VXLAN BGP EVPN ファブリックのマルチサイトドメイン

マルチサイトドメイン（MSD）は、複数のメンバーファブリックを管理するために作成されるマルチファブリックコンテナです。MSD は、メンバーファブリック間で共有されるオーバーレイネットワークと VRF を定義するための単一の制御ポイントです。ファブリック（マルチファブリックオーバーレイネットワークドメインの一部として指定されている）をメンバーファブリックとして MSD の下に移動すると、メンバーファブリックは、MSD レベルで作成されたネットワークと VRF を共有します。このようにして、一度にさまざまなファブリックのネットワークと VRF を、一貫した仕方でプロビジョニングできます。複数のファブリックプロビジョニングに関連する時間と複雑さが大幅に削減されます。

サーバーネットワークと VRF はメンバーファブリック全体で（1 つの拡張ネットワークとして）共有されるため、新しいネットワークと VRF のプロビジョニング機能は MSD ファブリックレベルで提供されます。新しいネットワークと VRF の作成は、MSD に対してのみ許可されます。すべてのメンバーファブリックは、MSD 用に作成された新しいネットワークと VRF を継承します。

MSD ファブリックのトポロジビューには、すべてのメンバーファブリックと、それらが互いにどのように接続されているかが、1 つのビューとして表示されます。各メンバーファブリックの展開画面に個別にアクセスして展開する代わりに、単一のトポロジ展開画面から、メンバーファブリックにオーバーレイネットワーク（および VRF）を展開できます。

Note

Cisco NDFC の VXLAN OAM 機能は、単一のファブリックまたはサイトでのみサポートされます。
BGW vPC のペアリングを解除した後、メンバーファブリックで構成の再計算と構成の展開を実行し、続いて MSD ファブリックの構成の再計算と構成の展開を実行します。

ファブリック固有の用語：

スタンドアロンファブリック：MSD の一部ではないファブリックは、MSD の観点からスタンドアロンファブリックと呼ばれます。MSD の概念が登場する前は、すべてのファブリックはスタンドアロンと見なされていましたが、現在は、2 つ以上のファブリックを相互に接続できます。
メンバーファブリック：MSD の一部であるファブリックは、メンバーファブリックまたはメンバーと呼ばれます。最初にスタンドアロンファブリック（タイプ Easy_Fabric）を作成してから、それを MSD 内へ移動してメンバーファブリックにします。

スタンドアロンファブリックが MSD に追加されると、次のアクションが実行されます。

スタンドアロンファブリックの関連属性とネットワークおよび VRF 定義が、MSD でも同様にチェックされます。競合がある場合、MSD へのスタンドアロンファブリックの追加は失敗します。競合がない場合、スタンドアロンファブリックは MSD のメンバーファブリックになります。競合がある場合、競合の詳細が MSD ファブリックの保留中のエラーログに記録されます。競合を解決してから、スタンドアロンファブリックを MSD に再度追加してみることができます。
MSD に存在していなかったスタンドアロンファブリックからのすべての VRF およびネットワークの定義は、MSD にコピーされ、他の既存の各メンバーファブリックに継承されます。
MSD からの VRF とネットワーク（およびその定義、つまりスタンドアロンファブリックには存在していなかった MSD の VRF、L2 および L3 VNI パラメータなど）は、メンバーになったばかりのスタンドアロンファブリックに継承されます。

ファブリックとスイッチのインスタンス変数

MSD はネットワークおよび VRF 値のグローバル範囲をプロビジョニングしますが、ファブリック固有のパラメータや、スイッチ固有のパラメータもあります。そのようなパラメータは、ファブリックインスタンス変数およびスイッチインスタンス変数と呼ばれます。

ファブリックインスタンスの値は、[VRFs and Networks] ウィンドウからのファブリックコンテキストでのみ編集または更新できます。適切なファブリックをダブルクリックしてファブリックの概要を表示し、[ネットワーク（Networks）] または [VRF] タブを選択します。ファブリックインスタンス変数の例には、BGP ASN、ネットワークごとのマルチキャストグループまたは VRF などがあります。マルチキャストグループアドレスの編集方法については、MSD ファブリックでのネットワークの作成を参照してください。

スイッチインスタンスの値は、スイッチにネットワークを展開するときに編集できます。例としては、VLAN ID があります。

MSD およびメンバーファブリックのプロセスフロー

MSD には複数のサイトがあります（したがって、MSD の下に複数のメンバーファブリックがあります）。MSD 用に VRF とネットワークが作成され、メンバーファブリックに継承されます。たとえば、VRF-50000（および ID 50000 の L3 ネットワーク）と、ID 30000 および 30001 の L2 ネットワークが、MSD に対して一度に作成されます。

MSD とメンバーファブリックの作成、および MSD からメンバーファブリックへの継承プロセスの概要フローチャート：

サンプルフローでは、MSD から 1 つのメンバーへの継承について説明しました。MSD には複数のサイトがあります（したがって、MSD の下に複数のメンバーファブリックがあります）。MSD から複数のメンバーへのサンプルフロー：

この例では、VRF-50000（および ID 50000 の L3 ネットワーク）と、ID 30000 および 30001 の L2 ネットワークが、一度に作成されます。図に示すように、ネットワークと VRF はメンバーファブリックスイッチに順次展開されます。

単一の MSD 展開画面からオーバーレイネットワークをプロビジョニングできます。

（注）

既存のネットワークと VRF を持つスタンドアロンファブリックを MSD に移行すると、NDFC は適切な検証を行います。これについては、次のセクションで詳しく説明します。

ドキュメントの今後のセクションでは、以下について説明します。

MSD ファブリックの作成。
（潜在的なメンバーとしての）スタンドアロンファブリックの作成と、メンバーとしての MSD の下でのその移行。
MSD でのネットワークと VRF の作成、およびメンバーファブリックへの継承。
MSD およびメンバーファブリックトポロジビューからのネットワークと VRF の展開。
ファブリック移行のその他のシナリオ：
- 既存のネットワークおよび VRF を持つスタンドアロンファブリックの MSD ファブリックへの移行。
- ある MSD のメンバーファブリックの、別の MSD への移行。

MSD ファブリックの作成とメンバーファブリックの関連付け

このプロセスは、次の 2 つのステップで説明されます。

MSD ファブリックを作成します。
新しいスタンドアロンファブリックを作成し、メンバーファブリックとして MSD ファブリックの下に移動します。

MSD ファブリックの作成

[アクション（Actions）] ドロップダウンリストから、[ファブリックの作成（Create Fabric）] を選択します。

[ファブリックの作成（Create Fabric）] ウィンドウが表示されます。
ファブリックの一意の名前を入力します。

[テンプレートを選択（Choose Template）] をクリックして、ファブリックのテンプレートを選択します。

使用可能なすべてのファブリックテンプレートのリストが表示されます。
ファブリックテンプレートの使用可能なリストから、MSD_Fabric テンプレートを選択します。

[選択（Select）] をクリックします。

ファブリックを作成するために必要なフィールド値を入力します。

画面のタブとそのフィールドについては、以降のポイントで説明します。オーバーレイおよびアンダーレイネットワークパラメータは、これらのタブに含まれています。
[一般パラメータ（General Parameters）] タブでは、すべてのフィールドにデータが自動入力されます。フィールドは、レイヤ 2 およびレイヤ 3 VXLAN セグメント識別子の範囲、デフォルトのネットワークおよび VRF テンプレート、およびエニーキャストゲートウェイの MAC アドレスで構成されます。必要に応じて、以下のフィールドを更新します。

[レイヤ 2 VXLAN VNI 範囲（Layer 2 VXLAN VNI Range）]：レイヤ 2 VXLAN セグメントの ID の範囲。

[レイヤ 3 VXLAN VNI 範囲（Layer 3 VXLAN VNI Range）]：レイヤ 3 VXLAN セグメントの ID の範囲。

[VRF テンプレート（VRF Template）]：デフォルトの VRF テンプレート。

[ネットワークテンプレート（Network Template）]：デフォルトのネットワークテンプレート。

[VRF 拡張テンプレート（VRF Extension Template）]：デフォルトの VRF 拡張テンプレート。

[ネットワーク拡張テンプレート（Network Extension Template）]：デフォルトのネットワーク拡張テンプレート。

[Anycast-Gateway-MAC]：エニーキャストゲートウェイ MAC アドレス。

[マルチサイトルーティングループバック ID（Multisite Routing Loopback Id）]：マルチサイトルーティングループバック ID は、このフィールドに入力されます。

[Tor 自動展開フラグ（ToR Auto-deploy Flag）]：このチェックボックスをオンにする音、MSD ファブリックで [再計算と展開（Recalculate and Deploy）] をクリックしたときに、Easy ファブリックのネットワークと VRF を外部ファブリックの ToR スイッチに自動展開できます。
[DCI] タブをクリックします。

該当するフィールドは次のとおりです。

[Multi-Site Overlay IFC Deploy Method（マルチサイトオーバーレイ IFC 展開方法）]：データセンターを BGW 経由、手動、バックツーバック、またはルートサーバー経由で接続する方法を選択します。

[マルチサイトルートサーバーリスト（Multi-Site Route Server List）]：ルートサーバーの IP アドレスを指定します。複数を指定する場合は、IP アドレスをコンマで区切ります。

[マルチサイトルートサーバー BGP ASN リスト（Multi-Site Route Server BGP ASN List）]：ルートサーバーの BGP AS 番号を指定します。複数のルートサーバーを指定する場合は、AS 番号をコンマで区切ります。

[マルチサイトアンダーレイ IFC 自動展開フラグ（Multi-Site Underlay IFC Auto Deployment Flag）]：チェックボックスをオンにして、自動構成を有効にします。手動構成の場合、チェックボックスをオフにします。

[復元時間の遅延（Delay Restore Time）]：マルチサイトアンダーレイおよびオーバーレイコントロールプレーンのコンバージェンス時間を指定します。最小値は 30 秒で、最大値は 1000 秒です。

[マルチサイト（Multi-Site CloudSec）]：ボーダーゲートウェイで CloudSec 構成を有効にします。このフィールドを有効にすると、CloudSec の残りの 3 つのフィールドが編集可能になります。詳細については、マルチサイト展開での CloudSec のサポートを参照してください。

[マルチサイト eBGP パスワードを有効にする（Enable Multi-Site eBGP Password）]：マルチサイトアンダーレイ/オーバーレイ IFC の eBGP パスワードを有効にします。

[eBGP パスワード（eBGP Password）]：暗号化された eBGP パスワードの 16 進文字列を指定します。

[eBGP 認証キー暗号化タイプ（eBGP Authentication Key Encryption Type）]：BGP キー暗号化タイプを指定します。3DES の場合は 3、Cisco の場合は 7 です。
[リソース（Resources）] タブをクリックします。

[マルチサイトルーティングループバック IP 範囲（MultiSite Routing Loopback IP Range）]：EVPN マルチサイト機能に使用されるマルチサイトループバック IP アドレス範囲を指定します。

各メンバーサイトには、オーバーレイネットワークの到達可能性のためにマルチサイトルーティングループバック IP アドレスが割り当てられている必要があるため、この範囲から各メンバーファブリックに一意のループバック IP アドレスが割り当てられます。ファブリックごとのループバック IP アドレスは、特定のメンバーファブリック内のすべての BGW に割り当てられます。

[DCI サブネット IP 範囲（DCI Subnet IP Range）] および [サブネットターゲットマスク（Subnet Target Mask）]：データセンターインターコネクト（DCI）サブネットの IP アドレスとマスクを指定します。
[構成のバックアップ（Configuration Backup）] タブをクリックします。

[スケジュール済みファブリックバックアップ（Scheduled Fabric Backup）]：毎日のバックアップを有効にします。このバックアップは、構成のコンプライアンスによって追跡されないファブリックデバイスの実行構成の変更を追跡します。

[スケジュール済みの時間（Scheduled Time）]：スケジュールされたバックアップ時間を 24 時間形式で指定します。[スケジュール済みファブリックバックアップ（Scheduled Fabric Backup）] チェックボックスをオンにすると、このフィールドが有効になります。

両方のチェックボックスをオンにして、両方のバックアッププロセスを有効にします。

[保存（Save）]をクリックすると、バックアッププロセスが開始されます。
[保存（Save）] をクリックします。

画面の右下に、新しい MSD ファブリックが作成されたことを示すメッセージが短時間表示されます。ファブリック作成後、ファブリックのページが表示されます。テーブルには、ファブリック名として [MSD-Fabric] が表示されます。

新しい MSD が作成されると、新しく作成された MSD ファブリックインスタンスが [ファブリック（Fabrics）] テーブルに表示されます。

MSD ファブリックは、[Multi-Fabric Domain] として [ファブリックタイプ（Fabric Type）] フィールドに表示されます。メンバーファブリック名がブランチとして含まれています。メンバーファブリックが作成されていない場合は、スタンドアロンファブリックとして表示されます。

MSD ファブリックを作成し、メンバーファブリックをその下に移動する手順は次のとおりです。

MSD ファブリックを作成します。
新しいスタンドアロンファブリックを作成し、メンバーファブリックとして MSD ファブリックの下に移動します。

ステップ 1 が完了しました。ステップ 2 については、次のセクションで説明します。

新しいファブリックを作成し、メンバーとして MSD ファブリックの下に移動する

新しいファブリックは、スタンドアロンファブリックとして作成されます。新しいファブリックを作成したら、メンバーとして MSD の下に移動できます。ベストプラクティスとして、（MSD の）メンバーファブリックにする予定の新しいファブリックを作成するときは、ネットワークと VRF をファブリックに追加しないでください。ファブリックを MSD の下に移動してから、MSD のネットワークと VRF を追加します。そうすれば、メンバーと MSD ファブリックネットワークおよび VRF パラメータ間の検証（または競合解決）の必要がなくなります。

新しいファブリックの作成については、Easy ファブリックの作成プロセスで説明されています。MSD ドキュメントでは、ファブリックの移動について説明されています。ただし、スタンドアロン（メンバーとなる可能性のある）ファブリックについては、いくつかの指針があります。

[リソース（Resource）] タブの値は自動的に生成されます。新しいネットワークおよび VRF の作成に割り当てられる VXLAN VNI ID 範囲（L2 セグメント ID 範囲および L3 パーティション ID 範囲フィールド内）は、MSD ファブリックセグメント ID 範囲からの値です。VXLAN VNI 範囲、または VRF およびネットワーク VLAN 範囲を更新する場合は、次のことを確認します。

値の範囲を更新する場合は、他の範囲と重複しないようにしてください。
一度に更新できる値の範囲は 1 つだけです。複数の値の範囲を更新する場合は、別のインスタンスで実行します。たとえば、L2 と L3 の範囲を更新する場合は、次の手順を実行する必要があります。
1. L2 範囲を更新し、[保存（Save）] をクリックします。
2. [ファブリックの編集（Edit Fabric）] オプションをもう一度クリックし、L3 範囲を更新して [保存（Save）] をクリックします。

[エニーキャストゲートウェイ MAC（Anycast Gateway MAC）]、[ネットワークテンプレート（Network Template）]、および[VRF テンプレート（VRF Template）] フィールドの値が MSD ファブリックと同じであることを確認します。それ以外の場合、MSD へのメンバーファブリックの移動は失敗します。

その他の指針：

メンバーファブリックにはサイト ID が設定されている必要があり、サイト ID はメンバー間で一意である必要があります。
BGP AS 番号は、メンバーファブリックに対して一意である必要があります。
loopback0 のアンダーレイサブネット範囲は一意である必要があります。
loopback1 のアンダーレイサブネット範囲は一意である必要があります。

[保存（Save）] をクリックすると、ファブリックが作成されたことを示すメモが画面の右下に表示されます。ファブリックが作成されると、ファブリックのページが表示されます。ファブリックのリストにファブリック名が表示されます。

MSD-Parent-Fabric の下での Member1 ファブリックの移動

MSD ファブリックの概要に移動して、その下のメンバーファブリックを関連付ける必要があります。

MSD ファブリック名をダブルクリックして [ファブリックの概要（Fabric Overview）] 画面を表示します。
[子ファブリック（Child Fabrics）] で、[アクション（Actions）] > [ファブリックを MSD に移動（Move Fabric into MSD）] をクリックします。

[ファブリックの概要（Fabric Overview）] > [アクション（Action）] > [子ファブリックの追加（Add Child Fabrics）] をクリックして、メンバーファブリックを MSD に追加することもできます。

MSD の一部ではない子ファブリックのリストが表示されます。他の MSD コンテナファブリックのメンバーファブリックは、ここには表示されません。
Member1 ファブリックを MSD ファブリックに関連付けるため、Member1 ファブリックを選択して [選択（Select）] をクリックします。
ファブリックを選択し、[選択（Select）] をクリックします。

Member1 が MSD ファブリックに追加され、ファブリックリストテーブルの [子ファブリック（Child Fabrics）] に表示されることがわかります。

MSD ファブリックのトポロジビューの指針

[トポロジ（Topology）] タブには、構成された MSD ファブリックとその子ファブリックが表示されます。

[MSD ファブリックトポロジビュー（MSD fabric topology view）]：MSD ファブリックとそのメンバーファブリックが表示されます。境界は、各メンバーファブリックを定義します。ファブリックのすべてのファブリックデバイスは、境界に限定されます。

メンバーファブリックをダブルクリックして、さらに要素を表示します。
[メンバーファブリックトポロジビュー（Member fabric topology view）]：メンバーファブリックとそのスイッチが表示されます。また、接続されている外部ファブリックが表示されます。
境界は、スタンドアロン VXLAN ファブリックと、MSD ファブリック内の各メンバーファブリックを定義します。ファブリックのデバイスは、ファブリックの境界に限定されます。スイッチのアイコンはドラッグして移動できます。ユーザーエクスペリエンスを向上させるために、NDFC では、スイッチに加えて、ファブリック全体を移動できます。ファブリックを移動するには、カーソルをファブリック境界内（スイッチアイコン上ではなく）に置き、目的の方向にドラッグします。

リンクの追加と編集

リンクを追加するには、[アクション（Actions）] > [その他（More）] > [リンクを追加（Add Link）]を選択します。リンクを編集するには、[アクション（Actions）] > [その他（More）] > [リンクを編集（Edit Link）]を選択します。

異なるファブリックのボーダースイッチ間（ファブリック間）、または同じファブリック内のスイッチ間（ファブリック内）にリンクを追加する方法については、ファブリックのリンクのトピックを参照してください。

MSD ファブリックでのネットワークと VRF の作成と展開

スタンドアロンファブリックでは、ファブリックごとにネットワークと VRF が作成されます。MSD ファブリックでは、ネットワークと VRF は MSD ファブリックレベルで作成する必要があります。ネットワークと VRF は、すべてのメンバーネットワークによって継承されます。メンバーファブリックのネットワークおよび VRF を作成または削除することはできません。ただし、編集することはできます。

たとえば、2 つのメンバーファブリックを持つ MSD ファブリックを考えてみます。MSD ファブリックに 3 つのネットワークを作成すると、3 つのネットワークすべてが自動的に両方のメンバーファブリックで展開できるようになります。

メンバーファブリックは MSD ファブリックのネットワークと VRF を継承しますが、ファブリックごとにネットワークと VRF を個別に展開する必要があります。

ファブリックごとの展開ビューに加えて、MSD の展開ビューが導入されました。このビューでは、MSD 内のすべてのメンバーファブリックのオーバーレイネットワークを一度に表示し、プロビジョニングできます。ただし、ファブリックごとにネットワークと VRF の構成を個別に適用して保存する必要があります。

（注）

ネットワークと VRF は、サーバー（またはエンドホスト）がその下でグループ化される共通の識別子（メンバーファブリック全体で表現される）であり、同じファブリック、それとも異なるファブリックに属しているかにはかかわりなく、ネットワークと VRF ID に基づいてエンドホスト間でトラフィックを送信できるようにします。メンバーファブリック全体で共通の表現があるため、ネットワークと VRF を一度にプロビジョニングできます。異なるファブリックのスイッチは物理的にも論理的にも異なるため、ファブリックごとに同じネットワークと VRF を個別に展開する必要があります。

たとえば、2 つのメンバーファブリックを含む MSD にネットワーク 30000 と 30001 を作成すると、メンバーファブリック用にネットワークが自動的に作成され、展開に使用できるようになります。

30000 および 30001 は、単一の（MSD ファブリック）展開画面を介して、すべてのメンバーファブリックのボーダーデバイスに展開できます。これ以前は、最初のメンバーのファブリック展開画面にアクセスし、ファブリックのボーダーデバイスに 30000 と 300001 を展開してから、2 番目のメンバーファブリック展開画面にアクセスして、再度展開する必要がありました。

ネットワークと VRF は MSD で作成され、メンバーファブリックに展開されます。手順は次のとおりです。

MSD ファブリックにネットワークと VRF を作成します。
メンバーファブリックのデバイスにネットワークと VRF を展開します。

MSD ファブリックでのネットワークの作成

いくつかのガイドラインと指針：

MSD ファブリックレベルで [ボーダーで L3 ゲートウェイを有効にする（Enable L3 Gateway on Border）] チェックボックスをオンにして、NDFC サービスをアップグレードしようとすると、アップグレード中に MSD ファブリックレベルから自動的に削除されます。
MSD ファブリックネットワークでは、ネットワークプロファイルを一部だけ（[一般（General）] タブと [詳細（Advanced）] タブで）編集することができます。
MSD には複数のファブリックを含めることができます。これらのファブリックは、マルチキャストまたは入力レプリケーションを介して BUM トラフィックを転送します。すべてのファブリックが BUM トラフィックにマルチキャストを使用する場合でも、これらのファブリック内のマルチキャストグループは同じである必要はありません。
MSD でネットワークを作成すると、すべてのメンバーファブリックに継承されます。ただし、マルチキャストグループアドレスは、ファブリックインスタンス　ごとの変数です。マルチキャストグループアドレスを編集するには、メンバーファブリックに移動してネットワークを編集する必要があります。[マルチキャストグループアドレス（Multicast Group Address）] フィールドの詳細については、スタンドアロンファブリックのネットワークの作成を参照してください。
ネットワークを削除できるのは MSD ファブリックからだけであり、メンバーファブリックからは削除できません。削除する前には、それぞれのファブリックデバイスでネットワークを展開解除する必要があります。
MSD ファブリックからネットワークを削除すると、そのネットワークはメンバーファブリックからも自動的に削除されます。

スタンドアロンファブリックのネットワークの作成を参照してください。

MSD ファブリックでの VRF の作成

メンバーファブリックレベルで VRF を削除することはできません。MSD ファブリックで VRF を削除します。削除された VRF は、すべてのメンバーファブリックから自動的に削除されます。

VRF の作成を参照してください。

MSD およびメンバーファブリックでのネットワークと VRF の削除

ネットワークを削除できるのは MSD ファブリックからだけであり、メンバーファブリックからは削除できません。MSD ファブリック内のネットワークおよび対応する VRF を削除するには、次の手順に従います。

削除する前に、それぞれのファブリックデバイスでネットワークを展開解除します。
MSD ファブリックからネットワークを削除します。
削除する前に、それぞれのファブリックデバイスで VRF を展開解除します。

MSD ファブリックから VRF を削除します。複数の VRF インスタンスを一度に削除することもできます。

（注）

MSD ファブリックから VRF を削除すると、メンバーファブリックからも自動的に削除されます。

スタンドアロンファブリック（既存のネットワークと VRF を使用）を MSD ファブリックに移動する

既存のネットワークと VRF を持つスタンドアロンファブリックをメンバーとして MSD ファブリックに移動する場合は、共通のネットワーク（つまり、L2 VNI と L3 VNI 情報）、エニーキャストゲートウェイ MAC、VRF とネットワークテンプレートがファブリックと MSD 全体で同じであることを確認してください。NDFC は、スタンドアロンファブリック（ネットワークおよび VRF 情報）を MSD ファブリックの（ネットワークおよび VRF 情報）に対して検証して、エントリの競合を回避します。エントリの競合の例は、2 つの一般的なネットワーク名が異なるネットワーク ID を持っている場合です。検証後、競合がなければ、スタンドアロンファブリックはメンバーファブリックとして MSD ファブリックに移動されます。詳細:

MSD ファブリックは、MSD ファブリックに存在しないスタンドアロンファブリックのネットワークと VRF を継承します。これらのネットワークと VRF は、メンバーファブリックによって継承されます。
新しく作成されたメンバーファブリックは、MSD ファブリックのネットワークと VRF（新しく作成されたメンバーファブリックには存在しないもの）を継承します。
スタンドアロンファブリックと MSD ファブリックの間に競合がある場合、検証によって、エラーメッセージが表示されるようにします。更新後、スタンドアロンファブリックを再度 MSD に移動できます。移動が成功すると、ページの上部に移動が成功したことを示すメッセージが表示されます。

メンバーファブリックをスタンドアロンステータスに戻すと、ネットワークと VRF はそのまま残りますが、MSD ファブリックの範囲外で、独立したファブリック内にあるものとして、関連したままになります。

マルチサイト展開での CloudSec のサポート

CloudSec 機能は、異なるファブリック内のボーダーゲートウェイデバイス間の送信元から宛先へのパケット暗号化をサポートすることにより、マルチサイト展開で安全なデータセンター相互接続を可能にします。

CloudSec 機能は、Cisco NX-OS リリース 9.3(5) 以降を搭載した Cisco Nexus 9000 シリーズ FX2 プラットフォームでサポートされています。FX2 プラットフォームであり、Cisco NX-OS リリース 9.3(5) 以降を実行するボーダーゲートウェイ、ボーダーゲートウェイスパイン、およびボーダーゲートウェイスーパースパインは、CloudSec 対応スイッチと呼ばれます。

CloudSec は、MSD ファブリックの作成中に有効にすることができます。

（注）

CloudSec セッションは、2 つの異なるサイトのボーダーゲートウェイ（BGW）間の DCI を介したポイントツーポイントです。サイト間のすべての通信は、VIP の代わりにマルチサイト PIP を使用します。CloudSec を有効にするには、VIP から PIP に切り替える必要があります。これにより、サイト間のデータフローのトラフィックが中断される可能性があります。したがって、CloudSec の有効または無効の切り替えは、メンテナンスウィンドウ中に行なうことをお勧めします。

MSD で CloudSec を有効にする

NDFC Web UI で、[LAN] > [ファブリック（Fabircs）] を選択します。[ファブリックの作成（Create Fabric）] をクリックして新しい MSD ファブリックを作成するか、[ファブリックの編集（Edit Fabric）] をクリックして既存の MSD ファブリックを編集することができます。

[DCI] タブで、CloudSec 構成の詳細を指定できます。

[マルチサイト（Multi-Site CloudSec）]：ボーダーゲートウェイで CloudSec 構成を有効にします。このフィールドを有効にすると、CloudSec の残りの 3 つのフィールドが編集可能になります。

Cloudsec が MSD レベルで有効になっている場合、NDFC は、すべての Cloudsec 対応ゲートウェイのアップリンクで、dci-advertise-pip（evpn multisite border-gatewayの下）と、tunnel-encryption も有効にします。

[再計算と展開（Recalculate & Deploy）] をクリックすると、ボーダーゲートウェイスイッチの [構成のプレビュー（Preview Config）] ウィンドウでこれらの構成を確認できます。

（注）

ボーダーゲートウェイに vPC がある場合、または TRM が有効になっている場合、つまり、マルチサイトオーバーレイ IFC で TRM が有効になっている場合、CloudSec はサポートされません。このシナリオで CloudSec が有効になっている場合、適切な警告またはエラーメッセージが生成されます。

[CloudSec キー文字列（CloudSec Key String）]：16 進キー文字列を指定します。AES_128_CMAC を選択した場合は 66 文字の 16 進文字列を入力し、AES_256_CMAC を選択した場合は 130 文字の 16 進文字列を入力します。

[CloudSec 暗号化アルゴリズム（CloudSec Cryptographic Algorithm）]：AES_128_CMAC または AES_256_CMAC を選択します。

[CloudSec 強制（CloudSec Enforcement）] ：CloudSec を厳密に強制するか、緩和するかを指定します。

[厳密（strict）]：MSD のファブリック内のすべてのボーダーゲートウェイに CloudSec 構成を展開します。CloudSec をサポートしていないボーダーゲートウェイがある場合、エラーメッセージが生成され、構成はどのスイッチにもプッシュされません。

[厳密（strict）] が選択されている場合、tunnel-encryption must-secure CLI が MSD 内の CloudSec 対応ゲートウェイにプッシュされます。

[緩和（loose）]：MSD のファブリック内のすべてのボーダーゲートウェイに CloudSec 構成を展開します。CloudSec をサポートしていないボーダーゲートウェイがある場合は、警告メッセージが生成されます。この場合、CloudSec 構成は、CloudSec をサポートするスイッチにのみ展開されます。[緩和（loose）] が選択されていて、tunnel-encryption must-secure CLI が存在する場合は削除されます。

（注）

CloudSec をサポートするボーダーゲートウェイを備えた MSD には、少なくとも 2 つのファブリックが必要です。CloudSec 対応デバイスを備えたファブリックが 1 つしかない場合は、次のエラーメッセージが生成されます。

CloudSec には、CloudSec をサポートできるサイトが少なくとも 2 つ必要です（CloudSec needs to have at least 2 sites that can support CloudSec）。

このエラーを解消するには、CloudSec をサポートするか、CloudSec を無効にできるサイトが少なくとも 2 つあるという条件を満たす必要があります。

[CloudSec ステータスレポートタイマー（CloudSec Status Report Timer）]：CloudSec 動作ステータス定期レポートタイマーを分単位で指定します。この値は、NDFC がスイッチから CloudSec ステータスデータをポーリングする頻度を指定します。デフォルト値は 5 分で、範囲は 5 ～ 60 分です。

NDFC の CloudSec 機能を使用すると、MSD 内のすべてのゲートウェイが同じキーチェーン（および 1 つのキー文字列のみ）を持ち、ポリシーを持つようにすることができます。NDFC に 1 つのキーチェーン文字列を指定して、キーチェーンポリシーを形成することができます。NDFC は、すべてのデフォルト値を使用して encryption-policy を形成します。NDFC は、同じキーチェーンポリシー、同じ暗号化ポリシー、および暗号化ピアポリシーを各 CloudSec 対応ゲートウェイにプッシュします。各ゲートウェイには、CloudSec 対応で、同じキーチェーンと同じキーポリシーを使用する encryption-peer ポリシーが、リモートゲートウェイごとに 1 つあります。

MSD ファブリック全体に同じキーを使用したくない場合、またはすべてのサイトのサブセットでのみ CloudSec を有効にしたい場合は、switch_freeform を使用して、CloudSec 構成をスイッチに手動でプッシュできます。

switch_freeform のすべての CloudSec 構成をキャプチャします。

たとえば、次の設定は switch_freeform ポリシーに含まれています。

feature tunnel-encryption
evpn multisite border-gateway 600
  dci-advertise-pip
tunnel-encryption must-secure-policy
tunnel-encryption policy CloudSec_Policy1
tunnel-encryption source-interface loopback20
key chain CloudSec_Key_Chain1 tunnel-encryption
  key 1000
    key-octet-string 7 075e731f1a5c4f524f43595f507f7d73706267714752405459070b0b0701585440
    cryptographic-algorithm AES_128_CMA
tunnel-encryption peer-ip 192.168.0.6
  keychain CloudSec_Key_Chain1 policy CloudSec_Policy1

次のような構成を生成するアップリンクインターフェイスポリシーのフリーフォーム構成に tunnel-encryption を追加します。

interface ethernet1/13
  no switchport
  ip address 192.168.1.14/24 tag 54321
  evpn multisite dci-tracking
  tunnel-encryption
  mtu 9216
  no shutdown

詳細については、ファブリックスイッチでのフリーフォーム設定の有効化を参照してください。

CloudSec 設定がスイッチに追加または削除されると、DCI アップリンクがフラップし、マルチサイト BGP セッションフラッピングがトリガーされます。既存のクロスサイトトラフィックがあるマルチサイトの場合、この移行中にトラフィックの中断が発生します。したがって、メンテナンス期間中に移行を行うことをお勧めします。

CloudSec 構成の MSD ファブリックを NDFC に移行する場合、Cloudsec 関連の構成は、switch_freeform および interface freeform 構成でキャプチャされます。MSD ファブリック設定で Multi-Site Cloudsec をオンにする必要はありません。さらにファブリックを追加し、既存のものとキーを含む同じ CloudSec ポリシーを共有する CloudSec トンネルを確立する場合は、MSD ファブリック設定で CloudSec 構成を有効にすることができます。MSD ファブリック設定の CloudSec パラメータは、スイッチの既存の CloudSec 設定と一致する必要があります。CloudSec 構成は既にフリーフォーム構成に取り込まれており、MSD で CloudSec を有効にすると構成インテントも生成されます。したがって、二重のインテントが生じます。たとえば、MSD 設定で CloudSec キーを変更する場合、NDFC は switch_freeform の構成を変更しないため、CloudSec フリーフォーム構成を削除する必要があります。そうしないと、MSD ファブリック設定のキーがフリーフォーム構成のキーと競合します。

CloudSec の動作状態の表示

MSD ファブリックで CloudSec が有効になっている場合、[CloudSec 操作ビュー（CloudSec Operational View）] を使用して CloudSec セッションの操作ステータスを確認できます。

手順

ステップ 1

MSD ファブリックを選択します。

ファブリックトポロジウィンドウが表示されます。

ステップ 2

[アクション（Actions）] > [詳細ビュー（Detailed View）]を選択します。

ステップ 3

[リンク（Link）] タブをクリックし、左側の [CloudSec 操作ビュー（CloudSec Operational View）] タブを選択します。

ステップ 4

CloudSec が無効になっている場合、[CloudSec 操作ビュー（CloudSec Operational View）] は表示されません。

[操作ビュー（Operational View）] には、次のフィールドと説明があります。


フィールド	説明
Fabric Name（ファブリック名）	CloudSec セッションを持つファブリックを指定します。
セッション	CloudSec セッションに関係するファブリックとボーダーゲートウェイスイッチを指定します。
リンクステータス	CloudSec セッションのステータスを指定します。この状態は次のいずれかになります。 Up：スイッチ間で CloudSec セッションが正常に確立されています。 Down：CloudSec セッションは動作していません。
稼働時間	CloudSec セッションの稼働時間を指定します。具体的には、最後の Rx および Tx セッションがフラップしてからの稼働時間であり、2 つのセッションのうち小さい方の値が表示されます。
動作理由	CloudSec セッション状態のダウン理由を指定します。

（注）

ファブリックで CloudSec が有効になった後、セッションが作成され、次のステータスポーリングが発生するまでは、動作ステータスを使用できない場合があります。

CloudSec セッションのトラブルシューティング

CloudSec セッションが停止している場合は、プログラマブルレポートを使用してその詳細を確認できます。

手順

ステップ 1	NDFC Web UI で、[操作（Operations）] [プログラマブルレポート（Programmable Reports）] を選択します。
ステップ 2	[Create Report] をクリックします。
ステップ 3	[レポート名（Report Name）] フィールドにレポートジョブの一意な名前を入力します。
ステップ 4	[テンプレートの選択（Select Template）] ドロップダウンリストから、fabric_cloudsec_oper_status を選択します。
ステップ 5	[次へ（Next）] をクリックして、[ソースと繰り返し（Source & Recurrence）] タブを表示します。
ステップ 6	[繰り返し（Recurrence）] フィールドで、レポートジョブを実行する頻度を選択します。
ステップ 7	レポートを電子メールで送信する場合は、[電子メールレポート先（Email Report To）] フィールドに電子メールの ID またはメーラーの ID を入力します。 [設定（Settings）] [サーバ設定（Server Settings）] [SMTP] タブで SMTP を設定する必要があります。データサービスの IP アドレスがプライベートサブネットにある場合は、SMTP サーバーのスタティック管理ルートを Cisco Nexus Dashboard クラスタ設定に追加する必要があります。
ステップ 8	[ファブリックの選択（Select fabric(s)）] テーブルで、レポートジョブを実行する MSD ファブリックを選択します。
ステップ 9	[保存（Save）] をクリックします。レポートジョブは、構成された間隔で実行されます。

Cisco NDFC ファブリックコントローラ構成ガイド、リリース 12.1.x

偏向のない言語

翻訳について

Book Title

Cisco NDFC ファブリックコントローラ構成ガイド、リリース 12.1.x

Chapter Title

VXLAN BGP EVPN ファブリックのマルチサイトドメイン

検索結果

章のタイトル： VXLAN BGP EVPN ファブリックのマルチサイトドメイン

VXLAN BGP EVPN ファブリックのマルチサイトドメイン