KVM は、仮想化拡張機能（Intel VT など）を搭載した x86 ハードウェア上の Linux 向け完全仮想化ソリューションです。KVM は、コア仮想化インフラストラクチャを提供するロード可能なカーネル モジュール（kvm.ko）と kvm-intel.ko などのプロセッサ固有のモジュールで構成されています。

KVM を使用して、修正されていない OS イメージを実行している複数の仮想マシンを実行できます。各仮想マシンには、ネットワーク カード、ディスク、グラフィック アダプタなどのプライベートな仮想化ハードウェアが搭載されています。

Threat Defense Virtual スマートライセンスのパフォーマンス階層

Threat Defense Virtual は、導入要件に基づいて異なるスループットレベルと VPN 接続制限を提供するパフォーマンス階層型ライセンスをサポートしています。

Threat Defense Virtual デバイスのライセンスを取得する場合のガイドラインについては、『Cisco Secure Firewall Management Center』の「Licensing the System」の章を参照してください。

Threat Defense Virtual のハイパーバイザのサポートに関する最新情報については、『Cisco Secure Firewall Threat Defense Compatibility Guide』を参照してください。

Threat Defense Virtual の導入に使用される特定のハードウェアは、導入するインスタンス数や使用要件によって異なります。Threat Defense Virtual の各インスタンスには、サーバー上での最小リソース割り当て（メモリ容量、CPU 数、およびディスク容量）が必要です。

• ブートするには 2 つの管理インターフェイスと 2 つのデータ インターフェイスが必要

  （注）	Threat Defense Virtual のデフォルト設定では、管理インターフェイス、、および内部インターフェイスは同じサブネットに配置されます。

  • Virtio ドライバをサポート

  • SR-IOV の ixgbe-vf ドライバをサポート

  • 合計 11 個のインターフェイスをサポート。

• Threat Defense Virtual のデフォルト設定は、管理インターフェイスおよび内部インターフェイスが同じサブネット上にあり、管理アドレスはインターネットへのゲートウェイとして内部アドレスを使用することを前提としています（外部インターフェイス経由）。

• Threat Defense Virtual は、少なくとも 4 つのインターフェイスを備え、firstboot で電源がオンになる必要があります。4 つのインターフェイスがなければ展開は実行されません。

• Threat Defense Virtual では、合計で 11 個のインターフェイスをサポートします（管理インターフェイス X 1 個、内部使用のため予約済みのインターフェイス X 1 個、データトラフィック用ネットワーク インターフェイス X 最大 9 個）。ネットワークへのインターフェイスの割り当ては、次の順番であることが必要です。

  • 管理インターフェイス（1）（必須）

    （注）

    、管理インターフェイスの代わりに、必要に応じて、データインターフェイスを Management Center の管理に使用できます。管理インターフェイスはデータインターフェイス管理の前提条件であるため、初期設定でこれを設定する必要があります。データインターフェイスから Management Center へのアクセスは、高可用性の展開ではサポートされません。Management Center へのアクセスに関するデータインターフェイス設定の詳細については、『FTD command reference』の configure network management-data-interface コマンドを参照してください。

  • 内部使用のため予約済み（2）（必須）

  • 外部インターフェイス（3）（必須）

  • 内部インターフェイス（4）（必須）

  • データインターフェイス（5 ～ 11）（オプション）

Threat Defense Virtual インターフェイスのネットワークアダプタ、送信元ネットワーク、宛先ネットワークに関する以下の用語索引を参照してください。

• 仮想マシンの複製はサポートされません。

• コンソールアクセスでは、Telnet を介したターミナルサーバーをサポートします。

• KVM で IPv6 をサポートする設定の vNIC を作成するには、IPv6 設定パラメータで構成される XML ファイルをインターフェイスごとに作成する必要があります。virsh net-create <<interface configuration XML file name>> コマンドを使用してこれらの XML ファイルを実行することにより、IPv6 ネットワークプロトコルを使用する vNIC をインストールできます。

  インターフェイスごとに、次の XML ファイルを作成できます。

  • 管理インターフェイス：mgmt-vnic.xml

  • 内部インターフェイス：inside-vnic.xml

  • 外部インターフェイス：outside-vnic.xml

  例：

  IPv6 設定の管理インターフェイス用の XML ファイルを作成する方法。

  <network>
               <name>mgmt-vnic</name>
               <bridge name='mgmt-vnic' stp='on' delay='0' />
               <ip family='ipv6' address='2001:db8::a111:b220:0:abcd' prefix='96'/>
          </network>
  

  同様に、他のインターフェイス用の XML ファイルも作成する必要があります。
  次のコマンドを実行して、KVM にインストールされている仮想ネットワークアダプタを確認できます。

  virsh net-list
           brctl show
  

CPU モード

KVM は、さまざまな種類の CPU をエミュレートできます。VM の場合、通常はホストシステムの CPU に厳密に一致するプロセッサタイプを選択する必要があります。これにより、ホストの CPU 機能（CPU フラグとも呼ばれます）が VM で使用できるようになります。CPU タイプをホストに設定する必要があります。その場合、VM はホストシステムとまったく同じ CPU フラグを持ちます。

クラスタリング

、クラスタリングは KVM で展開された Threat Defense Virtual インスタンスでサポートされます。詳細については、『 プライベートクラウドにおける Threat Defense Virtual のクラスタリング』を参照してください。

パフォーマンスの最適化

Threat Defense Virtual の最高のパフォーマンスを実現するために、VM とホストの両方を調整することができます。詳細については、「KVM での仮想化の調整と最適化」を参照してください。

Receive Side Scaling：Threat Defense Virtual は Receive Side Scaling（RSS）をサポートしています。これは、ネットワークアダプタによって複数のプロセッサコアにネットワーク受信トラフィックを分散するために使用されるテクノロジーです。バージョン 7.0 以降でサポートされています。詳細については、「Receive Side Scaling（RSS）用の複数の RX キュー」を参照してください。

SR-IOV のサポート

SR-IOV 仮想機能には特定のシステムリソースが必要です。SR-IOV 対応 PCIe アダプタに加えて、SR-IOV をサポートするサーバーが必要です。

SR-IOV インターフェイスを使用する KVM 上の Threat Defense Virtual では、インターフェイスタイプの混在がサポートされています。管理インターフェイスには SR-IOV または VMXNET3 を使用し、データインターフェイスには SR-IOV を使用することができます。

以下のハードウェア検討事項に留意する必要があります。

• 使用可能な VF の数を含む SR-IOV NIC の機能は、ベンダーやデバイスによって異なります。次の NIC がサポートされています。

  • Intel Ethernet Server Adapter X710

  • Intel Ethernet Server Adapter X520 - DA2

  • Intel Ethernet Network Adapter E810-CQDA2

    • ファームウェア (NVM イメージ) とネットワークドライバーは、NVM ユーティリティツールを使用して Intel® Network Adapter E810 で更新されます。不揮発性メモリ (NVM) イメージとネットワークドライバーは、Intel® Network Adapter E810 上で組み合わせて更新する互換性のあるコンポーネントのセットです。NVM とソフトウェアの互換性マトリックスについては、「Intel® Ethernet Controller E810 データシート」を参照して、Intel® Network Adapter E810 の正しいファームウェアドライバーを更新してください。

• すべての PCIe スロットが SR-IOV をサポートしているわけではありません。

• SR-IOV 対応 PCIe スロットは機能が異なる場合があります。

• x86_64 マルチコア CPU：Intel Sandy Bridge 以降（推奨）。

  （注）	シスコでは、Threat Defense Virtual を 2.3GHz の Intel Broadwell CPU（E5-2699-v4）でテストしました。

• コア

  • CPU ソケットあたり 8 個以上の物理コア。

  • 単一のソケット上で 8 コアにする必要があります。

    （注）	CPU ピンニングは、フルスループットを実現するために推奨されています。

• メーカーのマニュアルで、お使いのシステムの SR-IOV サポートを確認する必要があります。KVM の場合は、SR-IOV サポートの CPU の互換性を確認できます。KVM 上の Threat Defense Virtual では、x86 ハードウェアしかサポートされないことに注意してください。

ixgbe-vf インターフェイスの使用の制限事項

ixgbe-vf インターフェイスを使用する場合、次の制限事項があります。

• ゲスト VM では、VF を無差別モードに設定できません。そのため、ixgbe-vf の使用時はトランスペアレント モードがサポートされません。

• ゲスト VM では、VF 上で MAC アドレスを設定できません。そのため、HA 中は MAC アドレスが転送されません。他の Threat Defense Virtual プラットフォームや他のインターフェイス タイプを使用した場合は転送されます。HA フェールオーバーは、IP アドレスをアクティブからスタンバイに移行することによって機能します。

  （注）	この制限は、i40e-vf インターフェイスにも適用されます。

• Cisco UCSB サーバーは ixgbe-vf の vNIC をサポートしません。

• フェールオーバー セットアップでは、ペアになっている Threat Defense Virtual（プライマリ装置）に障害が発生すると、スタンバイ Threat Defense Virtual 装置がプライマリ装置のロールを引き継ぎ、そのインターフェイス IP アドレスがスタンバイ Threat Defense Virtual 装置の新しい MAC アドレスで更新されます。その後、Threat Defense Virtual は Gratuitous Address Resolution Protocol（ARP）更新を送信して、インターフェイス IP アドレスの MAC アドレスの変更を同じネットワーク上の他のデバイスに通知します。ただし、インターフェイスタイプの非互換性により、Gratuitous ARP 更新は、インターフェイス IP アドレスをグローバル IP アドレスに変換するための NAT または PAT ステートメントで定義されているグローバル IP アドレスに送信されません。

Snort

• Snort のシャットダウンに時間がかかったり、VM が全体的に遅くなったりといった異常な動作が見られる場合や、特定のプロセスが実行されるときには、Threat Defense Virtual および VM ホストからログを収集します。全体的な CPU 使用率、メモリ、I/O 使用率、および読み取り/書き込み速度のログの収集は、問題のトラブルシューティングに役立ちます。

• Snort のシャットダウン時には、CPU と I/O の使用率が高くなります。十分なメモリがなく、専用の CPU がない単一のホスト上に多数の Threat Defense Virtual インスタンスが作成されている場合は、Snort のシャットダウンに時間がかかって Snort コアが作成されます。

Secure Firewall Threat Defense Virtual を管理するには、2 つのオプションがあります。

• Cisco.com から Threat Defense Virtual qcow2 ファイルをダウンロードし、Linux ホストに格納します。

  https://software.cisco.com/download/navigator.html

  （注）	Cisco.com のログインおよびシスコ サービス契約が必要です。

• このマニュアルの導入例では、ユーザーが Ubuntu 18.04 LTS を使用していることを前提としています。Ubuntu 18.04 LTS ホストの最上部に次のパッケージをインストールします。

  • qemu-kvm

  • libvirt bin

  • bridge-utils

  • Virt-Manager

  • virtinst

  • virsh tools

  • genisoimage

• パフォーマンスはホストとその設定の影響を受けます。ホストを調整することで、KVM での Threat Defense Virtual のスループットを最大化できます。一般的なホスト調整の概念については、『Network Function Virtualization: Quality of Service in Broadband Remote Access Servers with Linux and Intel Architecture』を参照してください。

• 以下の機能は Ubuntu 18.04 LTS の最適化に役立ちます。

  • macvtap：高性能の Linux ブリッジ。Linux ブリッジの代わりに macvtap を使用できます。ただし、Linux ブリッジの代わりに macvtap を使用する場合は、特定の設定を行う必要があります。

  • Transparent Huge Pages：メモリ ページ サイズを増加させます。Ubuntu 18.04 では、デフォルトでオンになっています。

  • Hyperthread disabled：2 つの vCPUを 1 つのシングル コアに削減します。

  • txqueuelength：デフォルトの txqueuelength を 4000 パケットに増加させ、ドロップ レートを低減します。

  • pinning：qemu および vhost プロセスを特定のCPU コア にピン接続します。特定の条件下では、ピン接続によってパフォーマンスが大幅に向上します。

• RHEL ベースのディストリビューションの最適化については、『Red Hat Enterprise Linux6 Virtualization Tuning and Optimization Guide』を参照してください。

• KVM とシステムの互換性については、『Cisco Secure Firewall Threat Defense Compatibility Guide』を参照してください。

• 次の方法で、仮想マシンが KVM を実行しているかどうかを確認します。

  • lsmod を実行して、Linux カーネルのモジュールの一覧を表示します。KVM が実行されている場合は、次の出力が表示されます。

    root@kvm-host:~$ lsmod | grep kvm


    kvm_intel 123675 0


    kvm 257361 1 kvm_intel

• ls -l /dev/kvm が対象の VM に存在しない場合は、おそらく QEMU を実行しており、KVM ハードウェアアシスト機能を利用していません。

  root@kvm-host:~$ ls -l /dev/kvm

  crw------- 1 root root 10, 232 Mar 23 13:53 /dev/kvm

• 次のコマンドを実行して、ホストマシンが KVM をサポートしているかどうかも確認します。

  root@kvm-host:~$ sudo kvm-ok

• KVM アクセラレーションを使用することもできます。