MXロード バランシングとフロー プリファレンス

ロード バランシングが有効な状態での速度テスト 

ネットワーク問題のトラブルシューティングの際、場合によってはインターネット上のサービスを使用してネットワーク スループット テストを実行しなければなりません。ロード バランシングが設定されたMX上のクライアント デバイスを使用してインターネット アップリンクの速度をテストするときには、複数のテストに対して単一のアップリンクしか使用されないことがあります。アップリンクのスループットが異なる場合、この動作により、インターネット速度テストで予期しない結果になるおそれがあります。この動作は、MXのロード バランシング アルゴリズムの機能です。

トラフィックは、送信元と宛先のIPアドレスおよびポートによって、インターネット インターフェースにマップされます。新しく開始されたIPトラフィックの送信元と宛先IPアドレスおよびポートが、既存のマッピングに一致した場合は、同じインターネット インターフェースで送信されます。 これは、接続中に送信元と宛先が同じままであることが必要な特定のフローの接続状態を保つために行われます。下の図では、速度テスト サイト宛てのホストA（192.168.1.2）のトラフィックはアップリンク1にマップされ、速度テスト サイト宛てのホストB（192.168.1.3）のトラフィックはアップリンク2にマップされています。 これらのマッピングが維持されている限り、ホストAの結果は常にアップリンク1の結果に一致し、ホストBの結果は常にアップリンク2の結果に一致します。

これらの各トラフィック マッピングは、マッピングに一致するトラフィックが3600秒間（1時間）なかった場合、期限切れになります。この期間は、マッピングに一致する新しいトラフィックが生成されるたびにリセットされます。一対のホスト間で頻繁に通信が行われると、マッピングが継続的に更新されるため、トラフィックは常に通信に1つのアップリンクを使うことになります。
多くの場合、MXに接続されているアップリンクのスループットは異なります。たとえば、1つのアップリンクは高速なMPLSネットワークにあるのに対して、もう1つは低速なDSL接続かもしれません。あるいは、アップストリームの問題が原因で特定のリンクで輻輳が発生する可能性もあります。インターネット ベースの速度テストを使用してアップリンクの速度をテストするときには、テスト中は1つのアップリンクのみを接続して、各アップリンクを個別にテストするのがベスト プラクティスです。これにより、前述したインターフェース プリファレンスの問題を回避して、アップリンクのスループットをより正確に測定できます。

ロード バランシングとSSL/TLS接続 

SSLまたはTLSを使用して接続が確立されたときには、送信元のポートとIPアドレスの定期チェックが必要です。不一致が見つかった場合、接続は終了します。ロード バランシング シナリオによっては、トラフィックが複数のアップリンクで集約された場合に、このようになることがあります。 

MXシリーズのリンク アグリゲーションは、1つのデータ ストリームを1つのアップリンクにペアリングすることによって、これを処理します。つまり、送信元と宛先の間でTCP接続が確立されると、ポートとIPアドレスのペアリングが1つのアップリンクにマップされます。これにより、ストリームが別のアップリンクに分散されて接続がリモート ホストによって終了されることを防ぎます。

1対1または1対多のNATでのロード バランシング

MXセキュリティ アプライアンスのロード バランシングは、両方のWANアップリンク間で接続をラウンドロビンすることによって、2つのアップリンク間のトラフィック負荷のバランスをとるように設計されています。一方、NATルールは、特定のパブリックIPを1つ以上の内部IPにマッピングして、内部デバイスのトラフィックが常にそのパブリックIPを使用するようにします。

2つの機能が組み合わせて使用されると、ロード バランシングにより、NATルールがある場合でも、アウトバウンド トラフィックはいずれかのインターフェースから送信されます。このため、NATルールで示された内部IPからのトラフィック送信問題が発生することがあります。

以下では、アップリンク プリファレンスを使用して、1対1のNATまたは1対多のNATのトラフィックが適切なインターフェースを使用するようにする方法を説明します。

1. Security & SD-WAN（セキュリティ & SD-WAN） > Configure（設定） > SD-WAN & Traffic shaping（SD-WAN & トラフィック シェーピング）に移動します。
2. Flow preferences（フローのプリファレンス）に移動し、Internet traffic（インターネット通信）セクションで、Add a preference（プリファレンスを追加）を選択します。
3. 下に示されているルールのようなプリファレンスを設定します。この例では、192.168.128.252/32のLocal IP range（ローカルIP範囲）は1対1のNATルール内で参照される内部デバイスであり、Preferred uplink（優先アップリンク）は同じルール内でパブリックIP参照を使用するデバイスです。

   

4. Save changes（変更を保存）をクリックします。

インターネット トラフィック

インターネット宛てトラフィックのフロー プリファレンスを設定して、送信元と宛先に基づいて、強制的に特定のアップリンクでトラフィックを送信することができます。これらのプリファレンスは、クラウドでホストされたサービス宛てのトラフィックなど、特定のタイプのトラフィックに対して特定のアップリンクを指定する必要がある場合に使用できます。 

インターネット トラフィックのフロー プリファレンスを作成するには、以下のようにします。

1. ダッシュボードのSecurity & SD-WAN（セキュリティ & SD-WAN） > Configure（設定） > SD-WAN & Traffic shaping（SD-WAN & トラフィック シェーピング）に移動します。
2. Flow preferences（フローのプリファレンス）に移動し、Internet traffic（インターネット通信）のAdd a preference（プリファレンスを追加）を選択します。
3. 指定のアップリンクを割り当てるトラフィックを定義します。
   • Protocol（プロトコル） - TCP、UDP、またはAny。
   • Source（ソース） - CIDR表記の送信元IP。
   • Src port（ソース ポート） - 送信元ポート、または「Any」。
   • Destination（宛先） - CIDR表記の宛先IP。
   • Dst port（宛先ポート） - 宛先ポートまたは「Any」。
   • Preferred uplink（優先アップリンク） - このトラフィックが送信されるアップリンク。
4. Save changes（変更を保存）をクリックします。.

VPNトラフィックとカスタム パフォーマンス クラス

Meraki AutoVPNトラフィックのフロー プリファレンスを設定して、トラフィックを優先アップリンクで送信できます。これらのプリファレンスを使用して、優先度の高いVPNトラフィックを常に最適なパスでトラバースできます。

VPNトラフィックのフロー プリファレンスを作成するには、以下のようにします。

1. ダッシュボードのSecurity & SD-WAN（セキュリティ & SD-WAN） > Configure（設定） > SD-WAN & Traffic shaping（SD-WAN & トラフィック シェーピング）に移動します。
2. VPN traffic（VPNトラフィック）のAdd a preference（プリファレンスを追加）を選択します。
3. Traffic filter（トラフィック フィルタ）で、優先アップリンクを割り当てるトラフィックを定義します。
   • Protocol（プロトコル） - TCP、UDP、またはAny。
   • Source/Port（ソース/ポート） - 送信元IP（CIDR表記を使用）とポート。
   • Destination/Port（宛先/ポート） - 宛先IP（CIDR表記を使用）とポート。
4. Policy（ポリシー） > Preferred uplink（優先アップリンク）で、このトラフィックに対してアップリンクを選択する方法を定義します。
   • WAN 1/WAN 2 - Fail over if（次の条件でフェールオーバー）の条件が満たされるまで、トラフィックはこのアップリンクを使用します。
     • Poor performance（パフォーマンスの低下） - パフォーマンスが指定されたPerformance class（パフォーマンス クラス）を満たさない場合、トラフィックは他のアップリンクにフェールオーバーします。このパフォーマンス クラスは、VoIPまたはカスタム クラス（下記参照）に設定できます。
     • Uplink down（アップリンクがダウン） - このアップリンクがダウンした場合、トラフィックは他のアップリンクにフェールオーバーします。
   • Best for VoIP（VoIPに最適） - トラフィックは、高品質なVoIP通信に最適なことが検出されたアップリンクを使用します。
   • Load balance（ロード バランシング） - ロード バランシングが有効な場合、トラフィックは、定義されたPerformance class（パフォーマンス クラス）をサポートする任意のアップリンク間で分散されます。
   • Global preference（グローバル設定） - トラフィックは、プライマリ アップリンクとして設定されているアップリンクを使用します。

パフォーマンス クラスを作成して、最低限のパフォーマンス基準を定義することもできます。これらの基準が満たされない場合、トラフィックは代替アップリンクにルーティングされます。

カスタム パフォーマンス クラスを定義するには、以下のようにします。

1. ダッシュボードのSecurity & SD-WAN（セキュリティ & SD-WAN） > Configure（設定） > SD-WAN & Traffic shaping（SD-WAN & トラフィック シェーピング）に移動します。
2. Custom performance classes（カスタム パフォーマンス クラス）で、Create a new custom performance class（新規カスタム パフォーマンス クラスを作成）を選択します。
3. このクラスの最低限のパフォーマンス基準を定義します。
   • Name（名前） - クラスの、わかりやすい名前。
   • Maximum latency（ms）（最大遅延（ミリ秒）） - このクラスで許容できる最大遅延（ミリ秒単位）。空白のままにして、遅延を無視することもできます。
   • Maximum jitter（ms）（最大ジッター（ミリ秒）） - このクラスで許容できる最大ジッター（ミリ秒単位）。空白のままにして、ジッターを無視することもできます。
   • Maximum loss（%）（最大損失（%））- このクラスで許容できる最大損失（損失トラフィックのパーセント）。空白のままにして、損失を無視することもできます。
4. Save changes（変更を保存）をクリックします。