データセンター共有サービスブロック

データセンターの共有サービスブロックは、メインキャンパスサイトと同じ場所に配置されます。データセンターブロックは、ネットワークおよびユーザーデバイスで使用される重要なサービスを提供します。データセンター内のデバイスには、IPv6 モードの Catalyst Center、Cisco ISE、ワイヤレスコントローラ、DNS、DHCP サーバー、およびその他の IPv4 および IPv6 サーバーが含まれます。

IPv6 は、RADIUS、TACACS+、SNMP、NetFlow、CAPWAP などのネットワークプロトコル通信に推奨されるトランスポートです。ネットワーク プロトコル トラフィックは、グローバルルーティング内の IPv6 トランスポートを介して送信されます。データセンターブロックにはユーザー VRF のサービスも含まれているため、VRF ルーティングテーブルで到達可能である必要があります。この到達可能性は、ファイアウォール上のグローバルと VRF の間でルートリークを実行することによって実現されます。

データセンターの重要なコンポーネントの 1 つに Cisco ISEがあります。これは、認証と許可のために RADIUS および TACACS+ サービスを提供する役割を担います。Cisco ISE 3.3 では、IPv6 ゲストポータルのサポートが統合され、IPv6 ワイヤレスゲストサービスの中央 Web 認証が有効になります。Cisco ISE は、有線およびワイヤレス接続用の Dot1x および MAB 認証サービスを提供します。Cisco ISE は、Cisco TrustSec ドメイン内の SGT 値に基づいてトラフィックを許可または拒否する Cisco TrustSec ポリシーを保存します。

メインキャンパス

メインキャンパスは、コア、ディストリビューション、およびアクセスレイヤの従来の 3 層アーキテクチャで展開されます。このアーキテクチャは、階層型でモジュラ型の、復元力のあるネットワークフレームワークを提供します。

コアスイッチとディストリビューション スイッチは、2 つの物理スイッチを組み合わせて 1 つの論理スイッチを形成する SVL テクノロジーを使用して展開されます。これにより、マルチシャーシ イーサチャネルの作成が容易になり、異なるアクセススイッチ間で VLAN を拡張するときに、スパニングツリーでブロックされたポートが不要になります。さらに、単一の論理スイッチがゲートウェイ機能を処理するため、HSRP などのファーストホップ冗長プロトコルを使用する要件がなくなります。

マクロセグメンテーションを維持するために、マルチ VRF 環境が導入されています。VRF-Lite は、VRF をディストリビューションからコア、ファイアウォール、および Cisco SD-WAN エッジまでホップバイホップで拡張します。

IPv6 グローバルルーティングは、RADIUS、TACACS、SNMP、CAPWAP、NetFlow などのサービスで構成されるネットワークプロトコル通信のバックボーンとして機能します。OSFPv3 は、グローバル ルーティング テーブルおよび VRF ルーティングテーブル内のコアレイヤとディストリビューション レイヤ間で有効になり、その後、コアスイッチ上の BGP に再配布されます。コアスイッチは、グローバルおよび VRF ルーティングで Cisco Firepower との eBGP セッションを確立して、外部ネットワークへの到達可能性を確保します。

ディストリビューション レイヤ スイッチは、ワイヤレスコントローラへのユーザートラフィックと AP トラフィックのゲートウェイサービスを提供します。スイッチ仮想インターフェイス（SVI）は、クライアント IPv6 アドレス割り当てを管理するために、SLAAC のみ、ステートレス DHCPv6、またはステートフル DHCPv6 をサポートするように設定できます。

アクセスレイヤスイッチは、クライアントをネットワークに接続します。アクセスレイヤでは、いくつかの設定が有効になっています。

• Dot1x をグローバルに有効にし、Cisco ISE RADIUS サーバーを指すように Dot1x 認証、ネットワーク許可、およびアカウンティング方式リストを設定します。

• プロファイリングのために Cisco ISE に SNMP トラップ MAC 更新通知を送信します。

• デバイストラッキングを有効にして、ICMPv6 ND に基づいてバインディングテーブルを作成します。これは、Dot1x、MAB、Web 認証、CTS、および特定の IPv6 ファースト ホップ セキュリティ機能などの他の機能で必要です。

• Identity-Based Networking Services（IBNS 2.0）クローズド認証テンプレートをアクセスポートに適用して、Dot1x と MAB 認証へのフォールバックを有効にします。

• ユーザー VLAN で CTS の適用を有効にします。

• IPv6 DHCP ガードや RA ガードなどの IPv6 ファースト ホップ セキュリティ機能を有効にします。

アクセススイッチの設定例については、『 Cisco ISE Secure Wired Access Prescription Deployment Guide』を参照してください。

Cisco Firepower

メインキャンパスサイトの設計では、Cisco Firepower 9300 を使用して IPv6 トラフィックを保護します。この設計により、キャンパス VRF 間のマクロセグメンテーションが可能になり、データセンター内の共有リソースとインターネットへのアクセスが可能になります。BGP は、Cisco SD-WAN エッジルータ、ファイアウォール、およびキャンパスコアスイッチ間のプレフィックス到達可能性の交換を容易にするための優先ルーティングプロトコルです。BGP プロトコルは、BFD、きめ細かいプレフィックス フィルタリング、および最適パス選択に影響を与える BGP 属性による高速コンバージェンスを提供します。BGP は、グローバルルーティングから学習した BGP プレフィックスが VRF にインポートされる Cisco Firepower のグローバルと VRF 間のルートリークを容易にします。

ファイアウォールでのステートフル インスペクションでは、戻りパケットが元のパケットと同じインターフェイスに到着する必要があります。Cisco SD-WAN エッジに接続された 2 つの外部ファイアウォール インターフェイスがあるため、別のインターフェイスに着信する戻りパケットはファイアウォールによってドロップされます。冗長ファイアウォールリンクを使用するために、ECMP ゾーンが展開され、複数のインターフェイス間でのトラフィックの ECMP ルーティングとロードバランシングが可能になります。このソリューションテストでは、Cisco SD-WAN エッジに接続された 2 つの外部ファイアウォール インターフェイスを ECMP ゾーンに配置します。さらに、eBGP マルチパスは、宛先への 2 つの等コストパスを有効にするために、Firepower BGP の設定で 2 に設定されます。

ルーティングポリシーの観点からは、ファイアウォールのデフォルトルートが Cisco SD-WAN エッジにアドバタイズされないようにブロックして、メインキャンパスサイトがリモートブランチサイトからのインターネットトラフィックのトランジットネットワークにならないようにすることが重要です。ただし、メインサイトがブランチサイトへのバックアップインターネット接続を提供している場合、デフォルトルートはブロックされません。代わりに、より高いメトリックでアドバタイズされます。

ファイアウォールのもう 1 つの機能は、ネットワークアドレス変換サービスを実行することです。NAT44 を展開して、IPv4 プライベートホストがパブリック IPv4 インターネットと通信できるようにすることができます。NAT64 を展開して、IPv6 専用ホストがデータセンターおよびインターネット内の IPv4 サーバーにアクセスできるようにすることができます。

Cisco Firepower は、IPv4 または IPv6 インターネットから接続する Cisco Secure Client のリモートアクセスサーバーとして設定されます。Cisco Secure Client をサポートするには、ファイアウォールの外部のインターフェイスをグローバル仮想ルータに配置する必要があります。認証と許可が成功すると、Cisco Secure Client は仮想アダプタで IPv6 アドレスを取得し、Cisco Firepower の背後にある IPv6 リソースにアクセスできます。Cisco Secure Client がファイアウォール上の VRF の背後にあるリソースにアクセスするために、グローバルと VRF 間のスタティックルートリークは、IPv6 クライアント プール プレフィックスに対して実行されます。

ワイヤレス ネットワーク

Catalyst 9800 ワイヤレスコントローラはデータセンターに存在し、IPv6 トランスポートを使用してメインキャンパスとブランチサイトの AP を管理します。このソリューションでは、AP は DHCPv6 を介して IPv6 アドレスを取得します。DHCPv6 オプション 53 から、AP はワイヤレスコントローラの IPv6 アドレスを学習して CAPWAP トンネルを確立します。AP は、メインキャンパスとブランチサイトのエンタープライズユーザーとゲストユーザーに WLAN サービスを提供します。

コントロールプレーンとデータプレーンの統合

ファイアウォールはキャンパスコアスイッチと Cisco SD-WAN エッジの間に論理的に配置され、キャンパス VRF を Cisco SD-WAN VPN に接続し、異なるサイト間で同じ VRF 通信を可能にします。この場所で、ファイアウォールはセキュリティポリシーを適用して、Cisco SD-WAN 間の異なるサイトにある同じ VRF ホスト間のトラフィックを許可または拒否できます。また、データセンターおよびインターネットの共有サービスネットワークに向かうトラフィックも保護します。

Cisco Firepower デバイスは、個別のルーティングテーブルを維持するための仮想ルータの使用をサポートしています。デフォルトでは、グローバル仮想ルータはグローバル ルーティング テーブルを使用してトラフィックをルーティングします。グローバル仮想ルータは、RADIUS や CAPWAP などのネットワークデバイス通信トラフィックを転送するために使用されます。ユーザー定義の仮想ルータは、キャンパス VRF および Cisco SD-WAN サービス VPN に接続して、ユーザートラフィックを伝送します。

キャンパス VRF と Cisco SD-WAN サービス VPN の間に 1 対 1 のマッピングを作成するために、1 つのファイアウォール仮想ルータのサブインターフェイスがコアスイッチの VRF インターフェイスに接続されます。別のファイアウォール仮想ルータのサブインターフェイスは、Cisco SD-WAN エッジのサービス側インターフェイスに接続します。ファイアウォール仮想ルータは、キャンパスコアスイッチと Cisco SD-WAN エッジへの BGP ピアリングセッションを確立して、キャンパス VRF と Cisco SD-WAN サービス VPN の間でルートを交換します。Cisco SD-WAN エッジは、サービス VPN の BGP から OMP への相互ルート再配布を実行し、Cisco SD-WAN ファブリックでプレフィックス到達可能性情報を受信して伝達します。このセットアップでは、サイト間でエンドツーエンドのコントロールプレーンとデータプレーンの統合が維持されます。

ポリシープレーンの統合

Cisco TrustSec ドメインをメインキャンパスからブランチサイトに拡張するために、Cisco SD-WAN エッジ、ファイアウォール、コア、ディストリビューション、およびアクセススイッチ間のインターフェイスで SGT インラインタギングが有効にされます。SGT インラインタギングが有効になると、インターフェイスは CMD ヘッダーを含む Cisco Ethertype 0x8908 フレーム形式をサポートします。さらに、SGT の伝達が Cisco SD-WAN トンネルインターフェイスで有効になります。SGT は、メインサイトのアクセススイッチによってイーサネットヘッダーの CMD フィールドに配置され、ホップバイホップでファイアウォールに送信されます。ファイアウォールから Cisco SD-WAN エッジにフレームが送信され、SGT がイーサネット CMD フィールドから IPsec CMD フィールドにコピーされ、Cisco SD-WAN ファブリック全体に伝送されます。受信側のブランチの Cisco SD-WAN エッジでは、SGT が IPsec CMD フィールドからイーサネット CMD フィールドに転送されます。このイーサネットフレームはコアスイッチに送信され、リモートサイトのアクセススイッチに転送され、そこでイーグレスポリシーの適用が実行されます。このセットアップでは、サイト間でエンドツーエンドのポリシープレーンの統合が維持されます。

Cisco SD-WAN 全体のグローバルおよび VRF ルーティング

Catalyst Center は、メインキャンパスサイトと同じ場所にあるデータセンターにあります。デバイスの検出、ソフトウェア管理、およびアシュアランスのために、Catalyst Center と Cisco SD-WAN 間のリモートサイトにあるスイッチ間の通信が必要です。データセンターのワイヤレスコントローラでは、CAPWAPv6 トンネルを形成するために、リモート ブランチ ロケーションの AP への到達可能性が必要です。Cisco ISE も AAA サービスを提供するためにネットワーク アクセス デバイスに到達する必要があります。この目的のために、専用のサービス VPN（つまり、VPN 10）を使用して、Cisco SD-WAN ファブリック全体のグローバルルーティングを有効にします。ファイアウォールグローバル仮想ルータインターフェイスは、この Cisco SD-WAN サービス VPN インターフェイスに接続して、Cisco SD-WAN を介した共有サービスデバイスとリモート ブランチ ネットワーク デバイス間の通信を可能にします。別のファイアウォールグローバル仮想ルータ インターフェイスは、メインサイトのコア スイッチ グローバル インターフェイスに接続して、メインサイトのスイッチと AP への到達可能性を有効にします。

キャンパス VRF は、ユーザートラフィックを伝送するために他の VPN にマッピングされます。次の図は、VPN 1 が Campus VRF User1 にマッピングされ、VPN 2 が Campus VRF User2 にマッピングされ、VPN 10 がグローバルルーティングにマッピングされていることを示しています。

ブランチサイトの設計では、Cisco Firepower をインターネット ファイアウォールとして厳密に展開します。コラスプトコアは 2 つの Cisco SD-WAN エッジに接続し、メインキャンパスサイト、ブランチサイト、およびデータセンターの共有サービスブロックへの通信を可能にします。

コラスプトコアは、アクセスレイヤにゲートウェイサービスを提供します。VRF インターフェイスは、ファイアウォール（内部）サブインターフェイスに接続します。eBGP ピアリングは、ファイアウォールとコアスイッチの VRF インターフェイスの間で形成されます。キャンパス VRF は、インターネットへの VRF アクセスを許可するために、デフォルトの IPv4 および IPv6 ルートを受信します。コラプストコアには、対応する Cisco SD-WAN エッジサービス側インターフェイスに接続する VRF インターフェイスもあります。Cisco SD-WAN エッジとの eBGP ピアリングを形成して、ローカル VRF ルートをアドバタイズし、同じ VRF 内のリモートネットワークとデータセンター内の共有サービスネットワークへの特定のルートを受信します。ブランチサイトが他のサイトからのインターネットトラフィックのトランジットサイトになるのを防ぐために、コラスプトコアは Cisco SD-WAN エッジへの BGP デフォルトルートをフィルタリングします。

すべての VRF ルートはファイアウォールのグローバル ルーティング テーブルに集まり、各 VRF にはインターネット ファイアウォールへのデフォルトルートがあるため、異なる VRF 間でトラフィックをルーティングできます。VRF 間トラフィックが必要な場合を除き、異なる VRF 間のトラフィックを拒否するようにアクセスポリシーを設定する必要があります。

データセンター共有サービスのワイヤレスコントローラは、ブランチ AP を管理します。AP は FlexConnect モードで配置され、エンタープライズおよびゲスト WLAN に中央およびローカルのスイッチングオプションを提供します。

小規模ブランチサイトでは、コラスプトコアのスイッチモデルも展開します。インターネットにアクセスするために専用のファイアウォールを通過する代わりに、NAT、NAT64、および NAT66 を使用した Cisco SD-WAN のダイレクト インターネット アクセス機能を使用します。IPv6 を介した TLOC Extension は、各 Cisco SD-WAN エッジが 1 つの WAN トランスポートのみに接続する場合に WAN トランスポートの冗長性を可能にするために、Cisco SD-WAN エッジ間に展開されます。Cisco SD-WAN ゾーンベースのファイアウォールと侵入防御システム（FIPS）は、セキュリティを提供するためにブランチサイトに展開されます。

デバイス CLI または CLI アドオンテンプレートを使用して、Cisco SD-WAN エッジの ipv6 unicast-routing を有効にします。

トランスポート VPN0 WAN インターフェイスでデュアルスタックが設定されている場合、制御接続とデータ接続の両方で IPv6 よりも IPv4 が優先されます。17.10/20.10 以降のリリースでは、Cisco SD-WAN コントローラと Cisco SD-WAN エッジは、IPv6 Strict Control 機能を使用して制御接続を形成するために、IPv4 アドレスよりも IPv6 アドレスを優先するように設定できます。IPv6 Strict Control が有効になっている場合、デュアルスタック Cisco SD-WAN エッジ間のデータプレーンは IPv6 トランスポートを介して確立されます。

Cisco SD-WAN エッジでは、デバイスの CLI か CLI アドオンテンプレートを使用して IPv6 Strict Control を有効にします。

ディストリビューション スイッチは、AP トラフィックの SVI ゲートウェイです。このソリューションは、スイッチ上の DHCPv6 サーバーを利用して、ワイヤレスコントローラの IPv6 アドレスを識別するために AP に DHCPv6 オプション 52 を提供します。次に、ディストリビューション スイッチでの DHCPv6 サーバー設定の例を示します。

ipv6 dhcp pool vlan1021-ap-ipv6
 address prefix 2001:db8:61:51::/64 lifetime infinite infinite
 dns-server 2001:db8:160::161
 capwap-ac address 2001:db8:150::11 

interface Vlan1021
 description SD1_AP_NET
 no ip address
 ipv6 address 2001:db8:61:51::1/64
 ipv6 mtu 1500
 ipv6 dhcp server vlan1021-ap-ipv6 
 ospfv3 1 ipv6 area 0 

このソリューションでは、RADIUS などのネットワークプロトコルに IPv6 トランスポートを使用します。Cisco ISE 3.3 では、IPv6 RADIUS を介した Cisco TrustSec SGACL および ENV-Data のダウンロードはサポートされていません。回避策として、このソリューションでは、Cisco ISE 上の TrustSec HTTP REST サーバーを利用して、Cisco TrustSec ポリシーの変更と環境データを REST を介してネットワークデバイスに伝達します。環境データと SGACL リストのタイマーが 1 日から 5 分に短縮され、リフレッシュレートが増加します。ネットワーク アクセス デバイスでは、すぐにポリシーを変更する必要がある場合、cts refresh policy を実行して手動でポリシーを更新できます。

REST を介した Cisco TrustSec の詳細については、Cisco ISE 用の『TrustSec HTTPS Servers』および Catalyst switch 用の『SGACL and Environment Data Download over REST』を参照してください。

NAT64 は Cisco Firepower で設定され、DNS64 サーバーと連携して、インターネット上やデータセンターの共有サービスブロック内の IPv4 サーバーへの到達可能性を IPv6 専用クライアントに提供します。IPv6 専用クライアントは、Web サイトの AAAA DNS クエリを DNS64 サーバーに送信します。DNS64 サーバーは、Web サイトの A レコードの IPv4 アドレスから派生した合成 AAAA DNS 応答を返します。DNS64 IPv6 プレフィックスは Cisco Firepower で設定された NAT64 IPv6 プレフィックスと一致するため、AAAA DNS 応答の IPv6 アドレスへのクライアント要求はファイアウォールで適切に変換されます。Cisco Firepower での NAT64 の設定については、「 Configure NAT 64 on Secure Firewall Managed by FMC」を参照してください。

複数のインターフェイスを 1 つの ECMP ゾーンに割り当てると、インターフェイス間での ECMP ルーティングとロードバランシングが可能になります。

次の ECMP 設定では、Outside-1 インターフェイスと Outside-2 インターフェイスの両方が Outside-ECMP ゾーンに割り当てられます。

ECMP には等コストパスが必要です。BGP 設定でパスの数を 2 に設定して、ルーティングテーブルに 2 つの等コストルートをインストールするように BGP を設定します。

コラスプトコアスイッチの VRF は、インターネット ファイアウォールからデフォルトルートを受信します。ブランチサイトがリモートサイトからのインターネットトラフィックのトランジットネットワークにならないようにするには、それらのデフォルトルートをフィルタリングして、Cisco SD-WAN エッジにアドバタイズされないようにします。次の例では、コラスプトコアスイッチは、Cisco SD-WAN エッジの BGP ネイバーに向かう他のプレフィックスをすべて許可しながら、IPv6 デフォルトルートを拒否するフィルタを適用します。

ipv6 prefix-list no-ipv6-default-route seq 5 deny ::/0
ipv6 prefix-list no-ipv6-default-route seq 10 permit ::/0 le 128

router bgp 61002
 address-family ipv6 vrf USER1
  neighbor 2001:db8:0:201::12 remote-as 61021
  neighbor 2002:db8:0:201::12 update-source Vlan3002
  neighbor 2001:db8:0:201::12 fall-over bfd
  neighbor 2001:db8:0:201::12 activate
  neighbor 2001:db8:0:201::12 weight 65535
  neighbor 2001:db8:0:201::12 prefix-list no-ipv6-default-route out

このソリューションでは、IPv6 マルチキャストには以下の制限事項があります。

• Cisco SD WAN 20.12 は IPv6 マルチキャストをサポートしていません。

• IPv6 マルチキャストは、Cisco Firepower ではサポートされていません。

• IPv6 ワイヤレスマルチキャストでは、Catalyst 9800 ワイヤレスコントローラ がマルチキャスト オーバー マルチキャスト（MOM）モードで設定されている必要があります。MOM モードは、マルチキャストトラフィックの複製をネットワークに依存します。ワイヤレスコントローラはマルチキャストサーバーであり、すべての AP はマルチキャストグループに参加する受信機です。IPv6 マルチキャストは Cisco SD-WAN 経由でサポートされていないため、CAPWAP v6 マルチキャストトラフィックは Cisco SD-WAN 経由で AP に到達できません。