サイト間VPNの設定

タイプ

Auto VPNトポロジーでのMX-Zのロールを設定するには3つのオプションがあります。

• Off（オフ）：MX-Zデバイスはサイト間VPNに参加しません。
• Hub (Mesh)（ハブ（メッシュ））：MX-Zデバイスは、このモードで設定されているすべてのリモートMeraki VPNピアとの間、ならびに、ハブとしてMX-Zデバイスが設定されているハブアンドスポーク モードのMX-Zアプライアンスとの間でVPNトンネルを確立します。
• Spoke（スポーク）：このMX-Zデバイス（スポーク）は、指定されたリモートMX-Zデバイス（ハブ）との間でのみ、直接トンネルを確立します。他のスポークへは、それぞれのハブを経由して到達可能ですが、サイト間ファイアウォールのルールによってブロックされる場合を除きます。

トンネリング

スポークとして設定されたMX-Zデバイスについては、使用可能な2つのトンネリング モードがあります。

• Split tunnel（スプリット トンネル）（デフォルト ルートなし）：サイト間トラフィックのみを送信します。つまり、サブネットがリモート サイトにある場合、そのサブネット宛てのトラフィックはVPN経由で送信されます。しかし、VPNメッシュにないネットワーク宛てのトラフィック（たとえば、www.google.comなどのパブリックWebサービス宛てのトラフィック）は、VPN経由では送信されません。 代わりに、このトラフィックは使用可能な別のルートを使用してルーティングされ、最も一般的には、ローカルMX-Zデバイスからインターネットに直接送信されます。スプリット トンネリングでは、複数のハブを設定できます。
• Full tunnel（フル トンネル）（デフォルト ルートあり）：設定された出口ハブは、Auto VPN経由でスポークMX-Zデバイスにデフォルト ルートをアドバタイズします。他のルートでは到達できないサブネット宛てのトラフィックは、VPN経由で出口ハブに送信されます。出口ハブのデフォルト ルートには、降順で優先順位が付けられます。

コンセントレータの優先順位

コンセントレータの優先順位によって、ハブ（メッシュ）モードのアプライアンスが複数のMeraki VPNピアからアドバタイズされたサブネットに到達する方法が決まります。ハブの優先順位と同様に、次の条件を満たす、リストの一番上のコンセントレータがそのようなサブネットに使用されます。

A) サブネットをアドバタイズしている

B) 現在、VPN経由で到達可能である

重要な点として、コンセントレータの優先順位はメッシュ モードのアプライアンスによってのみ使用されます。ハブアンドスポーク モードのアプライアンスはコンセントレータの優先順位を無視して、代わりに独自のハブ優先順位を使用します。

NATトラバーサル

MX-Zデバイスがファイアウォールまたは他のNATデバイスの背後にある場合、VPNトンネルを確立するには2つのオプションがあります。

• Automatic（自動）：ほとんどの場合、MX-Zデバイスは、ファイアウォールまたはNATデバイス経由でも、「UDPホール パンチ」と呼ばれる技法を使用して、リモートMeraki VPNピアへのサイト間VPN接続を自動的に確立できます。これは推奨オプションであり、デフォルトで選択されています。
• Manual: Port forwarding（手動：ポート転送）：Automatic（自動）オプションが機能しない場合は、このオプションを使用できます。Manual: Port forwarding（手動：ポート転送）が有効なときには、Meraki VPNピアは、指定されたパブリックIPアドレスとUDPポート番号を使用してMX-Zデバイスと通信します。そのUDPポートのすべての着信トラフィックをMX-ZデバイスのIPアドレスに転送するように、アップストリーム ファイアウォールを設定する必要があります。

複数のLANサブネットがある場合、VPNに参加するVLANとスタティック ルートを指定するオプションがあります。

複数のアプライアンスから同じサブネットがアドバタイズされる可能性があるのは、そのサブネットをアドバタイズしているすべてのアプライアンスがパススルーまたはVPNコンセントレータ モードになっている場合のみです。ルーテッド モードのアプライアンスからアドバタイズされるサブネットはすべて、Auto VPNトポロジー内で一意でなければなりません。