米国国立標準技術研究所（NIST）の Special Publication 800-145 に従って、3 つのクラウド サービス モデルが一般的に使用できます。

• Software as a Service（SaaS）

• サービスとしてのプラットフォーム（PaaS）

• Infrastructure as a Service（IaaS）

次の図では、最も重要なスタック コンポーネント、クラウド プロバイダーと使用者間の責任の範囲、これらのサービスを利用しているコンシューマを強調して、サービス モデルの例が表されています。

SaaS モデルは、最もレベルの高い抽象化と簡素化を実現します。インフラストラクチャからアプリケーション レベルに至るまで、「サービス」スタック全体がクラウド サービス プロバイダーによって提供されます。お客様として、ユーザ Web インターフェイスまたはアプリケーション プログラミング インターフェイス（API）からサービスに直接アクセスします。その一方で、使用者は基盤となるクラウド インフラストラクチャの管理と制御を行いません。Cisco Meraki ではこのモデルが活用されています。

PaaS モデルでは、クラウド サービス プロバイダーが、お客様が独自のアプリケーションを実行するために必要なプラットフォームのすべてのコンポーネントを提供します。これには、基盤となるクラウド インフラストラクチャのネットワーキングとセキュリティに加えて、データベースやモニタリング ツールなどのサービスが含まれます。

最後の IaaS モデルでは、コンピューティング リソース、ストレージおよびネットワー キング コンポーネント（ルータやファイアウォールなど）が提供され、アプリケーションとサービスの導入はお客様が行います。このモデルの場合、お客様は最高レベルの制御と高い柔軟性を確保できますが、ある一定の統合作業が必要になります。クラウド上では Catalyst 9800 ワイヤレス コントローラ向けに IaaS モデルが選択されます。

クラウド向け Cisco Catalyst 9800 で選択されるパブリック クラウド モデルは、Infrastructure as a Service（IaaS）です。つまり、お客様はネットワーキング、コンピューティング、セキュリティ インフラストラクチャの提供についてはパブリック クラウド ベンダーに依頼できますが、C9800 はクラウドでの仮想マシンとして完全に管理および制御することになります。

お客様が IaaS モデルを使用してクラウドへの C9800 の導入を検討すべき主な理由は次の 2 つです。

1. パブリック クラウドの利点の活用

2. 通常はオンプレミスのコントローラで実現されるカスタマイズと制御の維持

パブリック クラウドの採用には多くの利点がありますが、ここでは C9800 で最も重要となるポイントをご紹介します。

• 機敏性：AWS で C9800 インスタンスを生成するには数分しかかかりません。その後は、ワイヤレス コントローラを起動して新機能をテストし、完了するプロセスを非常に簡単に実行できます。

• 拡張性：パブリック クラウドには物理的な制限がないため、追加の AP またはクライアントの要件が増大するにしたがって、新しいインスタンスを追加できます。

• グローバルな占有領域：遅延だけでなくセキュリティおよびプライバシー ポリシーにとっても重要です。パブリック クラウド プロバイダーにはそのようなグローバルな占有領域があるため、AP を設置する任意の場所から 50 ミリ秒未満でクラウド内の C9800-CL に到達できます。お客様によっては、ユーザのデータおよびトラフィックを特定のリージョン内に留める必要性を定めた厳格なセキュリティ ポリシーを適用しています。したがって、パブリック クラウド プロバイダーは地理的地域ごとにデータ センターを用意しています。

• コスト効率：データセンターの占有領域とインフラストラクチャのコストを軽減します。設備投資（先行投資）モデルから運用コスト（従量制）モデルに移行します。

お客様にとっては、実行するソフトウェア イメージ、オンまたはオフにする機能、適用する設定など、Catalyst ワイヤレス コントローラの構成を完全に制御することが可能になります。この点では、オンプレミスでのワイヤレス コントローラの導入と同じです。

IaaS モデルを使用して導入し、クラウド内で独自のインスタンスを管理します。つまり、お客様は、クラウド インフラストラクチャとの C9800 の統合をさらに行います。次に、重要なクラウド ネットワーキングの概念を紹介し、AWS で C9800-CL を導入する方法について説明します。

パブリック クラウドに C9800-CL を導入するには、リージョン、可用性ゾーン、VPC などの新しい概念を十分に理解する必要があります。このガイドの目的は、これらの概念を簡単に説明し、利用可能な AWS ドキュメントを使用してユーザが再確認できるようにすることです。

AWS コンソール（https://console.aws.amazon.com）の初回ログイン時に、インスタンスをインストールするリージョンを選択する必要があります。リージョンとは、世界中にある分散型データ センターの場所です。各リージョンは独立していて分離されています。AWS では、次に示す世界中の 15 の異なるリージョンを利用できます（前述のグローバルな占有領域の利点）。

ユーザは AP を導入する場所に最も近いリージョンを選択します。

リージョン内に可用性ゾーンがあります。これらはリージョン内にある耐障害性エリアで、すべて相互接続されています。インスタンスの起動時に、可用性ゾーンを選択することも、AWS で自動選択することもできます。ここでは、リージョンと可用性ゾーンをわかりやすく視覚化しています。

もう 1 つの重要な概念は、仮想プライベート クラウド（VPC）です。これはクラウド内のプライベート ネットワークを表します。オンプレミス ネットワークをクラウドに拡張したものです。すべてのリージョンにデフォルト VPC があり、C9800-CL を導入する際は、デフォルト VPC を使用するか、カスタム VPC を作成することができます。カスタム VPC を作成すると、サブネット、ゲートウェイ、セキュリティ グループなど、ネットワーキングのすべての部分を定義できるため、総合的な柔軟性が確保されます。

VPC を定義した後は、VPC 内でサブネットを作成してこれらのネットワーク間のルートを定義し、さらに VPC のインスタンスにアクセスするためのセキュリティ ルールを指定できます。これがパブリック クラウド内のプライベート ネットワークです。VPC の詳細については、AWS のドキュメントを参照してください。

https://docs.aws.amazon.com/vpc/latest/userguide/getting-started-ipv4.html

この最初のリリース（16.10）で Cisco Cloud ワイヤレス LAN コントローラがサポートしている導入シナリオでは、Managed VPN を介してお客様のエンタープライズ ネットワークに接続された AWS 仮想プライベート ネットワーク（VPC）で C9800-CL を使用します。VPN は、AWS ゲートウェイ ルータ、またはお客様が採用している AWS ベースのルータ（Cisco CSR クラウド ルータなど）で終端できます。

企業の DC からの VPN トンネルを確立し、すべての AP ロケーションで C9800-CL へのアクセスに VPN トンネルを利用するか、各 AP ロケーション（支店など）でクラウドへの VPN トンネルを確立する必要があります。

次のセッションで説明するように、AWS 提供の VPN ゲートウェイへの VPN トンネルは簡単に確立できます。ただし、いくつかの制限があります。サポートされるリモート VPN 接続は 10 のみで、IPSEC トンネルのみがサポートされます。

VPN の他のオプション（IPSec、DMVPN、FlexVPN、GETVPN、EZVPN）および大規模な導入が必要な場合は、Cisco CSRv ルータを VPN 終端の代替として使用できます。詳細： https://www.cisco.com/c/en/us/td/docs/routers/csr1000/software/aws/b_csraws.html

トンネルが確立されると、C9800-CL は VPC のプライベート サブネットの IP アドレスを取得します。このサブネットは、AP が存在するオンプレミス ネットワークにルーティングされる必要があります。前述のように、VPC はオンプレミス ネットワークを拡張したものにすぎないため、適切なルーティングを確立する必要があります。次に簡単な例を示します。

この例に示す VPC サブネットは 10.10.10.0/24 です。VPN-GW 経由でルーティングされて AP サブネット（10.100.0.0/24）に到達します。クラウド ネット ワーキングに関する重要な考慮事項は次のとおりです。

• パブリック クラウド内のすべてのインターフェイスはレイヤ 3 です。トランク インターフェイスの概念はありません。

• パブリック クラウド IP の割り当ては、DHCP を使用して行われます。お客様はコントローラのインスタンスに割り当てる IP を決定できますが、その場合も DHCP を使用します。

• AWS の Catalyst 9800 クラウド ワイヤレス コントローラでは、1 つのインターフェイスのみの導入がサポートされます。これは、デバイス管理/サービス インターフェイスとワイヤレス管理インターフェイスが同じであることを意味します。

• FCS では、AP の初回接続時（初回のみ）に、ダウンロード時間が通常（W2 AP で 30 ～ 40 分）よりも長くなる可能性があります。これは、VPN トンネルが小さいサイズの MTU を採用するためです。

ワイヤレス コントローラのインスタンスをパブリック クラウドで展開するため、クライアント トラフィックは AP の配置場所に対してローカルに維持することが理にかなっています。また、AP の動作モードを決める際は、パブリック インターネットに起因する遅延を考慮する必要があります。

これらの理由から、AWS クラウドの C9800-CL でサポートされる AP 導入モードは、Flex 中央認証と、IPv4 および IPv6 クライアントのローカル スイッチング（クラウド コントローラへのリンクが利用できなくなった場合はローカル認証にフォールバックする）のみです。

AAA サーバはオンプレミスと想定されるため、検証されている設定でありサポート対象です。

これは、クライアントを完全認証するために次のような高レベルのトラフィック フローが発生することを意味します。

1. EAP トラフィックが AP によって受信されて WLC に送信される

2. WLC が ISE/AAA との Radius 通信を行う

3. ISE が認証結果で応答する

4. WLC が AP に応答を送信する

5. AP がクライアントに認証フレームをリレーする

6. AP でトラフィックがローカルにスイッチされる

高速ローミングがサポートされている場合（802.11r など）は、ネットワークに対して初めてクライアントが認証されるときにのみこの交換が行われます。後続のローミングはすべて AP でローカルに処理されるため、AAA サーバと通信する必要はありません。

デバイスで低速ローミングのみがサポートされている場合、前述のフローが各ローミングで発生します。

（注）	これは FlexConnect 導入であるため、WAN/インターネットに関する推奨事項と要件が同様に適用されます。詳細については、Flex 導入ガイドを参照してください。 https://www.cisco.com/c/en/us/td/docs/wireless/controller/technotes/8-7/Flex_7500_DG.html#pgfId-43317

パブリック クラウド内の C9800-CL でサポートされる高可用性（HA）は、AP を登録するプライマリ コントローラ、セカンダリ コントローラ、およびオプションのターシャリ コントローラをユーザが定義する N+1 可用性です。

すべての SSID に FlexConnect ローカル スイッチングが設定されているため、プライマリ コントローラで障害が発生しても、N+1 HA によってネットワークのダウンタイムが回避されます。AP は既存のクライアント接続を維持したままスタンドアロン モードに移行し、セカンダリ コントローラに接続します。

冗長性を確保するために、セカンダリ コントローラを別の可用性ゾーンでインスタンス化することを推奨します。これは、異なるサブネットにセカンダリ コントローラを展開してサブネットを異なる可用性ゾーンに割り当てることで実現できます。その後、AP のプライマリ/セカンダリを設定する必要があります。

この設定は、サイト タグとサイト タグ内の参加プロファイル設定を使用してロケーション レベルで行うことができます。

または AP で直接設定することもでき、この場合はターシャリ コントローラを定義することも可能です。

Cisco Catalyst 9800 ワイヤレス コントローラは、統合された Web グラフィカル ユーザ インターフェイス（GUI）とプログラム可能なインターフェイスの両方で管理できます。

GUI には、ボックスの初期設定を簡単にする DAY 0 インターフェイスと、他のすべての可能な設定に使用できる直感的な DAY 1 インターフェイスがあります。Catalyst 9800 ワイヤレス コントローラでは、次の 2 つのガイド付き設定ワークフローを利用できます。

• 基本：設定の詳細を省いて、指示に沿って 3 つの簡単な手順でリモートまたはローカル サイトを作成できるインテント ベースの設定フローです。

• 詳細：関連するすべての構成要素（プロファイルとタグ）を設定できるガイド付きワークフローです。

C9800-CL は、標準的な方法で管理できるようにする NETCONF インターフェイスを追加設定なしでサポートします。YANG データ モデルは、設定およびストリーミング テレメトリに利用できるデータを定義します。Catalyst 9800 シリーズのプログラマビリティの詳細については、関連する導入ガイドを参照してください。

Cisco Catalyst 9800 の Amazon マシン イメージ（AMI）の起動は、AWS Marketplace から直接実行します。Cisco Catalyst 9800 は、Amazon VPC インスタンス内の Amazon EC2 インスタンスに導入されます。

クラウド向け Cisco Catalyst 9800 ワイヤレス コントローラの初回リリースでは、次のインスタンス タイプがサポートされます。

• C5.xlarge：4 つの vCPU、8 GB の RAM、1 つの vNIC を備えた 8 GB のディスク

割り当てられたリソースを使って、インスタンスを 1,000 の AP と 10,000 のクライアントにスケーリングできます。

AWS 向けの Cisco Catalyst 9800 ワイヤレス コントローラは、ライセンス持ち込み（BYOL）AMI モデルを使用して AWS Marketplace で Amazon Machine Image（AMI）として購入および起動します。AWS に C9800-CL を導入した後は、スマート ライセンス モデルを使用して AP の DNA サブスクリプション ライセンスを購入する必要があります。

AWS Marketplace から Cisco Catalyst 9800 を起動するときに、暗号化された Elastic Block Storage（EBS）を選択することはできません。ただし、暗号化された Elastic Block Storage を使用する AMI の作成手順を実行できます。このプロセスの概要は次のとおりです。

• AWS Marketplace から Cisco Catalyst 9800 インスタンスを作成する

• この Cisco Catalyst 9800 インスタンスのスナップショットを作成する

• スナップショットに基づいてプライベート AMI を作成する

• プライベート AMI を新しい AMI にコピーし、[Encrypt target EBS snapshots] を選択する

FCS で AWS パブリック クラウド内の C9800-CL をスピンアップする方法は 3 つあります。

• CloudFormation テンプレートを使用して AWS Marketplace から C9800-CL インスタンスを起動する

• AMI を使用して AWS Marketplace から C9800-CL インスタンスを起動する

• AWS コンソールから C9800-CL インスタンスを起動する

AWS コンソールを使って各設定パラメータを手動で制御する手順から、CloudFormation テンプレートを使用する完全なガイド付きフローまで、さまざまなプロセスが用意されているため、それぞれの要件を満たす最適な方法を選択できます。

前述したように、FCS で新しいコントローラのクラウドへの導入モードとしてサポートされるのは、Managed VPN のみです。これは、AP のオンプレミス ロケーションと AWS クラウド内にある VPC 間の VPN トンネルが安定している必要があることを意味します。

したがって、AWS パブリック クラウド内の Catalyst 9800 ワイヤレス コントローラを起動する手順の前に、この VPN トンネルを作成するために必要な手順について説明します。

VPC がすでに作成されている必要があります。作成していない場合はデフォルト VPC を使用できます。VPC の設定方法の詳細については、次の URL を参照してください。 https://docs.aws.amazon.com/vpc/latest/userguide/getting-started-ipv4.html

1. 社内ネットワークから VPC への Managed VPN 接続が作成されている

2. VPC が C9800 ワイヤレス管理インターフェイス向けに目的のサブネットで作成されている

3. C9800 CloudFormation テンプレート。CloudFormation テンプレートは起動手順で自動的に統合されるため、手動で扱う必要はありません。必要に応じて、製品の AWS Marketplace ページから CloudFormation テンプレート ファイルをダウンロードして確認することもできます。

4. 目的の 9800 ソフトウェア リリース用の Amazon マシン インスタンス ID（AMI-ID）。AMI は AWS Marketplace で入手できます。

5. キー ペアがない場合は、EC2 ダッシュボードで [Network & Security] > [Key pairs] に移動し、[Create Key Pair] をクリックしてキー ペアを作成します。

   

1. 社内ネットワークから VPC への Managed VPN 接続が作成されている

2. VPC が C9800 ワイヤレス管理インターフェイス向けに目的のサブネットで作成されている

3. C9800 CloudFormation テンプレート。CloudFormation テンプレートは起動手順で自動的に統合されるため、手動で扱う必要はありません。必要に応じて、製品の AWS Marketplace ページから CloudFormation テンプレート ファイルをダウンロードして確認することもできます。

4. 目的の 9800 ソフトウェア リリース用の Amazon マシン インスタンス ID（AMI-ID）。AMI は AWS Marketplace で入手できます。

5. キー ペアがない場合は、EC2 ダッシュボードで [Network & Security] > [Key pairs] に移動し、[Create Key Pair] をクリックしてキー ペアを作成します。

   

1. 社内ネットワークから VPC への Managed VPN 接続が作成されている

2. VPC が C9800 ワイヤレス管理インターフェイス向けに目的のサブネットで作成されている

3. C9800 CloudFormation テンプレート。CloudFormation テンプレートは起動手順で自動的に統合されるため、手動で扱う必要はありません。必要に応じて、製品の AWS Marketplace ページから CloudFormation テンプレート ファイルをダウンロードして確認することもできます。

4. 目的の 9800 ソフトウェア リリース用の Amazon マシン インスタンス ID（AMI-ID）。AMI は AWS Marketplace で入手できます。

5. キー ペアがない場合は、EC2 ダッシュボードで [Network & Security] > [Key pairs] に移動し、[Create Key Pair] をクリックしてキー ペアを作成します。

   

この時点で、クラウドで C9800 ワイヤレス コントローラを使用する準備ができています。 https://<ワイヤレス管理インターフェイスの IP> にアクセスして DAY 0 GUI を起動するか、ボックスに ssh 接続できます。IP は、AWS によって自動的に割り当てられたプライベート IP か、ユーザが CloudFormation テンプレートまたは AWS コンソールで予約したプライベート IP です。

ssh 接続には、次の 2 つの方法があります。

1. インスタンスの作成時に指定したユーザ名とパスワードを使用する

2. .pem ファイルを使用して証明書で認証する

   • chmod 400 <file>.pem

   • issh -i “file name.pem” ec2-user@<c9800-CL IP>

（注）	パブリック IP でインスタンスに到達できるようにする場合は、上記の「AWS VPN ルータを使用した VPN 接続の確立」で説明したように、VPC ルート テーブルにデフォルト ルートが含まれている必要があります。セキュリティ グループがパブリック IP で目的のプロトコルのみを許可することを確認してください。