トラフィック ステアリング ポリシーの設定

トラフィックス テアリング ポリシーの概要

トラフィック ステアリング ポリシーは、セキュリティサービスの挿入（SSI）のためにネットワーク内のファイアウォールに送信されるトラフィックを決定します。

これらのポリシーには、次のものが含まれます。

  • セキュリティグループ（送信元および宛先セキュリティグループ）

  • ファイアウォール

  • トラフィック ステアリング コントラクト

概要ウィンドウ

トラフィック ステアリング ポリシー の [概要（Overview）] ウィンドウには、セキュリティサービスの挿入設定の概要が表示されます。

メインメニューから次を選択します。 [概要（Overview）] ウィンドウを表示するには、[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]を選択します 。

次の表に、セキュリティサービスの挿入ステータスに基づいて、このウィンドウのコンポーネントに関する情報を示します。

セキュリティサービスの挿入のステータス

結果

無効

このウィンドウには、セキュリティサービスの挿入を有効にするための [サービスの挿入の有効化（Enable Service Insertion）] オプションが表示されます。

詳細については、サービス挿入サイトの有効化を参照してください。

enabled

このウィンドウには、次のエリアが表示されます。

  • [概要（Summary）]：次の項目の総数を表示します。

    • サービス挿入サイト

    • ポリシー

    • トラフィック ステアリング コントラクト

  • [設定別の統計（Statistics by configuration）]：次の情報を表示します。

    • 上位 5 つのファイアウォール IP アドレス

    • 上位 5 つのトラフィック ステアリング コントラクト

    • 上位 5 つのノード

トラフィック ステアリング ポリシー

サービス挿入サイトの場合、[トラフィックステアリングポリシー（Traffic steering policies）] タブには、ステアリングポリシーの詳細がマトリックスビューとリストビューで表示されます。

マトリックスビュー

右上隅にある マトリックスビューアイコン アイコンをクリックすると、マトリックスビューが開きます。マトリックスビューには、すべてのセキュリティグループのポリシーすべてに関する概要が表示されます。

マトリックスビューには、次の 2 つの軸があります。

  • 送信元軸：垂直軸にはすべての送信元セキュリティグループがリストされます。

  • 宛先軸：水平軸にはすべての宛先セキュリティグループがリストされます。

マトリックスの各セルには、対応する送信元および宛先セキュリティグループに設定されているポリシーのタイプに基づいた色が表示されます。

  • トラフィック ステアリング ポリシー

  • グループベースポリシー

  • トラフィック ステアリング ポリシーとグループベースポリシーの両方

  • ポリシーなし

  • 適用されないポリシー

凡例を表示する情報アイコン アイコンをクリックすると、凡例が表示されます。

トラフィック ステアリング ポリシーが設定されている送信元と宛先のセキュリティグループのペアについては、対応するセルをクリックしてトラフィック ステアリング ポリシーの詳細を表示し、編集できます。トラフィック ステアリング ポリシーが設定されていない送信元と宛先のセキュリティグループのペアについては、対応するセルをクリックしてポリシーを作成できます。

このビューでは、トラフィック ステアリング ポリシーを作成して展開することもできます。

リストビュー

右上隅にある リストビューアイコン アイコンをクリックすると、リストビューが開きます。リストビューには、使用可能なすべてのトラフィック ステアリング ポリシーのリストが表示されます。

このビューでは、トラフィック ステアリング ポリシーの作成、編集、表示、削除、展開が可能です。

Day 0 におけるトラフィック ステアリング ポリシーの作成

この手順を使用して、デイゼロでトラフィック ステアリング ポリシーを作成します。

手順

ステップ 1

メインメニューから次を選択します。[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]の順に選択します。

ステップ 2

[トラフィック ステアリング ポリシー（Traffic steering policies）] タブをクリックします。

ステップ 3

[サービスの挿入の有効化（Enable Service Insertion）] をクリックして、サービスの挿入を有効にし、ワークフローの中でトラフィック ステアリング ポリシーを作成します。

サービスの挿入の有効化については、「サービス挿入サイトの有効化」を参照してください。

Day N におけるトラフィック ステアリング ポリシーの作成

次の手順を使用して、Day n にトラフィック ステアリング ポリシーを作成します。

トラフィック ステアリング ポリシーを作成すると、Catalyst Center は対応するミラーポリシーを自動的に作成してトラフィックを反転します。

始める前に

手順

ステップ 1

メインメニューから次を選択します。[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]の順に選択します。

ステップ 2

[トラフィック ステアリング ポリシー（Traffic steering policies）] タブをクリックします。

ステップ 3

[ファブリックサイト（Fabric site）] ドロップダウンリストからファブリックサイトを選択します。

ステップ 4

[ポリシーの作成（Create Policy）] をクリックします。

ステップ 5

ドロップダウンリストから、 を選択します。

  • 送信元セキュリティグループ

  • 宛先セキュリティグループ

  • トラフィック ステアリング コントラクト


（注）  

送信元と宛先のセキュリティグループは異なる必要があります。

ステップ 6

[VNの選択（Select a VN）] ドロップダウンリストから、仮想ネットワークを選択します。

仮想ネットワークを選択すると、Catalyst Center は対応するファイアウォール名を表示します。

ステップ 7

（任意） [+] アイコンをクリックして、別の仮想ネットワークとファイアウォールを追加します。

ステップ 8

[プロビジョニングのスケジュール（Schedule provisioning）] で、スケジュールを選択します。

  1. [タスク名（Task Name）] フィールドにプロビジョニングタスクの名前を入力します。

  2. [プロビジョニングのスケジュール（Schedule provisioning）] で、ポリシーを Cisco ISE にプッシュするスケジュールを選択します。

    クリックする対象

    目的

    [Now]

    設定をすぐに展開します。

    後で追加

    展開する日付と時刻をスケジュールし、タイムゾーンを定義します。

ステップ 9

[Save] をクリックします。

次のタスク

デバイスにポリシーを展開します。詳細については、トラフィック ステアリング ポリシーの展開を参照してください。

トラフィック ステアリング ポリシーの編集

次の手順を実行して、トラフィック ステアリング ポリシーを編集します。

トラフィック ステアリング ポリシーを編集すると、Catalyst Center は対応するミラーポリシーを自動的に更新します。Catalyst Center はミラーポリシーを使用してトラフィックをリバースします。

手順

ステップ 1

メインメニューから次を選択します。[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]の順に選択します。

ステップ 2

[トラフィック ステアリング ポリシー（Traffic steering policies）] タブをクリックします。

ステップ 3

[ファブリックサイト（Fabric site）] ドロップダウンリストからファブリックサイトを選択します。

ステップ 4

リストビュー（リストビューアイコン）で、編集するトラフィック ステアリング ポリシーの横にあるチェックボックスをオンにします。

ステップ 5

[Actions] にカーソルを合わせて [Edit] を選択します。

ステップ 6

[ポリシーの編集（Edit policy）] スライドインペイン で、必要な設定を編集します。

詳細については、Day N におけるトラフィック ステアリング ポリシーの作成を参照してください。

ステップ 7

[プロビジョニングのスケジュール（Schedule provisioning）] で、スケジュールを選択します。

  1. [タスク名（Task Name）] フィールドにプロビジョニングタスクの名前を入力します。

  2. [プロビジョニングのスケジュール（Schedule provisioning）] で、ポリシーを Cisco ISE にプッシュするスケジュールを選択します。

    クリックする対象

    目的

    [Now]

    設定をすぐに展開します。

    後で追加

    展開する日付と時刻をスケジュールし、タイムゾーンを定義します。

ステップ 8

[Save] をクリックします。

次のタスク

デバイスにポリシーを展開します。詳細については、トラフィック ステアリング ポリシーの展開を参照してください。

トラフィック ステアリング ポリシーの削除

トラフィック ステアリング ポリシーを削除するには、次の手順を実行します。

トラフィック ステアリング ポリシーを削除すると、Catalyst Center は対応するミラーポリシーを自動的に削除します。

手順

ステップ 1

メインメニューから次を選択します。[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]の順に選択します。

ステップ 2

[トラフィック ステアリング ポリシー（Traffic steering policies）] タブをクリックします。

ステップ 3

[ファブリックサイト（Fabric site）] ドロップダウンリストからファブリックサイトを選択します。

ステップ 4

リストビュー （リストビューアイコン）で、削除するトラフィック ステアリング ポリシーの横にあるチェックボックスをオンにします。

ステップ 5

[Actions] にカーソルを合わせて [Delete] を選択します。

ステップ 6

ダイアログボックスで、[削除（Delete）] をクリックします。

次のタスク

デバイスに更新を展開します。詳細については、トラフィック ステアリング ポリシーの展開を参照してください。

トラフィック ステアリング ポリシーの展開

トラフィック ステアリング ポリシーを作成、編集、または削除した後、サービス挿入サイトに関連付けられたデバイスにトラフィック ステアリング ポリシーを展開するには、この手順を使用します。

手順

ステップ 1

メインメニューから次を選択します。[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]の順に選択します。

ステップ 2

[トラフィック ステアリング ポリシー（Traffic steering policies）] タブをクリックします。

ステップ 3

[ファブリックサイト（Fabric site）] ドロップダウンリストからファブリックサイトを選択します。

ステップ 4

[Deploy] をクリックします。

ステップ 5

[展開のスケジュール（Schedule deployment）] スライドインペイン で、展開をスケジュールします。

  1. [タスク名（Task Name）] フィールドにタスクの名前を入力します。

  2. 展開をスケジュールするために必要なオプションを選択します。

    オプション

    説明

    [Now]

    設定をすぐに展開します。

    後で追加

    日時をスケジュールし、設定を展開するタイムゾーンを定義します。

  3. [Deploy] をクリックします。

トラフィック ステアリング コントラクト

トラフィック ステアリング コントラクトは、特定のネットワークトラフィックが次のものと一致する場合、そのトラフィックを送信元セキュリティグループから接続先セキュリティグループにリダイレクトする一連のルールを定義します。

  • ネットワーク アプリケーション

  • トランスポートプロトコル

  • 送信元および宛先ポート

トラフィック ステアリング コントラクトの作成

この手順を使用して、トラフィック ステアリング コントラクトを作成し、トラフィックをリダイレクトします。

Catalyst Center は、グローバルレベルで契約を作成し、どのサイトにも割り当てません。

手順

ステップ 1

メインメニューから次を選択します。[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]の順に選択します。

ステップ 2

[トラフィック ステアリング コントラクト（Traffic steering contracts）] タブをクリックします。

ステップ 3

[ステアリングコントラクトの作成（Create steering contract）] をクリックします。

ステップ 4

[ステアリングコントラクトの作成（Create a steering contract）] スライドインペイン の [ステアリングコントラクト名（Steering contract name）] フィールドに、ステアリングコントラクトの名前を入力します。

ステップ 5

（任意） [Description] フィールドに、説明を入力します

ステップ 6

[ルールの追加（Add Rule）] をクリックしてルールを追加し、次の設定を完了します。

  1. [Application] で、ルールを適用するアプリケーションを選択します。

    1. 鉛筆アイコンをクリックします。

    2. [Choose Application] ダイアログボックスで、必要なアプリケーションを選択します。

    3. [確認（Confirm）] をクリックします。

    選択内容

    結果

    advanced

    • [トランスポートプロトコル（Transport Protocol）] で、ドロップダウンリストからルールのトランスポートプロトコルを選択します。

    • [送信元ポート（Source port）] と [接続先ポート（Destination port）] で、ルールに対応するポート番号を入力します。

      値の範囲は 1 ～ 65535 です。

    その他のアプリケーション

    選択したアプリケーションに基づいて、Catalyst Center には対応するポートとトランスポートプロトコルが自動的に表示されます。

  2. [ログの有効化（Enable logs）] トグルを使用して、任意の通信フィルタルール（デフォルトアクションを含む）のロギングを有効または無効にします。

    ロギングはデフォルトでは無効になっています。ロギングが有効になっている場合、ルールがトリガーされると、デバイスは syslog メッセージを送信します。

    ロギングは、ポリシーの障害対応と初期化テストに役立ちます。ただし、デバイスのリソースとパフォーマンスに影響を与える可能性があるため、慎重に使用することを推奨します。

ステップ 7

（任意） 次の設定を完了します。

実行する操作

結果

別のルールの作成

次のいずれかのオプションを使用します。

  • ステップ 6 を繰り返す、または

  • [アクション（Actions）] で、対応する [+] アイコンをクリックし、6.a と 6.b を繰り返します。

ルールのシーケンスの更新。

ルールは、[ルール（Rules）] テーブルにリストされている順にチェックされます。シーケンスを更新するには、次の手順を実行します。

  1. 対応する ルールのシーケンスを変更するためのハンドルアイコン アイコンをクリックします。

  2. 必要な位置にルールをドラッグアンドドロップします。

複数のルールのログの有効化。

  1. 必要なルールの横にあるチェックボックスをオンにします。

  2. [ログを有効化（Enable Logs）] をクリックします。

ルールの削除

  1. 削除するルールの横にあるチェックボックスをオンにし、[削除（Delete）] をクリックします。

  2. [Actions] で、削除するルールに対応する削除アイコン（[Delete] アイコン）をクリックします。

ステップ 8

[Save] をクリックします。

Catalyst Center は、トラフィック ステアリング コントラクトを保存しているときに、重複するルールを検出し、自動的に統合します。

トラフィック ステアリング コントラクトの編集または複製

次の手順を実行して、トラフィック ステアリング コントラクトを編集または複製します。

手順

ステップ 1

メインメニューから次を選択します。[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]の順に選択します。

ステップ 2

[トラフィック ステアリング コントラクト（Traffic steering contracts）] タブをクリックします。

ステップ 3

編集または複製する契約の横にあるチェックボックスをオンにします。

ステップ 4

必要なオプションを選択します。

実行する操作

結果

ステアリング契約の編集

[その他のアクション（More Actions）] にカーソルを合わせて [編集（Edit）] を選択します。

ステアリング契約の複製

[その他のアクション（More Actions）] にカーソルを合わせ、[複製（Duplicate）]を選択します。

ステップ 5

必要な設定を編集します。

詳細については、トラフィック ステアリング コントラクトの作成を参照してください。

ステップ 6

[Save] をクリックします。

トラフィック ステアリング コントラクトの削除

トラフィック ステアリング コントラクトを削除するには、次の手順を実行します。

手順

ステップ 1

メインメニューから次を選択します。[ポリシー（Policy）] > [トラフィック ステアリング ポリシー（Traffic Steering Policy）]の順に選択します。

ステップ 2

[トラフィック ステアリング コントラクト（Traffic steering contracts）] タブをクリックします。

ステップ 3

削除する契約の横にあるチェックボックスをオンにします。

ステップ 4

[その他の操作（More Actions）] にカーソルを合わせて [削除（Delete）] を選択します。

ステップ 5

警告ダイアログボックスで、[Yes] をクリックします。