設定テンプレートを MX で使用する際のベストプラクティス

テンプレート ネットワークの作成

前述のとおり、展開するサイトの種類ごとにテンプレート ネットワークを作成します。

テンプレート ネットワークを作成する手順は次のとおりです。

1. ダッシュボードで オーガナイゼーション > 監視 > 設定テンプレートに移動します。

2. 新規テンプレートを作成 を選択します。

3. テンプレートのわかりやすい名前を選択します。完全に新しいテンプレートの場合は 新規作成 を選択します。

   • このテンプレートを既存のネットワークに基づかせる場合は、設定をコピー を選択し、ドロップダウン メニューから既存の Security アプライアンス ネットワークを選択します。

4. 追加 を選択します。

5. 既存のネットワークをこの新しいテンプレートにバインドする場合は、それらのネットワークを 対象ネットワーク として選択し、バインド を選択します。そうでない場合は 閉じる を選択します。

テンプレート VLAN の構成

1. ダッシュボードで セキュリティ & SD-WAN > 設定 > アドレス & VLAN に移動します。

2. ルーティング  セクションの LAN 設定  サブセクションで VLAN をクリックします。

3. サブネット  サブセクションで VLAN 追加 を選択します。

4. VLAN のわかりやすい名前を選択します。

5. このテンプレートにバインドされる各ネットワークのサブネットを同一 または 独自 にするかを選択します。

   • 同一 を選択した場合、テンプレートにバインドされたすべてのネットワークはまったく同じサブネットを共有します。これはサイト間 VPN の対象にはなりません。

   • 独自 を選択した場合、テンプレートにバインドされた各ネットワークは、設定したオプションに基づいて一意のサブネットを割り当てられます。MX はテンプレートでのローカル VLAN オーバーライドを許可しますが、選択するサブネットはテンプレート上のその VLAN に割り当てられた同じサブネット プールから選ぶ必要があり、VLAN ID はオーバーライドできません。 

     • サブネットは、テンプレートにバインドされた各ネットワークにランダムに割り当てられます。

テンプレートの IP 範囲による VLAN 割り当ての詳細については、構成テンプレートで複数ネットワークを管理する方法の記事を参照してください。

テンプレートでの静的ルート

テンプレート ベースの WAN アプライアンス導入では、静的ルートを親テンプレート上で構成し、他の構成パラメータと同様に子ネットワークへ反映できます。テンプレート ベースの静的ルートの構成手順は、通常のネットワークでの手順とほぼ同じですが、ネクストホップ値がネットワーク固有になり得るため、ネクストホップ IP アドレスの定義方法のみ異なります。

1. ダッシュボードで セキュリティ & SD-WAN > 設定 > アドレス & VLAN > ルーティング > スタティックルート に移動します。

2. スタティックルートを追加 を選択します。

• 名前

  • 静的ルートのテキストによる説明（解析されません）

    • 例: prodWirelessNet

• サブネット

  • 静的ルート経由で到達可能なサブネットを CIDR 表記で指定します。

    • 例: 10.0.10.0/24  

• ネクストホップ IP

  • 次ホップ IP は、このルートに対して WAN アプライアンスを接続するデバイスの IP アドレスです。テンプレート ベースのネットワークでネクストホップ値を指定する方法は 2 つあります。 

    • オプション A: IP 

      • ネクストホップ値を手動で定義します。

      • 必要な情報: 

        • 次ホップ IP アドレス

    • オプション B: IP オフセット

      • 指定した VLAN のネットワーク アドレスに基づいて、次ホップ IP を計算します。 

        • 注: 次ホップ IP は ネットワークアドレス + オフセット + オフセット として計算され、VLAN インターフェース IP + オフセットではありません。

      • IP オフセットのパラメータ: 

        • ドロップダウンから目的の VLAN を選択します。

        • オフセット値（正の整数）。 

      • 例:

        • 構成された VLAN: 10.0.254.0/30

        • VLAN インターフェース IP: 10.0.254.1

        • オフセット: 2 

        • 計算されたルートの次ホップ IP: 10.0.254.2

• アクティブ

  • アクティブ 修飾子は、WAN アプライアンスがそのルートを使用可能と見なし、ローカル ルーティング テーブルに追加するために満たすべき条件を制御します。 

    • 常時: 

      • このルートは常に WAN アプライアンスのルーティング テーブルでアクティブです。 

    • ネクストホップが ping に応答する限り: 

      • 設定したネクストホップが ping に応答している限り、ルートは有効です。

    • 対象ホストが ping に応答する限り:

      • 設定したホストが ping に応答している限り、ルートは有効です。

テンプレート ファイアウォール ルール

レイヤ 3 ファイアウォール ルールを構成する際は、CIDR 表記、VLAN オブジェクト、ネットワーク オブジェクトを使用できます。サブネット全体を指定する必要がある場合は VLAN オブジェクトを使用し、柔軟にサブネットを指定したい場合は CIDR 表記を使用します。

1. セキュリティ & SD-WAN > 設定 > ファイアウォール > レイヤ 3 に移動し、新規追加 をクリックします。

2. ポリシーを選択し、条件に一致したトラフィックを許可（Allow）するか拒否（Deny）するかを指定します。

3. アウトバウンド トラフィックで一致させるプロトコルを選択します。

4. アウトバウンド トラフィックに一致させる IP アドレスまたは範囲を CIDR 表記で指定します。VLAN 名を選択することも可能です。

5. アウトバウンド トラフィックで一致させる送信元/宛先ポート（Src/dst port）を選択します。

テンプレート SD-WAN ポリシー

1. SD-WAN ポリシーを構成して、特定の VPN トラフィックのフローを制御・変更できます。特定の種類のトラフィックを、他方ではなく一方のアップリンクで通すようにできます。 
    

2. セキュリティ & SD-WAN > 設定 > SD-WAN & traffic shaping > SD-WAN ポリシー > VPN トラフィック に移動し、プリファレンスを追加 を選択します。

3. アップリンク選択ポリシー ダイアログ ボックスが表示されます。このボックスのトラフィックフィルタセクションで、ポリシーに従わせるトラフィックの種類を定義できます。プロトコル/送信元/宛先 の条件に基づいてトラフィックを選択するためにカスタム表現を追加するか、定義済みアプリケーションに基づいてトラフィックを選択できます。 

   • トラフィックを選択するカスタム式を追加する場合: 

     • 追加 + を選択します。

     • カスタム表現 オプションが選択済みであることを確認します。

     • プロトコル を選択します。TCP, UDP, ICMP またはAny から選択できます。

     • 送信元 を選択し、送信元アドレス条件を定義します。以下のいずれかを選択できます。 

       • Any を選択します。

       • 送信元を CIDR 形式（例: 10.0.0.0/8）で入力し、追加 を選択します。

       • VLAN の一覧からドロップダウンで VLAN を選択し、Add VLAN を選択します。

       • VLAN の一覧からドロップダウンで VLAN を選択し、Host をクリックしてホスト アドレスの最後のオクテットを入力し、Add host を選択します。

     • 送信元ポート を選択します。送信元ポートは 'Any'、ポート番号（例: 2000）、または 1～65535 の範囲でポート範囲（例: 2000-3000）を指定できます。

     • 宛先 をクリックして、宛先アドレス条件を定義します。以下のいずれかを選択できます。 

       • Any を選択します。

       • 宛先を CIDR 形式（例: 10.0.0.0/8）で入力し、Add を選択します。

       • VLAN の一覧からドロップダウンで VLAN を選択し、Add VLAN を選択します。

       • VLAN の一覧からドロップダウンで VLAN を選択し、Host を選択してホスト アドレスの最後のオクテットを入力し、Add host を選択します。

     • 宛先ポート を選択します。宛先ポートは 'Any'、ポート番号（例: 2000）、または 1～65535 の範囲でポート範囲（例: 2000-3000）を指定できます。

   •  定義済みアプリケーションを追加してトラフィックを選択する場合:

     • メニューからアプリケーション タイプを選び、サブメニューから対象のアプリケーションを選択します（例: VoIP & ビデオ会議> Webex）。

     • ポリシーに従わせたいアプリケーションをすべて追加し、追加+  を選択してアプリケーション メニューを終了します。

4. ポリシー セクションで、優先アップリンク として次のいずれかを選択できます。

   • WAN1 または WAN2。WAN1 または WAN2 を選択した場合、次の条件でフェールオーバー: ドロップダウン メニューでフェイルオーバー条件を構成できます。パフォーマンス低下  を選択して パフォーマンスクラス ドロップダウン メニューからパフォーマンス クラスを選ぶか、アップリンクがダウン を選択できます。既定では、VoIP  が唯一の定義済みパフォーマンス クラスです。追加のパフォーマンス クラスは、セキュリティ & SD-WAN > 設定 > SD-WAN & traffic shaping > SD-WAN ポリシー > カスタムパフォーマンスクラス で定義する必要があります。

   • VoIP に最適 VoIP トラフィックに最適なアップリンクが選択されます。

   • 負荷分散 : WAN アプライアンスは、パフォーマンスクラスを満たすアップリンク  ドロップダウンで選択したパフォーマンス クラスを満たすアップリンク間でトラフィックを分散します。

   • グローバル環境設定 : セキュリティ & SD-WAN > 設定 > SD-WAN & traffic shaping > アップリンク選択 >グローバル環境設定  での構成に基づいてアップリンクが選択されます。

   • グローバル帯域幅制限 :  この設定を構成する際、MX はテンプレート レベルで構成された速度設定を適用および返し、ネットワーク レベルではない点に注意してください。これは対象デバイスのハードウェア能力を反映しない場合があります。詳細は https://developer.cisco.com/meraki/a...ink-bandwidth/ を参照してください。

5. ポリシーの適用条件とポリシー自体の構成が完了したら、保存 を選択します。

ローカルのオーバーライド

WAN アプライアンス ネットワークをテンプレートにバインドした後でも、一部のオプションはダッシュボードから通常どおり構成できます。WAN アプライアンス ネットワークで直接行ったローカルの構成変更は、テンプレートの構成を上書きします。

以下の例では、バインド済みの WAN アプライアンスでカスタムのデフォルト VLAN を直接構成しています。この変更はテンプレート ネットワークの セキュリティ & SD-WAN > 設定 > アドレス & VLAN でも行えます。

ネットワークがテンプレートから外されると、ローカルのオーバーライドおよびテンプレート関連の構成は自動的に失われます。WAN アプライアンスは所属ネットワークから構成を自動的に取得します。

DHCP 例外

Meraki WAN アプライアンスは、各 VLAN ごとに個別に有効化・構成できるフル機能の DHCP サービスを提供します。テンプレートにバインドされている場合、セキュリティ & SD-WAN > 設定 > DHCP で DHCP 構成に対してローカルのオーバーライドを行えます。

フォワーディング ルールの上書き(オーバーライド)

転送設定を上書きするには、セキュリティ & SD-WAN > 設定 > ファイアウォール > 転送ルールの上書き に移動します。

アクティブ-アクティブ AutoVPN

アクティブ-アクティブ AutoVPN のアップリンク選択ルールをオーバーライドするには、セキュリティ & SD-WAN > 設定 > SD-WAN & traffic shaping  > アクティブ-アクティブ AutoVPN. に移動します。

ポート数が異なる MX を含むテンプレート

LAN2 ポートは、ローカル ステータス ページの Local status タブ配下にある Uplink configuration から、LAN と Internet の間で切り替えることができます。

クライアント VPN

クライアント VPN ユーザを管理するには、ネットワーク全体 > 設定 > ユーザー に移動します。

上記のクライアント VPN 設定に関する詳しいガイダンスは、Client VPN Overview ドキュメントを参照してください。