Cisco ACI 仮想エッジ構成ガイド、リリース 1.2(1)

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco ACI 仮想エッジ構成ガイド、リリース 1.2(1)

Chapter Title

分散ファイアウォール

検索結果

Updated:
2019年6月17日

章のタイトル： 分散ファイアウォール

分散ファイアウォール

この章は、次の項で構成されています。

分散ファイアウォールについて

分散ファイアウォールは、ハードウェア支援によるファイアウォールです。これは、Cisco適応型セキュリティ仮想アプライアンス (ASAv) などの Cisco Application Centric Infrastructure (ACI) ファブリック、または Microsegmentation によって Cisco ACI Virtual Edge で作成されたセキュア ゾーンなどのセキュリティ機能を補完しますが、これに代わるものではありません。

分散ファイアウォールが機能するために他のソフトウェアは必要ありません。ただし、分散ファイアウォールを使用するように Cisco Application Policy Infrastructure Controller (APIC) にポリシーを設定する必要があります。

分散ファイアウォールはすべての仮想イーサネット (vEth) ポートでサポートされていますが、kni-opflex、kni-ave-ctrl dpdk インターフェイス、およびすべてのアップリンクポートでは無効です。

分散ファイアウォールの主な機能

機能

説明

ダイナミック パケット フィルタリング (別名ステートフル インスペクション) を提供

TCP 接続および FTP 接続の状態を追跡し、既知のアクティブ接続と一致しないパケットをブロックします。インターネットまたは内部ネットワークからのトラフィックは、APIC GUI で設定するポリシーに基づいてフィルタリングされます。

分散型

vMotion を使用して仮想マシン (VM) を他のサーバーに移動した場合でも、接続を追跡します。

SYN ACK 攻撃を阻止

プロバイダー VM が SYN-ACK パケットを開始した場合、プロバイダー Cisco ACI Virtual Edge 上の分散ファイアウォールでは、対応するフロー (接続) が作成されていないためこれらのパケットをドロップします。

TCP フロー エージングをサポート

ESTABLISHED 状態の接続は、ポート単位の制限が 75 % のしきい値に達しない限り 2 時間維持されます。このしきい値に達すると、新しい接続によって古い接続 (5 分間以上非アクティブ) が置き換えられる可能性が生じます。

ESTABLISHED TCP 以外の状態の接続は、アイドルまたは非アクティブの時間で 5 分間保持されます。

レベル フローに実装される

TCP 接続上の VM 間のフローを有効にして、パケットごとに TCP/IP 接続を確立する必要性を排除します。

特定のトポロジや設定に依存しない

ローカル スイッチング モードとローカル スイッチングなしモードのいずれかで動作し、VLAN と VXLAN のいずれかを使用します。

ハードウェア アシスト型

ACI ファブリックでは、Cisco Nexus 9000 リーフ スイッチにポリシーが保存され、パフォーマンスへの影響が回避されます。

5 タプル値上の実装に基づく

送信元と宛先の IP アドレス、送信元と宛先のポート、およびプロトコルを使用してポリシーを実装します。

デフォルトで学習モード

アップグレードを容易にします。Cisco AVS のバージョンがリリース5.2 (1) SV3 (1.5) より前の場合、Cisco AVS から Cisco ACI Virtual Edge に移行する場合、分散ファイアウォールはラーニング モードになっている必要があります。これらのバージョンは、分散ファイアウォールをサポートしていません。

分散ファイアウォールの利点

ここでは、Cisco ACI ファブリックで分散ファイアウォールがハードウェアと連携してセキュリティを提供する方法の例を示します。

再帰 ACL のセキュリティ強化

管理者は、コンシューマ EPG とプロバイダー EPG 間の Cisco APIC で、サブジェクトとフィルタを使用して契約を作成し、Web トラフィックを許可します。管理者は Cisco APIC で、任意の送信元ポートから宛先ポート 80 へのトラフィックを許可するポリシーを作成します。

Cisco APIC でポリシーが設定されている場合、プロバイダーからコンシューマへの再帰アクセス コントロール リスト（ACL）エントリが、ACI ハードウェアで自動的にプログラムされます。この再帰 ACL は、接続が確立されている間のリバース トラフィックを可能にするために作成されます。リバース トラフィックをフローさせるには、この再帰 ACL エントリが必須です。

自動再帰 ACL の作成により、接続が確立された状態になっている場合、リーフ スイッチはプロバイダーの任意のクライアント ポートへの接続を許可します。しかし、一部のデータセンタでは、これが望ましくない場合があります。プロバイダー EPG のエンドポイントが、送信元ポート 80 を使って、コンシューマ EPG のエンドポイントに SYN 攻撃またはポート スキャンを開始する可能性があるためです。

ただし、分散ファイアウォールは物理ハードウェアを使用して、このような攻撃は許可しません。物理リーフ ハードウェアは、ハイパーバイザから受信したパケットをポリシー Ternary Content Addressable Memory（TCAM）エントリに照らして評価します。

VM が vMotion によって移動される場合のデータの保護

送受信されるすべてのパケットは、Cisco ACI Virtual Edge および物理リーフの分散ファイアウォールのフローベース エントリに従います。フローは仮想マシン（VM）の仮想イーサネット（vEth）インターフェイスに直接接続されるため、VM が vMotion によって別のハイパーバイザ ホストに移動されても、フローとテーブル エントリはそれとともに新しいハイパーバイザに移動します。

この移動は、物理リーフにも報告されます。物理リーフは正当なフローの続行を許可し、発生した場合に攻撃を阻止します。したがって、VM が新しいホストに移動しても、VM は保護を失わずに通信し続けます。

シームレスな FTP トラフィック処理

FTP プロトコルの動作およびインターワーキングは、他の TCP ベースのプロトコルとは異なります。このため、分散ファイアウォールでは特別な処理が必要です。FTP サーバ（プロバイダー）は制御ポート（TCP ポート 21）とデータ ポート（TCP ポート 20）でリッスンします。FTP クライアント（コンシューマ）とサーバ（プロバイダー）間で通信が開始されると、FTP クライアントとサーバ間で初期的に接続制御が設定されます。データ接続はオンデマンドで設定され（交換するデータがある場合のみ）、データ転送後にただちに破壊されます。

分散ファイアウォールは、アクティブ FTP モードの処理のみをサポートします。パッシブ FTP モードのデータ接続は追跡されません。

分散ファイアウォールは、制御接続ハンドシェイク中に受信した FTP クライアント IP およびポート情報と一致する場合にのみ、FTP データ接続を許可します。対応する接続制御がない場合、分散ファイアウォールは FTP データ接続をブロックし、これにより FTP 攻撃が阻止されます。

分散ファイアウォールの設定

3 つのモードのいずれかに設定することで、分散ファイアウォールを設定します。

  • 有効：分散ファイアウォールを適用します。

  • 無効：分散ファイアウォールを適用しません。このモードは、分散ファイアウォールを使用しないときにのみ使用します。分散ファイアウォールを無効にすると、 Cisco ACI Virtual Edge のすべてのフロー情報が削除されます。

  • 学習： Cisco ACI Virtual Edge はすべての TCP 通信を監視し、フロー テーブルにフローを作成しますが、ファイアウォールは適用しません。学習がデフォルトのモードです。

分散ファイアウォールは、Cisco APIC で作成されたポリシーに従って動作します。ポリシーを作成していないと、分散型ファイアウォールは効率的に作業することができません。


（注）  
分散ファイアウォールを使用する際は、VM に vmxnet3 アダプタを使用することが推奨されます。

重要
Cisco ACI Virtual Edge VMM ドメインで分散ファイアウォールを有効にすると、vMotion は制限を受けます。詳細については、このガイドの Cisco ACI Virtual Edge で VMware vMotion を使用する際のガイドライン に関する項を参照してください。

分散ファイアウォールの設定のワークフロー

このセクションでは、分散ファイアウォールを設定するために実行するタスクの概要を説明します。

  1. インターフェイス ポリシー グループを作成して、Cisco APIC でファイアウォール ポリシーを有効にします。または、インターフェイス ポリシー グループがすでに存在する場合は、ファイアウォール ポリシーが含まれていることを確認します。

  2. 分散ファイアウォールのステートフル ポリシーを設定します。

    このガイドの「GUI を使用した分散ファイアウォールのステートフル ポリシーの設定」のセクションの手順に従います。

  3. 必要に応じて分散ファイアウォール モードを変更します。

    デフォルトでは、分散ファイアウォールは学習モードになっています。以前に分散ファイアウォールを有効にしていなかった場合には、このガイドでの手順を実行して、分散ファイアウォール モードを変更します。

  4. Cisco ACI Virtual Edge は、分散ファイアウォールによって許可または拒否されたフローを、システム ログ（syslog）サーバに報告します。フローのパラメータを設定して、拒否されたフローを syslog サーバで確認できます。このガイドの「分散ファイアウォール フロー ロギング」のセクションの手順を参照してください。

  5. 表示する分散ファイアウォールのフロー数統計情報を選択します。

    Cisco ACI Virtual Edge は分散ファイアウォール フロー情報を収集しますが、それらを表示するには、必要な統計情報を選択する必要があります。手順については、このガイドの「分散ファイアウォール フローの数」のセクションを参照してください。

GUI を使用した分散ファイアウォールのステートフル ポリシーの設定

分散ファイアウォールのポリシーを構成する前に、分散ファイアウォールのステートフル ポリシーを設定します。

手順

ステップ 1

Cisco APIC にログインします。

ステップ 2

[Tenants[ > [tenant] を選択します。

ステップ 3

ナビゲーション ウィンドウでテナントのフォルダを展開します。
ステップ 4

[Contracts] フォルダを右クリックして [Create Contract] を選択します。

ステップ 5

[Create Contract] ダイアログボックスで、[Name] フィールドに、契約の名前を入力します。

ステップ 6

[Subjects] 領域で、[+] アイコンをクリックします。

ステップ 7

[Create Contract Subject] ダイアログボックスで、[Name] フィールドにサブジェクトの名前を入力します。

ステップ 8

[Filter Chain] エリアで、[+] アイコンをクリックします。これは [Filters] の隣にあります。

ステップ 9

下向き矢印をクリックして [Name] ドロップダウン フィルタ リストを表示し、[Name] リスト上部の [+] アイコンをクリックします。

ステップ 10

[Create Filter] ダイアログボックスで、次の操作を実行します。

  1. [Name] フィールドにフィルタの名前を入力します。

  2. [Entries] エリアで、[+] アイコンをクリックして、追加フィールドを表示します。

  3. [Name] フィールドに、フィルタを詳しく説明する名前を入力します。

  4. [Ether Type] ドロップダウン リストで、[IP] を選択します

  5. [IP Protocol] フィールドで [tcp] を選択します。

  6. [Stateful] チェックボックスをオンにします。

  7. (オプション) [Source Port / Range] フィールドで、[To] および [From] のドロップダウン リストから、デフォルトである [Unspecified] を選択します。

  8. [Destination Port / Range] フィールドで、[To] および [From] のドロップダウン リストから [http] を選択します。

  9. [Update] をクリックし、 [Submit] をクリックします。

ステップ 11

[Create Contract Subject] ダイアログ ボックスの [Filters] エリアで、[Update] をクリックし、[OK] をクリックします。

ステップ 12

[Create Contract] ダイアログ ボックスで、[Submit] をクリックします。

次のタスク

分散ファイアウォール ポリシーを作成します。

NX-OS スタイルの CLI を使用した分散ファイアウォールのステートフル ポリシーの設定

手順

Cisco APIC でステートフル ポリシーを設定します。

例:

apic1(config)# tenant Tenant1
apic1(config-tenant)# access-list TCP-511 apic1
apic1 (config-tenant-acl)# match icmp 
apic1 (config-tenant-acl)# match raw TCP-511 dFromPort 443 dToPort 443 etherT ip prot 6 stateful yes 
apic1 (config-tenant-acl)# match raw tcp etherT ip prot 6 sFromPort 443 sToPort 443 stateful yes 
apic1 (config-tenant-acl)# match raw tcp-22out dFromPort 22 dToPort 22 etherT ip prot 6 stateful yes apic1(config-tenant-acl)# match raw tcp-all etherT ip prot 6 stateful yes 
apic1(config-tenant-acl)# match raw tcp22-from etherT ip prot 6 sFromPort 22 sToPort 22 stateful yes apic1(config-tenant-acl)# exit apic1(config-tenant)# contract TCP511 
apic1(config-tenant-contract)# subject TCP-ICMP
apic1(config-tenant-contract-subj)# access-group TCP-511 both 
apic1(config-tenant-contract-subj)# access-group arp both 
apic1(config-tenant-contract-subj)#

次のタスク

分散ファイアウォール ポリシーを作成します。

REST API を使用した分散ファイアウォールのステートフル ポリシーの設定

Cisco APIC でステートフル ポリシーを設定します。

手順

ステップ 1

Cisco APIC にログインします。

ステップ 2

https://APIC-ip-address/api/node/mo/.xml にポリシーをポストします。

例:

<polUni>
  <infraInfra>

    <nwsFwPol name="fwpol1" mode="enabled"/>    (enabled, disabled, learning)

    <infraFuncP>
        <infraAccBndlGrp name="fw-bundle">
            <infraRsFwPol tnNwsFwPolName="fwpol1"/>
            <infraRsAttEntP tDn="uni/infra/attentp-testfw2"/>
        </infraAccBndlGrp>
    </infraFuncP> 
 
     <infraAttEntityP name="testfw2">
                <infraRsDomP tDn="uni/vmmp-VMware/dom-mininet"/> 
     </infraAttEntityP>
           
  </infraInfra>

</polUni>

次のタスク

分散ファイアウォール ポリシーを作成します。

GUI を使用した分散型ファイアウォール ポリシーの作成

分散ファイアウォール ポリシーは Cisco APIC GUI で作成できます。

始める前に

次のことは既に実行済みである必要があります:

  • Cisco APIC に分散型ファイアウォール ポリシーを有効にするインターフェイス ポリシー グループを作成します。

  • 分散ファイアウォールのステートフル ポリシーを作成します。

手順

ステップ 1

Cisco APIC にログインします。
ステップ 2

Fabric > External Access Policies に移動します。

ステップ 3

[Policies] ナビゲーション ウィンドウで、[Policies] と [Interface] フォルダを開きます。

ステップ 4

[Firewall] フォルダを右クリックして [Create Firewall Policy] を選択します。

ステップ 5

[Create Firewall Policy] ダイアログボックスで、[Name] フィールドに、ポリシーの名前を入力します。

ステップ 6

[Mode] 領域で、モードを選択します。

アップグレードを容易にするため、デフォルトのモードは [Learning] になっています。

Release 5.2(1)SV3(1.5) 以前の Cisco AVS から Cisco ACI Virtual Edge に移行する場合には、分散ファイアウォールを [Learning] モードにしておく必要があります。これらのバージョンでは分散ファイアウォールをサポートしていません。

それ以外の場合には、分散ファイアウォールを有効にします。
（注）   
モードは、[Disabled] から [Enabled] に直接変更しないでください。直接変更すると、トラフィックが損失することがあります。代わりに、[Disabled] モードから [Learning] モードに変更し、5 分待ってから [Enabled] モードへ変更します。[Create Firewall Policy] ダイアログ ボックスには [Syslog] エリアがあります。ここでは、syslog サーバに送信される送信元の分散ファイアウォール フロー情報を設定できます。手順については、このガイドの 分散ファイアウォール フロー ロギングを参照してください。
 
ステップ 7

[Submit] をクリックします。

ステップ 8

次の手順を実行して、新しいポリシーを VMM ドメインに関連付けます。

  1. [Virtual Networking] > [Inventory] に移動します。

  2. [Inventory] ナビゲーション ウィンドウで、[VMM Domains] フォルダと [VMware] フォルダを展開し、関連する VMM ドメインを選択します。

  3. VMM ドメインの作業ウィンドウで、[VSwitch Policies] タブをクリックします。

  4. [Properties] 作業ウィンドウで、[Firewall Policy] ドロップダウン リストから、作成したファイアウォール ポリシーを選択します。

  5. [Submit] をクリックします。

次のタスク

次の手順を実行して、分散ファイアウォール ポリシーが作成され、目的の状態であることを確認します。

  1. Fabric > External Access Policies に移動します。

  2. [Policies] ナビゲーション ウィンドウで、[Policies]、 [Interface]、および [Firewall] フォルダを展開します。

  3. ポリシーを選択します。

  4. [Properties] 作業ウインドウで、ポリシーが表示されることと、モードが正しいことを確認します。

GUI を使用して分散型ファイアウォール ポリシーのモードを変更する

分散ファイアウォールのモードを変更するには、次の手順を実行します。


（注）  
Cisco AVS から Cisco ACI Virtual Edge に移行し、Cisco AVS では分散ファイアウォールを有効にしていなかった場合には、分散ファイアウォールを有効にします。

始める前に

分散型ファイアウォール ポリシーが VMM ドメインに関連付けられていることを確認します。

手順

ステップ 1

Cisco APIC にログインします。

ステップ 2

Fabric > External Access Policies に移動します。

ステップ 3

[Policies] ナビゲーション ウィンドウで、[Policies]、 [Interface]、および [Firewall] フォルダを展開します。

ステップ 4

変更するポリシーをクリックします。

ステップ 5

[Properties] 作業ウィンドウの [Mode] エリアで、モードを選択し、[Submit] をクリックします。

（注）   
モードは、[Disabled] から [Enabled] に直接変更しないでください。直接変更すると、トラフィックが損失することがあります。代わりに、[Disabled] モードから [Learning] モードに変更し、5 分待ってから [Enabled] モードへ変更します。[Learning] モードへ変更することで、 Cisco ACI Virtual Edge により既存フローのフロー テーブル エントリが追加されます。
 
（注）   
[Properties] 作業ウィンドウには、[Syslog] エリアが含まれます。ここでは、syslog サーバに送信される送信元の分散ファイアウォール フロー情報を設定できます。手順については、このガイドの 分散ファイアウォール フロー ロギングを参照してください。

次のタスク

次の手順を実行して、分散ファイアウォールが目的の状態であることを確認します。

  1. [Policies] ナビゲーション ウィンドウで、[Firewall] フォルダのポリシーを選択します。

  2. [Properties] ダイアログボックスで、モードが正しいことを確認します。

NX-OS スタイル CLI を使用して分散型ファイアウォールを有効にするかモードを変更する

NX-OS スタイル CLI を使用して、ファイアウォールの配信を有効にするか、モードを変更することができます。

手順

分散ファイアウォールを有効にしたり、モードを変更します。

例:

apic1# configure
apic1(config)# vmware-domain Direct-AVE2-VXLAN
apic1(config-vmware)# configure-ave
apic1(config-vmware-ave)# firewall mode < any of below 3>
disabled  Disabled mode
enabled   Enabled mode
learning  Learning mode

分散ファイアウォール フロー ロギング

Cisco APIC と分散ファイアウォールのフロー情報を表示して、ネットワーク セキュリティの監査をサポートできます。

Cisco ACI Virtual Edge は、分散ファイアウォールによって拒否または許可されたフローを、システム ログ（syslog）サーバに報告します。分散ファイアウォールを有効にすると Cisco ACI Virtual Edge はデフォルトで TCP、UDP、および ICMP トラフィックをモニタします。これはまた、TCP トラフィックの追跡とログ記録、そしてパラメータの設定によっては、TCP トラフィックの許可と拒否も行います。拒否されたフローと許可されたフローは、syslog サーバ上で表示できます。

分散ファイアウォールのフロー情報のパラメータ設定

Cisco ACI Virtual Edge は、分散ファイアウォールで拒否または許可されたフロー、および UDP および ICMP フローを、システム ログ（syslog）サーバに報告します。

GUI でリモート接続先と呼ばれる最大 3 つの syslog サーバの設定と、syslog ポリシーの設定の 2 つのタスクで分散ファイアウォール ロギングを設定します。次のパラメータを設定できます:

  • syslog サーバのパラメータ

    • 有効/無効


      （注）  
      分散ファイアウォールのロギングは、デフォルトでは無効化されています。

    • 許可フロー、拒否フロー、またはその両方

    • ポーリング間隔

      フローのエクスポート間隔は、60 秒から 24 時間に設定できます。


      （注）  
      最大スケールでデータを送信するには、ポーリング間隔を 125 秒に設定することが必要です。少なくとも 150 秒のポーリング間隔になるよう syslog タイマーを設定することをお勧めします。

    • ログの重大度

      重大度レベルは、0 ～ 7 に設定できます。

  • syslog ポリシーのパラメータ

    • IP アドレス

    • ポート

    • ログの重大度

      重大度レベルは、0 ～ 7 に設定できます。

    • ログのファシリティ

Cisco ACI Virtual Edge は、ポーリング間隔ごとに、最大 250,000 の拒否されたフローまたは許可されたフローを syslog サーバに報告します。拒否フローおよび許可フローのロギングを選択した場合、Cisco ACI Virtual Edge は最大 500,000 個のフローを報告します。また、Cisco ACI Virtual Edge は最大 100,000 個の短時間フロー（ポーリング間隔よりも短いフロー）も報告します。

syslog メッセージは、syslog の宛先ログの重大度が syslog ポリシーの同じログの重大度以下である場合にのみ送信されます。syslog サーバと syslog ポリシーの重大度レベルは、次のとおりです。

  • 0：緊急

  • 1：アラート

  • 2：クリティカル

  • 3：エラー

  • 4：警告

  • 5：通知

  • 6：情報

  • 7：デバッグ

syslog サーバの設定に関するガイドライン

Cisco ACI Virtual Edge に syslog サーバを設定する際は、この項のガイドラインに従います。

  • syslog サーバは、Cisco ACI Virtual Edge ホスト管理ネットワークまたは Cisco ACI Virtual Edge インフラ ポート グループ (テナント インフラの overlay-1 vrf) から常にアクセス可能でなければなりません。

    syslog サーバが Cisco ACI Virtual Edge の後ろにある場合、インフラ ポート グループに VM VNIC を起動します。

  • syslog サーバは常に、Cisco ACI Virtual Edge とは違うホストに存在する必要があります。

    Cisco ACI Virtual Edge から同じ Cisco ACI Virtual Edge の背後でホストされる syslog サーバにログ メッセージを送信することはサポートされません。

  • syslog サーバの宛先が VM の場合、vMotion が無効化されていることを確認してください。syslog サーバの宛先 VM が、何らかの理由で別のホストに移動した場合、静的クライアント エンドポイント (CEP) がそれに応じて設定されていることを確認してください。このガイドのGUI を使用した静的エンド ポイントの設定セクションを参照してください。

    syslog サーバの IP は、DHCP (DHCP 中にオプション 61 が必要) またはスタティック設定を使用して取得できます。IP アドレスがインフラ ポート グループ内の他の EP と同じサブネットにあることを確認してください (テナント インフラの overlay-1 vrf)。

分散ファイアウォール フローの syslog メッセージ

ここでは、分散ファイアウォール フローの syslog メッセージの形式と例を示します。

  • 拒否されたフロー

    • 書式
      <Syslog Server timestamp>  < PRI = Facility*8 + Severity > <syslog version>  <Host timestamp> <Host IP>  <Application name (ave-dfwlog)> - AVE IP: <AVEIP> AVE Hostname <hostname> DFWLOG-DENY_FLOW - <Deny Reason> AVE UUID: <UUID>, Source IP: <Source IP address>, Destination IP: <Destination IP address> , Source Port: <Port number>, Destination Port: <Port Number>, Source Interface: <Interface name>, Protocol: "TCP"(6), Hit-Count = <Number of Occurrences>, EPG Name: <EPG Name>, EpP DN: <EpP DN>
    • 例 
      Thu Apr 21 14:36:45 2016 10.197.139.205 <62>1 2017-12-06T18:58:30.835 10.197.139.205 ave-dfwlog - AVE IP: 10.197.139.205  AVE Hostname localhost, DFWLOG-DENY_FLOW - SYN ACK ingress AVE UUID: 42094298-4996-60EF-CE86-E2B7FC70C2EC, Source IP: 54.0.0.5, Destination IP: 54.0.0.6, Source Port: 53535, Destination Port: 5555, Source Interface: 00:50:56:89:4d:3e, Protocol: "TCP"(6), Hit-Count = 1, EPG Name = Tenant1|AP-1|EPG-54, EpP DN: uni/epp/fv-[uni/tn-Tenant1/ap-AP-1/epg-EPG-54]

  • 許可されたフロー

    • 書式 

      <Syslog server timestamp> < PRI = Facility*8 + Severity> <syslog version> <Host timestamp> <Host IP>  <Application name (ave-dfwlog)> - AVE IP: <AVEIP> AVE Hostname <hostname> DFWLOG-PERMIT_FLOW -<flow status>  AVE UUID: <UUID>, Source IP: <Source IP address>, Destination IP: <Destination IP address>, Source Port: <Port Number>, Destination Port: <Port Number>, Source Interface: <Interface name>, Protocol: "TCP"(6), Age = <Age in seconds>, EPG Name: <EPG Name>, EpP DN: <EpP DN>
    • 例 
      Tue Apr 19 19:31:21 2016 10.197.139.205 <62>1 2017-12-06T18:45:13.458 10.197.139.205 ave-dfwlog - AVE IP: 10.197.139.205  AVE Hostname localhost, DFWLOG-PERMIT_FLOW - ESTABLISHED AVE UUID: 42094298-4996-60EF-CE86-E2B7FC70C2EC, Source IP: 54.0.0.5, Destination IP: 54.0.0.6, Source Port: 59846, Destination Port: 5001, Source Interface: 00:50:56:89:4d:3e, Protocol: "TCP"(6), Age = 0, EPG Name = Tenant1|AP-1|EPG-54, EpP DN: uni/epp/fv-[uni/tn-Tenant1/ap-AP-1/epg-EPG-54]

  • 短時間許可されたフロー

    • 書式 
      <Syslog Server timestamp>  < PRI = Facility*8 + Severity > <syslog version>  <Host timestamp> <Host IP>  <Application name (ave-dfwlog)> - AVE IP: <AVEIP> AVE Hostname <hostname> DFWLOG-PERMIT_SHORT_LIVED - <State of flow> AVE UUID: <UUID>, Source IP: <Source IP address>, Destination IP: <Destination IP address>, Source Port: <Port Number>, Destination Port: <Port Number>, Source Interface: <Interface Name>, Protocol: "TCP"(6), Timestamp = <Host Timestamp>, EPG Name: <EPG Name>, EpP DN: <EpP DN>
    • 例 
      Thu Apr 21 14:46:38 2016 10.197.139.205 <62>1 2017-12-06T18:59:37.702 10.197.139.205 ave-dfwlog - AVE IP: 10.197.139.205  AVE Hostname localhost, DFWLOG-PERMIT_SHORT_LIVED - CLOSED AVE UUID: 42094298-4996-60EF-CE86-E2B7FC70C2EC, Source IP: 54.0.0.5, Destination IP: 54.0.0.6, Source Port: 59847, Destination Port: 5001, Source Interface: 00:50:56:89:4d:3e, Protocol: "TCP"(6), Timestamp = 2017-12-06T18:59:37.702, EPG Name = Tenant1|AP-1|EPG-54, EpP DN: uni/epp/fv-[uni/tn-Tenant1/ap-AP-1/epg-EPG-54]

  • ICMP モニター フロー

    • 書式
      <Syslog server timestamp> < PRI = Facility*8 + Severity> <syslog version> <Host timestamp> <Host IP> <Application name (ave-dfwlog)> - AVE IP: <AVEIP> AVE Hostname <hostname>
DFWLOG-ICMP_TRACKING - AVE UUID: <UUID>, Source IP: <Source IP address>,
Destination IP: <Destination IP address>, Type:<ICMP type field>, Source Interface:
<Interface name>, Protocol: "ICMP"(1), Timestamp= <Host time stamp>, Direction: <Egress/Ingress>, EPG Name:<EPG Name>, EpP DN: <EpP DN>
    • 例
      2016-11-28 11:02:43	News.Info	10.197.139.205	2017-12-06T19:01:05.061 10.197.139.205 ave-dfwlog - AVE IP: 10.197.139.205  AVE Hostname localhost, DFWLOG-ICMP_TRACKING AVE UUID: 42094298-4996-60EF-CE86-E2B7FC70C2EC, Source IP: 54.0.0.5, Destination IP: 54.0.0.6, Icmp type and code: Echo request (8,0) Source Interface: 00:50:56:89:4d:3e, Protocol: "ICMP"(1), Timestamp = 2017-12-06T19:01:05.061, Direction: Ingress, EPG Name = Tenant1|AP-1|EPG-54, EpP DN: uni/epp/fv-[uni/tn-Tenant1/ap-AP-1/epg-EPG-54]

  • UDP モニター フロー

    • 書式
      UDP: 
<Syslog server timestamp> < PRI = Facility*8 + Severity> <syslog version> <Host timestamp> <Host IP> <Application name (ave-dfwlog)> - AVE IP: <AVEIP> AVE Hostname <hostname> DFWLOG-UDP_TRACKING - AVE UUID: <UUID>, Source IP: <Source IP address>, Destination IP: <Destination IP address>, Source Port: <Port Number>, Destination Port: <Port Number>, Source Interface: <Interface name>, Protocol: "UDP"(17), Timestamp=<Host timestamp>, Direction: <Egress/Ingress>, EPG Name: <EPG Name>
    • 例
      2016-11-28 11:00:23	News.Info	10.197.139.205	1 2017-12-06T19:01:46.785 10.197.139.205 ave-dfwlog - AVE IP: 10.197.139.205  AVE Hostname localhost, DFWLOG-UDP_TRACKING AVE UUID: 42094298-4996-60EF-CE86-E2B7FC70C2EC, Source IP: 55.0.0.253, Destination IP: 55.0.0.5, Source Port: 67, Destination Port: 68, Source Interface: 00:50:56:00:55:05, Protocol: "UDP"(17), Timestamp = 2017-12-06T19:01:46.785, Direction: Egress, EPG Name = Tenant1|AP-1|EPG-55, EpP DN: uni/epp/fv-[uni/tn-Tenant1/ap-AP-1/epg-EPG-55]

GUI を使用した静的エンド ポイントの設定

手順

ステップ 1

Cisco APIC にログインします。

ステップ 2

[Tenant infra] ナビゲーション ウィンドウで、[Application Profiles] > [access] > [Application EPGs] > [default]を開きます。

ステップ 3

[Static EndPoint] フォルダを右クリックし、[Create Static EndPoint] を選択します。

ステップ 4

[Create Static Endpoint] ダイアログボックスで、次の手順を実行します。

  1. [MAC] フィールドに、syslog サーバの宛先の MAC アドレスを入力します。

  2. [Type] 領域で、[tep] を選択します。

  3. [Path Type] 領域で、適切なパス タイプを選択します。

    パス タイプにより、リーフが syslog サーバの宛先に接続される方法が決定されます。リーフはポート、ダイレクト ポート チャネル、または仮想ポート チャネルによって接続できます。

  4. [Port] を [Path Type] として選択した場合には、[Node] ドロップダウンリストからノードを選択します。

  5. [Path] フィールドに適切なパスを入力します。

    パスにより、syslog サーバの宛先がアタッチされるポリシー グループが決定されます。

  6. [IP Address] フィールドに、syslog サーバの宛先の IP アドレスを入力します。

  7. [Encap] フィールドに、overlay-1 VLAN（vlan-xxix）を入力します。

  8. [Submit] をクリックします。

ステップ 5

syslog サーバの宛先から、10.0.0.30 などのオーバーレイ IP アドレスに ping します。

この手順によって、ファブリックは syslog サーバの宛先の IP アドレスを学習します。

GUI を使用した、分散ファイアウォール フロー情報のパラメータの設定

パラメータを設定するには、まず syslog サーバのパラメータを設定し、次に syslog ポリシーのパラメータを設定します。GUI では、syslog サーバは Remote Destination と呼ばれます。

始める前に

分散ファイアウォールを有効にしておく必要があります。

手順

ステップ 1

Cisco APIC にログインします。

ステップ 2

[Admin] > [External Data Collectors] に移動します。

ステップ 3

[External Data Collectors] ナビゲーション ウィンドウで [Monitoring Destinations] フォルダを展開し、[Syslog] フォルダを選択します。

ステップ 4

[Syslog] 作業ウィンドウで [ACTIONS] の下向き矢印をクリックし、[Create Syslog Monitoring Destination Group] を選択します。

ステップ 5

[Create Syslog Monitoring Destination Group STEP 1 > Profile] ダイアログボックスで、次の手順を実行します。

  1. [Define Group Name and Profile] 領域で、[Name] フィールドに名前を入力します。

  2. [Admin State] 領域で、ドロップダウン リストから [enabled] が選択されていることを確認します。

  3. 残りのダイアログ ボックスではデフォルトを受け入れて、[Next] をクリックします。

ステップ 6

[Create Syslog Monitoring Destination Group STEP 2 > Remote Destinations] ダイアログボックスで、[+] アイコンをクリックします。

ステップ 7

[Create Syslog Remote Destination] ダイアログボックスで、次の手順を実行します。

  1. [Host] フィールドに、ホストの IP アドレスを入力します。

  2. [Name] フィールドにホスト名を入力します。

  3. [Admin State] 領域で、[enabled] が選択されていることを確認します。

  4. [Format] 領域で、[aci] が選択されていることを確認します。

  5. [Severity] ドロップダウン リストから、重大度を選択します。

  6. 他のポートを使用している場合を除き、[Port] ドロップダウン リストから標準ポートを受け入れます。

  7. [Forwarding Facility] ドロップダウン リストから、ファシリティを選択します。

  8. [Management EPG] ドロップダウン リストを無視して、[OK] をクリックします。

ステップ 8

（オプション）[Create Syslog Monitoring Destination Group STEP 2 > Remote Destinations] ダイアログ ボックスで、最大 2 つの追加のリモート宛先を作成します。

ステップ 9

[Create Syslog Monitoring Destination Group STEP 2 > Remote Destinations] ダイアログボックスで、[FINISH] をクリックします。

新しく作成された宛先が、[External Data Collectors] ナビゲーション ウィンドウの [Syslog] フォルダに表示されます。
ステップ 10

Fabric > External Access Policies の順に選択します。

ステップ 11

[Policies] ナビゲーション ウィンドウで、[Polices] と [Interface] フォルダを開きます。

ステップ 12

次のいずれかの手順を実行します。

実行する操作 結果
新しい分散ファイアウォール ポリシーでの syslog ポリシーの設定

  1. [Firewall] フォルダを右クリックして [Create Firewall Policy] を選択します。

  2. [Create Firewall Policy] ダイアログボックスの [Specify the Firewall Policy Properties] 領域で、[Name] フィールドにポリシーの名前を入力します。

  3. [Mode] 領域で、モードを選択します。

    Release 5.2(1)SV3(1.5) 以前の Cisco AVS から Cisco ACI Virtual Edge に移行する場合には、分散ファイアウォールを [Learning] モードにしておく必要があります。これらのバージョンでは分散ファイアウォールをサポートしていません。

  4. [Syslog] 領域で、[Administrative State] ドロップダウン リストから [enabled] が選択されていることを確認します。

  5. [Included Flows] 領域で、[Permitted flows]、[Denied flows]、またはその両方を選択します。

  6. [Polling Interval (seconds)] 領域で、60 秒から 24 時間の間隔を選択します。

  7. [Log Level] ドロップダウン リストから、重大度レベルを選択します。

    ロギング重大度レベルは、syslog サーバに定義された重大度レベルと同じか、それ以上である必要があります。重大度については、このガイドの分散ファイアウォールのフロー情報のパラメータ設定を参照してください。

  8. [Dest Group] ドロップダウン リストから、作成したばかりの宛先グループを選択します。

  9. [Submit] をクリックします。

  10. [What To Do Next] セクションに移動し、VMM ドメインに新しい分散ファイアウォール ポリシーを関連付けます。

既存の分散ファイアウォール ポリシーでの syslog ポリシーの設定

  1. [Firewall] フォルダを展開し、変更する分散ファイアウォール ポリシーを選択します。

  2. ポリシー作業ペインで、必要に応じて [Mode] を変更します。

    Release 5.2(1)SV3(1.5) 以前の Cisco AVS から Cisco ACI Virtual Edge に移行する場合には、分散ファイアウォールを [Learning] モードにしておく必要があります。これらのバージョンでは分散ファイアウォールをサポートしていません。

  3. [Syslog] 領域で、[Administrative State] ドロップダウン リストから [enabled] が選択されていることを確認します。

  4. [Included Flows] 領域で、[Permitted flows]、[Denied flows]、またはその両方を選択します。

  5. [Polling Interval (seconds)] 領域で、60 秒から 24 時間の間隔を選択します。

  6. [Log Level] ドロップダウン リストから、重大度レベルを選択します。

    ロギング重大度レベルは、syslog サーバに定義された重大度レベルと同じか、それ以上である必要があります。重大度については、このガイドの分散ファイアウォールのフロー情報のパラメータ設定を参照してください。

  7. [Dest Group] ドロップダウン リストから、作成したばかりの宛先グループを選択します。

  8. [Submit] をクリックします。

  9. [Policy Usage Warning] ダイアログ ボックスが表示された場合は、[SUBMIT CHANGES] をクリックします。

次のタスク

新しい分散ファイアウォール ポリシーで syslog ポリシーを設定した場合、VMM ドメインにその分散ファイアウォール ポリシーを関連付ける必要があります。

  1. Cisco APIC で、[Virtual Networking] > [Inventory] を選択します。

  2. ナビゲーション ウィンドウで、[VMM Domains] フォルダと [VMware] フォルダを展開し、関連する VMM ドメインを選択します。

  3. 作業ウィンドウで、[VSwitch Policy] タブ ([Policy] タブの下) をクリックします。

  4. [Create VSwitch Policy Container] ダイアログボックスで、[Yes] をクリックします。

  5. 作業ウィンドウで、[Firewall Policy] ドロップダウン リストから、ポリシーを選択します。

  6. [Submit] をクリックします。

  7. [Policy Usage Warning] ダイアログ ボックスが表示された場合は、[SUBMIT CHANGES] をクリックします。

NX-OS スタイルの CLI を使用した分散ファイアウォールのフロー情報のパラメータの設定

手順

ステップ 1

syslog サーバ（複数可）のパラメータを設定します。

例:

apic1# configure  
apic1(config)# logging server-group  group name 
apic1(config-logging)# server  IP address severity  severity level facility  facility name  port 1-65535 mgmtepg  MgmtEpg

追加の syslog サーバのために最後のコマンドを繰り返すことができ、最大 3 つの syslog サーバを設定できます。

ステップ 2

syslog 送信元のパラメータを設定します。

例:

apic1# configure  
apic1(config)#  vmware-domain Direct-AVE  
apic1(config-vmware)#  configure-ave  
apic1(config-vmware-ave)# firewall mode enabled  
apic1(config-vmware-ave)# firewall-logging  server-group  group name action-type permit, deny  severity  severity polling-interval  60-86400
（注）   
firewall-logging コマンドを入力する前に、firewall mode enabled コマンドを入力する必要があります。
（注）   
firewall-logging コマンドには、permit または deny のいずれかを入力できます。また、カンマで区切って両方を入力することもできます。

REST API を使用した分散ファイアウォール フロー情報のパラメータの設定

手順

ステップ 1

XML API を使用してアプリケーションを展開するには、次の HTTP POST メッセージを送信します。

例:

POST https://10.197.139.36/api/node/mo/uni/fabric/slgroup-Syslog-Servers.xml
ステップ 2

syslog サーバ（複数可）のパラメータを設定します。

例:

<syslogGroup descr="" dn="uni/fabric/slgroup-Syslog-Servers" format="aci" name="Syslog-Servers" nameAlias="">
	<syslogRemoteDest adminState="enabled" descr="" format="aci" forwardingFacility="local7" host="10.197.139.216" name="10.197.139.216" nameAlias="" port="1514" severity="debugging">
		<fileRsARemoteHostToEpg tDn="uni/tn-mgmt/mgmtp-default/oob-default"/>
	</syslogRemoteDest>
	<syslogProf adminState="enabled" descr="" name="syslog" nameAlias=""/>
	<syslogFile adminState="disabled" descr="" format="aci" name="" nameAlias="" severity="information"/>
	<syslogConsole adminState="disabled" descr="" format="aci" name="" nameAlias="" severity="alerts"/>
</syslogGroup>

分散ファイアウォール フローの数

Cisco APIC で分散ファイアウォール フローの数を表示できます。

Cisco ACI Virtual Edge では分散ファイアウォール フロー情報が収集されますが、それらを表示するには、必要な統計情報を選択する必要があります。10 秒から 1 年までのサンプリング間隔を選択できますが、デフォルトは 5 分です。

選択した統計情報は、Cisco APIC の 2 つの異なる場所で表示できます。Virtual Networking で始まるものと、Tenants で始まるものです。ただし、統計情報を選択および表示する手順は同じです。

Cisco APIC で統計情報を選択すると、さまざまなタイプの統計情報のリストが表示されますが、分散ファイアウォールに関連するのは 9 つだけです。

  • 期限切れの接続（接続）

  • 作成した接続（接続）

  • 中断された接続（接続）

  • 拒否されたグローバル入力接続（接続）

  • ポート制限当たりの拒否された接続（接続）

  • 無効な SYN ACK パケット（パケット）

  • 無効な SYN パケット（パケット）

  • 無効な接続パケット（パケット）

  • 無効な ftp SYN パケット（パケット）

分散ファイアウォールについて表示する統計情報の選択

始める前に

分散ファイアウォールを有効にしておく必要があります。

手順

ステップ 1

[Virtual Networking] > [Inventory] > [VMM Domains] > [VMware] > [VMM_name] > [Controllers] > [controller instance name] > [DVS-VMM name] > [Portgroups] > [EPG_name] > [Learned Point MAC address (Node)] を選択します。

ステップ 2

[Stats] タブをクリックします。

ステップ 3

チェック マークが付いたタブをクリックします。

ステップ 4

[Select Stats] ダイアログボックスで、表示する統計情報を [Available] ペインでクリックし、右向き矢印をクリックして、それらを [Selected] ペインに移動します。

ステップ 5

(オプション)サンプリング間隔を選択します。

ステップ 6

[送信（Submit）] をクリックします。

分散ファイアウォールの統計情報の表示

分散ファイアウォールの統計情報を選択したら、それらを確認できます。

始める前に

分散ファイアウォールについて表示する統計情報を選択しておく必要があります。

手順

ステップ 1

[Virtual Networking] > [Inventory] > [VMware] > [VMM Domains] > [VMM_name] > [Controllers] > [controller instance name] > [DVS-VMM name] > [Portgroups] > [EPG_name] > [Learned Point MAC address (Node)] を選択します。

ステップ 2

[Stats] タブをクリックします。

中央のウィンドウに、先ほど選択した統計情報を表示します。作業ウィンドウの左上で、テーブル ビュー アイコンやチャート ビュー アイコンをクリックして、ビューを変更できます。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ