ハイ アベイラビリティ


(注)  


簡素化と一貫性を実現するために、Cisco SD-WAN ソリューションは Cisco Catalyst SD-WAN としてブランド名が変更されました。さらに、Cisco IOS XE SD-WAN リリース 17.12.1a および Cisco Catalyst SD-WAN リリース 20.12.1 以降、次のコンポーネントの変更が適用されます。Cisco vManage から Cisco Catalyst SD-WAN Manager への変更、Cisco vAnalytics から Cisco Catalyst SD-WAN Analytics への変更、Cisco vBond から Cisco Catalyst SD-WAN Validator への変更、Cisco vSmart から Cisco Catalyst SD-WAN コントローラへの変更、および Cisco コントローラから Cisco Catalyst SD-WAN 制御コンポーネントへの変更。すべてのコンポーネントブランド名変更の包括的なリストについては、最新のリリースノートを参照してください。新しい名前への移行時は、ソフトウェア製品のユーザーインターフェイス更新への段階的なアプローチにより、一連のドキュメントにある程度の不一致が含まれる可能性があります。


高可用性とは、すべてのネットワークサービスが障害に対して十分な復元力を備えていることを意味します。このようなソリューションは、機能、設計、およびベストプラクティスを使用してダウンタイムの潜在的な原因に対処することで、ネットワークリソースへの継続的なアクセスを提供することを目的としています。Cisco Catalyst SD-WAN 高可用性ソリューションのコアは、次の 3 つの要素を組み合わせて実現されます。

  • 機能的ハードウェアデバイスの冗長性。基本戦略は、冗長ハードウェアデバイスをインストールしプロビジョニングすることと、ハードウェアで冗長コンポーネントをインストールしプロビジョニングすることからなります。これらのデバイスは、Datagram Transport Layer Security(DTLS)接続のセキュアなコントロール プレーン メッシュによって接続されます。これにより、デバイスに障害が発生したり、使用できなくなったりした場合に迅速なフェールオーバーが可能になります。Cisco Catalyst SD-WAN コントロールプレーンの主な機能は、 Cisco IOS XE Catalyst SD-WANデバイスとこのソフトウェア自体によって自動的に確立および維持されることです。

  • 堅牢なネットワーク設計。

  • ソフトウェアメカニズムにより、障害からの迅速な回復が確実に実行されます。復元力のあるコントロールプレーンを提供するために、Cisco Catalyst SD-WAN オーバーレイ管理プロトコル(OMP)では、ネットワーク内のすべての Cisco IOS XE Catalyst SD-WAN デバイスのステータスを定期的にモニターし、デバイスがネットワークに出入りする際に、トポロジの変更に合わせて自動的に調整します。データプレーンの復元力を実現するために、Cisco Catalyst SD-WAN ソフトウェアは、ルータ間のセキュアな IPsec トンネル上で動作する標準的なプロトコルメカニズムである Bidirectional Forwarding Detection(BFD)を導入します。

​​障害からのリカバリは、障害を検出してから修復または回復するまでにかかる時間の関数です。Cisco Catalyst SD-WAN ソリューションは、ネットワークの障害を検出する時間を制御する機能を提供します。ほとんどの場合、障害の修復はごく短時間で完了します。

高可用性のハードウェアサポート

ネットワーク設定における標準的なベストプラクティスは、すべてのレベルで冗長ハードウェアをインストールすることです。これには、二重化された並列ルータやその他のシステム、冗長ファン、電源、およびこれらのデバイスに搭載される他のハードウェアコンポーネント、およびバックアップネットワーク接続が含まれます。Cisco Catalyst SD-WAN ソリューションでの高可用性の提供も例外ではありません。ハードウェア障害が発生した場合の復元力を備えたネットワーク設計には、冗長 Cisco SD-WAN ValidatorCisco SD-WAN コントローラ、ルータ、および使用可能な冗長ハードウェアコンポーネントを含める必要があります。

Cisco Catalyst SD-WAN オーバーレイネットワークのハードウェアコンポーネントが陥った全面的な障害からの回復は、他のネットワークと基本的に同じ方法で実行されます。バックアップコンポーネントは事前設定されており、必要なすべての機能を単独で実行できます。

堅牢なネットワーク設計

ハードウェアコンポーネントの単純な重複に加えて、障害に直面した場合に備えた堅牢なネットワークを設計するためのベストプラクティスに従うことで、Cisco Catalyst SD-WAN ネットワークの高可用性を強化できます。このようなネットワーク設計では、冗長コンポーネントが可能な限りネットワーク全体に分散されます。設計プラクティスには、冗長な Cisco SD-WAN Validator および Cisco SD-WAN コントローラ を地理的に分散させて配置し、それらを異なるトランスポートネットワークに接続することが含まれます。同様に、ローカルサイトのルータは、異なるトランスポートネットワークに接続でき、異なる NAT および DMZ を介してこれらのネットワークに到達できます。

高可用性のソフトウェアサポート

障害発生時の高可用性と復元力に関する Cisco Catalyst SD-WAN ソフトウェアサポートは、標準の DTLS プロトコルと独自の Cisco Catalyst SD-WAN オーバーレイ管理プロトコル(OMP)を使用するコントロールプレーンと、業界標準プロトコル BFD、BGP、OSPF、VRRP を使用するデータプレーンの両方で提供されます。

高可用性のコントロール プレーン ソフトウェア サポート

Cisco Catalyst SD-WAN コントロールプレーンは、冗長コンポーネントと連携して動作し、コンポーネントの 1 つに障害が発生した場合にオーバーレイネットワークの復元力が確実に維持されるようにします。コントロールプレーンは、シスコデバイス間の DTLS 接続を使用して構築され、Cisco Catalyst SD-WAN OMP プロトコルによってモニターされます。OMP プロトコルは、Cisco SD-WAN コントローラ とルータのペア間、および Cisco SD-WAN コントローラ のペア間でピアリングセッション(BGP ピアリングセッションと同様)を確立します。これらのピアリングセッションにより、OMP はシスコデバイスのステータスをモニターし、デバイス間で情報を共有できるため、ネットワーク内の各デバイスがオーバーレイネットワークの一貫したビューを取得できます。OMP ピアリングセッションでのコントロールプレーン情報の交換は、Cisco Catalyst SD-WAN 高可用性ソリューションの重要な要素です。

  • Cisco SD-WAN コントローラ は、Cisco SD-WAN Validator またはルータがネットワークに参加したとき、またはネットワークから離れたときに、迅速かつ自動的に状況を確認します。その後、ルータに送信するルート情報に必要な変更を迅速に加えることができます。

  • Cisco SD-WAN Validator は、デバイスがネットワークに参加したときと Cisco SD-WAN コントローラ コントローラがネットワークから離れたときに、迅速かつ自動的に状況を確認します。その後、ネットワークに参加しているルータに送信する Cisco SD-WAN コントローラ IP アドレスのリストに必要な変更をすばやく加えることができます。

  • Cisco SD-WAN Validator は、ドメインに複数の Cisco SD-WAN コントローラ コントローラがある場合に状況を確認し、ネットワークに参加するルータに複数の Cisco SD-WAN コントローラ アドレスを提供できます。

  • Cisco SD-WAN コントローラ は、他の Cisco SD-WAN コントローラ の存在を把握し、すべてがルートテーブルを自動的に同期します。1 つの Cisco SD-WAN コントローラ で障害が発生すると、残りのシステムがコントロールプレーンの管理をそのまま自動的に引き継ぐため、ネットワーク内のすべてのルータが、残りの Cisco SD-WAN コントローラ から最新の一貫したルーティングおよび TLOC の更新を受信し続けます。

次に、ネットワークの高可用性をサポートするために、各 Cisco Catalyst SD-WAN ハードウェアデバイスによって提供される冗長性について説明します。

コントロールプレーンでの障害からの回復

ハードウェアコンポーネントの冗長性と Cisco Catalyst SD-WAN コントロールプレーンのアーキテクチャの組み合わせにより、可用性の高いネットワークが実現します。このネットワークは、冗長コントロール プレーン コンポーネントの 1 つで障害が発生しても中断することなく正常に動作し続けます。Cisco SD-WAN コントローラCisco SD-WAN Validator、またはオーバーレイネットワークに含まれる Cisco Catalyst SD-WAN ルータの全面的な障害からの回復は、ネットワーク上の通常のルータまたはサーバーで発生した障害からの回復と基本的に同じ方法で行われます。事前設定されたバックアップコンポーネントは、必要なすべての機能を単独で実行できます。

Cisco Catalyst SD-WAN ソリューションでは、ネットワークデバイスに障害が発生したときに、冗長デバイスが存在する場合、ネットワーク動作は中断することなく継続します。これは、すべてのシスコデバイス、Cisco SD-WAN ValidatorCisco SD-WAN コントローラ、およびルータに当てはまります。この動作を導入するためのユーザー設定は必要ありません。自動的に実行されます。シスコデバイス間で実行される OMP ピアリングセッションにより、すべてのデバイスにネットワークトポロジの最新かつ正確なビューが表示されることが保証されます。

これから障害回復についてデバイスごとに説明します。

高可用性のデータ プレーン ソフトウェア サポート

データプレーンの復元力を高めるため、Cisco Catalyst SD-WAN ソフトウェアには標準的な BFD プロトコルが導入されています。BFD プロトコルは、ルータ間のセキュアな IPsec 接続で自動的に動作します。これらの IPsec 接続は、データプレーンとデータトラフィックに使用され、コントロールプレーンで使用される DTLS トンネルから独立しています。BFD は、ルータ間の接続障害を検出するために使用されます。データトンネルで発生したデータの損失や遅延を測定して、接続の両端にあるデバイスのステータスを判断します。

BFD は、Cisco IOS XE Catalyst SD-WAN デバイス および Cisco vEdge デバイス 間のすべての接続でデフォルトで有効になっています。BFD は Hello パケットを定期的に(デフォルトでは 1 秒ごとに)送信して、セッションがまだ動作しているかどうかを判断します。特定の数の Hello パケットが受信されない場合、BFD はリンクに障害が発生したと見なし、BFD セッションを停止します(デフォルトのデッドタイムは 3 秒です)。BFD セッションがダウンすると、その IPSec トンネル上のネクストホップを指すルートは転送テーブル(FIB)から削除されますが、ルートテーブル(RIB)には引き続き存在します。

Cisco Catalyst SD-WAN ソフトウェアで、Hello パケットとデッドタイム間隔を調整できます。BFD リンクの両端でタイマーが異なる場合、BFD は低い方の値を使用するようにネゴシエートします。

アフィニティを使用したネットワーク拡張の管理

Cisco Catalyst SD-WAN オーバーレイネットワークでは、すべての Cisco IOS XE Catalyst SD-WAN デバイス および Cisco vEdge デバイスCisco SD-WAN コントローラ への制御接続を確立し、ルータがネットワーク全体でデータトラフィックを常時適切にルーティングできるようにします。ネットワークの規模が拡大して、ルータが数千のサイトに存在し、複数のデータセンターにある Cisco SD-WAN コントローラ がルータ間の制御フローとデータトラフィックを管理するようになると、ルータが接続できる Cisco SD-WAN コントローラ の数を制限することで、ネットワーク運用を改善できます。データセンターが広い地域に分散している場合も、ルータに、同じ地理的地域に配置された Cisco SD-WAN コントローラ のみと制御接続を確立させることで、ネットワーク運用をより適切に管理できます。

Cisco SD-WAN コントローラCisco IOS XE Catalyst SD-WAN デバイス の間にアフィニティを確立すると、 Cisco IOS XE Catalyst SD-WAN デバイス が制御接続を確立(および TLOC を形成)できる Cisco SD-WAN コントローラ の数を制限することで、オーバーレイネットワークの拡張を制御できます。単一のデータセンターに冗長ルータがある場合、アフィニティを使用すると、Cisco IOS XE Catalyst SD-WAN デバイス 制御接続を Cisco SD-WAN コントローラ に分散できます。

同様に、オーバーレイネットワークに複数のデータセンターがある場合、アフィニティを使用すると、エッジデバイスと Cisco SD-WAN コントローラ 間の制御接続をすべてのデータセンターに分散できます。このように、Cisco IOS XE Catalyst SD-WAN デバイス にはコントローラの冗長性とデータセンターの冗長性があります。Cisco IOS XE Catalyst SD-WAN デバイス といずれかのデータセンター間のリンクがダウンした場合、別のデータセンターの Cisco SD-WAN コントローラ を使用してオーバーレイネットワークのサービスを継続できます。

次の図はこのシナリオを図示したもので、2 つのデータセンターの 3 つの Cisco SD-WAN コントローラ を示しています。3 つの Cisco IOS XE Catalyst SD-WAN デバイス はそれぞれ、West データセンターの 1 つのコントローラと East データセンターの 1 つのコントローラへの制御接続を確立します。

上の図のシナリオは、世界の同じ地域(同じ都市、県、国など)に冗長データセンターがある場合と考えることができます。大陸全体や複数の大陸間など、より大きな地域にまたがるオーバーレイネットワークの場合は、アフィニティを使用して、ローカルの Cisco SD-WAN コントローラ のみに接続するように Cisco IOS XE Catalyst SD-WAN デバイス を制限するか、 Cisco IOS XE Catalyst SD-WAN デバイス が同じ地理的地域にあるデータセンターと優先的に制御接続を確立するようにすることで、ネットワークスケールを制限できます。地理的アフィニティを使用すると、Cisco IOS XE Catalyst SD-WAN デバイス は、よりローカルなデータセンターにある Cisco SD-WAN コントローラ と唯一のまたは複数のプライマリ制御接続を確立しますが、近い場所にあるデータセンターが使用できなくなった場合に備えた冗長性を実現するため、もっと離れた地域にバックアップを配置できます。次の図はこのシナリオを示しています。このシナリオでは、ヨーロッパにある Cisco IOS XE Catalyst SD-WAN デバイス に、ヨーロッパの 2 つのデータセンターへのプライマリ制御接続と、北米のデータセンターへの代替接続があります。同様に、北米にある Cisco IOS XE Catalyst SD-WAN デバイス の場合、プライマリ接続は北米の 2 つのデータセンターに接続され、バックアップ接続はヨーロッパの 2 つのデータセンターに接続されます。

複数の Cisco SD-WAN コントローラ を含むオーバーレイネットワークの場合と同様に、すべての Cisco SD-WAN コントローラ のポリシー設定すべては同じである必要があります。

Cisco Catalyst SD-WAN Validator の冗長性

Cisco SD-WAN Validator は、Cisco Catalyst SD-WAN オーバーレイネットワークで次の 2 つの主要な機能を実行します。

  • Cisco Catalyst SD-WAN ネットワークへの参加を試みるすべての Cisco SD-WAN コントローラ およびルータを認証し検証します。

  • Cisco SD-WAN コントローラ とルータ間のコントロールプレーン接続を調整し、Cisco Catalyst SD-WAN ネットワーク内で Cisco SD-WAN コントローラ とルータが相互に接続できるようにします。

Cisco SD-WAN Validator は、ネットワークサーバーで VM として実行されます。

複数の Cisco SD-WAN Validator を設定すると、ルータや Cisco SD-WAN コントローラ などのシスコデバイスがネットワークに参加しようとするたびに、Cisco SD-WAN Validator のうちの 1 つが常に使用可能になります。

冗長 Cisco Catalyst SD-WAN Validator の設定

Cisco SD-WAN コントローラ は、その設定から Cisco SD-WAN Validator として機能していることを学習します。Cisco Catalyst SD-WAN オーバーレイネットワーク内の Cisco SD-WAN Validator(または Validator)の IP アドレスを定義する system vbond コンフィギュレーション コマンドに、local オプションを含めます。このコマンドには、Cisco SD-WAN Validator のローカルパブリック IP アドレスも含めます( Cisco IOS XE Catalyst SD-WAN デバイス および Cisco SD-WAN コントローラ では、Cisco SD-WAN Validator の IP アドレスを DNS 名として指定できますが、Cisco SD-WAN Validator 自体では IP アドレスとして指定する必要があります)。

Cisco SD-WAN コントローラ および Cisco IOS XE Catalyst SD-WAN デバイス では、ネットワークに Cisco SD-WAN Validator が 1 つしかない場合、Cisco SD-WAN Validator システムの場所を IP アドレスまたは DNS サーバーの名前(vbond.cisco.com など)として設定できます。(この場合も system vbond コマンドで設定します)。ネットワークに複数の Cisco SD-WAN Validator があり、それらすべてが到達可能である必要がある場合は、DNS サーバーの名前を使用します。DNS サーバーは、名前を単一の IP アドレスに解決し、そのアドレスを Cisco SD-WAN ValidatorCisco IOS XE Catalyst SD-WAN デバイス に返します。DNS 名が複数の IP アドレスに解決される場合、Cisco SD-WAN Validator はそれらをすべて Cisco IOS XE Catalyst SD-WAN デバイス に返し、ルータは接続が成功するまで各アドレスを順番に試行します。

Cisco Catalyst SD-WAN ネットワークに Cisco SD-WAN Validator が 1 つしかない場合でも、ベストプラクティスとして、system vbond コンフィギュレーション コマンドで IP アドレスではなく DNS 名を指定することを推奨します。これにより、スケーラブルな設定が実現するためです。その後、ネットワークに Cisco SD-WAN Validator を追加する場合、ネットワーク内のルータまたは Cisco SD-WAN コントローラ の設定を変更する必要はありません。

Cisco Catalyst SD-WAN Validator の障害からの復旧

複数の Cisco SD-WAN Validator があるネットワークでは、そのうちの 1 つに障害が発生しても、他の Cisco SD-WAN Validator は動作を継続し、シスコデバイスによるネットワークへの参加要求をすべて処理できます。コントロールプレーンの観点から、Cisco SD-WAN Validator はネットワーク内の各 Cisco SD-WAN コントローラ への定常的な DTLS 接続を維持します。(ただし、Cisco SD-WAN Validator 同士の間に接続がないことに注意してください)。Cisco SD-WAN コントローラ とルータは相互に検出し合ってネットワークに参加できるため、1 つの Cisco SD-WAN Validator がドメイン内に存在する限り、Cisco Catalyst SD-WAN ネットワークは中断することなく動作し続けることができます。

Cisco SD-WAN Validator はオーバーレイネットワークのデータプレーンに参加しないため、いずれかの Cisco SD-WAN Validator の障害がデータトラフィックに影響を与えることはありません。Cisco SD-WAN Validator は、ルータが最初にネットワークに参加するときにのみルータと通信します。参加するルータは、Cisco SD-WAN Validator との一時的な DTLS 接続を確立して、Cisco SD-WAN コントローラ の IP アドレスを学習します。 Cisco IOS XE Catalyst SD-WAN デバイス の設定に DNS 名として Cisco SD-WAN Validator のアドレスが一覧表示されている場合、ルータは、DTLS 接続を確立できるようになるまで、リスト内の Cisco SD-WAN Validator を 1 つずつ試行します。このメカニズムにより、Cisco SD-WAN Validator のグループのいずれかに障害が発生した後でも、ルータは常にネットワークに参加できます。

Cisco Catalyst SD-WAN Manager サーバーの冗長性

Cisco SD-WAN Manager サーバーは、オーバーレイネットワーク内のシスコデバイスの設定と管理を可能にする集中型ネットワーク管理システムを構成します。また、ネットワークとネットワークデバイスのステータスに関するリアルタイムダッシュボードも提供します。Cisco SD-WAN Manager サーバーは、ネットワーク内のすべての Cisco IOS XE Catalyst SD-WAN デバイス との定常的な通信チャネルを維持します。これらのチャネルを使用して、Cisco SD-WAN Manager サーバーは、すべての有効なデバイスのシリアル番号を一覧表示したファイルをプッシュし、各デバイスの設定をプッシュし、ソフトウェア アップグレード プロセスの一環として新しいソフトウェアイメージをプッシュします。各ネットワークデバイスから、Cisco SD-WAN Manager サーバーは、Cisco SD-WAN Manager[モニター(Monitor)] > [概要(Overview)] ページに表示されるさまざまなステータス情報を受信します。

(注)  


Cisco vManage リリース 20.6.1 以前のリリースでは、ステータス情報は [ダッシュボード(Dashboard)] > [メインダッシュボード( Main Dashboard)] ページで確認できます。


可用性の高い Cisco Catalyst SD-WAN ネットワークには、各ドメインに 3 つ以上の Cisco SD-WAN Manager サーバーが含まれています。このシナリオは Cisco SD-WAN Manager サーバーのクラスタと呼ばれ、クラスタ内の各 Cisco SD-WAN Manager サーバーは Cisco SD-WAN Manager インスタンスと呼ばれます。クラスタ内の各 Cisco SD-WAN Manager インスタンスは約 2000 のデバイスを管理できるため、3 つの Cisco SD-WAN Manager インスタンスのクラスタでは最大 6000 のデバイスを管理できます。Cisco SD-WAN Manager インスタンスは、管理するデバイスを自動的にロードバランシングします。インスタンスが 3 つある場合、Cisco SD-WAN Manager クラスタ内のいずれかのデバイスに障害が発生しても、クラスタは動作を維持します。

関連情報については、『Troubleshooting TechNotes』[英語] を参照してください。

Cisco SD-WAN Manager クラスタは、次のアーキテクチャ コンポーネントで構成されています。

  • アプリケーションサーバー:ユーザーセッション用の Web サーバーを提供します。ユーザーセッションを通じて、ログインユーザは、ネットワークイベントとステータスの高レベルのダッシュボードサマリーを表示し、ドリルダウンしてこれらのイベントの詳細を表示できます。ユーザーは、ネットワークシリアル番号ファイル、証明書、ソフトウェアアップグレード、デバイスのリブート、および Cisco SD-WAN Manager クラスタ自体の設定を Cisco SD-WAN Manager アプリケーションサーバーから管理することもできます。

  • 設定データベース:すべての Cisco IOS XE Catalyst SD-WAN デバイス のインベントリと状態、および設定を保存します。

  • ネットワーク設定システム:すべての設定情報、ポリシー、テンプレート、証明書などを保存します。

  • 統計データベース:オーバーレイネットワーク内のすべてのシスコデバイスから収集された統計情報を保存します。

  • メッセージバス:異なる Cisco SD-WAN Manager インスタンス間の通信バス。このバスは、クラスタ内の Cisco SD-WAN Manager インスタンス間でデータを共有し、動作を調整するために使用されます。

統計データベースおよび設定データベースサービスは、奇数の Cisco SD-WAN Manager インスタンス(3 つ以上)で実行する必要があります。これらのデータベースを書き込み可能にするには、実行中の Cisco SD-WAN Manager インスタンスのクォーラムが存在し、同期されている必要があります。クォーラムは単純多数です。たとえば、これらのデータベースを実行する 3 つの Cisco SD-WAN Manager インスタンスのクラスタがある場合、2 つのインスタンスが実行され、同期されている必要があります。最初は、すべての Cisco SD-WAN Manager インスタンスが同じサービスを実行します。とはいえ、一部のインスタンスで一部のサービスが実行されないように選択できます。[クラスタ管理(Cluster Management)] ウィンドウから、各 Cisco SD-WAN Manager インスタンスで実行できるサービスを選択できます。4 番目の Cisco SD-WAN Manager インスタンスを追加して、より多くの Cisco IOS XE Catalyst SD-WAN デバイス をロードバランシングできます。その場合、これらのサービスは奇数のインスタンスで実行する必要があるため、Cisco SD-WAN Manager インスタンスの 1 つで統計データベースと設定データベースを無効にします。必要に応じて、単一のインスタンスで設定データベースを実行して、デバイス間で共有される情報の量を減らし、負荷を軽減できます。

次の図は、クラスタ内の Cisco SD-WAN Manager インスタンス間の連携を示していますが、少なくとも 3 つのデバイスが必要です。次の図は、Cisco SD-WAN Manager インスタンス間で同期される Cisco SD-WAN Manager サービスを示しています。またこの図では、各 Cisco SD-WAN Manager インスタンスが仮想マシン(VM)に存在することが示されています。VM には 1 ~ 8 のコアがあり、各コアで Cisco Catalyst SD-WAN ソフトウェアプロセス(vdaemon)が実行されます。さらに、VM は Cisco SD-WAN Manager サーバー自体の実際の設定を保存します。

Cisco SD-WAN Manager クラスタは、次の方法でアクティブ-アクティブ アーキテクチャを導入します。

  • クラスタ内の各 Cisco SD-WAN Manager インスタンスは、独立した処理ノードです。

  • すべての Cisco SD-WAN Manager インスタンスが同時にアクティブになります。

  • アプリケーションサーバーに対するすべてのユーザーセッションは、外部ロードバランサを使用してロードバランスされます。

  • Cisco SD-WAN Manager アプリケーションサーバーとルータ間のすべての制御セッションがロードバランスされます。1 つの Cisco SD-WAN Manager インスタンスで最大約 2000 の Cisco IOS XE Catalyst SD-WAN デバイス を管理できます。ただし、すべてのコントローラセッション(Cisco SD-WAN Manager インスタンスと Cisco Catalyst SD-WAN コントローラ 間のセッション、Cisco SD-WAN Manager インスタンスと Cisco Catalyst SD-WAN Validator 間のセッション)は、フルメッシュトポロジで調整されます。

  • 設定データベースと統計データベースは、すべての Cisco SD-WAN Manager インスタンスで複製することが可能です。これらのデータベースは、すべての Cisco SD-WAN Manager インスタンスからアクセスして使用できます。

  • クラスタ内のいずれかの Cisco SD-WAN Manager インスタンスに障害が発生した場合や、使用できなくなった場合でも、Cisco SD-WAN Manager サーバーによって提供されるネットワーク管理サービスは、ネットワーク全体で引き続きフルに使用できます。

クラスタ内の Cisco SD-WAN Manager インスタンス間のメッセージバスにより、すべてのインスタンスがアウトオブバンドネットワークを使用して通信できます。Cisco SD-WAN Manager VM 上の 3 番目の vNIC を利用するこの設計では、管理トラフィックに WAN 帯域幅を使用する必要がありません。

Cisco SD-WAN Manager Web アプリケーションサーバーから Cisco SD-WAN Manager クラスタを設定します。設定プロセス中に、次のサービスを実行できる各 Cisco SD-WAN Manager インスタンスを設定できます。

  • アプリケーションサーバー:各 Cisco SD-WAN Manager サーバーはアプリケーション サーバー インスタンスを実行します。

  • 設定データベース:Cisco SD-WAN Manager クラスタ内では、設定データベースの反復処理を 3 回まで実行できます。

  • ロードバランサ:Cisco SD-WAN Manager クラスタには、クラスタ内の Cisco SD-WAN Manager インスタンス間でユーザーログインセッションを分散するためのロードバランサが必要です。前述のように、1 つの Cisco SD-WAN Manager インスタンスで最大約 2000 台の WAN エッジデバイスを管理できます。

  • メッセージングサーバー:メッセージバスを実行するように各 Cisco SD-WAN Manager インスタンスを設定して、クラスタ内のすべてのインスタンスが相互に通信できるようにすることを推奨します。

  • 統計データベース:Cisco SD-WAN Manager クラスタ内では、統計データベースの反復処理を 3 回まで実行できます。

  • 調整サーバー:メッセージングサーバーによって内部的に使用されます。

Cisco SD-WAN Manager クラスタの設計上の考慮事項は次のとおりです。

  • Cisco SD-WAN Manager クラスタは、少なくとも 3 つの Cisco SD-WAN Manager インスタンスで構成する必要があります。

  • アプリケーションサーバーとメッセージバスをすべての Cisco SD-WAN Manager インスタンスで実行する必要があります。

  • 1 つのクラスタ内で、設定データベースのインスタンスを 3 つまで、統計データベースのインスタンスを 3 つまで実行できます。ただし、個々の Cisco SD-WAN Manager インスタンスでは、これら 2 種類のデータベースの両方を実行することも、いずれか一方を実行することも、いずれも実行しないことも選択できます。

  • 最大限の可用性を実現するために、3 つの Cisco SD-WAN Manager インスタンスで設定データベースと統計データベースを実行することを推奨します。

クラスタの Cisco SD-WAN Manager インスタンスの展開と管理の詳細については、『Cisco Getting Started Guide』[英語] の「Cluster Management」の章を参照してください。

Cisco Catalyst SD-WAN Manager のバックアップ

シスコは、致命的な障害または破損からのリカバリのために、デバイスの定期的なスナップショットを取得することで Cisco SD-WAN Manager を管理します。これらのスナップショットの頻度と保持期間は、オーバーレイごとに設定されます。通常、スナップショットは毎日取得され、最大 10 日間保持されます。デバイスのアップグレードなど、特定の計画的なメンテナンスアクティビティでは、計画的アクティビティの前に別のスナップショットを取得できます。それ以外の場合は、お客様の責任において、Cisco SD-WAN Manager 設定データベースと Cisco SD-WAN Manager 仮想マシンのスナップショットを定期的にバックアップし、シスコが遵守している頻度と保持期間の例に従う必要があります。

Cisco Catalyst SD-WAN Manager データベースのバックアップ

Cisco SD-WAN Manager クラスタは高可用性と一定レベルの耐障害性を提供しますが、設定データベースの定期的なバックアップを取得し、オフサイトで安全に保存する必要があります。Cisco SD-WAN Manager には、設定データベースのバックアップの収集をスケジュールに従って自動化し、別のサーバーにコピーするメカニズムがありません。バックアップからリカバリが必要になるまでの時間が長いほど、データが失われるリスクが高くなります。設定データベースのバックアップを頻繁に実行してください。設定データベースのバックアップファイルを作成するには、次のコマンドを使用します。

request nms configuration-db backup path <path>

Cisco Catalyst SD-WAN コントローラ の冗長性

Cisco Catalyst SD-WAN コントローラ の冗長性

Cisco SD-WAN コントローラ は、コントロールプレーンの中心的なオーケストレータです。ネットワーク内のすべてのシスコデバイスとの定常的な通信チャネルがあります。Cisco SD-WAN コントローラCisco SD-WAN Validator の間、および Cisco SD-WAN コントローラ のペア間の DTLS 接続を介して、デバイスは定期的にネットワークのビューを交換し、ルートテーブルの同期が維持されるようにします。Cisco SD-WAN コントローラ は、DTLS 接続を介して、正確でタイムリーなルート情報を Cisco IOS XE Catalyst SD-WAN デバイス に渡します。

可用性の高い Cisco Catalyst SD-WAN ネットワークには、各ドメインに 2 つ以上の Cisco SD-WAN コントローラ が含まれています。Cisco Catalyst SD-WAN ドメインには、最大 20 の Cisco SD-WAN コントローラ を含めることができ、デフォルトでは、それぞれのルータがそのうちの 2 つに接続します。ドメイン内の Cisco SD-WAN コントローラ の数が、ドメインのルータが接続を許可されているコントローラの最大数よりも多い場合、Cisco Catalyst SD-WAN ソフトウェアは、使用可能な Cisco SD-WAN コントローラ の間の接続をロードバランシングします。

すべての Cisco SD-WAN コントローラ の設定は機能的に類似している必要がありますが、制御ポリシーは同一である必要があります。これは、すべての Cisco IOS XE Catalyst SD-WAN デバイス がネットワークの一貫したビューをいつでも確実に受信できるようにするために必要です。制御ポリシーが完全に同一でない場合、複数の Cisco SD-WAN コントローラ によって異なる情報が Cisco IOS XE Catalyst SD-WAN デバイス に提供される場合があり、その結果、ネットワーク接続の問題が発生する可能性があります。


(注)  


繰り返しますが、Cisco Catalyst SD-WAN オーバーレイネットワークは、すべての Cisco SD-WAN コントローラ の制御ポリシーが同一である場合にのみ正常に機能します。ポリシーのわずかな違いでも、ネットワークの機能に問題が発生します。


相互の同期を維持するために、Cisco SD-WAN コントローラ 同士が相互に DTLS 制御接続のフルメッシュと OMP セッションのフルメッシュを確立します。OMP セッションでは、Cisco SD-WAN コントローラ がルート、TLOC、ポリシー、サービス、および暗号キーをアドバタイズします。Cisco SD-WAN コントローラ が同期を維持できるのは、この情報交換によります。

Cisco SD-WAN コントローラ はネットワーク上の任意の場所に配置できます。可用性を確保するため、Cisco SD-WAN コントローラ を地理的に分散させることを強く推奨します。

Cisco SD-WAN コントローラ は、各 Cisco SD-WAN Validator への定常的な DTLS 接続を確立します。これらの接続により、Cisco SD-WAN Validator は、どの Cisco SD-WAN コントローラ が存在し動作しているかを追跡できます。そのため、Cisco SD-WAN コントローラ のいずれかに障害が発生した場合、Cisco SD-WAN Validator が、使用できない Cisco SD-WAN コントローラ のアドレスをネットワークに参加しようとしているルータに提供することはありません。

繰り返しますが、Cisco Catalyst SD-WAN オーバーレイネットワークは、すべての Cisco SD-WAN コントローラ の制御ポリシーが同一である場合にのみ正常に機能します。ポリシーのわずかな違いでも、ネットワークの機能に問題が発生します。

Cisco Catalyst SD-WAN コントローラ の障害からの復旧

Cisco SD-WAN コントローラ は、ネットワークのプライマリコントローラです。この制御を維持するため、すべての Cisco SD-WAN ValidatorCisco IOS XE Catalyst SD-WAN デバイス および Cisco vEdge デバイス への定常的な DTLS 接続を維持します。これらの接続により、Cisco SD-WAN コントローラ はネットワークトポロジの変更を常に認識できます。ネットワークに複数の Cisco SD-WAN コントローラ がある場合:

  • 複数の Cisco SD-WAN コントローラ 間に OMP セッションのフルメッシュがあります。

  • Cisco SD-WAN Validator には、各 Cisco SD-WAN コントローラ に対する定常的な DTLS 接続があります。

  • Cisco SD-WAN コントローラ には、Cisco IOS XE Catalyst SD-WAN デバイス および Cisco vEdge デバイス への定常的な TLS または DTLS 接続があります。

Cisco SD-WAN コントローラ の 1 つに障害が発生した場合、他の Cisco SD-WAN コントローラ がネットワーク制御の処理をシームレスに引き継ぎます。残りの Cisco SD-WAN コントローラ はネットワークに参加して Cisco IOS XE Catalyst SD-WAN デバイス および Cisco vEdge デバイス と連携することができ、ルータへのルート更新の送信を続行できます。Cisco SD-WAN コントローラ が存在し、ドメイン内で動作している限り、Cisco Catalyst SD-WAN ネットワークは中断することなく動作を継続できます。

Cisco IOS XE Catalyst SD-WAN デバイス の冗長性

Cisco IOS XE Catalyst SD-WAN デバイス は、通常、Cisco Catalyst SD-WAN ネットワーク内でブランチサイトの Cisco Catalyst SD-WAN ルータとして使用する方法と、ブランチルータが接続するハブサイトを作成する方法の 2 つの方法で使用されます。

ブランチサイトには、冗長性のために 2 台以上の Cisco IOS XE Catalyst SD-WAN デバイス を設定できます。各ルータは、次の接続を維持します。

  • TLS または DTLS 接続を介した、ドメイン内の 1 つ以上の Cisco SD-WAN コントローラ とのセキュアなコントロールプレーン接続。

  • 他のルータとのセキュアなデータプレーン接続。

両方のルータが Cisco SD-WAN コントローラ から同じルーティング情報を受信するため、それぞれが異なるトランスポートプロバイダーに接続されていても、1 つのルータに障害が発生した場合に、それぞれのルータでトラフィックのルーティングを続行できます。

Cisco IOS XE Catalyst SD-WAN デバイス および Cisco vEdge デバイス をハブサイトで使用する場合は、2 つの Cisco IOS XE Catalyst SD-WAN デバイス を設置することで冗長性を実現できます。ブランチルータは、各ハブルータに別個の DTLS 接続を使用して接続する必要があります。

単一のルータでトンネルインターフェイスまで設定することで、 Cisco IOS XE Catalyst SD-WAN デバイス の冗長性を実現することもできます。各トンネルインターフェイスは、同じまたは異なるファイアウォール、サービスプロバイダー、およびネットワーククラウドを通過することが可能で、DTLS トンネルを使用して、ドメイン内の Cisco SD-WAN コントローラ とのセキュアなコントロールプレーン接続を維持します。

Cisco IOS XE Catalyst SD-WAN デバイス の障害からの復旧

Cisco IOS XE Catalyst SD-WAN デバイス および Cisco vEdge デバイス のルートテーブルは、Cisco SD-WAN コントローラ から受信した OMP ルートによって入力されます。冗長ルータを備えたサイトまたはブランチの場合、両方のルータのルートテーブルが同期されたままになるため、いずれかのルータに障害が発生しても、もう一方のルータが引き続きデータトラフィックを宛先にルーティングできます。

Cisco Catalyst SD-WAN コントローラCisco IOS XE Catalyst SD-WAN デバイス 間のアフィニティの設定

ネットワークの規模を管理する方法の 1 つは、Cisco SD-WAN コントローラCisco IOS XE Catalyst SD-WAN デバイス 間のアフィニティを設定することです。この設定を行うには、各 Cisco SD-WAN コントローラ をコントローラグループに配置し、 Cisco IOS XE Catalyst SD-WAN デバイス が制御接続を確立できるグループを設定します。このコントローラグループが、Cisco SD-WAN コントローラCisco IOS XE Catalyst SD-WAN デバイス 間のアフィニティを確立します。

Cisco Catalyst SD-WAN コントローラ でのコントローラグループ ID の設定

アフィニティに参加するには、各 Cisco SD-WAN コントローラ にコントローラグループ ID を割り当てる必要があります。

vSmart(config)#system controller-group-id number

ID 番号は 0 ~ 100 の範囲で指定できます。

同じデータセンターに属する Cisco SD-WAN コントローラ の場合、同じコントローラグループ ID または異なる ID を指定できます。

  • 複数の Cisco SD-WAN コントローラ が同じコントローラグループ ID を持つ場合、 Cisco IOS XE Catalyst SD-WAN デバイス はそれらのいずれかへの制御接続を確立します。Cisco SD-WAN コントローラ が到達不能になった場合、ルータがデータセンター内の別のコントローラとの制御接続を確立するだけで対処できます。これがどのように機能するかの例を示します。ソフトウェアのアップグレード中に 1 つの Cisco SD-WAN コントローラ が使用できなくなった場合、 Cisco IOS XE Catalyst SD-WAN デバイス はすぐに別の Cisco SD-WAN コントローラ を使用して新しい TLOC を確立します。ルータのネットワーク動作は中断されません。このネットワーク設計は、データセンターの Cisco SD-WAN コントローラ の間における冗長性を実現します。

  • Cisco SD-WAN コントローラ のコントローラグループ ID が異なる場合、 Cisco IOS XE Catalyst SD-WAN デバイス は一方のコントローラを優先して使用し、もう一方をバックアップとして使用できます。これがどのように機能するかの例を示します。Cisco SD-WAN コントローラ ソフトウェアをアップグレードする場合、一度に 1 つのコントローラグループをアップグレードできます。アップグレードで問題が発生した場合、 Cisco IOS XE Catalyst SD-WAN デバイス は 第 2 のバックアップ コントローラ グループに含まれる Cisco SD-WAN コントローラ との TLOC を確立します。ルータのネットワーク動作は中断されません。最初のグループの Cisco SD-WAN コントローラ が再び使用可能になると、 Cisco IOS XE Catalyst SD-WAN デバイス は TLOC をそのコントローラに戻します。このネットワーク設計は、データセンター内の Cisco SD-WAN コントローラ 間の冗長性を実現すると同時に、付加的な障害分離も可能にします。

Cisco IOS XE Catalyst SD-WAN デバイス でのアフィニティの設定

Cisco IOS XE Catalyst SD-WAN デバイス をアフィニティに参加させるには、ルータが制御接続の確立を許可する Cisco SD-WAN コントローラ を設定するとともに、 Cisco IOS XE Catalyst SD-WAN デバイス 自体およびルータ上の個々のトンネルが確立することを許可される制御接続(または TLOC)の最大数を設定します。

Cisco Catalyst SD-WAN コントローラ グループの設定

ルータが制御接続を確立できるように Cisco SD-WAN コントローラ を設定するには、次の 2 段階のプロセスを実行します。

  • システムレベルで、オーバーレイネットワークに存在するコントローラグループ ID の単一のリストを設定します。

  • 各トンネルインターフェイスごとに、トンネルインターフェイスがどのコントローラグループ ID と制御接続を確立できるかを制限できます。制限するには、除外リストを設定します。

システムレベルで、Cisco SD-WAN コントローラ グループの ID を設定します。

ISR4331(config)#system controller-group-list numbers

Cisco IOS XE Catalyst SD-WAN デバイス 上のトンネルインターフェイスのいずれかが制御接続を確立する Cisco SD-WAN コントローラ グループ ID のリストを作成します。このリストには、オーバーレイネットワーク内の全 Cisco SD-WAN コントローラ グループの ID を含めることを推奨します。

特定のトンネルインターフェイスについて、全 Cisco SD-WAN コントローラ グループのサブセットのみへの制御接続を確立する場合は、除外するグループ ID を設定します。

ISR4331(config-interface-GigabitEthernets0/0/1)#tunnel-interface exclude-controller-group-list numbers
ISR4331(config-sdwan)# interface GigabitEthernets0/0/1 tunnel-interface exclude-controller-group-list numbers

このコマンドにより、Cisco SD-WAN コントローラ が設定されたコントローラグループで使用可能な場合、特定のトンネルインターフェイスが制御接続を確立しない Cisco SD-WAN コントローラ グループの ID が表示されます。このリスト内のコントローラグループは、system controller-group-list コマンドで設定されたコントローラグループのサブセットであることを確認します。

Cisco IOS XE Catalyst SD-WAN デバイス で設定されているコントローラグループを表示するには、show sdwan running-config system コマンドを使用します。

制御接続の最大数の設定

デフォルトでは、各トンネルインターフェイスが確立できる制御接続の最大数は、Cisco IOS XE Catalyst SD-WAN デバイス で設定されている OMP セッションの最大数と同じです。MOS のデフォルト値は 2 です。

Cisco IOS XE Catalyst SD-WAN デバイス のトンネルインターフェイスの制御接続の最大数を設定するには、次の 2 段階のプロセスを実行します。

  • システムレベルで、Cisco IOS XE Catalyst SD-WAN デバイスCisco SD-WAN コントローラ に対して確立できる MOS を設定します。

  • トンネルインターフェイスが設定された MOS 値とは異なる数の Cisco SD-WAN コントローラ に接続する必要がある場合は、トンネルが Cisco SD-WAN コントローラに対して確立できる制御接続の最大数を設定します。


    (注)  


    MCC がトンネルインターフェイスで設定されていない場合、そのデフォルト値は MOS 値と同じです。

実際には、Cisco IOS XE Catalyst SD-WAN デバイス 内のトンネルインターフェイスが確立できる制御接続の最大数は、次の式で決まります。

VPN 0 のトンネルインターフェイスの最大制御接続数 = MIN(MOS, MCC)

OMP セッションの最大数を変更するには、次のコマンドを入力します。

Device (Config)# system max-omp-sessions number

Cisco IOS XE Catalyst SD-WAN デバイス は、次の手順で OMP セッションを確立します。

  • 個々のトンネルインターフェイスではなく、デバイスが Cisco SD-WAN コントローラとの OMP セッションを確立します。

  • ルータ上の異なるトンネルインターフェイスが同じ Cisco SD-WAN コントローラに接続すると、デバイスは Cisco SD-WAN コントローラ との単一の OMP セッションを作成し、異なるトンネルインターフェイスはこの単一の OMP セッションを使用します。


(注)  


各トンネルインターフェイスが同じ Cisco SD-WAN コントローラ のセットに接続する場合、Cisco IOS XE Catalyst SD-WAN デバイス の OMP セッションの合計数は、設定された OMP セッションの最大数と等しくなります。ただし、各トンネルインターフェイスが(除外されたコントローラリストのために)異なる Cisco SD-WAN コントローラ に接続する場合、デバイス上の OMP セッションの合計数は、設定された OMP セッションの最大数よりも多くなります。

トンネルインターフェイスの制御接続の最大数を変更するには、次のコマンドを使用します。

Device(config)#sdwan interface interface-name tunnel-interface max-control-connections number 

制御接続の数は 0 ~ 100 の範囲で指定できます。デフォルト値は、 system max-omp-sessions コマンドで設定された OMP セッションの最大数です。

各トンネルインターフェイスの実際の制御接続数を表示するには、show sdwan control affinity config コマンドを使用します。

各トンネルインターフェイスが制御接続を確立した Cisco SD-WAN コントローラ のリストを表示するには、show sdwan control affinity status コマンドを使用します。

単一データセンターにおける Cisco Catalyst SD-WAN コントローラ のアフィニティの設定

複数の Cisco SD-WAN コントローラ を備えた Cisco Catalyst SD-WAN オーバーレイネットワークでは、Cisco IOS XE Catalyst SD-WAN デバイス 内の各トンネルインターフェイスが 2 つの Cisco SD-WAN コントローラ への制御接続を確立します。このデフォルトの動作はコントローラの冗長性を提供するため、アフィニティを設定する必要はありません。

上の図に示すトポロジでは、データセンター DC-1 に 3 つの Cisco SD-WAN コントローラ があり、すべてデフォルトのコントローラグループ 0 に属しています。Cisco IOS XE Catalyst SD-WAN デバイス は、割り当てられた Cisco SD-WAN コントローラ として識別される 2 つの Cisco SD-WAN コントローラ を選択します。Cisco IOS XE Catalyst SD-WAN デバイス の各トンネルインターフェイスは、これらの割り当てられた Cisco SD-WAN コントローラ に接続します。トンネルインターフェイスが割り当てられた Cisco SD-WAN コントローラ に接続すると、そのトンネルインターフェイスは平衡状態にあると言われます。


(注)  


トンネルインターフェイスで exclude-controller-group-list が設定されている場合、そのトンネルインターフェイスには異なる Cisco SD-WAN コントローラ が割り当てられている可能性があります。

ただし、 Cisco IOS XE Catalyst SD-WAN デバイス をデータセンター内の Cisco SD-WAN コントローラ のサブセットにのみ接続する場合は、アフィニティを使用できます。Cisco SD-WAN コントローラ を異なるコントローラグループに配置し、接続可能なコントローラグループのリストを使用して Cisco IOS XE Catalyst SD-WAN デバイス を設定します。この設計は、Cisco SD-WAN コントローラ への冗長制御接続を提供し、同じデータセンター内の Cisco SD-WAN コントローラ グループ間の障害分離を提供します。

上の図に示されているトポロジでは、エッジデバイスを次のように Cisco SD-WAN コントローラ に接続するとします。

  • Edge1 は Cisco SD-WAN コントローラ 1 と Cisco SD-WAN コントローラ 2 にのみ接続

  • Edge2 は Cisco SD-WAN コントローラ 2 と Cisco SD-WAN コントローラ 3 にのみ接続

  • Edge3 は Cisco SD-WAN コントローラ 1 と Cisco SD-WAN コントローラ 3 にのみ接続

これらの接続を実現するには、コントローラグループ ID 1 で Cisco SD-WAN コントローラ 1 を設定します。

vSmart(config)# system controller-group-id 1

設定を確認するには、show running-config コマンドを使用します。

vSmart# show running-config system
system
 description         "vSmart in data center 1"
 host-name           vSmart
 gps-location latitude 37.368140
 gps-location longitude -121.913658
 system-ip           172.16.255.19
 site-id             100
 controller-group-id 1
 organization-name   "Cisco"
 clock timezone America/Los_Angeles

他の Cisco SD-WAN コントローラ を設定するには、次のコマンドを使用します。

vSmart2(config)# system controller-group-id 2
vSmart3(config)# system controller-group-id 3

この例では、データセンター内の各 Cisco SD-WAN コントローラ が独自のコントローラグループに追加されます。または、同じコントローラグループに複数の Cisco SD-WAN コントローラ を追加できます。


(注)  


Cisco SD-WAN コントローラ がコントローラグループに割り当てられている場合は、オーバーレイネットワーク内のすべての Cisco SD-WAN コントローラ にコントローラグループを割り当てることを推奨します。

次に、Edge1 を Cisco SD-WAN コントローラ 2 および Cisco SD-WAN コントローラ 3 にのみ接続するため、Edge1 を次のように設定します。

Edge1(config)# system controller-group-list 2 3

Edge2 を Cisco SD-WAN コントローラ 1 および Cisco SD-WAN コントローラ 2 にのみ接続するように設定します。

Edge2(config)# system controller-group-list 1 2

Edge3 を Cisco SD-WAN コントローラ 1 および Cisco SD-WAN コントローラ 3 にのみ接続するように設定します。

Edge3(config)# system controller-group-list 1 3

Cisco SD-WAN コントローラ との制御接続を表示するには、 show sdwan control connections コマンドを使用します。出力の最後の列の [Controller Group ID] には、ルータが属する Cisco SD-WAN コントローラ グループが表示されます。

Edge1# show sdwan control connections
   
                                                          PEER                PEER                                                         CONTROLLER 
PEER    PEER PEER            SITE    DOMAIN PEER          PRIV  PEER          PUB                                                          GROUP 
TYPE    PROT SYSTEM IP       ID      ID     PRIVATE IP    PORT  PUBLIC IP     PORT  ORGANIZATION   LOCAL COLOR     PROXY STATE UPTIME      ID 
------------------------------------------------------------------------------------------------------------------------ 
vsmart  tls  172.16.255.27   200     1      10.0.12.27    23456 10.0.12.27    23456 Cisco          default         No    up     0:00:18:34 3 
vsmart  tls  172.16.255.20   200     1      10.0.12.20    23456 10.0.12.20    23456 Cisco          default         No    up     0:00:18:33 2 
vmanage tls  172.16.255.22   200     0      10.0.12.22    23656 10.0.12.22    23656 Cisco          default         No    up     0:00:18:34 0

ルータで許可される制御接続の最大数を表示するには、 show sdwan control local-properties コマンドを使用します。出力の最後の行に、コントローラの最大数が表示されます。次に、このコマンドの出力を簡略化して示します。

Edge1# show sdwan control local-properties
personality                       vedge 
sp-organization-name              Cisco 
organization-name                 Cisco 
root-ca-chain-status              Installed 
root-ca-crl-status                Not-Installed 
 
certificate-status                Installed 
certificate-validity              Valid 
... 
 
                   PUBLIC      PUBLIC PRIVATE     PRIVATE  PRIVATE                     MAX   RESTRICT/           LAST         SPI TIME    NAT  VM 
INTERFACE          IPv4        PORT   IPv4        IPv6     PORT    VS/VM COLOR   STATE CNTRL CONTROL/     LR/LB  CONNECTION   REMAINING   TYPE CON REG 
                                                                                             STUN                                              PRF IDs 
------------------------------------------------------------------------------------------------------------------------------------------------------- 
GigabitEthernet1   10.1.15.15  12386  10.1.15.15  ::       12386    2/1  default up     2      no/yes/no   No/No  0:00:47:59   0:11:11:43  N    5  Default 

これら 2 つのコマンドで、アフィニティ設定によって確立された制御接続に関する情報が表示されます。設定されているコントローラグループとインターフェイスの接続先の Cisco SD-WAN コントローラ をインターフェイスごとに確認するには、show sdwan control affinity config コマンドを使用します。

Edge1# show sdwan control affinity config

EFFECTIVE CONTROLLER LIST FORMAT - G(C),...     - Where G is the Controller Group ID 
                                                        C is the Required vSmart Count 
 
CURRENT CONTROLLER LIST FORMAT   - G(c)s,...    - Where G is the Controller Group ID 
                                                        c is the current vSmart count 
                                                        s Status Y when matches, N when does not match 
 
 
                       EFFECTIVE 
                       REQUIRED                                                                  LAST-RESORT 
INDEX INTERFACE        VS COUNT  EFFECTIVE CONTROLLER LIST  CURRENT CONTROLLER LIST  EQUILIBRIUM  INTERFACE 
------------------------------------------------------------------------------------------------------------- 
0     GigabitEthernet1  2         2(1),3(1)                 2(1)Y,3(1)Y              Yes          No

上記のコマンド出力は、インターフェイス GigabitEthernet1 でアフィニティが設定されていることを示しています。

表 1.

フィールド

説明

Effective Required VS Count

インターフェイスが 2 つの制御接続を作成するように設定されており、2 つの制御接続が確立されていることを示しています。

Effective Controller List

インターフェイスのアフィニティが、コントローラグループ 1 の Cisco SD-WAN コントローラ 1 つ(1(1))と、コントローラグループ 2 の Cisco SD-WAN コントローラ 1 つ(2(1))を使用するように設定されていることを示しています。アフィニティコントローラ識別子は、controller-group-list コマンドを使用して(system レベルで)設定します。トンネルインターフェイスの場合は exclude-controller-group-list コマンドを使用します。

Current Controller List

インターフェイスの実際のアフィニティ設定が一覧表示されます。この出力は、インターフェイスにグループ 1 の Cisco SD-WAN コントローラ との制御接続が 2 つと、別の制御接続があることを示しています。「Y」は、現在のコントローラリストと有効なコントローラリストが互いに一致していることを示しています。

Equilibrium

現在のコントローラリストが、そのトンネルインターフェイスのアフィニティ設定から予期されるものと一致することを示します。

トンネルインターフェイスが制御接続を確立した Cisco Catalyst SD-WAN コントローラ を正確に判別するには、show control affinity status コマンドを使用します。

Edge1# show sdwan control affinity status

ASSIGNED CONNECTED CONTROLLERS   - System IP( G),..  - System IP of the assigned vSmart 
                                                       G is the group ID to which the vSmart belongs to 
UNASSIGNED CONNECTED CONTROLLERS - System IP( G),..  - System IP of the unassigned vSmart 
                                                       G is the group ID to which the vSmart belongs to 
 
 
INDEX INTERFACE 		  ASSIGNED CONNECTED CONTROLLERS        UNASSIGNED CONNECTED CONTROLLERS 
------------------------------------------------------------------------------------------------- 
0     GigabitEthernet1     172.16.255.20(2),172.16.255.27(3)

上記のコマンド出力は、インターフェイス GigabitEthernet1 に、グループ 1 に属する 172.16.255.20 とグループ 2 に属する 172.16.255.27 の 2 つの Cisco SD-WAN コントローラ への制御接続があることを示しています。これらの Cisco SD-WAN コントローラ は、[Assigned Connected Controller] 列に示されているように、このデバイスに割り当てられます。インターフェイスがこれら 2 つ以外の Cisco SD-WAN コントローラ に接続されている場合、[Unassigned Connected Controllers] 列に表示され、トンネルインターフェイスは平衡状態になりません。

2 つのデータセンターにおける Cisco Catalyst SD-WAN コントローラ のアフィニティの設定

複数の Cisco SD-WAN コントローラ が 2 つ以上のデータセンターに分散しているネットワーク設計では、アフィニティを使用してデータセンター間の冗長性を有効にすることができます。その後、 Cisco IOS XE Catalyst SD-WAN デバイス といずれかのデータセンター間のリンクがダウンした場合、第 2 のデータセンターの Cisco SD-WAN コントローラ を使用してオーバーレイネットワークのサービスを継続できます。次の図はこのシナリオを図示したもので、2 つのデータセンターのそれぞれに属する 3 つの Cisco SD-WAN コントローラ を示しています。3 つの Cisco IOS XE Catalyst SD-WAN デバイス はそれぞれ、West データセンターの 1 つのコントローラと East データセンターの 1 つのコントローラへの制御接続を確立します。

コントローラグループ ID 1 を使用して、DC1-West の 3 つの Cisco SD-WAN コントローラ を設定します。

vSmart-DC1(config)# system controller-group-id 1

DC2-East の 3 つの Cisco SD-WAN コントローラ は、コントローラグループ 2 に属しています。

vSmart-DC2(config)# system controller-group-id 2

すべての Cisco IOS XE Catalyst SD-WAN デバイス に最大 2 つの OMP セッションを設定し、各トンネルインターフェイスに最大 2 つの制御接続を設定し、いずれのコントローラグループも除外しないようにします。したがって、ルータで実行する必要がある設定は、コントローラグループリストを設定することだけです。West の Cisco IOS XE Catalyst SD-WAN デバイス が DC2-East よりも DC1-West の Cisco Catalyst SD-WAN コントローラ を優先するようにします。

ISR4331-West(config)#  system controller-group-list 1 2

同様に、East の Cisco IOS XE Catalyst SD-WAN デバイス が DC2-East を優先するようにします。

ISR4331-East(config)# system controller-group-list 2 1

ソフトウェアはコントローラグループリストを順番に評価するため、この設定では、Cisco IOS XE Catalyst SD-WAN デバイス-West は Cisco SD-WAN コントローラ グループ 1(West データセンター)を優先し、Cisco IOS XE Catalyst SD-WAN デバイス-East は Cisco SD-WAN コントローラ グループ 2 を優先します。

Cisco IOS XE Catalyst SD-WAN デバイス-West ルータが(設定に基づいて)1 つの Cisco SD-WAN コントローラ にのみ接続する必要がある場合、West データセンターにのみ接続します。ルータが 2 つの Cisco SD-WAN コントローラ に接続する必要がある場合は、West データセンターの 1 つの Cisco SD-WAN コントローラ と、East データセンターの別の Cisco SD-WAN コントローラ に接続します。

他の方法でコントローラグループの設定を微調整できます。

  • ルータで許可される OMP セッションの最大数を 1 に設定します(system max-omp-sessions 1)。これがどのように機能するかを示すため、Cisco IOS XE Catalyst SD-WAN デバイス-West に注目します。このルータにはトンネルインターフェイスが 1 つだけあり、そのインターフェイスは Cisco SD-WAN コントローラ リスト 1 への制御接続を 1 つ作成します。このグループに属するすべての Cisco SD-WAN コントローラ が使用できなくなった場合、または DC1-West データセンターとルータ間の接続がダウンした場合、トンネルインターフェイスは Cisco SD-WAN コントローラ リスト 2 への 1 つの制御接続を確立します。このグループが system controller-group-list コマンドのリストに含まれているためです。

  • トンネルインターフェイスが確立できる制御接続の最大数を 1 に設定します(sdwan interface interface-name tunnel-interface max-control-connections 1 )。ソフトウェアはコントローラグループリストを順番に評価するため、Cisco IOS XE Catalyst SD-WAN デバイス-West の場合、この設定により、トンネルインターフェイスは Cisco SD-WAN コントローラ グループ 1 への制御接続の確立を強制されます。この場合も、このコントローラグループまたはデータセンターが到達不能になると、トンネルはコントローラグループ 2 との制御接続を確立します。このグループが system controller-group-list コマンドで設定されているためです。

  • 特定のトンネルの非優先 Cisco SD-WAN コントローラ グループを除外します。たとえば、Cisco IOS XE Catalyst SD-WAN デバイス-West にコントローラグループ 1 を優先させるには、sdwan interface interface-name tunnel-interface exclude-controller-group-list 2 を設定します。上記の設定と同様に、このコントローラグループまたは West データセンターが到達不能になると、トンネルはコントローラグループ 2 との制御接続を確立します。このグループが system controller-group-list コマンドで設定されているためです。

単一デバイスでの冗長性制御接続の設定

Cisco IOS XE Catalyst SD-WAN デバイス に 2 つのトンネル接続があり、ネットワークに 2 つ(またはそれ以上)のデータセンターがある場合は、2 つのデータセンターで Cisco IOS XE Catalyst SD-WAN デバイス から Cisco SD-WAN コントローラ への冗長制御接続を設定できます。最小数の OMP セッション(この場合は 2)を使用して設定することを推奨します。これを実行するには、一方のトンネルインターフェイスを 1 つのデータセンターのみに接続し、もう一方を 2 番目のデータセンターのみに接続するように設定します。この設定により、最小数の OMP セッションで Cisco SD-WAN コントローラ の冗長性が実現します。

Cisco IOS XE Catalyst SD-WAN デバイス ルータで、コントローラグループリストを定義し、OMP セッションの最大数を 2 に設定します。

ISR4331(config)# system controller-group-list 1 2
ISR4331(config)#  system max-omp-sessions 2

いずれかのトンネルについて、デフォルトのアフィニティ設定(つまり何も設定しない状態)を使用して、このトンネルにグループ 1 の Cisco Catalyst SD-WAN コントローラ を優先させることができます。このトンネルが必ず Cisco Catalyst SD-WAN コントローラ グループ 1 を優先するように明示的に設定することもできます。

ISR4331(config-tunnel-interface-1)# max-control-connections 1

ソフトウェアはコントローラグループリストをグループ 1 から順に評価するため、exclude-controller-group-list 2 を設定する必要はありません。ただし、Cisco SD-WAN コントローラ グループ 2 を明示的に除外することもできます。

次に、2 番目のトンネルがグループ 2 の Cisco SD-WAN コントローラ を優先するように設定します。他のトンネルと同様に、制御接続の最大数を 1 に制限します。さらに、このトンネルのコントローラグループ 1 を除外する必要があります。

ISR4331(config-tunnel-interface-2)# max-control-connections 1
ISR4331(config-tunnel-interface-2)# exclude-controller-group-list 1

コントロールプレーンおよびデータプレーンの高可用性パラメータの設定

このトピックでは、コントロールプレーンとデータプレーンの設定可能な高可用性パラメータについて説明します。

コントロールプレーンの高可用性

可用性の高い Cisco Catalyst SD-WAN ネットワークには、各ドメインに 2 つ以上の Cisco SD-WAN コントローラ が含まれています。Cisco Catalyst SD-WAN ドメインには、最大 20 の Cisco SD-WAN コントローラ を含めることができ、デフォルトでは、それぞれの Cisco IOS XE Catalyst SD-WAN デバイス がそのうちの 2 つに接続します。この値は、トンネルごとに変更します。

ISR4331(config)# sdwan interface interface-name  tunnel-interface max-control-connections  number

ドメイン内の Cisco SD-WAN コントローラ の数が、ドメインの Cisco IOS XE Catalyst SD-WAN デバイス が接続を許可されているコントローラの最大数よりも多い場合、Cisco Catalyst SD-WAN ソフトウェアは、使用可能な Cisco SD-WAN コントローラ の間の接続をロードバランシングします。


(注)  


Cisco SD-WAN コントローラ 間のロードバランシングの効率を最大化するには、ドメイン内の Cisco IOS XE Catalyst SD-WAN デバイス にシステム IP アドレスを割り当てるときに連番を使用します。たとえば、172.1.1.1、172.1.1.2、172.1.1.3 などの連番を付与します。あるいは 172.1.1.1、172.1.2.1、172.1.3.1 なども使用できます。


データプレーンの高可用性

Cisco Catalyst SD-WAN 高可用性ソリューションの一部としてリンク障害を検出する BFD は、シスコのすべてのデバイスでデフォルトで有効になっています。BFD は、 Cisco IOS XE Catalyst SD-WAN デバイス 間のすべての IPsec データトンネルで自動的に実行されます。Cisco SD-WAN コントローラ がネットワーク内のシスコのデバイスすべてと確立するコントロールプレーン(DTLS または TLS)トンネルでは実行されません。

BFD がリンクの障害を宣言する前に、BFD Hello パケット間隔および欠落した Hello パケットの数(BFD 間隔乗数)を変更できます。

BFD Hello パケット間隔の変更

BFD は、2 つの Cisco IOS XE Catalyst SD-WAN デバイス 間の IPsec データトンネル障害を検出するために、定期的に Hello パケットを送信します。デフォルトでは、BFD はこれらのパケットを 1000 ミリ秒ごとに(つまり、1 秒に 1 回)送信します。1 つ以上のトラフィックフローでこの間隔を変更するには、hello-interval コマンドを使用します。

ISR4331(config)#bfd color color hello-interval milliseconds

この間隔には、100 ~ 300000 ミリ秒(5 分)の範囲の値を指定できます。

色で識別される各トンネル接続の間隔を設定します。色は、3gbiz-internetbluebronzecustom1custom2custom3defaultgoldgreenltemetro-ethernetmplsprivate1private2public-internetredsilver のいずれかになります。

BFD パケット間隔乗数の変更

BFD は、リンクで一定数の Hello パケットを受信しなかった場合、そのリンクに障害が発生したと宣言します。このパケット数は、Hello パケット間隔時間の乗数です。デフォルトでは、この乗数はハードウェアルータの場合は 7、クラウドソフトウェアルータの場合は 20 です。これは、BFD が 7 秒間 Hello パケットを受信しなかった場合、リンクに障害が発生したと見なし、冗長性プランを導入することを意味します。

BFD パケット間隔乗数を変更するには、multiplier コマンドを使用します。

ISR4331(config)#bfd color color multiplier integer

乗数の範囲:1 ~ 60(整数)

色で表される各トンネル接続の乗数を設定します。

PMTU ディスカバリの制御

トランスポート接続ごとに(つまり、TLOC または色ごとに)、Cisco Catalyst SD-WAN BFD ソフトウェアはパス MTU(PMTU)ディスカバリを実行します。この動作により、接続でのパケット フラグメンテーションを最小限に抑えるか排除するために、MTU サイズが自動的にネゴシエートされます。BFD PMTU ディスカバリはデフォルトで有効になっています。BFD PMTU ディスカバリを無効にせずに使用することを推奨します。明示的に有効にするには、次の手順を実行します。

ISR4331(config)#bfd color color pmtu-discovery

PMTU ディスカバリが有効になっている場合、トンネル接続のパス MTU は定期的に(約 1 分に 1 回)チェックされ、動的に更新されます。PMTU ディスカバリが有効になっている場合、PMTU ディスカバリには 16 バイトが必要になる可能性があるため、有効なトンネル MTU は 1452 バイトと低くなります。カプセル化の観点からすると、GRE のデフォルト IP MTU は 1468 バイトであり、IPsec の場合はオーバーヘッドが大きいため 1442 バイトになります。PMTU ディスカバリを無効にすると、 Cisco IOS XE Catalyst SD-WAN デバイス 間で送信される BFD パケットのオーバーヘッドが追加されますが、通常のデータトラフィックのオーバーヘッドは追加されません。

PMTU ディスカバリが無効な場合、予想されるトンネル MTU は 1472 バイトです(1500 バイトのトンネル MTU から GRE ヘッダーの 4 バイト、外部 IP ヘッダーの 20 バイト、MPLS ヘッダーの 4 バイトを引いた値)。ただし、ソフトウェアが誤って 4 バイトをヘッダーに追加する場合があるため、有効なトンネル MTU は 1468 バイトになる場合があります。

ハイ アベイラビリティの設定

高可用性を設定およびモニタリングするための CLI コマンド。

高可用性設定コマンド

Cisco IOS XE Catalyst SD-WAN デバイス で高可用性を設定するには、次のコマンドを使用します。

bfd
  app-route
    multiplier number 
    poll-interval milliseconds 
  color color
    hello-interval milliseconds
    multiplier number
    pmtu-discovery

高可用性モニタリングコマンド

show sdwan bfd sessions :ローカル Cisco IOS XE Catalyst SD-WAN デバイス で実行されている BFD セッションに関する情報を表示します。

アフィニティ設定のベストプラクティス

  • Cisco IOS XE Catalyst SD-WAN デバイスsystem controller-group-list コマンドで、オーバーレイネットワークで使用可能なすべてのコントローラグループが一覧表示されます。この操作により、オーバーレイネットワーク内のすべての Cisco SD-WAN コントローラ をアフィニティ設定に使用できるようになり、優先グループへの接続が失われた場合に冗長性が向上します。ルータの OMP セッションの最大数、トンネルの制御接続の最大数、トンネルが使用しないコントローラグループ(exclude-controller-group-list コマンド)を使用して、制御接続の数と優先順位を操作できます。

    system controller-group-list コマンドですべてのコントローラグループをリストすると、Cisco IOS XE Catalyst SD-WAN デバイス サイトでコントローラグループリスト内の Cisco SD-WAN コントローラとの接続の問題が発生している場合に、追加の冗長性レイヤが提供されます。

    説明のために、3 つのコントローラグループ(1、2、3)を含むネットワークで、Cisco IOS XE Catalyst SD-WAN デバイス のコントローラグループリストに、優先グループであるグループ 1 と 2 のみが記載されているとします。このシナリオでは、ルータがグループ 1 と 2 の Cisco SD-WAN コントローラ が動作可能であることを Cisco SD-WAN Validator から学習しても、いずれのデバイスへの接続も確立できない場合、オーバーレイネットワークへの接続は失われます。ただし、コントローラグループリストに 3 つのコントローラグループすべてが記載されていて、グループ 3 が優先度の低い(除外されている)グループに設定されている場合、ルータは通常、引き続きグループ 1 および 2 を優先しますが、グループ 1 またはグループ 2 に接続できない場合、ルータはフォールバックしてグループ 3 のコントローラに接続します。

  • exclude-controller-group-list コマンドに一覧表示されるコントローラグループは、system controller-group-list コマンドで、ルータ全体に対して設定されたコントローラグループのサブセットである必要があります。

  • データセンターに同じコントローラグループ ID を使用する複数の Cisco SD-WAN コントローラ があり、オーバーレイネットワークに 2 つ以上のデータセンターがある場合は、各コントローラグループに含まれる Cisco SD-WAN コントローラ の数を同数にすることを推奨します。たとえば、データセンター 1 に 3 つの Cisco SD-WAN コントローラ があり、すべてが同じグループ ID(たとえば 1)を持つ場合、データセンター 2 にも同じグループ ID(たとえば 2)を持つ 3 つの Cisco SD-WAN コントローラ が必要です。さらに、その他のセンターにも 3 つの Cisco SD-WAN コントローラ が必要です。

  • 1 つのデータセンターが、同じコントローラグループ内にある複数の Cisco SD-WAN コントローラ を含む場合、すべての Cisco SD-WAN コントローラ のハードウェア機能(特にメモリと CPU)は同一である必要があります。さらに言えば、オーバーレイネットワーク内のすべての Cisco SD-WAN コントローラ は、1 つのデータセンター内にあるか多数のデータセンター内にあるかにかかわらず、同じハードウェア機能を備えている必要があります。各 Cisco SD-WAN コントローラ は、ネットワークに含まれるいずれの Cisco IOS XE Catalyst SD-WAN デバイス からの制御接続も処理できる同等のキャパシティと機能を備えている必要があります。

  • ルータに 2 つのトンネル接続があり、ネットワークに 2 つ(またはそれ以上)のデータセンターがある場合は、トンネルインターフェイスの一方を 1 つのデータセンターに接続し、もう一方を他方のデータセンターに接続するように設定することを推奨します。この設定により、最小数の OMP セッションで Cisco SD-WAN コントローラ の冗長性が実現します。

  • ネットワーク設計で可能な限り、アフィニティ設定を活用して障害分離ドメインを作成する必要があります。