CL2 Microbranch APの設定

このガイドでは、MicrobranchでのCentralized Layer 2(CL2)モードSSIDの設定について説明します。EXAMPLE-CL2は、インターネットを介して企業リソースと非企業リソースの両方にアクセスできる集中型レイヤ2 SSIDです。

VLAN ID 253は、データセンターVPNCから拡張され、（クラスタリング機能を通じて）SSIDに割り当てられるトンネルユーザーVLANです。VLAN ID 253はVPNCでのみ設定する必要があり、Microbranch APでは設定しないでください。

次のトポロジーは、Micronranchを示しています。

Microbranch APグループの作成

Step 1 コンテキストフィルターグローバルをクリックします。

Step 2 グループの列見出しにカーソルを合わせ、設定アイコンをクリックします。

Step 3 新規グループを作成するには、右上の”+“（プラス記号）をクリックします。

Step 4 グループの追加ウィンドウで、名前を入力します。アクセスポイントチェックボックスをクリックし、 次へをクリックします。

Step 5 このグループのアクセスポイントとゲートウェイのアーキテクチャの下で、ArubaOS 10を選択したままにします。このグループのアクセスポイントのネットワークロールの下にあるマイクロブランチラジオボタンをクリックし、追加をクリックします。

システムIPプールの構成

システムIPプールは、アクセスポイントにIPアドレスを動的に割り当てます。これは、Microbranch APのセットアップに必要です。APは、割り当てられたIPを内部トンネルIPアドレスのシステムIPとして使用し、さらにRADIUS、TACACS+、およびSNMPなどの送信元トラフィックへの管理アドレスとして使用します。システムIPプールは、今後のステップでMicrobranchグループに適用されます。

Step 1 グローバルグループを選択します。左側のナビゲーションウィンドウで、[ ネットワークサービス ]をクリックします。

Step 2 IPアドレスマネージャータブを選択します。

Step 3 右上の”+“（プラス記号）をクリックします。

Step 4 システムIPプールの追加ウィンドウで、次のように入力します。

• プール名: System IP Pool

• 開始アドレス: 10.14.254.1

• 終了アドレス: 10.14.254.100

  注:
  システムIPプールはグローバルで、グループ内のすべてのAPに適用されます。システムIPプールのサイズを設計する場合は、Microbranchグループ内のすべてのAPを考慮します。

Step 5 保存をクリックします。

![アドレスプールの設定]（Media/configure_address_pool.gif）

APデバイスパスワードの設定

Step 1 グローバルドロップダウンで、以前に作成したMicrobranch APグループを検索して選択します。

Step 2 管理の下の左ナビゲーションウィンドウで、[デバイス]を選択します。

Step 3 アクセスポイントタブを選択します。右上隅にある設定 （歯車）アイコンをクリックします。

Step 4 パスワードフィールドにデバイスパスワードを入力します。パスワードの確認フィールドにパスワードを再入力し、パスワードの設定をクリックします。

国コードの構成

APが地域の規制規制に準拠して動作するように、適切な国コードを割り当てることが重要です。

Step 1 グループ [UI-MICRO-AP-01 >デバイス]ページの[システム]タイルでプロパティを選択します。

Step 2 国コードの設定フィールドで、ドロップダウンから適切な国コードを選択します。

Step 3 保存をクリックします。

システムIPプールをAPグループに割り当て

Step 1 グループ [UI-MICRO-AP-01 >デバイス]ページの[システム]タイルでIPアドレス指定を選択します。

Step 2 IPアドレスプールの選択フィールドで、以前に構成したSystem IP Poolを選択します。

Step 3 保存をクリックします。

DNSとNTPの設定

Step 1 グループ [UI-MICRO-AP-01 >デバイス]ページの[システム]タイルでDNSとNTPを選択します。

Step 2 ドメイン名フィールドにドメイン名を入力します。

Step 3 DNSサーバーを追加するには、[DNSサーバー]ヘッダーで[+] （プラス記号）をクリックします。

Step 4 ドロップダウンからDNSサービスを選択します。

Step 5 NTPセクションを展開するには、[> NTP]をクリックします。

Step 6 NTPサーバーを追加するには、パブリックNTPサーバーヘッダーで、+ （プラス記号）をクリックします。

Step 7 新しい空のフィールドにNTP FQDNまたはIPアドレスを入力します。

Step 8 タイムゾーンフィールドで、ドロップダウンからタイムゾーンを選択します。

Step 9 保存をクリックします。

WANアップリンクの設定

WANアップリンクは、WAN IPアドレスが割り当てられたインターフェイスを識別します。Tunnel Orchestratorは、WAN IPアドレスを使用してデバイス間にトンネルを作成します。WANアップリンク名は、トンネルマッチングアルゴリズムで使用され、トンネルの反対側で同じ名前の一致を試みます。ラベルが一致しない場合は、他のWANラベルとの一致を試みます。

Step 1 グループ [UI-MICRO-AP-01 >デバイス]ページの[WAN]タイルで[WANアップリンク]を選択します。

Step 2 右側の “+“（プラス記号）をクリックします。

Step 3 アップリンク名フィールドに、アップリンクインターフェイス名を入力します。

Step 4 保存をクリックします。

WAN正常性チェックの設定

WAN正常性チェックは、WANアップリンクの品質を測定します。WANアップリンクでのレイテンシーとパケット損失は、ICMPまたはUDPプローブを使用して計算されます。UDPベースのプローブは、ジッターの測定を追加し、MoSスコアを生成します。

Step 1 グループ UI-MICRO-AP-01 > デバイスページに移動します。WANタイルで、 WAN正常性チェックを選択します。

Step 2 WAN正常性のモニターの右にあるスライダーをクリックします。

Step 3 カスタムラジオボタンをクリックします。

Step 4 プロトコルフィールドで、ドロップダウンをクリックしてUDPを選択します。

![WAN正常性チェックの設定]（Media/configure_wan_healthcheck.gif）

WPA3 – エンタープライズ無線LANの設定

次の手順では、内部リソースおよび非内部リソースにアクセスするための安全なCL2モードSSIDを作成します。

Step 1 グループ UI-MICRO-AP-01 > デバイスページに移動します。無線タイルで、WLANを選択します。

Step 2 タブの左下付近にある[+ SSIDの追加]をクリックします。

Step 3 一般タブで、名前（SSID）フィールドをEXAMPLE-CL2に設定します。

Step 4 追加の設定を表示するには、”> 詳細設定” をクリックします。

Step 5 ブロードキャスト/マルチキャストオプションを展開するには、[(+)ブロードキャスト/マルチキャスト]をクリックします。

Step 6 ブロードキャスト・フィルタドロップダウンで、”すべて“を選択します。

Step 7 レガシー送信レート・オプションを拡張するには、”(+) 送信レート（レガシーのみ）” をクリックします。

Step 8 2.4 GHzセクションで、次の値を割り当てます。

• 最小: 5
• 最大: 54

Step 9 5 GHzセクションで、次の値を割り当てます。

• 最小: 18
• 最大: 54

Step 10 次へをクリックします。

SSID VLANの設定

VLANタブで、次の値を入力して次へをクリックします。

• トラフィック転送モード: L2転送済み
• プライマリゲートウェイクラスタ:ドロップダウンメニューからL2トンネルを終端するプライマリVPNCヘッドエンドクラスタを選択します
• セカンダリゲートウェイクラスタ: （オプション）ドロップダウンからVPNC冗長用のバックアップVPNCヘッドエンドクラスタを選択します
• クライアント VLAN の割り当て: スタティック
• VLAN ID:ドロップダウンから、ユーザーのVLANを選択します。例: tunneled_users (vlan:253)

SSIDセキュリティ設定の構成

SSIDで802.1X認証と暗号化を有効にします。

Step 1 セキュリティレベルを設定するには、セキュリティレベルスライダーをエンタープライズに移動します。

Step 2 キー管理ドロップダウンから、WPA3エンタープライズ(CMM 128)を選択します。

Step 3 プライマリRADIUSサーバーを追加するには、[プライマリサーバー]フィールドの横にある[+] （プラス記号）をクリックします。

Step 4 [新しいサーバー]ウィンドウで、次の値を入力し、[OK]をクリックします。

• サーバータイプ: RADIUS
• 名前: cppm-01
• IPアドレス: 10.2.120.94
• 共有キー: RADIUSサーバーの共有キーを入力してください
• キーの再入力: RADIUSサーバーの共有キーを再入力してください

Step 5 セカンダリRADIUSサーバーを追加するには、[セカンダリサーバー]フィールドの横にある[+] （プラス記号）をクリックします。

Step 6 セカンダリRADIUSサーバーに適切な値を設定して、手順4を繰り返します。

Step 7 負荷分散を有効にするには、トグルをクリックします。

Step 8 次へをクリックします。

ネットワークアクセスルールの設定

ネットワークアクセスルールは、デバイスのロールまたはIPアドレスに基づいてSSIDのポリシーエンフォースメントを適用します。

Step 1 デフォルト設定の制限なしのままにし、次へ をクリックします。

Step 2 [概要]タブで、すべての設定を確認し、終了 をクリックし**す。

CL2モードでは、APでユーザートラフィックフローを処理し、すべてのユーザートラフィックをデータセンターに転送するか、あるいはユーザートラフィックの特定のサブセットだけをデータセンターに転送するかを決定するには、2つのオプションを使用できます。

Step 1 スプリットトンネル: APはデータセンターのリソースにアクセスするユーザートラフィックのみをトンネルしますが、他のトラフィックはAP WANアップリンク（インターネットまたはセルラー）にローカルでNAT送信できます

Step 2 フルトンネル: APはすべてのユーザートラフィックをデータセンターにトンネリングします

CL2でのスプリットトンネルの設定

デフォルトでは、すべてのユーザートラフィックがAP WANアップリンクにローカルでNAT処理され、企業リソースにアクセスできません。CL2の内部リソースへのアクセスを許可するには、2つ以上のルールを持つポリシーベースルーティング(PBR)ポリシーを設定し、そのPBRポリシーを1つ以上のユーザーロールに割り当てることによってスプリットトンネルモードをアクティブ化します。ユーザーロールに割り当てられたユーザーまたはデバイスでは、PBRポリシーで設定された個々のルールに基づいて、データセンターへのトンネルを経由するか、またはAP WANアップリンクを経由してローカルブレークアウトされるかのいずれかで、ユーザートラフィックが適切にリダイレクトされます。

スプリットトンネル用のPBRポリシーの作成

Step 1 グループ UI-MICRO-AP-01 >デバイスページに移動します。トンネルとルーティング タイルで、 Policy-based Routingを選択します。

Step 2 ポリシータブの右上付近で、+ （プラス記号）をクリックします。

Step 3 PBRポリシー名前を入力します（例: EXAMPLE-PBR-SPLIT-TUNNEL）。

Step 4 OKをクリックします

Step 5 EXAMPLE-PBR-SPLIT-TUNNELポリシーにマウスオーバーします

Step 6 右側の編集 （鉛筆）アイコンをクリックします

Step 7 ルールタブの右上付近で、+ （プラス記号）をクリックします。

Step 8 ルールの追加 テーブルで、次の値を入力してOKをクリックします

• ソース: Any – ホスト、ネットワーク、エイリアスなど、他のドロップダウンオプションを選択できます。
• 宛先: Network – ホスト、エイリアス、任意など、その他のドロップダウンオプションを選択できます。
• ネットワークアドレス: <例: 10.20.253.0> （ユーザーがアクセスするデータセンターの内部リソースネットワーク）
• ネットマスク: <例: 255.255.255.0>
• サービス/アプリ: Any – アプリケーションカテゴリー、アプリケーション、プロトコル、サービス、TCP、UDP、Webカテゴリー、Webレピュテーションなど、その他のドロップダウンオプションを選択できます。
• アクション: Forward to Cluster

Step 9 新しく作成されたルールがEXAMPLE-PBR-SPLIT-TUNNELポリシーに追加されます

Step 10 新規作成したルールを上部にドラッグし、保存をクリックします。

![CL2-PBR-Split-Tunnel-drag-rules](../Media/cl2-pbr-split-tunnel-drag-rules.gif)

スプリットトンネルのPBRポリシーをユーザーロールに適用

Step 1 グループ UI-MICRO-AP-01 >デバイスページに移動します。セキュリティタイルで、 ポリシーとアクセス制御を選択します。

Step 2 ロールセクションを展開します。

Step 3 PBRポリシーを適用するユーザーロールを選択します

Step 4 ルールウィンドウで、+ （プラス記号）をクリックします

Step 5 ルールの追加ウィンドウで、次の値を入力してOKをクリックします。

• ルールタイプ: ポリシーベースルーティング

• 既存のポリシーの追加: <有効>

• ポリシー名: EXAMPLE-PBR-SPLIT-TUNNEL

  

Step 6 PBRポリシーがユーザーロールに割り当てられます。

Step 7 保存をクリックします

CL2でのフルトンネルの設定

CL2 Microbranch展開でフルトンネルを構成するには、最初にPolicy-Based Routing（PBR;ポリシーベースルーティング）ポリシーを作成する必要があります。このポリシーでは、任意の宛先に対するすべてのユーザートラフィックが、安全なIPsecトンネルを介してクラスタに転送されるように規定するルールが定義されています。次に、PBRポリシーがユーザーロールに割り当てられます。ユーザーロールに割り当てられたユーザーまたはデバイスは、すべてのユーザートラフィックを安全なトンネル経由でデータセンターに転送します。

フルトンネル用のPBRポリシーの作成

Step 1 グループ UI-MICRO-AP-01 >デバイスページに移動します。トンネルとルーティングタイルで、 Policy-based Routingを選択します。

Step 2 ポリシータブの右上付近で、+ （プラス記号）をクリックします。

Step 3 PBRポリシー名（例: EXAMPLE-PBR-FULL-TUNNEL）を入力します。

Step 4 OKをクリックします。

Step 5 EXAMPLE-PBR-FULL-TUNNELポリシーにマウスオーバーし、右側の編集 （鉛筆）アイコンをクリックします。

Step 6 自動的に作成されたデフォルトのルールにマウスオーバーします。

Step 7 右側の編集（鉛筆）アイコンをクリックします。

Step 8 ルールの編集 テーブルで、次の値を入力し、OKをクリックします。

• ソース: Any

• 宛先: Any

• サービス/アプリ: Any

• アクション: Forward to Cluster

Step 9 アクション’forward_to_cluster’を含む編集されたルールがEXAMPLE-PBR-FULL-TUNNELポリシーに表示されます。

Step 10 保存をクリックします。

フルトンネルのPBRポリシーをユーザーロールに適用

Step 1 グループ UI-MICRO-AP-01 >デバイスページに移動します。セキュリティタイルで、 ポリシーとアクセス制御を選択します。

Step 2 ロールセクションを展開します。

Step 3 PBRポリシーを適用するユーザーロールを選択します。

Step 4 ルールウィンドウで、+ （プラス記号）をクリックします。

Step 5 ルールの追加ウィンドウで、次の値を入力してOKをクリックします。

• ルールタイプ: ポリシーベースルーティング

• 既存のポリシーの追加: <有効>

• ポリシー名: EXAMPLE-PBR-FULL-TUNNEL

  

Step 6 フルトンネル用に構成されたPBRポリシーがユーザーロールに割り当てられます。

Step 7 保存をクリックします。

Microbranch APをグループに割り当て

Step 1 左側のナビゲーションペインでグローバルをクリックし、グループ列見出しを選択します。

Step 2 プロビジョニング未了デバイスグループの名前の横にある展開アイコン(>)をクリックして展開します。

Step 3 Microbranch APを選択します。

Step 4 デバイスの移動アイコンをクリックします。

Step 5 宛先グループドロップダウンで、UI-Micro-AP01を選択します。

Step 6 移動をクリックします。

![Moving Ap]（Media/moving ap.gif）

サイトへのMicrobranch APの割り当て

次の手順では、APをサイトに割り当てます。

Step 1 組織に移動し、サイトを選択します。

Step 2 未割り当てデバイスを選択します。

Step 3 右側のMicrobranch APを選択し、APをESP-MB01サイトにドラッグします。

Step 4 はいをクリックします。

Microbranchサイトのトンネルを監視

Microbranchサイトのトンネルは、トンネルの詳細とともにマップビューのSD-WANオーバーレイタブで監視できます。

Step 1 グローバル > ネットワークサービス > SD-WAN オーバーレイに移動します。

Step 2 トンネルを選択します。

Step 3 オーバーレイトンネルオーケストレータのトポロジで、スポークタブをクリックします。

Step 4 スポークグループの下で、Microbranch APが存在するMicrobranchグループを選択します。

Step 5 検索フィールドで、Microbranchサイトを選択します（トンネルの詳細を表示する必要があります）

1. Mcrobranchサイトピンの位置にカーソルを合わせ、名前、トンネルの総数、およびそのステータスを表示します。
2. DCピンの位置にカーソルを合わせると、ヘッドエンドのVPNCとそのステータスが表示されます。
3. APとDCの間のトンネルリンクにカーソルを合わせ、そのトンネルのステータスを表示します。

CL2では、Microbranch APはプライマリクラスタ内のすべてのVPNCとセカンダリクラスタ内のVPNCにトンネルを確立します。次のスクリーンショットでは、Microbranch APから確立されたIPSecトンネルが合計3つあります。

• プライマリDCにある2つのVPNCに対して2つのトンネルが確立されている。
• セカンダリDC内の1つのVPNCに対して1つのトンネルが確立されています。

トンネルエンドポイント、公開IP、プライベートIP、SPI、次のキー再生成、トンネルイベントログなどのトンネルの詳細も表示できます。

Step 1 Microbranch APとDC間のトンネルリンクをクリックします

Step 2 ポップアップウィンドウで、各行を展開して個々のトンネルの詳細を表示します

Microbranch APの制御チャネルの状態は、次のように制御接続を選択して表示することもできます。

Step 1 グローバル > ネットワークサービス > SD-WAN オーバーレイ > トンネル > スポーク に移動します。

Step 2 スポークグループ の下で、Microbranch APが存在する Microbranchグループ を選択します。

Step 3 検索フィールドで、Microbranchサイトを選択します（制御チャネルの状態を表示する必要があります）

Step 4 下までスクロールして、制御接続 を選択します。

Step 5 行を展開して詳細を表示します

Microbranchサイトルートの監視

各Microbranchサイトについて、Microbranch APから学習されたルートと、Microbranch APにアドバタイズされたルートは、以下のようにSD-WANオーバーレイタブで監視できます。

Step 1 グローバル > ネットワークサービス > SD-WAN オーバーレイに移動します。

Step 2 ルートを選択します。

Step 3 オーバーレイルートオーケストレータのトポロジで、スポーク タブをクリックまます。

Step 4 スポークグループの下で、Microbranch APが存在するMicrobranchグループを選択します。

Step 5 検索フィールドで、Microbranchサイトを選択します（ルートの詳細を表示する必要があります） 。

Step 6 下にスクロールして、上で選択したサイトのMicrobranch APの制御接続の詳細を表示します。

Step 7 学習したルート 列の下で、このMicrobranch APから学習されたルートの数を示します。

1. 番号をクリックすると、Microbranch APから学習された実際のルートが表示されます。

Step 8 アドバタイズされたルート 列の下で、このMicrobranch APにアドバタイズされた（最終的にはルートテーブルに格納された）ルートの数を示します。

1. 番号をクリックして、Microbranch APにアドバタイズされた実際のルートを表示します。

WANのステータス、タイプ、可用性、使用量、スループット、使用率などのMicrobranchアップリンクの統計情報は、 グローバル > 概要 > WAN 健全性 > リスト > トランスポートで確認できます。