MSE ソフトウェア リリース 7.2 仮想アプライアンスの設定および導入ガイド
内容
概要
Cisco Mobility Services Engine（MSE）ソフトウェア リリース 7.2 は、仮想アプライアンスおよび VMware ESXi のサポートを追加します。このドキュメントでは、MSE 仮想アプライアンスを Cisco Unified WLAN に追加するユーザおよびコンテキスト認識サービスや Cisco 適応型ワイヤレス侵入防御システム（wIPS）を実行するユーザに対して、設定と展開のガイドラインを示し、トラブルシューティングのヒントを提供します。 また、このドキュメントは、MSE 仮想アプライアンスのシステム要件について説明し、MSE 仮想アプライアンスの一般的な導入ガイドラインを提供します。このドキュメントでは、MSE および関連コンポーネントの詳細設定は扱いません。この情報は、他のドキュメントでも提供されます。また、関連資料が示されます。
Context Aware モビリティ サービスの設定および設計に関するドキュメントのリストについては、「関連情報」セクションを参照してください。適応型 wIPS の設定もこのドキュメントでは扱いません。
前提条件
要件
このドキュメントに特有の要件はありません。
使用するコンポーネント
このドキュメントの情報は、Cisco 3300 シリーズ モビリティ サービス エンジンに基づくものです。
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。
表記法
ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。
背景説明
この図は、Cisco Mobility Services Engine（MSE）が導入された一般的な Cisco WLAN 環境を示しています。 この環境には、他の有線/ワイヤレス ネットワーク クライアント、RFID タグ、不正なアクセス ポイント（AP）およびクライアントも導入されています。MSE は、ロケーションおよび wIPS の両方でこれらの要素を表示します。MSE ソフトウェア リリース 7.2 よりも前のバージョンでは、物理アプライアンスだけが MSE-3310 および MSE-3350/3355 に制限されていました。
システム要件
MSE ソフトウェア リリース 7.2 仮想アプライアンスは、VMware ESXi 4.1 以降でサポートおよびテストされます。これらのサーバ設定はテスト済みで、ガイドラインとして推奨されます。
-
Cisco Unified Computing System（UCS）C200 M2 ラック マウント サーバ
-
2つのインテル?ジーオン?CPU E5506(2.13GHz)
-
RAM（設定されるレベルに応じて）
-
拡張 RAID コントローラを備えた SAS ドライブ（最低でも 500 GB 以上）
-
-
UCS C210 M2 ラック マウント サーバ
-
2 つの Intel® Xeon® CPU E5640（2.67GHz）
-
RAM（設定されるレベルに応じて）
-
拡張 RAID コントローラを備えた SAS ドライブ（最低でも 500 GB 以上）
-
-
UCS C250 M2 ラック マウント サーバ
-
2 つの Intel® Xeon® CPU E5570（2.93GHz）
-
RAM（設定されるレベルに応じて）
-
拡張 RAID コントローラを備えた SAS ドライブ（最低でも 500 GB 以上）
-
-
UCS C460 M2 ラック マウント サーバ
-
2 つの Intel® Xeon® CPU E7-4830（2.13GHz）
-
RAM（設定されるレベルに応じて）
-
拡張 RAID コントローラを備えた SAS ドライブ（最低でも 500 GB 以上）
-
注： 上記の能力以上の 2 つのクアッドコア プロセッサを使用します。
管理ソフトウェアおよび VMware ライセンス
Cisco MSE ソフトウェア リリース 7.2 仮想アプライアンスは、ESX/ESXi 4.x 以上をサポートします。
ESXi ホストを管理し、仮想アプライアンスを設定および導入するには、vCenter サーバ 4.x を Windows XP または Windows 7 64 ビット マシンにインストールして、vCenter Enterprise ライセンスを取得することを推奨します。また、ESXi ホストが 1 台だけの場合、管理するために vSphere クライアントを使用できます。
リソース要件
リソース要件は、導入するライセンスによって異なります。この表は、仮想アプライアンスを設定できるレベルを示します。
| プライマリ MSE | リソース | サポートされるライセンス（個別） | ||
|---|---|---|---|---|
| 仮想アプライアンス レベル | 合計メモリ | CPU | CAS ライセンス | wIPS ライセンス |
| 低い | 6 G | 0 | 2000 | 2000 |
| 標準 | 11 G | 8 | 18000 | 5000 |
| 高 | 20 G | 16 | 50000 | 10,000 |
注：CASおよびwIPSのライセンスに記載されている推奨制限は、1つのサービスのみが実行されている場合の最大サポート制限です。同じアプライアンスで両方のサービスを実行する場合に、共存制限が適用されます。
ESXi ホストのセットアップ
MSE 仮想アプライアンスを UCS または同様のサーバでセットアップするには、次の手順を実行します。
-
ハード ディスク領域が 500 GB 以上で、高速 SAS ドライブと高度な RAID コントローラを搭載したマシンを推奨します（ESXi 5.0 よりも前のバージョンのデータストアを作成する場合、4 MB 以上のブロック サイズを使用します）。
-
ESXi をインストールします。
-
ESXi 4.1 以降のインストール ディスクを挿入し、ドライブから起動します。
-
複数のドライブがある場合、ブート ドライブとして設定されているドライブに ESXi をインストールします。デフォルトでは、ユーザ名は root で、パスワードは空（パスワードなし）です。
注：インストールに間違ったドライブを選択した場合は、Fedora Live CDを使用して再フォーマットできます。
-
-
IP アドレスを設定します。
イネーブルでアクティブなネットワーク アダプタを選択します。ホストが複数のネットワークに接続されている場合、ネットワーク アダプタが複数ある場合があります。CIMC セットアップ中に同じ IP アドレスを設定できます。起動中に F8 を押して、IP アドレスを設定します。また、デフォルトのパスワードを変更します。
ESXi がセットアップされたら、Windows XP または Windows 7 マシンで、前述の手順で設定した IP アドレスおよびログイン クレデンシャルを使用して、vSphere クライアント経由で ESXi に接続できます。
ESXiホストのライセンスについては、「ESX 4.x、ESXi 4.x、およびvCenter Server 4.xのライセンス 
」を参照してください。
ESXi でデータストアをセットアップする方法については、次の記事を参照してください。
警告： ESXi 4.1 のデータストアを作成する場合は 4 MB 以上のブロック サイズを使用します。
MSE 仮想アプライアンスのインストール
MSE 仮想アプライアンスは、vSphere クライアントを使用して ESXi ホストに導入できる Open Virtual Appliance（OVA）イメージとして分散されます。使用できる OVA バージョンは 2 種類あります。必要なディスク領域が 60GB のデモ イメージ用バージョンと、一般的な本稼働イメージ用のバージョンです。
配布可能な本稼働イメージでは、ESXi ホスト データストアの使用可能ディスク領域が 500 GB 以上必要です。OVA は、vSphere クライアントを介して選択および導入できます。[File] > [Deploy OVF Template] を選択して、テンプレートを導入します。
ネットワーク速度により異なりますが、イメージの導入には数分かかります。導入されたら、仮想マシン（VM）設定を編集してアプライアンスを設定できます。設定する場合、VM の電源を切る必要があります。
MSE 仮想アプライアンス レベルの設定
このセクションの表は、仮想アプライアンスおよび対応するリソース要件で設定できるレベルを示します。アプライアンスには、ハイパースレッド仮想コアではなく、専用コアを割り当てます。これは、ホストの仮想コアが増え、導入するアプライアンスが増えると、パフォーマンスに影響するためです。たとえば、前述の UCS C200 の場合、使用できる物理コアは 8 つですが、ハイパースレッドの場合、仮想コアは 16 です。16 のコアが使用できることは想定しません。負荷時に安定した MSE パフォーマンスを提供するため、8 つのコアを割り当てます。
| プライマリ MSE | リソース | サポートされるライセンス（個別） | サポートされるセカンダリ MSE | ||||
|---|---|---|---|---|---|---|---|
| 仮想アプライアンス レベル | 合計メモリ | CPU | CAS ライセンス | wIPS ライセンス | 仮想アプライアンス | 物理ボックス | |
| 低い | 6 G | 0 | 2000 | 2000 | 低+ | Not Supported | |
| 標準 | 11 G | 8 | 18000 | 5000 | 標準+ | ||
| 高 | 20 G | 16 | 50000 | 10,000 | 高+ | ||
MSE 仮想アプライアンスのセットアップ
仮想アプライアンスが導入および設定されたら、電源を入れます。初めてアプライアンスの電源を入れる場合、デフォルトのログイン クレデンシャルを入力する必要があります。root/password
最初のログイン時、アプライアンスは、MSE ソフトウェアの設定を開始し、Oracle データベースをインストールします。これは、30 ～ 40 分以上かかる一度だけの時間のかかるプロセスです。インストールが完了すると、ログイン プロンプトが再び表示されます。続けてアプライアンスを設定する場合、『Cisco 3355 Mobility Services Engine Getting Started Guide』の「Mobility Services Engine の設定」セクションを参照してください。
ネットワークの設定
デフォルトでは、VM は、ホスト ネットワーク設定を使用します。そのため、VM アダプタを ESXi で設定する必要はありません。ただし、パブリックとプライベートの両方のネットワークがホストに接続され、VM からこれらの両方にアクセスする場合、vShpere クライアントで VM アダプタを設定できます。
vSphere クライアントで、ホストを選択し、[Configuration] タブをクリックして、[Networking] をクリックします。[Virtual Switch] プロパティで物理アダプタを表示できます。
ネットワークを隔離するには、異なるアダプタで個別のスイッチを作成します。必要に応じて、VM アダプタをこれらのネットワークに割り当てます。
ハード ディスク領域の追加
必要な場合、ディスク容量を VM に追加し、パーティションを拡張します。
注： installDrive.shスクリプト（/opt/mse/framework/binディレクトリにあります）は、新しいドライブを検出し、既存のパーティションを変更して、新しいドライブを使用して拡張します。
ディスク容量のパーティションを変更する前に、VM（または少なくとも MSE データ）をバックアップしてください。
ディスク容量を VM に追加するには、VM をシャットダウンし、VM 設定に移動して、ハード ディスクを追加します。
ハード ディスクが追加されたら、VM の電源を入れ、アプライアンスにログインして、installDrive.sh スクリプトを実行します。スクリプトにより、新しく追加されたドライブがマウントされ、パーティションが変更されます。複数のハード ドライブを追加した場合、新しい各ドライブでスクリプトを実行します。
ブロック サイズ
5.0 よりも前のバージョンの ESXi では、ホストのデータストアを 4 MB 以上のブロック サイズにすることを推奨します。4 MB 未満の場合、OVA の導入が失敗する可能性があります。導入が失敗した場合、ブロック サイズを再設定できます。
ブロック サイズを再設定するには、ESX ホストの [Configuration] > [Storage] > [Delete the datastores] に移動し、4 MB 以上のブロック サイズの新しいデータストアにストレージを再び追加します。
VMware ツール
VM で次のエラーが発生したら、vSphere クライアントの VM を右クリックし、[Guest] > [Install/Upgrade VMware Tools] を選択して、VMware ツールをインストールまたはアップグレードします。
Guest OS cannot be shutdown because Vmware tools is not installed or running.
仮想アプライアンスのアップグレード
仮想アプライアンスは、設定すると、物理 MSE ボックスのように扱われます。最新の MSE リリースにアップグレードするたびに、新しい OVA を導入する必要はありません。適切なインストーラ イメージをアプライアンスにダウンロードし、物理アプライアンスの場合と同様に、アップグレードの手順を実行します。
仮想アプライアンスのライセンス
仮想アプライアンスを設定すると、アプライアンスのライセンスのない評価モード（デフォルトで 60 日間）で使用できます。ただし、永久ライセンスを導入する場合やハイ アベイラビリティ（HA）などの機能を使用する場合は、仮想アプライアンス アクティブ化ライセンスを使用して仮想アプライアンスをアクティブにする必要があります。 Unique Device Identifier（UDI）を仮想アプライアンス（アプライアンスで show csludi を実行）または Cisco Prime Network Control System（NCS）の [MSE General Properties] から取得し、この情報を使用して、仮想アプライアンス アクティブ化ライセンスおよび永久サービス ライセンスを購入できます。
この図は、仮想アプライアンスのライセンス センター UI の最新の変更を示しています。
仮想アプライアンスでは、MSE 名の横のメッセージで、アクティブかどうかが明確に示されます。また、制限値を示す 2 つの列があります。[Platform Limit] 列は、このアプライアンスのサービスでサポートされる最大ライセンスを示します（VM へのリソース割り当てにより異なります）。[Installed Limit] 列は、実際にインストールされているライセンス、またはアプライアンスで評価バージョンとして利用できるライセンスを示します。
仮想アプライアンスのハイ アベイラビリティ
HA 機能を使用するには、仮想アプライアンス アクティブ化ライセンスで、プライマリとセカンダリの両方のアプライアンスをアクティブにする必要があります。
ハイ アベイラビリティの設定
NCS のプライマリ MSE で HA 設定をセットアップできます。
セカンダリ MSE のアクティブ化
セカンダリ アプライアンスをアクティブにする必要があります。セカンダリ MSE のアクティブ化ライセンスを要求するには、UDI 情報を使用できます。[HA Configuration] ページで、ライセンスを参照して、[Save] をクリックします。セカンダリ MSE が正常にアクティブにされると、HA がセットアップされます。
セカンダリ MSE の非アクティブ化
セカンダリ MSE からアクティブ化ライセンスを削除する必要がある場合、チェックボックスをクリックし、[Save] をクリックして、セカンダリ MSE を非アクティブにします。
ESXi 5.0 での仮想アプライアンス
ESXi 5.0 では、大規模な VM 環境をサポートするため、ブロック サイズは常に 1 MB です。8 つのコアを仮想アプライアンスに割り当てるには、仮想ハードウェアをアップグレードする必要があります。仮想ハードウェアをアップグレードするには、MSE を選択して、この図に示すように、[Upgrade Virtual Hardware] を選択します。
MSE コンソールでの手順
-
次のクレデンシャルを使用してコンソールにログインします。root/password
MSE では、初期起動時に、セットアップ スクリプトを起動するよう管理者にプロンプトを表示します。
-
このプロンプトで「yes」を入力します。
注：MSEでセットアップのプロンプトが表示されない場合は、次のコマンドを入力します。/opt/mse/setup/setup.sh.
-
ホスト名を設定します。
-
DNS ドメイン名を設定します。
-
プライマリ HA ロールを設定します。
-
イーサネット インターフェイス パラメータの設定：
-
「eth1」インターフェイス パラメータの入力を求められた場合、2 つめの NIC は操作に必要ではないため、Skip と入力して、次の手順に進みます。
注：設定されたアドレスは、このアプライアンスで使用されるパースペクティブWLCおよびWCS管理システムへのIP接続を提供する必要があります。
-
DNS サーバ情報を入力します。正常なドメイン解決に必要な DNS サーバは 1 つだけですが、復元力のためバックアップ サーバを入力します。
-
タイム ゾーンを設定します。UTC（協定世界時）を使用することを推奨します。
デフォルトのタイム ゾーンである New York が環境に適さない場合、ロケーション メニューを参照して、正しいタイム ゾーンを選択します。
-
再起動の日時を求めるプロンプトが表示されたら、Skip と入力します。
-
必要な場合、リモート syslog サーバを設定します。
-
ネットワーク タイム プロトコル（NTP）またはシステム時刻を設定します。
NTP はオプションですが、システムで正確なシステム時間が維持できます。NTP をイネーブルにする場合、システム時刻は、選択した NTP サーバから設定されます。ディセーブルにした場合、現在の日時を求めるプロンプトが表示されます。
-
ログイン バナーを設定するように求めるプロンプトが表示されたら、Skip と入力します。
-
ローカル コンソール ルート ログインをイネーブルにします。
このパラメータは、システムへのローカル コンソール アクセスをイネーブルまたはディセーブルにするために使用します。ローカル トラブルシューティングが発生するように、ローカル コンソール ルート ログインをイネーブルにする必要があります。デフォルト値は Skip です。
-
セキュア シェル（SSH）ルート ログインをイネーブルにします。
このパラメータは、システムへのリモート コンソール アクセスをイネーブルまたはディセーブルにするために使用します。リモート トラブルシューティングが発生するように、SSH ルート ログインをイネーブルにする必要があります。ただし、企業のセキュリティ ポリシーによっては、このオプションをディセーブルにする必要があります。
-
単一のユーザ モードおよびパスワードの強度を設定します。
これらの設定パラメータは必要ありません。デフォルト値は Skip です。
-
ルート パスワードを変更します。
この手順は、システム セキュリティにおいて重要です。必ず、英字と数字で構成され、辞書にある単語を含まない、強力なパスワードを選択してください。パスワードの最小文字数は 8 文字です。デフォルトのクレデンシャルは root/password です。
-
ログインおよびパスワードに関連するパラメータを設定します。
-
ブート パスワード（Grub）パスワードを設定します。(オプション)
この設定パラメータは、必須ではありません。デフォルト値は Skip です。
-
NCS 通信ユーザ名を設定します。
-
設定の変更を適用します。
この図は、完了画面の例を示します。
-
getserverinfo コマンドを実行して、設定を確認します。
NCS への MSE VA の追加
-
NCS にログインして、[Services] > [Mobility Services Engines] を選択します。
-
ページ右側のドロップダウン リストから、[Add Mobility Services Engine] を選択して、[Go] をクリックします。
-
MSE の一意のデバイス名、MSE セットアップで事前に設定した IP アドレス、サポート用の連絡先名を入力します。また、MSE セットアップ時に設定した NCS ユーザ名およびパスワードを入力します。
ユーザ名は、デフォルトの admin から変更しないでください。デフォルト値を使用します。
-
[next] をクリックします。
-
[Licensing] をクリックして、ライセンスを確認します。インストール時では、デフォルトのデモ ライセンスで十分です。[Licensing] ページでは、ライセンスを追加購入または削除できます。
-
[next] をクリックします。
-
[Select Mobility Service] ページで、[Cisco Tag Engine]（7.0MR 以降で使用可能）ラジオ ボタン（クライアントおよび RFID タグ サポート用）をクリックするか、[Partner Tag Engine] オプション ボタン（Aeroscout など用）をクリックします。
-
[Wireless Intrusion Protection Service] チェックボックスをクリックして、モニタ モードおよび拡張ローカル モード機能の wIPS セキュリティ機能をテストします。
-
[next] をクリックします。
-
追跡する要素のチェックボックスおよび履歴レポートで使用する要素の履歴パラメータのチェックボックスをオンにします。
-
[next] をクリックします。
-
既存のビルおよびフロアのチェックボックスをオンにして、[Synchronize] をクリックします。
同期化すると、[Status] 列が更新され、初期ネットワーク設計が同期化されたことが示されます。
-
同期化が完了したら、[Done] をクリックします。
MSE 設定が保存されたことを示すダイアログ ボックスが表示されます。
-
NCS のメイン MSE ページで設定を確認します。
残りのネットワーク設計、コントローラ、有線スイッチ、イベント グループを同期化します。
注：Cisco Context-Awareサービスは、WLC、NCS、およびMSE間の同期クロックに大きく依存します。この 3 つのシステムすべてが同じ NTP サーバを指しており、同じ時間帯設定が設定されていなければ、Context-Aware サービスは正しく機能しません。トラブルシューティング手順を試行する前に、Context-Aware システムのすべてのコンポーネントでシステム クロックが同一であることを確認してください。
-
選択したサービスの MSE およびコントローラ通信を確認します。
MSE が、選択されているサービスの各コントローラだけと通信していることを確認します。ネットワーク モビリティ サービス プロトコル（NMSP）ステータスは active でなければなりません。
この図は、キーハッシュが WLC に追加されていない場合の例を示します。
WLC コンソールで、show auth-list コマンドを使用します。
次に、使用できるロケーション サーバがない場合の WLC コンソールの例を示します。
手動で MSE を追加し、WLC との NMSP 接続を確立するには、次の手順を実行します。
-
MSE コンソールで、cmdshell コマンドを実行して、show server-auth-info コマンドを実行します。
次に、WLC に追加するために使用される MAC アドレスおよびキーハッシュの例を示します。
-
config auth-list add ssc <mac address> <MSE keyhash>コマンドを実行し、次にshow auth-listを実行します。
次に、MSE が WLC に（手動）追加された場合の例を示します。
-
NCS で、NMSP 接続が Active を示していることを確認します。
-
コマンド ラインのリファレンス
WLC コマンド
config location expiry ? client Timeout for clients calibrating-client Timeout for calibrating clients tags Timeout for RFID tags rogue-aps Timeout for Rogue APs
show location ap-detect ? all Display all (client/rfid/rogue-ap/rogue-client) information client Display client information rfid Display rfid information rogue-ap Display rogue-ap information rogue-client Display rogue-client information (Cisco Controller) >show location ap-detect client
show client summary
Number of Clients................................ 7
MAC Address AP Name Status WLAN/Guest-Lan Auth Protocol Port Wired
----------------- ----------------- ------------- -------------- ---- -------- ---- -----
00:0e:9b:a4:7b:7d AP6 Probing N/A No 802.11b 1 No
00:40:96:ad:51:0c AP6 Probing N/A No 802.11b 1 No
(Cisco Controller) >show location summary
Location Summary
Algorithm used: Average
Client
RSSI expiry timeout: 5 sec
Half life: 0 sec
Notify Threshold: 0 db
Calibrating Client
RSSI expiry timeout: 5 sec
Half life: 0 sec
Rogue AP
RSSI expiry timeout: 5 sec
Half life: 0 sec
Notify Threshold: 0 db
RFID Tag
RSSI expiry timeout: 5 sec
Half life: 0 sec
Notify Threshold: 0 db
show rfid config RFID Tag data Collection......................... Enabled RFID timeout.................................... 1200 seconds RFID mobility.................................... Oui:00:14:7e : Vendor:pango State:Disabled
show rfid detail
show location plm Location Path Loss Configuration Calibration Client : Enabled , Radio: Uniband Normal Clients : Disabled , Burst Interval: 60 (Cisco Controller) >config location ? plm Configure Path Loss Measurement (CCX S60) messages algorithm Configures the algorithm used to average RSSI and SNR values notify-threshold Configure the LOCP notification threshold for RSSI measurements rssi-half-life Configures half life when averaging two RSSI readings expiry Configure the timeout for RSSI values
config location expiry client ? <seconds> A value between 5 and 3600 seconds
config location rssi-half-life client ? <seconds> Time in seconds (0,1,2,5,10,20,30,60,90,120,180,300 sec)
show nmsp subscription summary Mobility Services Subscribed: Server IP Services --------- -------- 172.19.32.122 RSSI, Info, Statistics, IDS
MSE コマンド
このコマンドを実行して、MSE サーバのステータスを判別します。
[root@MSE ~]# getserverinfo
このコマンドを実行して、クライアント トラッキング用の Context Aware Engine を起動します。
[root@MSE ~]# /etc/init.d/msed start
このコマンドを実行して、クライアント トラッキング用の Context Aware Engine のステータスを判別します。
[root@MSE ~]# /etc/init.d/msed status
このコマンドを実行して、クライアント トラッキング用の Context Aware Engine を停止します。
[root@MSE ~]# /etc/init.d/msed stop
このコマンドを実行して、診断を実行します。
[root@MSE ~]# rundiag
注： rundiagコマンドは、クライアント用のcontext-aware engineのライセンスファイルを取得するために必要なMSE UDI情報を表示するためにも使用できます。
フィードバック