 次のRole-to-Role権限について、手順7を繰り返します。 アプリケーションレベルの権限は、「ゲートウェイコンフィグレーションの更新」セクションで構成します。

ブランチ間でRole-to-Roleポリシーを有効化

Step 9 ページの下部の [Use a switch fabric for role propagation?] (ロールの伝達にスイッチファブリックを使用しますか？) で[No]を選択します。

Step 10 Branchをクリックし、+（プラス記号）をクリックします。

• BR-ECSDBグループを選択します。
• VPNC-RSVDCグループを選択します。
• Assignをクリックします。
• Saveをクリックします。

Step 11 ページの上部で、Role-to-Role Policy Enforcementスライダーをクリックします。

Step 12 ページを下にスクロールし、Saveをクリックします。

SD-Branch ユーザーベーストンネリング (UBT)

このセクションでは、スイッチとゲートウェイがブランチサイトでUBTを許可するために必要な変更について説明します。APはすでにトンネルに設定されており、調整は不要です。アクセスポイントに追加のロールは必要ありません。

スイッチテンプレートコンフィグレーションの更新

スイッチテンプレートを最初に更新する必要があります。

スイッチには、MTUサイズの調整、未使用のVLANの削除、UBTの有効化、およびユーザーロールの調整という4つの設定変更が必要です。

スイッチのMTUサイズを調整すると、サービスが中断され、スイッチはゲートウェイへの接続を失います。MTUが一致すると、ゲートウェイの設定後に接続が復元されます。.

Step 1 BR-ECSDBグループで[スイッチ]タブをクリックします。

Step 2 スイッチリストページの右上で、 設定をクリックします。

Step 3 テンプレートセクションで、BR-ACCテンプレートにカーソルを合わせ、編集 （鉛筆）アイコンをクリックします。

UBTクライアントVLANの設定

元のテンプレートコンフィグレーションを次に示します。次のVLANが削除されます。

Step 1 次のVLANとそのすべての設定を削除します。

vlan 101
    name EMPLOYEE
    dhcpv4-snooping
    arp inspection
    ip igmp snooping enable
vlan 102
    name CAMERA
    dhcpv4-snooping
    arp inspection
    ip igmp snooping enable
vlan 103
    name IOT
    dhcpv4-snooping
    arp inspection
    ip igmp snooping enable
vlan 104
    name VISITOR
    dhcpv4-snooping
    arp inspection
    ip igmp snooping enable
vlan 105
    name REJECT
    dhcpv4-snooping
    arp inspection
    ip igmp snooping enable
vlan 106
    name CRITICAL
    dhcpv4-snooping
    arp inspection
    ip igmp snooping enable
vlan 107
    name QUARENATINE
    dhcpv4-snooping
    arp inspection
    ip igmp snooping enable

Step 2 VLANを次のように再設定します。

vlan 100
    name MGMT
    dhcpv4-snooping
    arp inspection
    ip igmp snooping enable  
    
vlan 2000
  name UBT_CLIENT
  dhcpv4-snooping
  arp inspection
  ip igmp snooping enable

Step 3 アップリンクからVLANを削除します。

interface 1/1/23
  description Uplink_GW
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100,2000
  arp inspection trust
  dhcpv4-snooping trust
interface 1/1/24
  description Uplink_GW
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100,2000
  arp inspection trust
  dhcpv4-snooping trust

Step 4 ユーザーがネットワークにアクセスできるように、VLAN 100のMTUを調整します。

interface vlan 100
  description MGMT
  ip mtu 9198
  ip dhcp

UBTの設定

ゲートウェイへのスイッチツートンネルトラフィックの場合、UBT VLANはゲートウェイのIPアドレスをポイントする必要があります。これは、テンプレート内の新しい変数です。

Step 1 UBTクライアントVLANを定義し、デフォルトVRFにUBTゾーンを作成します。

• UBTクライアントVLAN: 2000
• UBTゾーン： branch

ubt zone branch vrf default
  primary-controller ip %gateway_1_sys_ip%
  backup-controller ip %gateway_2_sys_ip%
  enable

ubt-client-vlan 2000

ユーザーロールの調整

ロールは、ゲートウェイのロールを指すように調整する必要があります。名前はゲートウェイ上の名前と一致する必要があります。ゲートウェイは、VLANをロールにマッピングし、Role-to-Roleポリシーを適用します。以下のテンプレートの元のコンフィグレーションは、調整するユーザーロールを示しています。

port-access role ARUBA-AP
  auth-mode device-mode
  vlan trunk native 100
  vlan trunk allowed 100,101,104-107
port-access role REJECT
    reauth-period 120
    vlan access 105
port-access role EMPLOYEE
    reauth-period 120
    vlan access 101
port-access role  PRINTER
    reauth-period 120
    vlan access 102
port-access role  IOT
    reauth-period 120
    vlan access 103
port-access role GUEST
    reauth-period 120
    vlan access 104
port-access role REJECT
    reauth-period 120
    vlan access 105
port-access role CRITICAL
  reauth-period 120
  vlan access 106
port-access role QUARANTINE
    reauth-period 120
    vlan access 107

Step 1 上に表示されているロールからVLAN access行を削除し、次のVLAN access行に置き換えます。

• gateway-zone zone zone branch gateway-roleとそれぞれのロール名。

port-access role EMPLOYEE
    reauth-period 120
    gateway-zone zone branch gateway-role EMPLOYEE
port-access role SECURITY
    reauth-period 120
    gateway-zone zone branch gateway-role SECURITY
port-access role IOT-NO-INET
    reauth-period 120
    gateway-zone zone branch gateway-role IOT-NO-INET
port-access role IOT-INETERNAL
    reauth-period 120
    gateway-zone zone branch gateway-role IOT-INETERNAL
port-access role IOT-LMT-INET
    reauth-period 120
    gateway-zone zone branch gateway-role IOT-LMT-INET
port-access role VISITOR
    reauth-period 120
    gateway-zone zone branch gateway-role VISITOR
port-access role INFRA-DEVICE
   reauth-period 120
   gateway-zone zone branch gateway-role INFRA-DEVICE
port-access role PRINTER
   reauth-period 120
   gateway-zone zone branch gateway-role PRINTER
port-access role IT-ADMIN
   reauth-period 120
   gateway-zone zone branch gateway-role IT-ADMIN
port-access role IT-SUPP
   reauth-period 120
   gateway-zone zone branch gateway-role IT-SUPP
port-access role REJECT
    reauth-period 120
    gateway-zone zone branch gateway-role REJECT
port-access role CRITICAL
   reauth-period 120
   gateway-zone zone branch gateway-role CRITICAL
port-access role QUARANTINE
   reauth-period 120
   gateway-zone zone branch gateway-role QUARANTINE

Step 2 APロールから古いVLANを削除します。

port-access role ARUBA-AP
  auth-mode device-mode
  vlan trunk native 100
  vlan trunk allowed 100

ゲートウェイコンフィグレーションの更新

ゲートウェイでは、ユーザーベースのトンネリングを有効にするために3つの変更が必要です。つまり、MTUサイズを大きくし、グループ内でVLANからロールへのマッピングとネットワークポリシーの両方を設定する必要があります。この項では、そのプロセスを説明します。

VLAN MTUの調整

Step 1 ゲートウェイタブを選択し、右上隅の歯車アイコンをクリックします。

Step 2 LANを選択します。LANポートをクリックします。

Step 3 GE0/0/2インターフェイスにカーソルを合わせ、鉛筆アイコンを選択します。

Step 4 ジャンボフレームボックスをチェックします。

Step 5 Saveを選択します。

Step 6 GE0/0/3インターフェイスに対して手順3～5を繰り返します。

Step 7 設定の保存をクリックします

VLANをユーザーロールに関連付け

ロールは、グローバル・ポリシー・マネージャーからグループ内で確立されます。ただし、これらのロールにはVLANの関連付けがありません。したがって、認証時に、クライアントは適切なVLANに配置されるのではなく、デフォルトでVLAN 1のロールを割り当てられます。次の手順は、VLANをロールに関連付ける方法を示しています。

Step 1 ゲートウェイコンフィグレーションが詳細モードになっていることを確認します。セキュリティタブを選択します。

Step 2 ロールタブを選択します。

Step 3 Criticalロールを選択します。

Step 4 下にスクロールし、詳細表示タブを選択します。詳細表示タブで、VLAN IDと最大セッション数を設定します。

• VLAN: 106
• Max sessions: 10000

Step 5 設定の保存をクリックします。

Step 6 すべてのロールに対して手順3から5を繰り返します。

ユーザーロールを使用したネットワークポリシーの設定

グローバルポリシーマネージャーでは、Role-to-Roleポリシーのみを設定できます。アプリケーションやネットワークプロトコルなど、より詳細なポリシーの場合は、グループ内で設定を行います。このセクションでは、Visitorユーザーロール専用のURLおよびIPベースのポリシーを設定するプロセスについて説明します。

Step 1 右上のゲートウェイタブで基本モードを選択します。

![基本モードを選択]（./Media/基本モード.pngを選択）

Step 2 ポリシータブを選択します。 アプリケーションをクリックします。

Step 3 ネットワーク・エイリアスの横にある +（プラス記号）をクリックします。名前フィールドにad serverと入力します。

Step 4 User Rulesテーブルの +（プラス記号）をクリックします。

Step 5 新しい行のタイプ列で、Nameをクリックします。スクロールして[Host]を選択します。[IP Address]フィールドに「10.2.120.98」と入力します。

Step 6 手順4を繰り返します。Nameをクリックします。スクロールしてHostを選択します。 IP Addressフィールドに10.2.120.99と入力します。

Step 7 Saveをクリックします。

Step 8 [ネットワークエイリアス]の横にある +印(プラス記号)をクリックします。Nameフィールドに、rfc1918と入力します。

Step 9 User Rulesテーブルの +（プラス記号）をクリックします。

Step 10 新しい行のタイプ列で、Nameをクリックします。スクロールしてNetworkを選択します。最初の範囲を入力し、残りの範囲に対して手順9.を繰り返します**

• IP/マスク： 192.168.0.0/255.255.0.0
• IP/マスク： 172.16.0.0/255.240.0.0
• IP/マスク： 10.0.0.0/255.0.0.0

Step 11 Saveをクリックします。

Step 12 [ネットワークエイリアス]の横にある + (プラス記号)をクリックします。名前フィールドにcaptive portalと入力します。

Step 13 User Rulesテーブルの +（プラス記号）をクリックします。

Step 14 Nameフィールドを選択して、cppm.example.localと入力します。

Step 15 Saveをクリックします。

Step 16 設定の保存をクリックします。

Step 17 QoSの横にあるセキュリティタブをクリックします。

Step 18 ロールテーブルで、Visitorロールを選択します。

Step 19 ポリシーテーブルで、+記号（プラス記号）をクリックし、visitor_net_policyと入力します。

Step 20 ルールテーブルで、+（プラス記号）をクリックして新しいルールを作成します。

Step 21 ルールテーブルで、次の項目を割り当てます。

• ソース： Any
• 宛先： Network Alias
• 送信先エイリアス： ad server
• サービス/アプリ: sys-svc-dns
• アクション： Permit

Step 22 Saveをクリックします。

![ポリシーへのルールの追加]（./Media/policy.gifへのルールの追加）

Step 23 手順19から21を繰り返して、次の表を完成します。次に設定の保存をクリックします。完了したポリシーは以下のとおりです。