インターフェイスのマッピングと番号付け

• ホットプラグ インターフェイスを追加する場合、そのインターフェイス番号は、現在の最後のインターフェイス番号に 1 を加えた数になります。

• ホットプラグ インターフェイスを削除すると、それが最後の番号のインターフェイスである場合を除き、インターフェイス番号にギャップが生じます。

• インターフェイス番号にギャップがあると、次にホットプラグ プロビジョニングされるインターフェイスはそのギャップを埋める番号を使用します。

フェールオーバー

• ホットプラグ インターフェイスをフェールオーバーリンクとして使用する場合、リンクは、ASA 仮想 のフェールオーバーペアとして指定されている両方のユニットでプロビジョニングする必要があります。

  • まずハイパーバイザのアクティブ ASA 仮想 にホットプラグ インターフェイスを追加してから、ハイパーバイザのスタンバイ ASA 仮想 にホットプラグ インターフェイスを追加します。

  • アクティブ ASA 仮想 に新たに追加したフェールオーバー インターフェイスを設定します。設定はスタンバイ装置に同期されます。

  • プライマリ ユニットのフェールオーバーを有効にします。

• フェールオーバーリンクを削除する場合、最初にアクティブな ASA 仮想 でフェールオーバー設定を削除します。

  • ハイパーバイザのアクティブな ASA 仮想 からフェールオーバー インターフェイスを削除します。

  • 次に、ハイパーバイザのスタンバイ ASA 仮想 から対応するインターフェイスをすぐに削除します。

制限事項と制約事項

• ホットプラグ インターフェイス プロビジョニングは Virtio 仮想 NIC に限定されます。

• サポートされるインターフェイスの最大数は 10 です。10 を超える数のインターフェイスを追加しようとすると、エラーメッセージが表示されます。

• インターフェイス カード（media_ethernet/port/id/10）を開くことはできません。

• ホットプラグ インターフェイス プロビジョニングでは ACPI が必要です。virt-install スクリプトには --noacpi フラグを含めないでください。

• Vector Packet Processing（VPP）が有効になっている場合、KVM 上のアクティブな ASA Virtual に対するホットプラグ インターフェイス プロビジョニング（インターフェイスの追加または削除）はサポートされません。これは、VPP でインターフェイスの変更を通知できないためです。

KVM ホストの設定を変更することによって、KVM 環境内の ASA 仮想 のパフォーマンスを向上させることができます。これらの設定は、ホスト サーバー上の構成時の設定とは無関係です。このオプションは、Red Hat Enterprise Linux 7.0 KVM で使用できます。

CPU ピニングを有効にすると、KVM 構成でのパフォーマンスを向上できます。

Non-uniform Memory Access（NUMA）は、マルチプロセッサシステムのプロセッサに対するメインメモリモジュールの配置について記述する共有メモリアーキテクチャです。プロセッサが自身のノード（リモートメモリ）内に存在しないメモリにアクセスする場合は、ローカルメモリにアクセスする場合よりも低速の速度で、NUMA 接続を介してデータを転送する必要があります。

X86 サーバーアーキテクチャは、複数のソケットおよびソケット内の複数のコアで構成されています。各 CPU ソケットとそのメモリおよび I/O が、NUMA ノードと呼ばれます。メモリからパケットを効率的に読み取るには、ゲストアプリケーションおよび関連付けられている周辺機器（NIC など）が同じノード内に存在する必要があります。

最適な ASA 仮想 パフォーマンスを実現するには：

• ASA 仮想 マシンは、1つの NUMA ノード上で実行する必要があります。1つの ASA 仮想 が 2 つのソケットで実行されるように導入されている場合、パフォーマンスは大幅に低下します。

• 8 コア ASA 仮想（8 コア ASA 仮想 NUMA アーキテクチャの例）では、ホスト CPU の各ソケットが、それぞれ 8 個以上のコアを備えている必要があります。サーバー上で実行されている他の VM についても考慮する必要があります。

• 16 コア ASA 仮想（16 コア ASA 仮想 NUMA アーキテクチャの例）では、ホスト CPU 上の各ソケットが、それぞれ 16 個以上のコアを備えている必要があります。サーバー上で実行されている他の VM についても考慮する必要があります。

• NIC は、ASA 仮想 マシンと同じ NUMA ノード上にある必要があります。

次の図は、2 つの CPU ソケットがあり、各 CPU に 18 個のコアが搭載されているサーバーを示しています。8 コア ASA 仮想 では、ホスト CPU の各ソケットに最低 8 個のコアが必要です。

次の図は、2 つの CPU ソケットがあり、各 CPU に 18 個のコアが搭載されているサーバーを示しています。16 コア ASA 仮想 では、ホスト CPU の各ソケットに最低 16 個のコアが必要です。

NUMA の最適化

理想的には、ASA 仮想 マシンは、NIC が動作しているノードと同じ NUMA ノード上で実行する必要があります。手順は次のとおりです。

1. 「lstopo」を使用して NIC がオンになっているノードを判別し、ノードの図を表示します。NIC を見つけて、どのノードが接続されているかをメモします。

2. KVM ホストで、virsh list を使用して ASA 仮想 を検出します。

3. virsh edit <VM Number> を使用して VM を編集します。

4. 選択したノードに ASA 仮想 を配置します。次の例では、18 コアノードを想定しています。

   ノード 0 への配置：

   
   <vcpu placement='static' cpuset='0-17'>16</vcpu>
   <numatune> 
       <memory mode='strict' nodeset='0'/> 
   </numatune>
   

   ノード 1 への配置：

   
   <vcpu placement='static' cpuset='18-35'>16</vcpu> 
   <numatune> 
       <memory mode='strict' nodeset='1'/> 
   </numatune>
   

5. .xml の変更を保存し、ASA 仮想 マシンの電源を再投入します。

6. VM が目的のノードで実行されていることを確認するには、 ps aux | grep <name of your ASAv VM> を実行して、プロセス ID を取得します。

7. sudo numastat -c <ASAv VM Process ID> を実行して、ASA 仮想 マシンが適切に配置されているか確認します。

KVM での NUMA 調整の使用に関する詳細については、RedHat のドキュメント『9.3. libvirt NUMA Tuning』を参照してください。

ASA 仮想 は、複数のプロセッサコアにネットワーク受信トラフィックを分散するためにネットワークアダプタによって使用されるテクノロジーである Receive Side Scaling（RSS）をサポートしています。最大スループットを実現するには、各 vCPU（コア）に独自の NIC RX キューが設定されている必要があります。一般的な RA VPN 展開では、1つの内部/外部ペアのインターフェイスを使用する場合があることに注意してください。

重要	複数の RX キューを使用するには、ASA 仮想 バージョン 9.13(1) 以降が必要です。KVM の場合、libvirt のバージョンは 1.0.6 以降である必要があります。

内部/外部ペアのインターフェイスを持つ 8 コア VM の場合、8 コア ASA 仮想 RSS RX キューに示すように、各インターフェイスには 4 つの RX キューがあります。

内部/外部ペアのインターフェイスを持つ 16 コア VM の場合、16 コア ASA 仮想 RSS RX キューに示すように、各インターフェイスには 8 つの RX キューがあり ます。

次の表に、KVM 用の ASA 仮想 の vNIC およびサポートされている RX キューの数を示します。サポートされている vNIC の説明については、推奨される vNICを参照してください。

KVM での Virtio のマルチキューサポートの有効化

次の例は、libvirt xml を編集するために、Virtio NIC RX キューの数を 4 に設定する方法を示しています。

<interface type='bridge'>
 <mac address='52:54:00:43:6e:3f'/>
 <source bridge='clients'/>
 <model type='virtio'/>
 <driver name='vhost' queues='4'/>
 <address type='pci' domain='0x0000' bus='0x00' slot='0x04' function='0x0'/>
</interface>

重要	複数の RX キューをサポートするには、libvirt のバージョンが 1.0.6 以降である必要があります。

ASA 仮想 で VPN パフォーマンスを最適化するための追加の考慮事項は、次のとおりです。

• IPSec のスループットは DTLS よりも高くなります。

• GCM 暗号には、CBC の約 2 倍のスループットがあります。

SR-IOV を使用すれば、複数の VM でホスト内部の 1 台の PCIe ネットワーク アダプタを共有することができます。SR-IOV は次の機能を定義しています。

• 物理機能（PF）：PF は、SR-IOV 機能を含むフル PCIe 機能です。これらは、ホスト サーバー上の通常のスタティック NIC として表示されます。

• 仮想機能（VF）：VF は、データ転送を支援する軽量 PCIe 機能です。VF は、PF から抽出され、PF を介して管理されます。

VF は、仮想化されたオペレーティング システム フレームワーク内の ASA 仮想 マシンに最大 10 Gbps の接続を提供できます。このセクションでは、KVM 環境で VF を設定する方法について説明します。ASA 仮想 上の SR-IOV サポートについては、ASA 仮想 と SR-IOV インターフェイスのプロビジョニングを参照してください。

ASAv5 および ASAv10 で最適なパフォーマンスを得るため、VMXNET3 ドライバを強く推奨します。さらに、SR-IOV インターフェイスを組み合わせて（インターフェイスが混在した状態で）使用すると、 特により多くの CPU コアとリソースを割り当てることで、ASA 仮想 とのネットワークパフォーマンスが向上します。