複数のサイトを管理している場合は、Cisco Nexus Dashboard Orchestrator の [サイト (Sites)] 画面にすべてのサイトを表示する必要があります。Cisco Nexus Dashboard Orchestrator は、サイトがオンプレミスであるか、Cisco Cloud Network Controller サイトであるかを自動的に検出します。

[ファブリック接続インフラ (Fabric Connectivity Infra)] ページが表示されます。

クラウド サイト領域のほとんどすべての情報は自動的に入力され、次のステップで説明する [BGP パスワード (BGP Password)] フィールドを除き、変更できません。

• オンプレミス サイトとクラウド サイトの間でパスワードを設定しない場合は、ステップ 4に進みます。

• オンプレミス サイトとクラウド サイト間でパスワードを設定するには、次のようにします。

画面の右上にある [展開 (Deploy)] ボタンをクリックすると、次のスクロールダウンメニューオプションが表示されます。

• [展開のみ (Deploy Only):] マルチクラウド (クラウドサイトからクラウドサイト) への接続を設定する場合は、このオプションを選択します。

  このオプションは、クラウド サイトと Cisco Cloud Network Controller サイトに設定をプッシュし、クラウド サイト間のエンドツーエンド インターコネクト接続を有効にします。

• [展開 & IPN デバイス設定ファイルをダウンロード:（Deploy & Download IPN Device config files:）] オンプレミスの APIC サイトと Cisco Cloud Network Controller サイトの両方に設定をプッシュし、オンプレミスとクラウド サイト間のエンドツーエンド インターコネクト接続を有効にします。さらに、このオプションでは、Azure に導入された Cisco Cloud Router（CCR）とオンプレミスの IPsec 終端デバイスとの間の接続を有効にするための設定情報を含む zip ファイルをダウンロードします。すべてまたは一部の設定ファイルのどちらをダウンロードするかを選択できるようにするための、フォローアップ画面が表示されます。

• [IPN デバイス設定ファイルのみをダウンロード (Download IPN Device config files only):] Azure に展開された CCR とオンプレミスの IPsec 終端デバイス間の接続を有効にするために使用する、設定情報を含む zip ファイルをダウンロードします。すべてまたは一部の設定ファイルのどちらをダウンロードするかを選択できるようにするための、フォローアップ画面が表示されます。

• サイト間インフラストラクチャの設定で示されている手順の一部として Cisco Nexus Dashboard Orchestratorで、IPN デバイス設定ファイルを展開してダウンロードするか、IPN デバイス設定ファイルのみをダウンロードするように選択した場合、ISN デバイスの設定ファイルが含まれている zip ファイルを見つけます。

• Azure に展開された CCR とオンプレミスの IPsec 端末デバイスとの間の接続を有効にするために必要な情報を手動で検索する場合は、Cisco Cloud Network Controller インストール ガイドの付録で説明されているように、CSR とテナントの情報を収集します。

Cisco Nexus Dashboard Orchestrator を使用して、ISN デバイスの構成ファイルをダウンロードした場合は、最初の CCR の設定情報を見つけて、その構成情報を入力します。

最初の CCR の構成情報の例を次に示します。

crypto isakmp policy 1
    encryption  aes
    authentication pre-share
    group  2
    lifetime 86400
    hash sha
exit
    
crypto keyring infra:overlay-1-<first-CCR-tunnel-ID>
    pre-shared-key address <first-CCR-elastic-IP-address> key <first-CCR-preshared-key>
exit
    
crypto isakmp profile infra:overlay-1-<first-CCR-tunnel-ID>
    local-address <interface>
    match identity address <first-CCR-elastic-IP-address>
    keyring infra:overlay-1-<first-CCR-tunnel-ID>
exit
    
crypto ipsec transform-set infra:overlay-1-<first-CCR-tunnel-ID> esp-aes esp-sha-hmac
    mode tunnel
exit
    
crypto ipsec profile infra:overlay-1-<first-CCR-tunnel-ID>
    set pfs group2
    set security-association lifetime seconds 86400
exit
    
interface tunnel <first-CCR-tunnel-ID>
    ip address <peer-tunnel-for-onprem-IPsec-to-first-CCR> 255.255.255.252
    ip virtual-reassembly
    tunnel source <interface>
    tunnel destination <first-CCR-elastic-IP-address>
    tunnel mode ipsec ipv4
    tunnel protection ipsec profile infra:overlay-1-<first-CCR-tunnel-ID>
    ip mtu 1476
    ip tcp adjust-mss 1460
    ip ospf <process-id> area <area-id>
    no shut
exit

それぞれの説明は次のとおりです。

• <first-CCR-tunnel-ID> は、このトンネルに割り当てる一意のトンネル ID です。

• <first-CCR-tunnel-ID> は、最初の CCR の 3 番目のネットワーク インターフェイスの柔軟な IP アドレスです。

• <first-CCR-preshared-key> は、最初の CCR の事前共有キーです。

• <interface> は、Azure に展開された CCR への接続に使用されるインターフェイスです。

• <peer-tunnel-for-onprem-IPsec-to-first-CCR> は、最初のクラウド CCR に対してオンプレミスの IPsec デバイスのピア トンネル IP アドレスとして使用されます。

• <process-id> は OSPF プロセス ID です。

• <area-id> は、OSPF エリア ID です。

次に例を示します。

crypto isakmp policy 1
    encryption  aes
    authentication pre-share
    group  2
    lifetime 86400
    hash sha
exit
    
crypto keyring infra:overlay-1-1000
    pre-shared-key address 192.0.2.20 key 123456789009876543211234567890
exit

crypto isakmp profile infra:overlay-1-1000
    local-address GigabitEthernet1
    match identity address 192.0.2.20
    keyring infra:overlay-1-1000
exit

crypto ipsec transform-set infra:overlay-1-1000 esp-aes esp-sha-hmac
    mode tunnel
exit

crypto ipsec profile infra:overlay-1-1000
    set pfs group2
    set security-association lifetime seconds 86400
exit

interface tunnel 1000
    ip address 30.29.1.2 255.255.255.252
    ip virtual-reassembly
    tunnel source GigabitEthernet1
    tunnel destination 192.0.2.20
    tunnel mode ipsec ipv4
    tunnel protection ipsec profile infra:overlay-1-1000
    ip mtu 1476
    ip tcp adjust-mss 1460
    ip ospf 1 area 1
    no shut
exit

Cisco Nexus Dashboard Orchestrator を使用して、ISN デバイスの設定ファイルをダウンロードした場合は、2 番目の CCR の設定情報を見つけて、その設定情報を入力します。

2 番目の CCR の構成情報の例を次に示します。

crypto isakmp policy 1
    encryption  aes
    authentication pre-share
    group  2
    lifetime 86400
    hash sha
exit
    
crypto keyring infra:overlay-1-<second-CCR-tunnel-ID>
    pre-shared-key address <second-CCR-elastic-IP-address> key <second-CCR-preshared-key>
exit
    
crypto isakmp profile infra:overlay-1-<second-CCR-tunnel-ID>
    local-address <interface>
    match identity address <second-CCR-elastic-IP-address>
    keyring infra:overlay-1-<second-CCR-tunnel-ID>
exit
    
crypto ipsec transform-set infra:overlay-1-<second-CCR-tunnel-ID> esp-aes esp-sha-hmac
    mode tunnel
exit
    
crypto ipsec profile infra:overlay-1-<second-CCR-tunnel-ID>
    set pfs group2
    set security-association lifetime seconds 86400
exit
    
interface tunnel <second-CCR-tunnel-ID>
    ip address <peer-tunnel-for-onprem-IPsec-to-second-CCR> 255.255.255.252
    ip virtual-reassembly
    tunnel source <interface>
    tunnel destination <second-CCR-elastic-IP-address>
    tunnel mode ipsec ipv4
    tunnel protection ipsec profile infra:overlay-1-<second-CCR-tunnel-ID>
    ip mtu 1476
    ip tcp adjust-mss 1460
    ip ospf <process-id> area <area-id>
    no shut
exit

例：

crypto isakmp policy 1
    encryption  aes
    authentication pre-share
    group  2
    lifetime 86400
    hash sha
exit
    
crypto keyring infra:overlay-1-1001
    pre-shared-key address 192.0.2.21 key 123456789009876543211234567891
exit
    
crypto isakmp profile infra:overlay-1-1001
    local-address GigabitEthernet1
    match identity address 192.0.2.21
    keyring infra:overlay-1-1001
exit
    
crypto ipsec transform-set infra:overlay-1-1001 esp-aes esp-sha-hmac
    mode tunnel
exit
    
crypto ipsec profile infra:overlay-1-1001
    set pfs group2
    set security-association lifetime seconds 86400
exit
    
interface tunnel 1001
    ip address 30.29.1.6 255.255.255.252
    ip virtual-reassembly
    tunnel source GigabitEthernet1
    tunnel destination 192.0.2.21
    tunnel mode ipsec ipv4
    tunnel protection ipsec profile infra:overlay-1-1001
    ip mtu 1476
    ip tcp adjust-mss 1460
    ip ospf 1 area 1
    no shut
exit

次に例を示します。

ISN_CCR# show ip interface brief | include Tunnel
Interface              IP-Address      OK? Method Status                Protocol
Tunnel1000             30.29.1.2         YES manual up                    up      
Tunnel1001             30.29.1.4         YES manual up                    up      

両方のトンネルがアップとして表示されていない場合は、この項の手順で入力した情報を確認して、問題が発生している可能性がある場所を確認します。両方のトンネルがアップとして表示されるまで、次のセクションに進まないでください。

[Intent]メニューに管理オプションのリストが表示されます。

テナントの説明を入力することもできます。

（オプション）サイトのドロップダウンリストからセキュリティドメインを選択することもできます。

Azureクラウドサイトをテナントに関連付ける場合は、Azureサブスクリプション情報も提供する必要があります。

• テナントを新しいAzureサブスクリプションに関連付ける場合は、[Mode：Create Own]を選択し、次のフィールドに情報を入力します。

  1. [Azure Subscription ID]フィールドに、AzureサブスクリプションのIDを入力します。

     Azureアカウントにログインし、ホームサブスクリプションに移動することで、サブスクリプションIDを取得できます。 > Azureポータルにリストされているサブスクリプション名ではなく、サブスクリプションIDを使用する必要があります。

  2. （オプション）このセキュリティアカウントを他のセキュリティドメインと共有する場合は、[セキュリティドメイン（Security Domain）]フィールドでクラウドアカウントの下のセキュリティドメインを選択します。

     詳細については、「Cisco Cloud Network Controller GUI を使用したセキュリティ ドメインの作成」を参照してください。

  3. [アクセス タイプ（Access Type）]フィールドで、Cisco Cloud Network Controller VMとテナント間のアクセスタイプを選択します。

     （注）	管理対象アイデンティティと、非管理対象アイデンティティ/サービスプリンシパルの両方が、インフラテナントとユーザー テナントのアクセスタイプとしてサポートされます。

     • 特定のアプリケーションを介してクラウドリソースを管理するには、[Unmanaged Identity]を選択します。

       これは、異なるサブスクリプションでテナントを設定する場合に使用できます。サブスクリプションが同じ組織内の異なるAzureディレクトリ（Azureテナント）にあるか、サブスクリプションが異なる組織にある可能性があります。

       この場合、アプリケーションのクレデンシャルも Cisco Cloud Network Controller に提供する必要があります。の手順の最後に保存した情報を参照してください。Azure でのアプリケーションの作成

       • アプリケーションID：AzureアプリケーションのアプリケーションIDを入力します。このIDは、ホームアプリケーション登録にリストされます。<application-name> [アプリケーション（クライアント）ID（Application（client）ID）]フィールドに入力します。 > >

       • [Client Secret]：アプリケーションシークレットを入力します。ホームアプリケーションの登録でシークレットを作成できます。<application-name> Certificates＆secrets新しいクライアントシークレット。 > > > >

       • Azure Active Directory ID：AzureアプリケーションのアプリケーションディレクトリIDを入力します。このIDは、ホームアプリケーション登録にリストされます。<application-name> 、[Directory（tenant）ID]フィールドに入力します。 > >

       （注）	この場合、アプリケーションのロール割り当ても追加する必要があります。これらの手順については、アプリへのロール割り当ての追加 を参照してください。

     • [管理対象アイデンティティ（Managed Identity）]を選択して、Cisco Cloud Network Controller VMがクラウド リソースを管理できるようにします。

       これは、Azureサブスクリプションが（同じ組織の）同じディレクトリにある場合に使用できます。

       （注）	この場合、VMのロール割り当ても追加する必要があります。これらの手順については、仮想マシンへのロール割り当ての追加 を参照してください。

• [モードの選択（Choose Mode）]：既存のテナントと共有されている既存のサブスクリプションを使用する場合は、[共有（Shared）]を選択します。

  Azureでは、同じサブスクリプションを使用して複数のテナントを作成できます。

  [共有の選択（Select Shared）]を選択した場合は、ドロップダウンリストからクラウドアカウントを選択できます。ドロップダウンリストで使用可能なクラウドアカウントは、選択したセキュリティドメインに基づいています。ステップ テナントの設定新しいテナントは、選択したアカウントと同じAzureサブスクリプションに関連付けられます。

  （注）	セキュリティドメインを設定した場合は、選択したクラウドアカウントが、テナント用に選択したものと同じセキュリティドメインと共有されている必要があります。同じAzureサブスクリプションを共有するすべてのテナントは、同じセキュリティドメインに存在する必要があります。

このテナントのスケジュール済み整合性チェッカを有効にすることもできます。整合性チェックの詳細については、 『設定ガイド』を参照してください。マルチサイト

[フィルタ チェーンの追加 (Add Filter Chain)] 画面が表示されます。

[コントラクトの追加] 画面が表示されます。

[コントラクトの追加] 画面が表示されます。

たとえば、最初の EPG に [プロバイダ (PROVIDER)] を選択した場合は、2番目の EPG の [コンシューマ (CONSUMER)] を選択します。

• 今後追加される、任意のクラウド サイトに適用できるエンドポイント セレクタを作成するには、次の手順を実行します。

  1. 左側のペインで、テンプレートを選択したままにします。

     これらの手順で特定のサイトを選択しないでください。

  2. 中央のペインで、クラウド サイト用に作成した EPG を選択します。

  3. 右側のペインの [クラウドのプロパティ (CLOUD PROPERITES)] 領域で、+ ([セレクタ (SELECTORS)] の横にあるもの) をクリックして、エンドポイント セレクタを設定します。

  4. [新しいエンドポイント セレクタの追加 (Add New End Point selector)] ダイアログで、[エンドポイント セレクタ名 (END POINT SELECTOR NAME)] フィールドに、このエンドポイント セレクタで使用する分類に基づいて名前を入力します。

  5. [+ 式 (Expression)] をクリックし、エンドポイント セレクタのタイプを選択します。

     このように作成されたエンドポイント セレクタの場合、[キー (Key)] フィールドで使用できるオプションは [EPG] のみです。

  6. ステップ 5 に進みます。

• このクラウド サイト専用のエンドポイント セレクタを作成するには、次の手順を実行します。

  1. 左ペインで、クラウド サイトを選択します。

  2. 中央のペインで、クラウド サイト用に作成した EPG を選択します。

  3. 右側のペインの [サイトのローカルのプロパティ (SITE LOCAL PROPERITES)] 領域の [セレクタ (SELECTOR)]領域で、+ ([セレクタ （SELECTOR)] の横にあるもの) をクリックして、エンドポイント セレクタを設定します。

  4. [新しいエンドポイント セレクタの追加 (Add New End Point selector)] ダイアログで、[エンドポイント セレクタ名 (END POINT SELECTOR NAME)] フィールドに、このエンドポイント セレクタで使用する分類に基づいて名前を入力します。

     たとえば、IP サブネット分類のエンドポイント セレクタの場合は、 [IP-Subnet-EPSelector]などの名前を使用できます。

  5. [+ 式 (Expression)] をクリックし、エンドポイント セレクタで使用するキーを選択します。

     • [IP アドレス (IP Address)]): IP アドレスまたはサブネットによって選択するために使用されます。エンドポイントセレクタとしてのIPアドレスの値は、CIDRで作成されたユーザサブネットに属します。サイトをスキーマに追加する

       さらに、特にAzureスケールセットVMの場合、エンドポイントセレクタとしてのIPアドレスの値は、そのスケールセットが存在する場所で設定された完全なサブネットである必要があります。サイトをスキーマに追加するサブネット内のIPアドレスは使用できません。

       たとえば、AzureスケールセットVMのこれらのフィールドで次の値を使用した場合。

       • CIDR：10.1.0.0/16

       • Subnet：10.1.0.0/24

       エンドポイントセレクタとしてのIPアドレスの有効な値は10.1.0.0/24です。10.1.0.1/32または10.1.0.0/16のエントリは、AzureスケールセットVMのエンドポイントとしてのIPアドレスの有効な値ではありません。

       （注）	IPv6 は Azure の Cisco Cloud Network Controller ではサポートされていません。このフィールドには有効なIPv4アドレスを使用する必要があります。

     • [リージョン (Region)]: エンドポイントの Azure リージョンで選択するために使用されます。

     • エンドポイント セレクタのカスタム タグを作成する場合は、[検索または作成のために入力 (Type to search or create)] フィールドで入力を開始してカスタム タグまたはラベルを入力し、新しいフィールドで [作成 (Create)] をクリックして、新しいカスタム タグまたはラベルを作成します。

       Azure にタグを追加するときに、これらの手順の前の例を使用すると、以前に Azure で追加したロケーション タグと一致するように、このフィールドにカスタム タグのロケーションを作成できます。

次のオプションがあります。

• [等しい (Equals)]: [値 (value)] フィールドに 1 つの値がある場合に使用します。

• [等しくない (Not Equals)]: 値フィールドに 1 つの値がある場合に使用されます。

• [の中にある (In)]: [値 (Value)] フィールドに複数のカンマ区切り値がある場合に使用します。

• [の中にない (Not In)]: 値フィールドに複数のカンマ区切り値がある場合に使用されます。

• [キーを持つ (Has Key)]: 式にキーのみが含まれている場合に使用されます。

• [キーを持たない (Does Not Have Key)]: 式にキーのみが含まれている場合に使用されます。

たとえば、エンドポイント セレクタに、westus など特定の Azure リージョンがある場合には、この画面で次の項目を選択します。

• [キー (Key):] Region

• [演算子 (Operator):] Equals

• 値：westus

別の例として、これらのフィールドで次の値を使用したとします。

• [キー (Key):] IP

• [演算子 (Operator):] Has Key

• [値 (Valuse):]は、演算子 (Operator)] フィールドで [Has Key] が使用されているため、使用できません。

EPG ルールは、この状況で IP アドレスを持つすべてのエンドポイントに適用されます。

最後の例として、これらのフィールドで次の値を使用したとします。

• [キー (Key):] custom tag: Location

• [演算子 (Operator):] Has Key

• [値 (Valuse):]は、演算子 (Operator)] フィールドで [Has Key] が使用されているため、使用できません。

この場合、EPG ルールは、Azure タグ キーとして Location を持つすべてのエンドポイントに、ロケーションの値に関係なく適用されます。

単一のエンドポイント セレクタで複数の式を作成した場合、それらの式の間には論理 AND があるものとみなされます。たとえば、1つのエンドポイントセレクタで2つの式セットを作成したとします。

• エンドポイント セレクタ 1、式 1:

  • [キー (Key):] Region

  • [演算子 (Operator):] Equals

  • 値：eastus

• エンドポイント セレクタ1、式 2:

  • [キー (Key):] IP

  • [演算子 (Operator):] Equals

  • [値 (Value):] 192.0.2.1/24

この場合、これらの式の両方が真になる場合 (regionが eastus で、IP アドレスがサブネット 192.0.2.1/24 に属している場合) に、そのエンドポイントはクラウド EPG に割り当てられます。

このエンドポイント セレクタで作成するすべての式を追加した後で、チェックマークをクリックします。

EPG の下で複数のエンドポイント セレクタを作成した場合は、それらのエンドポイント セレクタの間には論理 OR があるものとみなされます。たとえば、前のステップで説明したようにエンドポイント セレクタ 1 を作成し、次に、次に示すように 2 番目のエンドポイント セレクタを作成したとします。

• エンドポイント セレクタ 2、式 1:

  • [キー (Key):] Region

  • [演算子 (Operator):] In

  • 値：centralus、eastus2

その場合、次のようになります。

• リージョンが eastus で、IP アドレスが 192.0.2.1/24 サブネットに属している (エンドポイント セレクタ 1 の式)

  または

• リージョンが centralus または eastus2 (エンドポイント セレクタ 2 の式) のいずれかである

その場合、エンドポイントがクラウド EPG に割り当てられます。

[正常に展開 (Successfully Deployed)]されたというメッセージが表示されます。

Cisco Nexus Dashboard Orchestrator で設定した共有テナントが APIC のテナントエリアに表示され、 Cisco Nexus Dashboard Orchestrator スキーマから展開された VRF と EPG がオンプレミス APIC で設定されていることが確認できます。

show vrf

テナントt1と VRF v1が Cisco Nexus Dashboard Orchestrator から展開されている場合、CCR の出力は次のようになります。

  
Name                             Default RD            Protocols   Interfaces
t1:v1                            64514:3080192         ipv4        BD1
                                                                   Tu4
                                                                   Tu5

Azure の CCR または ISN オンプレミスのデバイスで、次のコマンドを実行できます。

show ip interface brief | inc Tunnel

以下のような出力が表示されます。

  
Interface        IP-Address        OK?        Method        Status        Protocol
Tunnel1          1.2.3.22          YES        manual        up            up
Tunnel2          1.2.3.30          YES        manual        up            up
Tunnel3          1.2.3.6           YES        manual        up            up
Tunnel4          1.2.3.14          YES        manual        up            up

show ip ospf neighbor

以下のような出力が表示されます。

  
Neighbor ID      Pri               State      Dead Time     Address       Interface
10.200.10.201    0                 FULL/ -    00:00:36      1.2.3.13      Tunnel4
20.30.40.50      0                 FULL/ -    00:00:36      1.2.3.29      Tunnel2
10.202.101.202   0                 FULL/ -    00:00:38      1.2.3.5       Tunnel3

show bgp l2vpn evpn summary

以下のような出力が表示されます。

  
Neighbor     V     AS    MsgRcvd   MsgSent   TblVer   InQ    OutQ   Up/Down   State/PfxRcd
10.1.1.2     4     100   139       137       99       0      0      01:30:36  6

show ip route vrf t1:v1

以下のような出力が表示されます。

  
B     129.1.1.5/32[20/0] via 10.11.0.34, 01:12:41, BD|1
B     130.1.0.0/16[20/100] via 131.254.4.5, 01:09:55