VPNコンセントレーター導入ガイド

ダッシュボードとクラウド

MX セキュリティ アプライアンスは、クラウドで管理されるネットワーキング デバイスです。そのため、Cisco Merakiダッシュボードを介した監視と設定を可能にするには、必要なファイアウォール ポリシーが設定されていることが重要です。該当する宛先ポートとIPアドレスは、ダッシュボードのHelp（ヘルプ） > Firewall info（ファイアウォール情報）ページで確認できます。

VPNレジストリ

Cisco MerakiのAutoVPNテクノロジーは、クラウドベースのレジストリ サービスを利用して、VPN接続をオーケストレーションします。AutoVPN接続を正常に確立するには、アップストリーム ファイアウォールがVPNコンセントレーターとVPNレジストリ サービスとの通信を許可する必要があります。 該当する宛先ポートとIPアドレスは、ダッシュボードのHelp（ヘルプ） > Firewall info（ファイアウォール情報）ページで確認できます。

アップリンク ヘルスのモニタリング

MXは、よく知られているインターネットの宛先に共通プロトコルを使用して到達することにより、アップリンク ヘルスを定期的にチェックします。この動作全体については、ここで概説されています。適切なアップリンク モニタリングを可能にするためには、以下の通信も許可されなければなりません。

• ICMPから8.8.8.8（GoogleのパブリックDNSサービス）

• HTTPポート80

• DNSからMXの設定済みDNSサーバー

トポロジーの例  

MX VPNコンセントレーターはルーテッド モードで動作するように設定することもできます。次の図は、ルーテッド モード コンセントレーターを使用するデータセンター トポロジーの例を示しています。

インターフェース設定 

ルーテッド モードVPNコンセントレーターとして設定されたMX セキュリティ アプライアンスは、ネットワーク エッジに近い「アップストリーム」データセンター インフラストラクチャにはインターネット ポートを使用して接続し、データセンター サービスに近い「ダウンストリーム」インフラストラクチャにはLANポートを使用して接続する必要があります。

ダッシュボードの設定  

Cisco Merakiダッシュボードの設定は、ユニットをオンラインにする前でも後でも行うことができます。

下記の設定手順について、以下のセクションで詳しく説明します。

1. ルーテッド モードで動作するようにMXを設定する。

2. VLANとスタティック ルートを定義する。

3. サイト間VPNパラメータを設定する。

その他のデータセンターの設定  

ルーティングに関する考慮事項

データセンターでVPNコンセントレーターとして動作するMXは、リモート サブネットをデータセンター内で終端します。双方向通信のためには、ダウンストリーム ネットワークに、VPNコンセントレーターとして機能するMXを指すリモートAutoVPNサブネット用のルートが必要です。

ルーテッド モード コンセントレーターのLAN側で受信されたトラフィックがAutoVPNを通過するためには、トラフィックは、コンセントレーターのAddressing & VLANs（アドレスとVLAN）ページで定義されたローカルVLANまたはスタティック ルートに一致するサブネットから送信されなければならず、かつ、そのサブネットがVPNで許可されていなければなりません。いずれかの条件が満たさない場合、トラフィックはMXによってLANからAutoVPNへルーティングされません。

アップストリームに関する考慮事項  

このセクションでは、データセンター ネットワークの他のコンポーネントに関する設定の考慮事項を説明します。

付録1： ワンアーム コンセントレーターの動作

ワンアーム コンセントレーター モードで動作しているMX セキュリティ アプライアンスは、単一のインターフェースでトラフィックを送受信します。このインターフェースは常に、ユニット上の最初のインターネットまたはWANポートです。VPNコンセントレーターとして導入された場合、セカンダリ ポートはサポートされません。

MXがワンアーム コンセントレーターとして機能している場合の、AutoVPNトンネルを介して送信されたトラフィックのフローを理解することが重要です。 次のシナリオでは、ブランチ ロケーションのホストが、データセンターにあるWebページをサイト間VPNを介して読み込もうとしています。

1. クライアントはWebサーバーのプライベート アドレスへのトラフィックを、ブランチ ロケーションのMX（ルーテッド モード）であるデフォルト ゲートウェイに送信します。

2. ブランチMXはルーティング テーブルを検索して、宛先IPアドレスが、Meraki AutoVPN経由でアクセス可能なサブネット内にあることを確認します。

3. ブランチMXはクライアントからのデータを暗号化してカプセル化し、パケット ソースをWANインターフェースから送信します。宛先は、VPNレジストリから学習したデータセンターにあるワンアーム コンセントレーターのパブリックIPアドレスとポートです。

4. このトラフィックは、インターネット経由でデータセンターのエッジにルーティングされます。

5. データセンターのエッジは、トラフィックをプライベート アドレスにNATして、トラフィックをワンアーム コンセントレーターのIPアドレスに送信します。

6. トラフィックはデータセンターの内部ネットワークをトラバースして、ワンアーム コンセントレーターに着信します。MXはトラフィックを復号化し、カプセル化を解除して、（クライアントによってブランチから送信された）元のパケットをアップストリームに転送します。

7. アップストリーム データセンター インフラストラクチャは、トラフィックをサーバーへルーティングします。

8. サーバーは、クライアント トラフィックを受信して、応答をクライアントに送信します。

9. 応答は、内部データセンター ネットワークを通じて、ワンアーム コンセントレーターとして機能しているMXへルーティングされます。

10. この応答を受信したワンアーム コンセントレーターは、宛先IPアドレスがサイト間VPN経由でアクセス可能なサブネットに含まれることを確認し、対応するAutoVPNピアの連絡先情報を検索し、データをカプセル化して暗号化し、応答を有線で送信します。

11. ブランチMXのパブリックIPとAutoVPNポートを宛先とした応答は、データセンターを経由し、NATされてインターネットにルーティングされます。

12. パケットはインターネットを経由してブランチMXへルーティングされます。

13. ブランチMXは応答を受信し、復号化し、カプセル化を解除して、サーバーの応答をダウンストリームに転送します。

14. 応答は内部ブランチ ネットワークをトラバースして、クライアント デバイスによって受信されます。

付録2：ルーテッド モードのコンセントレーターの動作

ルーテッド モード コンセントレーターとして動作しているMX セキュリティ アプライアンスは、カプセル化され暗号化されたトラフィックをWANインターフェース上で送受信し、カプセル化解除され復号化されたトラフィックをLANインターフェース上で送受信します。

MXがルーテッド モード コンセントレーターとして機能している場合の、AutoVPNトンネルを介して送信されたトラフィックのフローを理解することが重要です。 次のシナリオでは、ブランチ ロケーションのホストが、データセンターにあるWebページをサイト間VPNを介して読み込もうとしています。

1. クライアントはWebサーバーのプライベート アドレスへのトラフィックを、ブランチ ロケーションのMX（ルーテッド モード）であるデフォルト ゲートウェイに送信します。

2. ブランチMXはルーティング テーブルを検索して、宛先IPアドレスが、Meraki AutoVPN経由でアクセス可能なサブネット内にあることを確認します。

3. ブランチMXはクライアントからのデータを暗号化してカプセル化し、パケット ソースをWANインターフェースから送信します。宛先は、VPNレジストリから学習したデータセンターにあるルーテッド モード コンセントレーターのパブリックIPアドレスとポートです。

4. このトラフィックは、インターネット経由でデータセンターのエッジにルーティングされます。

5. データセンターのエッジは、トラフィックをプライベート アドレスにNATして、トラフィックをワンアーム コンセントレーターのIPアドレスに送信します。

6. トラフィックはデータセンターの内部ネットワークをトラバースして、ルーテッド モード コンセントレーターのWANインターフェースに着信します。MXは、トラフィックを復号化してカプセル化解除します。

7. コンセントレーターはルーティング テーブルを検索して、（クライアントによってブランチから送信された）元のパケットを、宛先アドレスに対して最も具体的なルートに基づいてダウンストリームに転送します。

8. ダウンストリーム データセンター インフラストラクチャは、トラフィックをサーバーへルーティングします。

9. サーバーは、クライアント トラフィックを受信して、応答をクライアントに送信します。

10. 応答は、内部データセンター ネットワークを通じて、ルーテッド モード コンセントレーターとして機能しているMXへルーティングされます。

11. この応答を受信したルーテッド モード コンセントレーターは、宛先IPアドレスがサイト間VPN経由でアクセス可能なサブネットに含まれることを確認し、対応するAutoVPNピアの連絡先情報を検索し、データをカプセル化して暗号化し、WANインターフェースから応答を有線で送信します。

12. ブランチMXのパブリックIPとAutoVPNポートを宛先とした応答は、データセンターを経由し、NATされてインターネットにルーティングされます。

13. パケットはインターネットを経由してブランチMXへルーティングされます。

14. ブランチMXは応答を受信し、復号化し、カプセル化を解除して、サーバーの応答をダウンストリームに転送します。

15. 応答は内部ブランチ ネットワークをトラバースして、クライアント デバイスによって受信されます。