MS デバイスの代替管理インターフェース(AMI)

概要

従来のMerakiネットワーク導入では、Syslogメッセージ、SNMPポーリングへの応答、RADIUSサーバーとの通信などの管理トラフィックは、デバイスのデフォルト管理VLAN（LAN IP）のアドレスから発信されます。このVLANはMSデバイスがMerakiダッシュボードと通信するためにも使用され、インターネット接続が必要です。

一部の環境では、管理トラフィックをパブリックネットワークから分離するセキュリティポリシーが求められる場合があります。代替管理インターフェース（AMI）機能は、MSシリーズスイッチがデフォルト管理VLAN以外のIPアドレスから管理トラフィックを発信できるようにすることで、こうした要件に対応します。

要件・ガイドライン・制限事項

1. ハードウェア・ソフトウェア要件：代替管理インターフェースは、以下のMSスイッチプラットフォームとファームウェアバージョンでサポートされています。
    

   MS Switch ファミリー	MS Switch モデル	MSファームウェアサポート（初対応バージョン）
   MS1xx	MS150	MS17
   MS2xx	MS210	MS14.5
   	MS225	MS14.5
   	MS250	MS14.5
   MS3xx	MS350	MS14.5
   	MS355	MS14.5
   	MS390	MS15
   MS4xx	MS410	MS14.5
   	MS425	MS14.5
   	MS450	MS14.5

     
2. 代替管理インターフェース（AMI）はネットワーク単位で有効化されるため、ダッシュボードネットワーク内のすべてのスイッチが同じVLANでAMIを利用します。AMI IPアドレスはスイッチごとに設定できます。
3. AMI VLANは、いずれかのスイッチで設定されている管理VLAN（スイッチ詳細ページのLAN IP VLAN）や、ネットワークの管理VLAN（スイッチ > スイッチ設定 > VLAN の設定）と重複してはいけません。
4. AMIを有効化するには、スイッチでレイヤー 3ルーティングが有効になっている必要があります。詳細はAMI利用時の管理サーバーへのルート設定をご覧ください。

ダッシュボードから代替管理インターフェースを設定する手順

Meraki DashboardネットワークでMSスイッチにAMIを使用させるには、以下の3ステップが必要です。

1. ネットワーク単位でAMIを有効化し、管理サービスを紐づける
2. 各スイッチで代替管理インターフェース IPアドレスを設定する
3. 管理サーバーへのルートをスイッチで設定する

APIで代替管理インターフェースを設定する

Successful HTTP response code: 200

{ 
  "enabled": true,
  "vlanId": 100,
  "protocol": [
    "snmp",
    "radius",
    "syslog"
  ]
}

Successful HTTP response code: 200

{ 
  "enabled": true,
  "vlanId": 100,
  "protocols": ["radius","snmp","syslog"],
  "switches": [
    {
      "serial": "Q2AB-CDEF-GHIJ",
      "alternateManagementIp": "192.168.128.100"
    },
    {
      "serial": "Q2AB-CDEF-KLMN",
      "alternateManagementIp": "192.168.128.200"
    },
    .....
  ]
}

Successful HTTP response code: 200

{ 
  "enabled": false,
}

PUT /networks/L_12345/switch/alternateManagementInterface

{
  "enabled": true,
  "vlanId": 100,
  "protocols": ["syslog"]
}

Successful HTTP response code: 200

{ 
  "enabled": true,
  "vlanId": 100,
  "protocols": ["syslog"],
  "switches": []
}

PUT /networks/L_12345/switch/alternateManagementInterface

{
  "switches": [
    {
      "serial": "Q2AB-CDEF-GHIJ",
      "alternateManagementIp": "192.168.128.100"
    },
    {
      "serial": "Q2AB-CDEF-KLMN",
      "alternateManagementIp": "192.168.128.200"
    }
  ]
}

Successful HTTP response code: 200

{ 
  "enabled": true,
  "vlanId": 100,
  "protocols": ["syslog"],
  "switches": [
    {
      "serial": "Q2AB-CDEF-GHIJ",
      "alternateManagementIp": "192.168.128.100"
    },
    {
      "serial": "Q2AB-CDEF-KLMN",
      "alternateManagementIp": "192.168.128.200"
    }
  ]
}

PUT /networks/L_12345/switch/alternateManagementInterface

{
  "enabled": true,
  "vlanId": 100,
  "protocols": ["syslog"],
  "switches": [
    {
      "serial": "Q2AB-CDEF-GHIJ",
      "alternateManagementIp": "192.168.128.100"
    }
  ]
}

Successful HTTP response code: 200

{ 
  "enabled": true,
  "vlanId": 100,
  "protocols": ["syslog"],
  "switches": [
    {
      "serial": "Q2AB-CDEF-GHIJ",
      "alternateManagementIp": "192.168.128.100"
    }
  ]
}

PUT /networks/L_12345/switch/alternateManagementInterface

{
  "enabled": false
}

Successful HTTP response code: 200

{ 
  "enabled": false
}

代替管理インターフェースでのトラフィックフロー

代替管理インターフェースで選択したサービスのトラフィックは、スイッチのルーティングテーブル情報に従いルーティングされます。送信元IPアドレスにはAlternate Management VLANのIPが使用されます。AMI VLANのIPアドレスを使用することで、重複を回避し、サーバーからの応答トラフィックをパブリックネットワークから分離できます。