アルバESPポリシー・アーキテクチャ
Aruba Edge Services Platform(ESP)アーキテクチャは、柔軟で信頼性の高い設計を提供し、承認されたすべてのユーザーがアプリケーションとデータに効率的にアクセスできるようにします。また、運用の簡素化とサービス提供の迅速化も実現します。高可用性の革新とシンプル化およびプログラミング性の向上により、現代の組織にクラス最高の業界ネットワークソリューションを提供します。
目次
Aruba ESPはArubaのエンドツーエンドアーキテクチャを進化させたもので、ゼロトラストセキュリティポリシーで運用エクスペリエンスを向上させるために、人工知能オペレーション(AIOps)を活用した集中管理を統合インフラストラクチャに提供します。Aruba ESPは、Intelligent Edgeの新しい要件に特化して構築された業界初のプラットフォームです。
Aruba ESPは、オンボーディング、プロビジョニング、オーケストレーション、セキュリティ、分析、位置追跡、管理など、幅広いサービスを提供します。AI Insightsは、ユーザーに影響を与える前に問題を明らかにします。直感的なワークフロー中心のナビゲーションにより、組織は、複数の次元の相関データを表示するビューを使用して、タスクを迅速かつ容易に実行できます。ポリシーは一元的に作成され、動的セグメンテーションなどの機能により、ネットワーク管理者は既存のインフラストラクチャにポリシーを実装できます。Aruba ESPアーキテクチャは、次の図に示すように、異なる層で構築されています。
アルバESPキャンパス・ポリシー・レイヤー
アルバESPキャンパスのポリシー層は、オーバーレイ技術とトラフィックフィルタリング機構を使用して実装され、ユーザーとアプリケーションのトラフィックを分離します。データ・トラフィックは、一元的な適用のためにゲートウェイ・クラスタにトンネリングして戻したり、ネットワーク内のすべてのノードでポリシーを適用するスイッチ・ファブリック内で処理したりできます。
通常、ClearPass Policy Managerは、ユーザーデータベース(LDAP)にネットワーク認証インターフェイス(RADIUS)を提供し、ネットワーク内で適用される関連ポリシーにユーザーロールを定義するために使用されます。Device Insightsは、ネットワークから収集された情報からエンドポイントのセキュリティ状況を確実に判断します。
Aruba ESPの強力なポリシー管理は、ネットワークのIP設計からポリシーを分離することによって得られます。ゲートウェイクラスタにトンネリングされたトラフィックは、ゲートウェイが転送中のトラフィックをどのように処理するかを決定するユーザーロールを使用して、入力時にタグ付けされます。分散ファブリック内のトラフィックには、VXLAN-Group Based Policy(GBP)機能を使用してタグが付けられ、ファブリック内のすべてのフレームに役割IDが割り当てられます。これにより、LAN、WLAN、およびWAN全体で一貫したポリシーが適用されるようになります。
オーバーレイネットワーク
Aruba ESP集中型オーバーレイは、Generic Routing Encapsulation（GRE；総称ルーティングカプセル化）プロトコルを使用して実装されます。これにより、アクセスレイヤスイッチは、ポリシーを強制するために、クライアントトラフィックをゲートウェイクラスタにトンネリングして戻すことができます。
Aruba ESP分散オーバーレイは、エッジスイッチに接続されたエンドポイントにレイヤ2とレイヤ3の両方の仮想化ネットワークサービスを提供するVXLANトンネルを使用して実装されます。VXLANネットワーク識別子(VNI)は、VXLANオーバーレイトポロジ内のレイヤ2およびレイヤ3セグメントを識別するために使用されます。Symmetric Integrated Routing and Bridging(IRB)は、オーバーレイ全体でユビキタスレイヤ2フォワーディングとレイヤ3ルーティングをサポートします。
VXLAN Tunnel End Point（VTEP; VXLANトンネルエンドポイント）は、オーバーレイネットワークを形成するポイントツーポイントトンネルの発信と終端を処理する、エッジスイッチとボーダースイッチ内の機能です。1つの論理VTEPは、冗長スイッチがラックに導入されている場合に実装されます。集約およびコアスイッチは、オーバーレイトンネルのIP転送を提供しますが、VXLANトラフィックのカプセル化/カプセル化解除には関与しません。
接続ホストは、イーサネットリンク層プロトコルを使用してエッジスイッチで学習されます。VXLANファブリックを介したリモート学習は、コントロールプレーンプロトコルとしてMP-BGP(Multiprotocol Border Gateway Protocol)を使用し、ホストIPおよびMACプレフィックスをアドバタイズするためのEVPN(Ethernet Virtual Private Network)アドレスファミリを使用して実現されます。このアプローチにより、フラッディングを最小限に抑えながら、ファブリック内のリモート・ホストを効率的かつ動的に検出できます。
ClearPass
ClearPass Policy Managerは、フル機能を備えたRADIUS、TACACS、ゲスト・ライフサイクル管理、専用ポータル・プラットフォームです。
ClearPassは、ローカルデータベース、ローカルネットワークに接続されているユーザーデータベース、またはクラウドホストのユーザーデータベースに保存されているユーザーおよびデバイスの認証情報にアクセスできます。ClearPassには、さまざまな認証方法を使用して、ユーザー情報のほとんどのソースを照会する機能があります。
ClearPass Policy Managerは、IoT(Internet of Things)、BYOD(Bring Your Own Device)、および企業デバイスに加え、有線、無線、およびVPNインフラストラクチャ全体の従業員、請負業者、および訪問者に、役割およびデバイスベースの安全なネットワークアクセス制御を提供します。ClearPassには、コンテキストベースのポリシーエンジン、RADIUS、TACACS+、OnConnectを使用した非RADIUS強制、デバイスプロファイリング、ポスチャアセスメント、オンボーディング、およびビジターアクセスオプションが組み込まれているため、あらゆる規模の組織のネットワークセキュリティの基盤として他に類を見ません。
ClearPassは、安全なセルフサービス機能もサポートしているため、ネットワークへのアクセスが容易になります。ユーザーは、管理ポリシーの制御に基づいて、エンタープライズ用またはインターネットアクセス用に自分のデバイスを安全に構成できます。Arubaワイヤレスのお客様は、AirGroupやClearPass Auto Sign-On(ASO)などの独自の統合機能を利用できます。ASOは、ユーザーのネットワーク認証をエンタープライズモバイルアプリに自動的に渡し、ユーザーが正しく作業できるようにします。
ClearPass Policy Managerの主な機能
– マルチベンダーネットワーク全体にわたる、役割ベースの統合ネットワークアクセスの適用 – 直感的なポリシー構成テンプレートと可視性トラブルシューティング・ツール – 複数の認証/承認ソース(AD、LDAP、SQL)のサポート
- BYOD用のビルトイン認証局(CA)を使用したセルフサービスデバイスオンボーディング – 広範囲にわたるカスタマイズ、ブランディング、スポンサーベースの承認による訪問者アクセス – 主要なUEMソリューションとの統合により、詳細なデバイス評価が可能
- Aruba 360 Security Exchangeとの包括的な統合。
ClearPassは、あらゆる業界のエンタープライズグレードのアクセスセキュリティのあらゆる側面を一元的に実施する唯一のポリシープラットフォームです。きめ細かいポリシーの適用は、ユーザーの役割、デバイスの種類と役割、認証方法、UEM属性、デバイスの正常性、トラフィックパターン、場所、および時刻に基づいて行われます。拡張性の高い導入により、数万個のデバイスと認証をサポートし、従来のAAAソリューションの機能を上回ります。オプションは、小規模、中規模、大規模の組織、および集中型または分散型環境で利用できます。
ArubaCentral NetConductor
Central NetConductorは、ネットワークおよびセキュリティ・チームに共有ツールボックスを提供し、最適な接続性と適切なレベルの保護を確保します。複数のネットワークオーバーレイにわたって市場をリードするArubaのダイナミックセグメンテーションの機能を拡張し、包括的なゼロトラストとSASEセキュリティを簡単に採用できるようにします。
Aruba Central NetConductorのコンポーネントには、次のものがあります。
Policy Manager
Policy Managerでは、ユーザーとデバイスのグループ、および物理ネットワークに関連づけられたアクセス強制ルールを定義します。ポリシーは、ESPネットワーク内のロールに関連付けられたトラフィックフローに対して許可または拒否されるアクセスを定義する規則のセットです。
グループポリシー識別子(GPID)
GPIDは、インラインポリシーを適用するためにトラフィック内でクライアントポリシー情報を伝送します。これにより、構成とセキュリティのオーバーヘッドが削減され、モビリティとスケーラビリティが向上します。
ファブリックウィザード
Fabric Wizardでは、直感的に操作できるグラフィカルなユーザー・インタフェースを使用してオーバーレイの作成が合理化されるため、仮想コンポーネントの定義方法や、構成命令の生成方法、スイッチとゲートウェイへのプッシュ方法が大幅に合理化されます。
ネットワークインサイト
Network Insightsは、ネットワークの専門知識、人工知能、機械学習を組み合わせて、Wi-Fi、有線、WANの問題を検出、トリアージ、根本原因、解決します。このツールは、クラスベースのサイト比較とベストプラクティスを使用して、ユーザーエクスペリエンス最適化の機会を特定します。
クライアントインサイト
Client Insightsは、機械学習を使用してネットワークとクライアントのテレメトリを使用して、ポリシーの割り当てと実施のために、有線およびWi-Fi接続されたすべてのユーザーとIoTエンドポイントを正確に指紋を作成し、分類します。また、セキュリティを強化するためにトラフィックフローの動作も監視します。
柔軟なネットワークアクセス制御
柔軟なネットワークアクセス制御により、Cloud AuthクラウドネイティブNAC、ClearPass、またはサードパーティのソリューションを使用して、エンティティが正しく識別され、アクセス権限を定義する役割が割り当てられます。
ファブリック対応のArubaスイッチおよびゲートウェイ
Arubaスイッチとゲートウェイは、GPIDに関連して定義されたルーティング命令とアクセス権限に基づいて構成と強制をサポートします。
クラウド認証
Aruba CentralのCloud Authは、シームレスなクラウドベースのオンボーディングとNACソリューションを提供します。IT担当者が限られている中小規模組織では、ワークフローがシンプル化され、Aruba Centralを通じて管理されるロールベースのポリシーが保護されているため、ユーザーとデバイスが適切なネットワークアクセスを持つことができるというメリットがあります。
ロール
“ロール”という用語は、文脈に応じてArubaで異なる意味を持っていました。ネットワークエンジニアにとって、ロールとは多くの場合、ユーザロールを指します。ClearPass管理者にとって、ネットワークエンジニアと同じ意味を持つことも、ClearPassのロールマッピングポリシー内のTIPSロールを参照することもできます。
Aruba Central Global Policy Managerでは、グローバルクライアントの役割を指します。混乱を避けるために、以下に簡単な説明を示します。
ユーザーロール（ゲートウェイ、スイッチ、AP）
ArubaOS 6で導入されたユーザーロールは、ネットワークへの接続が確立されたときにデバイスまたはユーザーに関連付けられる一連の属性です。ユーザの役割は、ファイアウォールポリシー、帯域幅契約、QoSマーキング、およびAP、ゲートウェイ、またはスイッチでのセキュアなアクセスを制御するためのその他の設定可能なパラメータで構成されます。
TIPSロール(ClearPass)
Aruba ClearPass内で、役割マッピングは、ポリシー決定で使用できる限り多くの情報を使用して、サービス内のデバイスとユーザーにタグを付けます。役割マッピングポリシー内で、ユーザーやデバイスをTIPS役割にマッピングできます。これは、ClearPassクラスタ展開内でのみ重要です。このTIPS役割は、（時刻、プロファイル情報、またはMicrosoft Active Directoryセキュリティグループメンバシップなどの属性と共に）強制ポリシーによって、ネットワーククライアントが付与されているアクセスのレベルを決定するために使用されます。その後、この強制ポリシーは、認証クライアントに適用されるユーザーの役割属性をAP、ゲートウェイ、またはスイッチに返します。
グローバルクライアントロール(Aruba Central)
Aruba Central Global Policy Managerでは、役割から役割へのポリシー適用のために構成されたグローバルクライアントの役割を参照します。これらのクライアントの役割をより強力にし、ESPアーキテクチャと一貫性を持たせるために、Aruba Centralからグローバルに管理できます。たとえば、ネットワークに5つのロールがある場合、ロール間ポリシーは、あるロールから別のロールへの権限を定義することによって作成されます。また、これをCentralで1回だけ設定することで、マイクロブランチまたはブリッジモードAP、モビリティゲートウェイ、スイッチなど、関連するすべてのネットワークデバイスに適用されます。セキュリティポリシーの3つの異なる形式を構築する必要はありません。
