29-Feb-24

ゲートウェイの事前構成

このセクションでは、Pre-Configurationを使用したゲートウェイの設定について説明します。Pre-Configurationでは、コンフィグレーションウィザードを使用してゲートウェイをオンボードする代わりに、Orchestratorに読み込まれたYAMLファイルを使用してゲートウェイを構成します。

Pre-Configurationを使用すると、管理者はデバイスがOrchestratorで検出される前にデバイスを構成できます。

最初のセクションでは、Pre-Configurationを使用したBoiseブランチの設定について説明します。また、シカゴのサイト設定の違いも示し、Pre-Configurationファイルを使用してEdge-HAを設定する方法を示します。

– サニタイズされたBoise設定ファイルを参照してくださいhere

– サニタイズされたシカゴ設定ファイルを参照してくださいhere

ゲートウェイの事前構成

注:
Pre-Configurationを使用する場合、Orchestratorを構成する必要があります。以下のPre-Configuration手順に従う前に、”Preparing to Deploy Section“の手順に従ってください。

非冗長ブランチ構成の構築

デバイスに適用できる構成ファイルを構築するには、テキストエディタを使用するのが最適な方法です。このガイドに含まれていないOrchestrator構成項目の詳細については、 Configuration > Preconfigure Appliancesに進み、 Newをクリックしてください。設定に関する手順と、オプションの使用方法を説明します。

基本アプライアンスの設定

基本アプライアンスの設定、ホスト名、グループ、ソフトウェア、サイト名、場所、ライセンス、連絡先情報を構成します。アプライアンスのグループを設定する場合、グループ名はOrchestratorで構成されているグループと一致する必要があります。ネットワークの役割が、すべてのブランチに対して”Non-Hub”として設定されていることを確認してください。

Input	Boise-Branch
Appliance	BOIBR-ECE-1
Group	Branch
Site Name	Boise-Branch
Contact Name	Aruba TME
Contact Email	Aruba-solution-tme-licenses@hpe.com
Address	12601 W Explorer Dr
City	Bosie
State	Idaho
Zip Code	83713
License	Unlimited

applianceInfo:
  softwareVersion: 9.3.0.0_95721
  hostname: BOIBR-ECE1
  group: Branch
  site: Boise-Branch	
  networkRole: non-hub
  region:
  location:
    address: 12601 W Explorer Dr	
    address2:
    city: Bosie
    state: Idaho	
    zipCode: 83713
    country: US
  contact:
    name: Aruba TME
    email: Aruba-solution-tme-licenses@hpe.com
    phoneNumber: 
ecLicensing:
  useDefaultAccount: true
  bandwidthLevel: unlimited

オーケストレーションの設定

次の設定では、最初にテンプレートグループ構成を設定します。これにより、[Configuring template]セクションで適用されるテンプレート設定が決まります。この例では、テンプレートグループは1つしかありません。 2つ目は、 business intent overlay のセクションで、ゲートウェイに設定するオーバーレイを定義します。

テンプレートグループが見つからない場合、テンプレート構成はデバイスに適用されません。同様に、オーバーレイがテンプレートから欠落している場合、ゲートウェイはピアにトンネルを構成しません。ゲートウェイは、これらの設定のいずれにもデフォルト設定されません。

  
templateGroups:
  groups:
    - Default Template Group
  
businessIntentOverlays:
    overlays:
      - RealTime
      - CriticalApps
      - BulkApps
      - DefaultOverlay

インターフェイスの設定

次のセクションでは、WAN/LANインターフェイスの設定方法を示します。インターフェイスの設定はすべて”Deployment Info”キーを使用しています。また、このキーには、WANインターフェイスの受信/発信帯域幅の合計を入力する必要があります。

LANサブインターフェイスを設定する場合は、VLANを識別するためのキー値ペアがないことに注意してください。VLANはインターフェイス名（ドットの後）で識別されます。たとえば、lan0.101は、サブインターフェイスがVLAN 101でタグ付けされていることを指定します。ラベル、セグメント、およびゾーンを適用する場合は、Orchestratorで設定されているスペルとまったく同じであることを確認してください。 WANインターフェイスは少し異なり、アップロード/ダウンロード速度、ファイアウォールモード、およびNATモードを入力する必要があります。WANインターフェイスがDHCPを使用している場合は、IPアドレスとネクストホップを入力しないでください。

VLAN ID	Label	FW Zone	Segment	BOIBR-ECE1 IP Address
100	MGMT VLAN	LAN	Default	10.14.48.1/24
101	Employee	LAN	Default	10.14.49.1/24
102	Camera	LAN	Default	10.14.50.1/24
103	IOT	IOT	Default	10.14.51.1/24
104	Guest	Default	guest	10.14.52.1/24
105	Reject	LAN	Default	10.14.53.1/24
106	Critical	LAN	Default	10.14.54.1/24
107	Quarantine	Default	quarantine	10.14.55.1/24
—	MPLS1	WAN	Default	100.100.7.66/29 (NH 100.100.7.65)
—	INET1	WAN	Default	DHCP

deploymentInfo:
  deploymentMode: inline-router
  totalOutboundBandwidth: 30000
  totalInboundBandwidth: 110000
  shapeInboundTraffic: true
  ipsecUdpPort: 12000
  passThroughShapedTraffic:
    outboundMaxBandwidth: 110000
  deploymentInterfaces:
      - interfaceName: lan0
        interfaceLabel: MGMT
        interfaceType: lan
        interfaceComment: lan interface
        ipAddressMask: 10.14.48.1/24
        segment: Default
        zone: LAN

      - interfaceName: lan0.101
        interfaceLabel: EMPLOYEE
        interfaceType: lan
        interfaceComment: lan interface
        ipAddressMask: 10.14.49.1/24
        segment: Default
        zone: LAN

      - interfaceName: lan0.102
        interfaceLabel: CAMERA
        interfaceType: lan
        interfaceComment: lan interface
        ipAddressMask: 10.14.50.1/24	
        segment: Default
        zone: LAN

      - interfaceName: lan0.103
        interfaceLabel: IOT
        interfaceType: lan
        interfaceComment: lan interface
        ipAddressMask: 10.14.51.1/24	
        segment: Default
        zone: LAN

      - interfaceName: lan0.104
        interfaceLabel: GUEST
        interfaceType: lan
        interfaceComment: lan interface
        ipAddressMask: 10.14.52.1/24	
        segment: guest

      - interfaceName: lan0.105
        interfaceLabel: REJECT
        interfaceType: lan
        interfaceComment: lan interface
        ipAddressMask: 10.14.53.1/24	
        segment: Default
        zone: LAN

      - interfaceName: lan0.106
        interfaceLabel: CRITICAL
        interfaceType: lan
        interfaceComment: lan interface
        ipAddressMask: 10.14.54.1/24	
        segment: Default
        zone: LAN

      - interfaceName: lan0.107
        interfaceLabel: QUARANTINE
        interfaceType: lan
        interfaceComment: lan interface
        ipAddressMask: 10.14.55.1/24	
        segment: quarantine

      - interfaceName: wan0
        interfaceLabel: INET1
        interfaceType: wan
        interfaceComment: INET DHCP 
        ipAddressMask: 
        nextHop: 
        outboundMaxBandwidth: 100000
        inboundMaxBandwidth: 25000
        firewallMode: statefulSNAT
        behindNat: none
        zone: WAN

      - interfaceName: wan1
        interfaceLabel: MPLS1
        interfaceType: wan
        interfaceComment: MPLS
        ipAddressMask: 100.100.7.66/29	
        nextHop: 100.100.7.65	
        outboundMaxBandwidth: 10000
        inboundMaxBandwidth: 5000
        firewallMode: statefulSNAT
        behindNat: none
        zone: WAN

DHCP設定

次の構成は、DHCP RelayとローカルDHCPサーバーを構成する方法を示しています。簡略化のために、すべてのLANインターフェイスで説明していません。Lan0.106は、ローカルDHCPサーバーを必要とする重要な認証VLANです。次の設定の違いを参照してください。

  dhcpInfo:
    - dhcpInterfaceName: lan0
      dhcpType: relay
      dhcpProxyServers:
        - 10.2.120.99
        - 10.2.120.98
    
    - dhcpInterfaceName: lan0.101
      dhcpType: relay
      dhcpProxyServers:
        - 10.2.120.99
        - 10.2.120.98
...
        
    - dhcpInterfaceName: lan0.106
      dhcpType: server
      dhcpAddressMask: 10.14.54.0/24
      startIpAddress: 10.14.54.10
      endIpAddress: 10.14.54.200
      gatewayIpAddress: 10.14.54.1
      dnsServers:
        - 8.8.4.4
        - 8.8.8.8
      maximumLease: 24
      defaultLease: 24

    - dhcpInterfaceName: lan0.107
      dhcpType: relay
      dhcpProxyServers:
        - 10.2.120.99
        - 10.2.120.98

ルート設定

次の設定は、サイトのサマリールートを設定する方法を示しています。最上位レベルでは、サブネットをファブリック内で共有するかどうかを決定します。ファブリック内での共有に加えて、”advertiseLocalLanSubnets”と”advertiseLocalWanSubnets”は、サブネットが自動的に共有されるかどうかを決定します。共有に使用されないように、ルートを要約することをお勧めします。サマリールートを作成するには、ルートを入力し、ネクストホップキーを削除してから、アドバタイズ値を”true”に設定します。

localRoutes:
  useSharedSubnetInfo: true
  advertiseLocalLanSubnets: false
  advertiseLocalWanSubnets: false
  localMetric: 50
  redistToSDwanFabricRouteMap: "default_rtmap_to_subsh"

  routes:
    - routeIpSubnet: 10.14.48.0/21
      interfaceName: lan0
      metric: 50
      advertise: true
      advertiseToBgp: false
      advertiseToOspf: false
      tag: ANY
      zone:
      comment: Site summary route

冗長サイトの構成

冗長サイトには、エッジHA、DHCP HA、VRRP、およびIP SLAに加えて、上記のすべての設定が含まれています。このセクションでは、構成の例としてシカゴのブランチサイトを使用します。シカゴブランチサイトで使用されるIP範囲と入力を次に示します。

Input	Chicago-Branch
Appliance	CHIBR-ECE-1/CHIBR-ECE-2
Group	Branch
Site Name	Chicago-Branch
Contact Name	Aruba TME
Contact Email	Aruba-solution-tme-licenses@hpe.com
Address	303 E Wacker Dr Suite 2700
City	Chicago
State	Illinois
Zip Code	60601

VLAN ID	Label	FW Zone	Segment	CHIBR-ECE-1 IP Address	CHIBR-ECE-2 IP Address
100	MGMT VLAN	LAN	Default	10.14.32.2/24	10.14.32.3/24
101	Employee	LAN	Default	10.14.33.3/24	10.14.33.3/24
102	Camera	LAN	Default	10.14.34.3/24	10.14.34.3/24
103	IOT	IOT	Default	10.14.35.3/24	10.14.35.3/24
104	Guest	Default	guest	10.14.36.3/24	10.14.36.3/24
105	Reject	LAN	Default	10.14.37.3/24	10.14.37.3/24
106	Critical	LAN	Default	10.14.38.3/24	10.14.38.3/24
107	Quarantine	Default	quarantine	10.14.39.3/24	10.14.39.3/24
—	MPLS1	WAN	Default	—	100.100.7.50/29 (NH 100.100.7.49)
—	INET1	WAN	Default	DHCP	—

Summary Address: 10.14.32.0/21

Default Gateway:各VLANのVRRP仮想IPアドレス10.14.X.1。

エッジHA設定

エッジHAを使用すると、専用のLAN接続を使用して、サイト間でWANアップリンクを共有できます。Edge HAを設定する場合は、次の再構成オプションを確認します。

Edge HA Configuration Location: Edge HA構成は、”deploymentInterfaces”と同じレベルの”deployment info”の下にネストされている必要があります。

UDP Port: UDPポートは、エッジHAピアごとに一意である必要があります。

WAN Interfaces:両方のピアのすべてのWANインターフェイスは、コンマで区切ってhaInterfaceOrderの下に一覧表示する必要があります。

Peer Information:ピアを設定するには、シリアル、着信/発信帯域幅、およびインターフェイスラベルの値が必要です。

Chicago　ECE 1 HA構成

deploymentInfo:
  deploymentMode: inline-router
  totalOutboundBandwidth: 25000
  totalInboundBandwidth: 100000
  shapeInboundTraffic: true
  ipsecUdpPort: 12010
 	passThroughShapedTraffic:
    outboundMaxBandwidth: 25000 
  deploymentInterfaces:
      ...
    - interfaceName: lan1.107
      interfaceLabel: QUARANTINE
      interfaceType: lan
      interfaceComment: lan interface
      ipAddressMask: 10.14.39.2/24		
      segment: quarantine

    - interfaceName: wan0
      interfaceLabel: INET1
      interfaceType: wan
      interfaceComment: wan interface
      ipAddressMask: 
      nextHop: 
      outboundMaxBandwidth: 100000
      inboundMaxBandwidth: 25000
      firewallMode: statefulSNAT
      behindNat: auto
      zone: WAN
      
  haConfig:
    haPeerSerial: 001BBC1E20C4
    haIpPool: 169.254.1.0/24
    haSubnetMask: 30
    haVlanStart: 4000
    haInterface: lan0
    haInterfaceOrder: MPLS1,INET1
    haPeerInterfaceInfo:
    - interfaceLabel: MPLS1
      outbound: 10000
      inbound: 5000
      segment: Default
      zone: WAN

Chicago　ECE 2 HA構成

deploymentInfo:
  deploymentMode: inline-router
  totalOutboundBandwidth: 25000
  totalInboundBandwidth: 100000
  shapeInboundTraffic: true
  ipsecUdpPort: 12020
  passThroughShapedTraffic:
    outboundMaxBandwidth: 100000
    
...
    - interfaceName: lan1.107
      interfaceLabel: QUARANTINE
      interfaceType: lan
      interfaceComment: lan interface
      ipAddressMask: 10.14.39.3/24		
      segment: quarantine

    - interfaceName: wan1
      interfaceLabel: MPLS1
      interfaceType: wan
      interfaceComment: wan interface
      ipAddressMask: 100.100.7.50/29
      nextHop: 100.100.7.49
      outboundMaxBandwidth: 10000
      inboundMaxBandwidth: 5000
      firewallMode: statefulSNAT
      behindNat: auto
      zone: WAN
      
  haConfig:
    haPeerSerial: 001BBC1E164A
    haIpPool: 169.254.1.0/24
    haSubnetMask: 30
    haVlanStart: 4000
    haInterface: lan0
    haInterfaceOrder: MPLS1,INET1
    haPeerInterfaceInfo:
    - interfaceLabel: INET1
      outbound: 100000
      inbound: 25000
      segment: Default
      zone:

DHCP HA設定

DHCP HAでは、障害が発生した場合にゲートウェイの1つがDHCPサーバとして引き継ぐことができます。これは、”dhcpInfo”スタンザと同じスタンザで設定する必要があります。各ゲートウェイの管理IPを送信元/送信先IPアドレスとして使用します。次の例は、CHI-ECE-1の設定を示しています。CHI-ECE-2では、IP addressとpeer IP addressのフィールドを入れ替える必要があります。

dhcpInfo:
	
	....
    - dhcpInterfaceName: lan1.106
      dhcpType: server
      dhcpAddressMask: 10.14.38.0/24
      startIpAddress:  10.14.38.10
      endIpAddress:  10.14.38.200
      gatewayIpAddress:  10.14.38.1
      dnsServers:
        - 8.8.4.4
        - 8.8.8.8
      maximumLease: 24
      defaultLease: 24

    - dhcpInterfaceName: lan1.107
      dhcpType: relay
      dhcpProxyServers:
        - 10.2.120.99
        - 10.2.120.98
      dhcpHA:
        dhcpFailoverRole: primary
        ipAddress: 10.14.32.2
        ipAddressPort: 647
        peerIpAddress: 10.14.32.3
        peerIpAddressPort: 647
        mclt: 3600
        split: 128
        maxResponseDelay: 10
        maxUnackedUpdates: 10
        loadBalanceMaxSeconds: 5

VRRP設定

CHI-ECE-1テンプレートでのVRRPの設定を次に示します。この設定はCHI-ECE-2でも同じでなければならず、唯一の違いはpriority設定です。CHI-ECE-2では、CHI-ECE-1より低くなければなりません。

注意:
デバイスとOrchestratorが同じメジャーバージョン上にあることを確認してください。例: 9.2 のOrchestrator とアプライアンス、または9.3 のOrchestrator とアプライアンス。

vrrp:
  vrrpEntries:
    - groupId: 100
      interfaceName: lan1
      admin: Up
      virtualIpAddress: 10.14.32.1
      advertisementTimer: 1
      priority: 128
      version: 2
      preemption: true
      holddownTimer: 60
    - groupId: 101
      interfaceName: lan1.101
      admin: Up
      virtualIpAddress: 10.14.33.1
      advertisementTimer: 1
      priority: 128
      version: 2
      preemption: true
      holddownTimer: 60
    - groupId: 102
      interfaceName: lan1.102
      admin: Up
      virtualIpAddress: 10.14.34.1
      advertisementTimer: 1
      priority: 128
      version: 2
      preemption: true
      holddownTimer: 60
    - groupId: 103
      interfaceName: lan1.103
      admin: Up
      virtualIpAddress: 10.14.35.1
      advertisementTimer: 1
      priority: 128
      version: 2
      preemption: true
      holddownTimer: 60
    - groupId: 104
      interfaceName: lan1.104
      admin: Up
      virtualIpAddress: 10.14.36.1
      advertisementTimer: 1
      priority: 128
      version: 2
      preemption: true
      holddownTimer: 60
    - groupId: 105
      interfaceName: lan1.105
      admin: Up
      virtualIpAddress: 10.14.37.1
      advertisementTimer: 1
      priority: 128
      version: 2
      preemption: true
      holddownTimer: 60
    - groupId: 106
      interfaceName: lan1.106
      admin: Up
      virtualIpAddress: 10.14.38.1
      advertisementTimer: 1
      priority: 128
      version: 2
      preemption: true
      holddownTimer: 60
    - groupId: 107
      interfaceName: lan1.107
      admin: Up
      virtualIpAddress: 10.14.39.1
      advertisementTimer: 1
      priority: 128
      version: 2
      preemption: true
      holddownTimer: 60

VRRP IP SLA設定

VRRPがピア間で動的にスワップできるようにするには、IP SLAを設定する必要があります。次の例は、いずれかのゲートウェイがダウンした場合に自動的にプライオリティを増減できるVRRP SLAを設定する方法を示しています。この設定は、両方のデバイスで同じです。

ipSlaRule:
  ruleEntries:
    - enable: true
      samplingInterval: 30
      comment: vrrp monitor
      ipslaMonitor:
        monitorType: vrrp
        interfaceName: lan1
      downAction:
        downActionType: decreaseVRRPPriority
        interfaceName: lan1
        priority: 100
      upAction:
        upActionType: increaseVRRPPriority
        interfaceName: lan1
        priority: 100
    - enable: true
      samplingInterval: 30
      comment: vrrp monitor
      ipslaMonitor:
        monitorType: vrrp
        interfaceName: lan1.101
      downAction:
        downActionType: decreaseVRRPPriority
        interfaceName: lan1.101
        priority: 100
      upAction:
        upActionType: increaseVRRPPriority
        interfaceName: lan1.101
        priority: 100
    - enable: true
      samplingInterval: 30
      comment: vrrp monitor
      ipslaMonitor:
        monitorType: vrrp
        interfaceName: lan1.102
      downAction:
        downActionType: decreaseVRRPPriority
        interfaceName: lan1.102
        priority: 100
      upAction:
        upActionType: increaseVRRPPriority
        interfaceName: lan1.102
        priority: 100
    - enable: true
      samplingInterval: 30
      comment: vrrp monitor
      ipslaMonitor:
        monitorType: vrrp
        interfaceName: lan1.103
      downAction:
        downActionType: decreaseVRRPPriority
        interfaceName: lan1.103
        priority: 100
      upAction:
        upActionType: increaseVRRPPriority
        interfaceName: lan1.103
        priority: 100
    - enable: true
      samplingInterval: 30
      comment: vrrp monitor
      ipslaMonitor:
        monitorType: vrrp
        interfaceName: lan1.104
      downAction:
        downActionType: decreaseVRRPPriority
        interfaceName: lan1.104
        priority: 100
      upAction:
        upActionType: increaseVRRPPriority
        interfaceName: lan1.104
        priority: 100
    - enable: true
      samplingInterval: 30
      comment: vrrp monitor
      ipslaMonitor:
        monitorType: vrrp
        interfaceName: lan1.105
      downAction:
        downActionType: decreaseVRRPPriority
        interfaceName: lan1.105
        priority: 100
      upAction:
        upActionType: increaseVRRPPriority
        interfaceName: lan1.105
        priority: 100
    - enable: true
      samplingInterval: 30
      comment: vrrp monitor
      ipslaMonitor:
        monitorType: vrrp
        interfaceName: lan1.106
      downAction:
        downActionType: decreaseVRRPPriority
        interfaceName: lan1.106
        priority: 100
      upAction:
        upActionType: increaseVRRPPriority
        interfaceName: lan1.106
        priority: 100
    - enable: true
      samplingInterval: 30
      comment: vrrp monitor
      ipslaMonitor:
        monitorType: vrrp
        interfaceName: lan1.107
      downAction:
        downActionType: decreaseVRRPPriority
        interfaceName: lan1.107
        priority: 100
      upAction:
        upActionType: increaseVRRPPriority
        interfaceName: lan1.107
        priority: 100

構成の適用

前のセクションでは、冗長サイトと非冗長サイトの両方に対して構成ファイルを構築しました。このセクションでは、構成ファイルをOrchestratorに読み込む方法について説明します。これらの構成ファイルは、将来のゲートウェイを追加する際に使用されます。

構成の読み込み

Orchestratorではプレースホルダの構成が許可されていないため、これらのファイルを”template”として使用することはできません。ただし、作成した構成ファイルは、”Serial”フィールドを空のままにしておくことで、新しいデバイスの開始点として使用できます。これは、構成がデバイスに適用されないことを示します。

Step 1 Configuration > Preconfigure Appliancesに進みます。

Step 2 左上のNewボタンをクリックします。

Step 3 左側のexample configurationを消去します。

Step 4 “Standalone Boise”構成をウィンドウにコピーします。

Step 5 名前をNon_Redundant_Siteと入力します。

2023-08-03_14-53-58-1100228

Step 6 次の名前を使用して、その他の構成に対して手順2から5を繰り返します。

Name: Internet_Only_Redundant_Site
Name: MPLS_Only_Redundant_Site

2023-08-03_15-00-40-1100236

ゲートウェイへの設定のリンク

設定ファイルをロードした後、他のゲートウェイの開始点として使用するには、次の手順に従います。前の手順では、ファイルはロードされましたが、Serialフィールドは空白のままです。

次の手順では、開始ファイルのクローンを作成し、serialフィールドを使用してデバイスを構成にリンクします。開始構成ファイルは、デバイスをオンボードするために作成されているため、変更を必要としません。ただし、別のブランチが導入された場合は、これらのファイルをそのデバイス用に調整する必要があります。

Step 1 Non_Redundant_Siteを選択します。

Step 2 Clone From Existingボタンをクリックします。

Step 3 デバイス名を入力します
Name: BOIBR-ECE1

Step 4 ゲートウェイのシリアルを入力します Serial: 001BBC1E1656

Step 5 手順1から4を繰り返し、各ゲートウェイに適切な情報を入力します。

注:
Auto Approve when Discoveredチェックボックスは、組織のワークフローに応じてオンにすることができます。

2023-08-03_15-07-10

ゲートウェイの検出と構成の適用

このセクションでは、検出後にデバイスに設定がどのように適用されるかを示します。

Step 1 右上のAppliances Discoveredをクリックします。

Step 2 アプライアンスの一覧で、Approveをクリックします。

Step 3 アップグレードウィンドウでSkipをクリックします。

Step 4 Apply Pre-configuration.をクリックします。

Step 5 Closeをクリックします。

Step 6 その他のアプライアンスに対してもステップ2 ～ 5を繰り返します。

2023-08-03_15-14-06

検証

トンネルがアップしていることを確認するため、 Configuration> Tunnelsに移動します。

構成が正しいことを確認し、新しくオンボードされたゲートウェイを右クリックしてdeploymentを選択します。

2023-08-08_10-16-50

2023-08-03_15-45-31

2023-08-03_15-46-11