Aruba Microbranch Centralized Layer 2(CL2) の概要
目次
Centralized Layer 2(CL2)は、以前に導入されたRemote Access Point（RAP;リモートアクセスポイント）を拡張したものです。CL2転送には、次のような柔軟なオプションがあります。
– すべてのユーザートラフィックをデータセンターに完全にトンネリングできます。
CL2は、無線クライアントと有線クライアントの両方でサポートされています。CL2モードでは、Microbranch APはDHCPサーバーとして、またはクライアントのゲートウェイとして機能しません。DHCPサーバーとデフォルトGWはデータセンターに存在するため、クライアントからのDHCP要求はデータセンターにトンネリングされます。CL2はまた、企業VLANまたはブロードキャストドメインをリモートブランチに拡張します。
CL2の一般的な使用方法には、次のようなものがあります。
– データセンターでセキュリティ・ポリシーのチェックを実行する必要のあるリモート展開 – データセンターからブランチへのVLAN拡張およびDHCPスコープを必要とするリモート展開
APはルーティングテーブルに従ってトラフィックを転送するため、ユーザートラフィックはすべてAPのデフォルトゲートウェイを介して（ISPネットワークへのAPのWANアップリンクに）送信されます。
さらに、APへのデータセンタールートを動的にアドバタイズするのに役立つOverlay Route Orchestrator(ORO)は、CL2の役割を果たしません。したがって、CL2を使用する場合、ポリシーベースルーティング(PBR)を使用してデータセンターにユーザートラフィックをリダイレクトまたは転送するためのポリシーを定義する必要があります。PBRポリシーアクション”forward to cluster”は、CL2モードでトラフィックをVPNCクラスタにリダイレクトできるように特別に設計されています。
CL2のユーザートラフィックフロー
ユーザーが認証されると、CL2用に設定されたVLANがクライアントに割り当てられます。ユーザートラフィックフローを処理する方法と、すべてのユーザートラフィックをデータセンターに転送するか、ユーザートラフィックの選択されたサブセットだけをデータセンターに転送するかのAPのデータ転送決定を処理する方法には、次の2つの方法があります。
- スプリットトンネル: APは、データセンターのリソースにアクセスするユーザートラフィックのみをトンネルします。一方、他のトラフィックは、AP WANアップリンク（インターネットまたはセルラー）にローカルでNAT送信できます。
- フルトンネル: APは、すべてのユーザートラフィックをデータセンターにトンネリングします。
CL2のスプリットトンネル
スプリットトンネルでは、APアップリンクIPを使用したソースNATによって、インターネットアプリケーショントラフィックをローカルでAP WANアップリンクにブリッジする一方で、セキュアなIPsecトンネルを介して企業トラフィックだけをデータセンターに戻すことによって、トラフィックフローを最適化します。これにより、企業以外のインターネットトラフィックがデータセンターVPNCへのラウンドトリップのオーバーヘッドを被ることがなくなり、WANリンク上のトラフィックが減少し、Zoom、Teamsなどの音声/ビデオアプリケーションのレイテンシーが最小限に抑えられます。
デフォルトでは、すべてのユーザートラフィックがAP WANアップリンクにローカルでNAT処理され、企業リソースへのアクセスは許可されません。CL2を使用して内部リソースにアクセスできるようにするには、2つ以上のルールを使用してポリシーベースルーティング(PBR)ポリシーを構成し、スプリットトンネリングを行います。PBRルールに一致し、アクション”forward to cluster”が指定されたトラフィックは、UDG(User Designated Gateway)に安全にトンネリングされます。トラフィックがPBRルールに一致しない場合、トラフィックはAPアップリンクのIPでソースNAT処理され、アップリンクに送信されます。
CL2のフルトンネル
フルトンネルモードでは、Microbranch APは、ルーティング決定に独自のルーティングテーブルを使用する代わりに、IPsecトンネル経由ですべてのユーザートラフィックをデータセンターのVPNCクラスタに安全に転送します。データセンターで追加の必要なセキュリティチェックを実行したり、すべてのユーザートラフィックに対して一元的なアクセスを提供したりするには、フルトンネリングが必要になる場合があります。典型的な用途としては、銀行や保険などのネットワークが挙げられます。これらのネットワークでは、セキュリティの強化や他の同様のビジネス状況を実現するために、データセンターでユーザートラフィックを精査する必要があります。
CL2 Microbranch展開でフルトンネルを設定するには、最初にPolicy-Based Routing（PBR;ポリシーベースルーティング）ポリシーを作成します。このポリシーには、任意の宛先に対するすべてのユーザートラフィックが、安全なIPsecトンネルを介してクラスタに転送される必要があることを示すルールが含まれます。アクション”forward to cluster”を持つPBRルールに一致するトラフィックは、UDG(User Designated Gateway)に安全にトンネリングされます。
| 注: |
|---|
| デフォルトでは、すべてのユーザートラフィックがAPのWANアップリンクに送信されるため、データセンターリソースにアクセスできません。内部リソースにアクセスするために、承認されたユーザートラフィックをデータセンターに送信するようにPBRルールを設定する必要があります。 |
CL2のクライアントのUDG (User Designated Gateway)を決定
オーバーレイの場合、DL3では、APのルーティングテーブル（OROによって生成）がクライアントトラフィックを終端するVPNCを決定しますが、CL2では、APがデータセンターからバケットマップを受信し、クライアントをVPNC（UDG(User Designated Gateway)とも呼ばれる）にマッピングします。
クライアントがデータセンターにトラフィックを送信するたびに、APはそのバケットマップをチェックし、クライアントのUDGを決定し、事前に確立されたIPSecトンネルを通じて、クライアントに割り当てられたUDG/VPNCにトラフィックを転送します。これは、データセンタークラスタ内の特定のUDG/VPNCにクライアントを割り当てるだけでなく、ロードバランシングにも役立ちます。
下のスクリーンショットは、APがデータセンターから受信するバケットマップを示しています。APに接続されているクライアント（ステーションリスト）は、インデックス1とIP 172.30.28.33を使用してUDG/VPNCに割り当てられます。クライアントからデータセンターに向かうトラフィックは、セキュリティで保護されたIPSecトンネルを介してUDG/VPNCに送信されます。
この設定は、Aruba Centralユーザーインターフェイスのクライアント詳細ページでも確認できます。クライアントトラフィックがトンネリングされるUDGとUDG IPが下のスクリーンショットに表示されます。
