SD-WAN機能を備えたブランチサイトの追加

オンプレミスのスポーク(支店)は、支店やPOSの場所などの物理的な場所にある顧客構内機器(CPE)の一部であるエンドポイントを表します。通常、これらのポイントは、ハブサイトへのオーバーレイ接続を使用して接続されます。[ サイトの管理 ] ページからブランチサイトを追加できます。

ブランチサイトでは、次のデバイステンプレートがサポートされています。

NFX150 - SD-WAN CPE
NFX250 - SD-WAN CPE
デュアルNFX250をSD-WAN CPEとして使用
SD-WAN CPE としての SRX
SD-WAN CPEとしてのデュアルSRX
SRX4x00 - SD-WAN CPE
デュアル SRX4x00 SD-WAN CPE

CSOリリース5.4.0以降では、ブランチサイトの作成とサイトのアクティベーションワークフローをオプションで分離できるため、顧客構内機器(CPE)のオンサイトインストールの柔軟性が高まります。

単一またはデュアルの顧客構内機器(CPE)で構成されるSD-WAN展開では、テナント管理者はブランチサイトを追加した後にCPEデバイスのシリアル番号を入力するオプションがあります。ブランチサイトはテナント管理者が追加でき、サイトに関連付けられている CPE デバイスは、別の承認されたユーザーが手動でアクティブ化できます。許可されたユーザーは、シリアル番号とアクティベーションコードのいずれかを入力するか、後でCPEデバイスを手動でアクティベーションするときにシリアル番号のみを入力する必要があります。CPEデバイスのシリアル番号なしでブランチサイトを追加するオプションは、SRXとNFX(NFX150とNFX250)の両方のデバイステンプレートに適用できます。

メモ：

デュアル CPE デバイステンプレートでは、1 つの CPE のシリアル番号を追加し、他の CPE デバイスのシリアル番号の入力を避けることはできません。サイトの作成時にプライマリデバイスとセカンダリデバイスの両方のシリアル番号を入力するか、サイトのアクティブ化中に両方のシリアル番号を入力できます。

リリース6.0.0以降、CSOはサイトに対して以下のSD-WANサービスをサポートします。

セキュアなSD-WANの基本事項:基本的なSD-WANサービスを提供します。このサービスは、リンクベースのアプリケーションステアリングを使用して、支店サイトで包括的なNGFWセキュリティサービスによるシンプルなWAN接続を管理したいと考えている中小企業に最適です。SD-WAN Essentialsサービスでは、インターネットトラフィックをローカルでブレイクアウトできるため、コストのかかるVPNやMPLSリンク経由でWebトラフィックをバックホールする必要がなくなります。サイトは、インテントベースのファイアウォールポリシー、WANリンクの管理と制御、静的VPNを介して接続されたサイト間のCSO制御ルーティング、およびNATの背後にあるMPLSまたはインターネットリンクを介したサイト間通信などの機能をサポートしています。SD-WAN Essentials サービスレベルのテナントは、SD-WAN Essentials サイトのみを作成できます。

メモ：
サイト情報を編集することで、セキュアSD-WANエッセンシャルサイトをセキュアSD-WANアドバンスドサイトにアップグレードできます(テナントのSD-WANサービスレベルがアドバンストにアップグレードされている場合に許可されます)。
セキュアSD-WANアドバンスド:完全なSD-WANサービスを提供します。このサービスは、柔軟なトポロジーと動的なアプリケーションステアリングを必要とする1つ以上のデータセンターを持つ企業に最適です。サイト間接続は、ハブアンドスポークトポロジーのハブを使用するか、静的または動的なフルメッシュ VPN トンネルを介して確立できます。企業全体のインテントベースのSD-WANポリシーとSLA(サービスレベル契約)測定により、CSOはさまざまなアプリケーションのトラフィックを区別して動的にルーティングできます。
- CSOリリース5.4.0以前のバージョンのSD-WANサイトは、SD-WAN Advancedサイトとして扱われます。テナントのSD-WANサービスレベルをSD-WAN AdvancedからSD-WAN Essentialsにダウングレードすることはできません。

CSOリリース6.0.0以降、オンボーディングプロセス中のサービスのプロビジョニングをオプションにすることで、ブランチサイトの作成ワークフローが簡素化されました。サイトの作成時にサービスを構成することも、後でサービスを追加することもできます。SD-WAN サービスなしでブランチサイトを追加するには、「サービスをプロビジョニングせずにブランチサイトまたはエンタープライズハブサイトを追加する」を参照してください。

SD-WAN 機能のみを持つブランチサイトを追加するには、以下を行います。

[リソース] > [サイトの管理] を選択します。

[サイト] ページが表示されます。
[追加] をクリックし、[ブランチサイト (手動)] を選択します。

[ ブランチサイトの追加] ページが表示されます。
表 1 に示すガイドラインに従って、構成設定を完了します。

メモ：
アスタリスク (*) の付いたフィールドは必須です。
( オプション) [概要(Summary )] タブで構成を確認し、必要に応じて設定を変更できます。
OK をクリックします。
- アクティベーション中にシリアル番号を入力し、自動アクティベーションが有効になっている場合は、[サイトアクティベーションの進行状況]ページが表示されます。サイトのライセンス認証プロセスは、「サイトのライセンス認証に関する問題のトラブルシューティング」で説明されているタスクに従って進行します。
  
  [ OK ] をクリックして [サイトのライセンス認証の進行状況] ページを閉じます。
- シリアル番号を入力せず、自動アクティベーションが無効になっている場合は、[サイトの管理] ページに戻ります。CSOはジョブをトリガーし、ジョブリンクを含む確認メッセージを表示します。リンクをクリックすると、ジョブのステータスが表示されます。ジョブが終了すると、CSOは確認メッセージとジョブリンクを表示します。サイトの状態が [作成済み] に変わります。
  
  アクティベーションプロセスを完了するには、デバイスを手動でアクティベーションする必要があります。
メモ：
次の手順は、デバイステンプレートでゼロタッチプロビジョニング (ZTP) が true に設定されている場合に適用されます。デバイステンプレートでZTPが無効になっている場合、CSOがアクティベーションを続行するには、ステージ1の設定をコピーしてデバイスにコミットする必要があります。

CPE(ブランチサイト)デバイスを手動でアクティブ化するには:
1. アクティブ化する必要があるブランチサイト CPE を選択します。
2. [サイトの管理] ページの [サイトのアクティブ化] リンクをクリックします。
  
  [ サイトのアクティブ化] ページが表示されます。
3. デバイスのシリアル番号とアクティベーションコードを入力します。OK をクリックします。
  
  [サイトのアクティブ化の進行状況] ページが表示され、CPE デバイスをアクティブ化するために実行された手順の進行状況が表示されます。デバイスのライセンス認証が成功すると、[サイトの状態] が [作成済み] から [プロビジョニング済み] に変わります。
ゼロタッチプロビジョニングフィールドを有効にしている場合、CSOはステージ1設定を自動的に適用します。

メモ：
ファイアウォールサイトの作成時にアクティベーションコードとデバイスのシリアル番号をすでに入力している場合、デバイスは自動的にアクティベートされます。

デバイスの [ゼロタッチプロビジョニング(Zero Touch Provisioning)] フィールドを無効にした場合は、デバイスでステージ 1 設定を手動で設定する必要があります。
1. [サイトのアクティブ化の進行状況] ページの [デバイスの事前設定] タスクの横にある [ステージ 1 構成をクリックしてコピー] リンクをクリックします。誤って [サイトのアクティブ化の進行状況] ページを閉じると、[サイトの管理] ページからページにアクセスできます。[サイトの状態] 列の下にあるサイトの状態の横にある [表示] リンクをクリックします。
  
  メモ：
  「デバイス」ページ(「リソース」>「デバイス」)から構成をコピーすることもできます。デバイスを選択し、[ Stage1 Config] をクリックします。
  
  [ステージ 1 設定] ページが表示され、ステージ 1 の設定が表示されます。
2. stage-1 の設定をコピーします。
3. デバイスにログインし、Junos OS 設定モードを開きます。
4. コピーしたコンフィギュレーションを貼り付け、コンフィギュレーションをコミットします。
  
  CSOは、事前スクリプトとステージ1設定(デバイス設定を含む)を適用します。[サイト] ページでサイトの状態が [管理済み] に変わります。
デバイスの追加時にSD-WANサービスを選択した場合、CSOはサービスプロビジョニング設定を生成し、デバイスに適用します。サイトの状態が [サイトの管理] ページで [プロビジョニング済み ] に変わります。

デバイスの追加時に SD-WAN サービスを選択しなかった場合、サービスは適用するまでデバイスは MANAGED 状態のままになります。サイトを編集してサービスを追加できます。サービスを追加すると、CSO によってサービスプロビジョニング設定が適用され、デバイスがプロビジョニングされます。

フィールド

説明

一般

サイト情報

サイト名

サイトの一意の名前を入力します。英数字とハイフン(-)を使用できます。最大長は 32 文字です。

デバイスホスト名

デバイスのホスト名は自動生成され、という形式 tenant-name.host-nameが使用されます。デバイスホスト名の部品は変更 tenant-name できません。英数字とハイフン(-)を使用します。許可される最大長は 32 文字です。

サイトグループ

サイトを割り当てるサイトグループを選択します。

サイトの機能

メモ：

既定で有効になっているデバイス管理を使用すると、デバイス管理機能のみ (サービスなし) を持つサイトを作成し、後でサービスを追加できます。

このサイトに SD-WAN 機能を追加するには、次のいずれかの SD-WAN サービスタイプを選択します。

セキュアなSD-WANエッセンシャル—(SD-WANエッセンシャルまたはアドバンスドサービスレベルのテナントで使用可能)基本的なSD-WANサービスを提供します。サイトは、インテントベースのファイアウォールポリシー、WANリンクの管理と制御、静的VPNを介して接続されたサイト間のCSO制御ルーティング、MPLSベースまたはインターネットベースのリンクを介したサイト間通信などの機能をサポートしています。SD-WAN Essentialsサービスは、マルチホーミング、動的メッシュトンネル、クラウドブレイクアウトプロファイル、SLAベースのステアリングプロファイル、プールベースのソースNATルール、IPv6、MAP-E、アンダーレイBGPをサポートしていません。
セキュアSD-WANアドバンスド—(SD-WANアドバンスドサービスレベルのテナントで使用可能)完全なSD-WANサービスを提供します。このサービスレベルは、柔軟なトポロジーと動的なアプリケーションステアリングを必要とする1つ以上のデータセンターを持つ企業に最適です。サイト間接続は、ハブアンドスポークトポロジーのハブを使用するか、静的または動的なフルメッシュ VPN トンネルを介して確立できます。企業全体のインテントベースのSD-WANポリシーとSLA(サービスレベル契約)測定により、さまざまなアプリケーションのトラフィックを区別して動的にルーティングできます。

住所と連絡先情報

番地

サイトの番地を入力します。

都市

サイトがある都市を入力します。

都道府県

サイトが配置されている都道府県を選択します。

郵便番号

サイトの郵便番号を入力します。

国

サイトが配置されている国を選択します。

[ 検証] ボタンをクリックして、アドレスを確認します。

アドレスが確認されると、 site address verification successful メッセージが表示されます。

[ マップ上に場所を表示 ] リンクをクリックすると、住所の場所が表示されます。
アドレスを確認できない場合は、 Site address could not be validated メッセージが表示されます。

連絡先名

サイトの連絡担当者の名前を入力します。

電子メール

サイトの担当者の電子メールアドレスを入力します。

電話

サイトの連絡担当者の電話番号を入力します。

詳細設定

ドメインネームサーバー

DNS サーバーの 1 つ以上の IPv4 または IPv6、あるいは IPv4 アドレスと IPv6 アドレスの両方を指定します。複数の DNS サーバーアドレスを指定するには、アドレスを入力し、Enter キーを押して次のアドレスを入力します。

DNSサーバーは、ホスト名をIPアドレスに解決するために使用されます。

NTP サーバー

1 つ以上の NTP サーバーの完全修飾ドメイン名(FQDN)または IP アドレスを指定します。

例: ntp.example.net

サイトの構成中に FQDN を解決するには、サイトに DNS 到達可能性がある必要があります。

タイムゾーンを選択

サイトのタイムゾーンを選択します。

デバイス

メモ：

このセクションの一部のフィールドは、[デバイスの冗長性(Device Redundancy)] オプションを有効にした場合にのみ表示されます。

デバイスの冗長性

デフォルトでは無効になっています。デュアル CPE に対してこのオプションを有効にします。

デバイスの冗長性を有効にするには、次の前提条件が必要です。

両方のノード間の制御ポートとファブリックポートが接続されていることを確認します。
デバイスが管理接続用に事前設定されていることを確認します(工場出荷時の既定または事前登録済み)。制御ポート、ファブリックポート、およびデータ(reth)ポートは再構成されるため、これらのポートは設定しないでください。

各SRXモデルの制御ポート、ファブリックポート、管理ポート、データポートを確認するには、 SRX高可用性コンフィグレータツールを参照してください。

メモ：
CSOがクラスター設定を自動的に生成して適用するため、ツールで設定を生成しないでください。
SRX300およびSRX320デバイスでZTPを使用している場合は、定義済みのDHCPポートとしてge-0/0/0ではなくge-0/0/7を使用します。
デバイステンプレートでファブリックとデータ(reth)ポート情報を指定します。制御ポートと fxp0 ポートは事前定義されています。制御ポートを変更するには、プラットフォームデバイステンプレートで変更します。データ (reth) ポートを変更するには、SDWAN デバイステンプレートで変更します。

デバイスシリーズ

CPE が属するデバイスシリーズ(SRX、NFX150、または NFX250)を選択します。

選択したデバイスシリーズに基づいて、サポートされているデバイステンプレート (デバイスの設定に関する情報を含む) が一覧表示されます。

選択したデバイスシリーズのデバイステンプレートを選択します。

デバイスモデル

デバイスのモデル番号を選択します。

デバイスのrootパスワード

デフォルトのrootパスワードは、デバイステンプレートのENC_ROOT_PASSWORDフィールドから取得されます。パスワードを保持することも、プレーンテキスト形式でパスワードを入力して変更することもできます。パスワードは暗号化され、デバイスに保存されます。

ゼロタッチプロビジョニング

切り替えボタンをクリックして、ゼロタッチプロビジョニング(ZTP)を有効または無効にします。このオプションはデフォルトで有効になっています。

メモ：

デフォルトでは、このボタンはvSRX仮想ファイアウォールでは無効になっています。vSRX仮想ファイアウォールで実行されているJunos OSバージョンがPhone Homeクライアントをサポートしている場合、このボタンを有効にできます。

ZTPを使用するには、以下のことを確認してください。

デバイスはCSOおよびジュニパーのオートモー https://redirect.juniper.net サーバー()に接続できる必要があります。

Telnet を使用して接続を確認します。

telnet redirect.juniper.net:443

telnet CSO Hostname/IP:443

接続が確立されると、デバイスはテレフォンホームサーバーおよび CSO に接続できます。
電話宅サーバーおよび CSO に必要な証明書がデバイスに存在する必要があります。

ZTP が有効になっている場合は、[ブートイメージ(Boot Image)] フィールドが表示され、Phone-Home クライアントをサポートするイメージを選択する必要があります。ZTP の期間中、ファイアウォールデバイス上のイメージは、ブートイメージ用に選択したイメージにアップグレードされます。

ZTPを無効にする場合は、デバイスがCSOに接続されていることを確認してください。デバイスが事前登録/事前構成されていない場合は、CSO がステージ 1 構成の一部として構成を生成できるように、[管理接続] セクションで詳細を指定する必要があります。デバイスに CSO への接続がある場合は、[管理接続] セクションをスキップできます。

ZTPを無効にした場合、オンボーディングプロセスを開始するには、CSOからステージ1の設定をコピーしてデバイスにコミットする必要があります。以下のいずれかのオプションを使用して、stage-1 設定をコピーします。

[サイトのアクティブ化の進行状況] ページの [デバイスの事前設定] タスクの横にある [ ステージ 1 の構成をクリックしてコピー ] リンクをクリックします。

誤って [サイトのアクティブ化の進行状況] ページを閉じると、[サイトの管理] ページからページにアクセスできます。[サイトの状態] 列の下にあるサイトの状態の横にある [ 表示 ] リンクをクリックします。
「デバイス」ページ(「リソース」>「デバイス」)で、デバイスを選択し、「 Stage1 Config」をクリックします。

シリアル番号

単一の CPE デバイスの場合は、CPE デバイスのシリアル番号を入力します。シリアル番号では大文字と小文字が区別されます。

シリアル番号を入力しない場合、ブランチサイトは作成されますが、サイトに関連付けられている CPE デバイスはアクティブ化されません。詳細については、ステップ 5 を参照してください。

ノード0のシリアル番号

デュアル CPE デバイスの場合は、プライマリ CPE デバイスのシリアル番号を入力します。シリアル番号では大文字と小文字が区別されます。

シリアル番号を入力しない場合、ブランチサイトは作成されますが、CPE デバイスはアクティブ化されません。詳細については、ステップ 5 を参照してください。

ノード1のシリアル番号

デュアル CPE デバイスの場合は、セカンダリ CPE デバイスのシリアル番号を入力します。シリアル番号では大文字と小文字が区別されます。

クラスターは既に形成されていますか?

メモ：

このフィールドは、SRXデュアルCPEデバイスでのみ使用できます。

切り替えボタンをクリックして、SRXクラスタを手動で形成するか(Yes)、形成しないか(No)を指定します。

クラスター ID

メモ：

このフィールドは、SRXデュアルCPEデバイスでのみ使用できます。

SRX クラスターが手動で形成されていない場合は、クラスターの一意の ID を指定します。

範囲: 1 から 15

サイトの ZTP を有効にしている場合、クラスターはサイトのアクティブ化時に自動的に形成されます。ZTP を無効にした場合、[サイトのアクティブ化の進行状況] ページ (ブランチサイトを追加した後に表示される) に次のプロセスが表示されます。

CSO がサイトをモデル化した後 (つまり、モデルサイトプロセスが正常に完了したら)、[事前スクリプトプロセス] の横に表示される [ クリックして事前スクリプトをコピー] リンクをクリックします。
指示に従ってコマンドを実行します。

事前スクリプトプロセスが正常に完了すると、SRXクラスタが形成され、 recovery.conf ファイルがクラスタに保存されます。後でサイトを削除する場合は、このファイルを使用して、CSO によってデバイスにプッシュされたステージ 1 構成およびその他の構成を削除する必要があります。
クラスタ内のプライマリデバイスでstage-1設定を手動で設定します。ステップ 6 を参照してください。

クラスターが検出されると、CSO はブートストラップとプロビジョニングのプロセスを実行し、クラスターのプロビジョニングを完了します。

自動アクティブ化

トグルボタンをクリックして、CPEデバイスの自動アクティベーションを有効または無効にします。

自動アクティブ化を無効にする場合は、「デバイスのアクティブ化」トピックを参照して、CPEを手動でアクティブ化します。

アクティベーションコード

デバイスの自動アクティベーションが無効になっている場合は、アクティベーションコードを入力してデバイスを手動でアクティベートします。アクティベーションコードは、サイトを追加した管理者から提供されます。

ノード0アクティベーションコード

デュアルCPEの自動アクティベーションが無効になっている場合は、アクティベーションコードを入力して、プライマリCPEデバイスを手動でアクティベーションします。

ノード1アクティベーションコード

デュアル CPE の自動アクティベーションが無効になっている場合は、アクティベーションコードを入力してセカンダリ CPE デバイスを手動でアクティベーションします。

ブートイメージ

CPE デバイスのイメージをアップグレードする場合は、ドロップダウンリストからブートイメージを選択します。

ブートイメージは、イメージ管理システムにアップロードされた最新のビルドイメージです。ブートイメージは、CSOがZTPプロセスを開始する際に、デバイスのアップグレードに使用されます。

ブートイメージが指定されていない場合、デバイスはデバイスイメージをアップグレードする手順をスキップします。ブートイメージ (NFX または SRX) は、サイトの作成時に選択したデバイステンプレートに基づいて設定されます。デバイスイメージのアップロードを参照してください。

(デバイステンプレート)

デバイスを構成するための情報を含むデバイステンプレートを選択します。

管理接続性

メモ：

このセクションは、ゼロタッチプロビジョニングが無効になっている場合にのみ表示されます。シャーシクラスタを追加する場合は、両方のノードのインターフェイスの詳細を指定する必要があります。

アドレスファミリー

IPv4 または IPv6 を選択します。

インターフェース名

これは、デバイスが CSO への接続に使用する WAN インターフェイスです。

アクセスタイプアンダーレイリンクのアクセスタイプを選択します。LTE、ADSL、およびVDSLアクセスタイプは、インターネットリンクでのみサポートされています。

アドレス割り当て

デフォルトではDHCPが選択されています。静的 IP アドレスを指定する場合は、[静的] を選択します。

管理VLAN ID

WAN リンクの VLAN ID を入力します。

範囲: 0 から 4094

Pppoe

切り替えボタンをクリックして、PPPoE(イーサネット経由のポイントツーポイントプロトコル)を使用したWANリンクの認証済みアドレス割り当てを有効にします。

ADSL/VDSL SFP Annex

ADSLまたはVDSLアクセスタイプのMPLSまたはインターネットリンクにのみ適用されます。

切り替えボタンをクリックして、xDSL SFP モジュールを介した Annex J サポートを有効にします。附属書Jは、ITU-T勧告G.992.3およびG.992.5で指定されています。

このオプションを無効のままにする場合は、接続に Mini-PIM モジュールを使用する必要があります。

ハブ構成

メモ：

ハブの選択は、SD-WAN AdvancedサイトとEssentialsサイトの両方でオプションです。SD-WAN Essentials サイトはマルチホーミングをサポートしていません。ただし、テナントのサービスレベルが [詳細] にアップグレードされていれば、Essentials サイト (アクティブ化後) を編集して高度なサイトにアップグレードし、必要に応じて後でセカンダリハブを追加できます。

Secure SD-WAN Advanced ブランチサイトは、Secure SD-WAN Advanced エンタープライズハブにのみ接続できます。

プライマリプロバイダーハブ

このブランチサイトの接続先となるプライマリハブサイトを選択します。

セカンダリプロバイダーハブ

メモ：

Secure SD-WAN Essentialsサービスを使用するサイトには適用されません。

このサイトが接続する必要があるセカンダリハブサイトを選択します。

このサイトは、プライマリデータハブに到達できない場合、セカンダリデータハブサイトに接続します。

プライマリエンタープライズハブ

ブランチサイトを接続するエンタープライズハブを選択します。エンタープライズハブを指定した場合、最初のサイト間トラフィックと中央ブレイクアウト(バックホール)トラフィック(該当する場合)は、ハブサイトではなくエンタープライズハブを介して送信されます。

セカンダリエンタープライズハブ

メモ：

Secure SD-WAN Essentialsサービスを使用するサイトには適用されません。

このブランチサイトのセカンダリエンタープライズハブを選択します。

ブランチサイトは、プライマリエンタープライズハブに到達できない場合、セカンダリエンタープライズハブに接続します。

メッシュタグを使用してEHubを接続します

このトグルボタンは既定で有効になっています。このボタンをオンにすると、CSOはメッシュタグを使用して、サイトとエンタープライズハブの間にオーバーレイトンネルを自動的に形成します。

ブランチサイトとエンタープライズハブの間に静的トンネル (WAN リンクごと) を手動で作成する場合は、この切り替えボタンを無効にします。このオプションを無効にする場合は、WAN リンクの [詳細設定] にある [エンタープライズハブへの接続] 切り替えボタンを使用して、少なくとも 1 つの WAN リンクを手動で有効にして、エンタープライズハブに接続する必要があります。

WANリンク

メモ：

リリース6.1.0では、少なくとも1つのWANリンクがIPアドレスを取得してアクティブになると、CSOはサイトをプロビジョニング済み状態に移動します。残りの DHCP WAN リンクは後でアクティブ化できます。DHCP WANリンクがアクティブになる前に、プロビジョニングされたサイトが他のサイトへのダイナミックVPN(DVPN)トンネルを確立した場合、これらのDHCP WANリンクは、トンネルが削除されて再度追加された場合にのみ(つまり、サイトのペア間のトラフィックが削除しきい値を下回り、その後再び作成しきい値を超えた場合)にのみDVPNに参加します。

WAN_0 WAN-Interface-Name

このフィールドはデフォルトで有効になっています。

WAN_0に関連するパラメータを入力します。続行するには、アスタリスク (*) でマークされたフィールドを設定する必要があります。

リンクの種類

リンクがMPLSリンクかインターネットリンクかを選択します。

アクセスタイプ

アンダーレイリンクのアクセスタイプを選択します。CSO リリース 6.3.0 以降、SRX300 シリーズデュアル CPE デバイスで LTE を選択できます。

メモ：

LTE アクセスタイプは、1 つの WAN リンクに対してのみ選択できます。ADSL または VDSL アクセスタイプは、2 つの WAN リンクに対してのみ選択できます。
以下を設定することはできません。
- デュアルNFXデバイステンプレートを使用している場合は、アクセスタイプとしてLTE。
- デュアルSRX、またはシングルまたはデュアルNFXデバイステンプレートを使用している場合は、アクセスタイプとしてADSLまたはVDSL。
イーサネットは、アンダーレイリンクのアクセスタイプとして設定されます。
SRX300は、LTEおよびADSLアクセスタイプをサポートしていません。
SRX300シリーズのサービスゲートウェイ(SRX300デバイスを除く)およびNFX150デバイスでは、ミニPIM(ミニ物理インターフェイスモジュール)のSIMスロットに挿入されたSIMカードを介してLTE WANリンクがサポートされます。NFX250デバイスでは、LTE WANリンクは、CPEデバイスのUSBポートに接続されたUSBドングル(ボーダフォンK5160ドングル)を介してサポートされます。
エンドツーエンドパスに NAT がない場合にのみ、MPLS リンクで LTE がサポートされます。
CSOは、ブランチデバイスに対して、以下のMPLSトンネルの組み合わせ(ADSLまたはVDSLアクセスタイプ)をサポートしています。
- ブランチサイト(ADSLまたはVDSLアクセスタイプ)からエンタープライズハブ、プロバイダーハブ、またはブランチサイト(イーサネットリンクを使用)へ。
- ブランチサイト(ADSL または VDSL アクセスタイプ)から別のブランチサイト(ADSL または VDSL リンク)へ。
CSOは、デュアルCPE導入において、LTE上のサイト間DVPNトンネルをサポートしていません。トンネルは、サイトに一致するメッシュタグがある場合に形成されます。ただし、トンネルが立ち上がらない可能性があります。
CSOは、デュアルCPE導入でのLTE上のPPPをサポートしていません。

リンク冗長性

SRX300シリーズのデュアルCPE導入環境では、LTE Mini-PIMを単一ノード(ノード0またはノード1)または両方のノード(CSO上で単一のWANリンクとして表す)のいずれかにインストールできます。

LTE Mini-PIM が 1 つのノードにのみインストールされている場合、このオプションは適用されず、無効にする必要があります。対応するWANリンク(ノード0はWAN_0またはWAN_2、ノード1はWAN_1またはWAN_3)をLTE WANリンクとして設定します。

LTE Mini-PIM が両方のノードにインストールされている場合は、トグルボタンを有効にします。ただし、デュアルCPE展開ではLTEリンクがアクティブ/バックアップモードで動作するため、一度にアクティブにできるリンクは1つだけです。ノード0にアクティブリンクを配置したい場合は、WAN_0リンクまたはWAN_2リンクのいずれかをLTE WANリンクとして設定します。同様に、ノード1にアクティブリンクを設定したい場合は、WAN_1リンクまたはWAN_3リンクのいずれかを設定します。

メモ：

LTE WAN リンクを設定する前に、LTE Mini-PIM がインストールされているスロットでデバイステンプレートを更新する必要があります。

次の表は、上記の情報をまとめたものです。

ノード、、

0	ノード1	LTE冗長性	WANリンク
LTE Mini-PIM がインストールされています	LTE Mini-PIM がインストールされています	有効	WAN_0またはWAN_2(ノード0にアクティブなLTEリンクを配置したい場合) WAN_1またはWAN_3(ノード1にアクティブなLTEリンクを配置したい場合)
LTE Mini-PIM がインストールされています	LTE Mini-PIM がインストールされていません	無効	WAN_0またはWAN_2
LTE Mini-PIM がインストールされていません	LTE Mini-PIM がインストールされています	無効	WAN_1またはWAN_3

メモ：

既存のLTE WANリンクの[リンク冗長性]オプションは編集できません。リンク冗長設定を変更するには、WAN リンクを削除して再設定する必要があります。

WANリンク(ノード0またはノード1)

WAN リンクが属するノードを表示します。WAN_0 と WAN_2 はノード 0 に属し、WAN_1 と WAN_3 はノード 1 に属します。

PPPoE/PPP

PPPoE(イーサネット経由のポイントツーポイントプロトコル)またはPPP(ポイントツーポイントプロトコル)を使用してWANリンクの認証済みアドレス割り当てを有効にするには、切り替えボタンをクリックします。既定では、このトグルボタンは無効になっています。

PPPoE はイーサネット、ADSL、VDSL アクセスタイプで動作し、PPP は LTE アクセスタイプで動作します。

メモ：

このトグルボタンは、アクセスタイプがLTEのインターネットリンクでは使用できません。

PPPoE または WAN リンクごとの PPP を有効にできます。この切り替えボタンを有効にした場合は、PPPoE または PPP サーバーの PPPoE または PPP パラメーター (ユーザー名、パスワード、および認証プロトコル) をそれぞれ指定する必要があります。PPPoE または PPP サーバーは、認証が成功すると IP アドレスを WAN リンクに割り当てます。詳細については、この表の「 PPPoE/PPP 設定 」セクションを参照してください。MPLS ベースまたはインターネットベースの WAN リンクで PPPoE または PPP を有効にすることができます。

このトグルボタンを無効にした場合は、[アドレスの割り当て] ボックスの一覧から WAN リンクに IP アドレスを割り当てる方法 (DHCP または静的) を選択します。

ADSL/VDSL SFP Annex

ADSLまたはVDSLアクセスタイプのMPLSまたはインターネットリンクにのみ適用されます。

このオプションを無効のままにする場合は、接続に Mini-PIM モジュールを使用する必要があります。

このオプションは、サイトに追加される新しい WAN リンクでのみ有効または無効にできます。サイト編集ワークフローを使用して、既存の WAN リンクに対してこのオプションを有効または無効にすることはできません。

このオプションは、PPoE、静的 IP アドレス(IPv4/IPv6)、DHCP、VLAN ID などの他のパラメーターと共に有効にすることができます。

アクセスポイント名 (APN)

アクセスポイント名 (APN) によって、CPE デバイスがインターネットなどのパケットデータネットワーク (PDN) に接続するために使用する必要があるパケットデータネットワークゲートウェイ (P-GW) が決まります。すべての CPE デバイスは、既定の APN 設定で出荷されます。ただし、現在のLTEサービスプロバイダーでプライベートAPNを使用するか、別のLTEサービスプロバイダーを使用する場合は、このフィールドにCPEデバイスのAPN(サービスプロバイダーによって指定された)を入力します。

このフィールドは、アクセスタイプとして LTE を使用する MPLS リンクで PPPoE/PPP を有効にしている場合にのみ表示されます。これらのリンクの PPPoE/PPP を無効にしている場合、CSO はデフォルトの APN 設定を使用します。

エグレス帯域幅

WAN リンクで許容される最大帯域幅を Mbps 単位で入力します。

範囲: 1 から 10,000。

メモ：

このオプションは、LTE アクセスタイプのインターネットおよび MPLS リンクでは使用できません。

アンダーレイアドレスファミリー

IPv4

切り替えボタンをクリックして、WAN リンクの IPv4 アドレス割り当てを有効または無効にします。デフォルトでは、IPv4アドレスの割り当てはWANリンクに対して有効になっています。

WAN リンクから IPv4 ネットワークに接続するには、IPv4 アドレスが必要です。

アドレスの割り当て方法

WAN リンクへの IPv4 アドレスの割り当て方法として、DHC(Dynamic Host Configuration Protocol)または静的)を選択します。

このフィールドは、PPPoE/PPP 切り替えボタンを無効にした場合にのみ表示されます。

[静的] を選択した場合は、WAN リンクの IPv4 アドレスプレフィックスとゲートウェイ IPv4 アドレスを指定する必要があります。

メモ：

LTE アクセスタイプのインターネットおよび MPLS リンクでは、アドレス割り当てに DHCP のみを選択できます。

静的 IP プレフィックス

アドレス割り当て方法を [静的] として構成した場合は、WAN リンクの IPv4 アドレスプレフィックスを入力します。

ゲートウェイ IP アドレス

アドレスの割り当て方法を [静的] として構成した場合は、WAN サービスプロバイダーのゲートウェイの IPv4 アドレスを入力します。

Mtu

IPv4 アドレスにのみ適用されます。

メディアまたはプロトコルの最大送信単位(MTU)サイズを入力します。サポートされるMTUの範囲は、デバイス、インターフェイスタイプ、ネットワークトポロジー、およびその他の個々の要件によって異なります。 MTUのデフォルト値と最大値および LTEミニ物理インターフェイスモジュール(LTE Mini-PIM)も参照してください。

サイトのすべての OAM 対応 WAN リンクの MTU 値を同時に編集すると、トンネルフラッピングが発生する可能性があります。サイトに対して、少なくとも 1 つの OAM 対応 WAN リンクが常に中断されないようにする必要があります。たとえば、サイトに 4 つの WAN リンク(OAM トラフィックをサポートする 2 つのリンクを含む)がある場合、1 つの OAM 対応リンクを除くすべての WAN リンクの MTU 値を同時に編集できます。編集が完了し、変更を保存したら、サイトを再度編集し、残りの WAN リンクを更新できます。

メモ：

WAN リンクの MTU 値を編集すると、そのリンクのトラフィックフローに影響を与える可能性があります。
WAN リンクで PPPoE/PPP オプションを有効にすると、そのリンクの PPPoE/PPP 設定セクションに MTU オプションが表示されます。

IPv6

切り替えボタンをクリックして、WAN リンクへの IPv6 アドレス割り当てを有効または無効にします。デフォルトでは、WAN リンクに対する IPv6 アドレスの割り当ては無効になっています。

WAN リンクから IPv6 ネットワークに接続するには、IPv6 アドレスが必要です。

メモ：

IPv6アドレスの割り当ては、セキュアSD-WANアドバンスドサービスを利用するサイトでのみサポートされています。
NFX250 デバイスの IPv6 アドレス割り当てを有効にすることはできません。

アドレスの割り当て方法

IPv6アドレスをWANリンクに割り当てる方法として、DHC(動的ホスト構成プロトコル - ルーターアドバタイズメントのみ)、静的、またはSLAAC(ステートレスアドレス自動構成)のいずれかを選択します。

このフィールドは、[PPPoE/PPP] 切り替えボタンを無効にした場合にのみ表示されます。

[静的] を選択した場合は、WAN リンクの IPv6 アドレスプレフィックスとゲートウェイ IPv6 アドレスを指定する必要があります。

メモ：

LTE アクセスタイプのインターネットおよび MPLS リンクでは、アドレス割り当てに DHCP のみを選択できます。

静的 IP プレフィックス

アドレスの割り当て方法を STATIC として構成した場合は、WAN リンクの IPv6 アドレスプレフィックスを入力します。

ゲートウェイ IP アドレス

アドレスの割り当て方法を [静的] として構成した場合は、WAN サービスプロバイダーのゲートウェイの IPv6 アドレスを入力します。

WANリンク(プライマリまたはセカンダリ)

デュアル CPE デバイステンプレートの場合、WAN リンクがプライマリリンクかセカンダリリンクかが表示されます。このフィールドは変更できません。

詳細設定

アドレスファミリー(トンネル作成)

オーバーレイトンネルの確立に使用するアンダーレイアドレスファミリー(IPv4 または IPv6)を選択します。リストのオプションは、アンダーレイ用に構成したアドレスファミリ (IPv4 または IPv6、あるいはその両方) に基づいて入力されます。

プロバイダー

WAN サービスを提供するサービスプロバイダー(SP)の名前を入力します。

英数字と '_'、'@'、'.'、'/'、'#'、'&'、'+'、および '-' のみを使用できます。15 文字で許可される最大文字数。

費用/月

毎月のWANリンクを使用するためのコストを入力し、横のドロップダウンリストからコストが示されている通貨を選択します。

範囲: 1 から 10,000。

帯域幅が最適化されたSD-WANでは、複数のWANリンクがSLAプロファイルのパラメーターを満たしている場合、CSOはこの情報を使用して、トラフィックをルーティングするための最も安価なリンクを特定します。

リンク優先度

1 から 255 の範囲の値を入力します。低い値は、より優先されるリンクを示します。値 1 は最高の優先度を示し、値 255 は最低の優先度を示します。値を入力しない場合、リンクプライオリティは 255 と見なされます。

ローカルブレークアウトを有効にする

切り替えボタンをクリックして、WAN リンクのローカルブレークアウトを有効にします。デフォルトでは、ローカルブレークアウトは無効になっています。

メモ：

このオプションを有効にすると、WAN リンクをローカルブレークアウトに使用できます。トラフィックがサイトからローカルにブレークアウトするかどうかの決定は、SD-WAN ポリシーインテントで参照されるブレイクアウトプロファイルによって異なります。
単一の CPE 接続プランに対して少なくとも 1 つの WAN リンクでローカルブレークアウトを有効にし、デュアル CPE 接続プランに対して少なくとも 2 つの WAN リンクでローカルブレークアウトを有効にしない場合、サイトのローカルブレークアウトは無効になります。

ブレイクアウトオプション

ブレークアウトトラフィックと WAN トラフィックの両方に WAN リンクを使用するか (デフォルト)、ブレークアウトトラフィックのみに使用するかを選択します。

マップ-E

切り替えボタンをクリックして、IPv6 WAN リンクのカプセル化によるアドレスとポートのマッピング(MAP-E)機能を有効または無効にします。デフォルトでは、MAP-E はディセーブルになっています。

MAP-E は、IPv4-in-IPv6 カプセル化を使用することにより、IPv6 ネットワークを介した IPv4 パケットのトランスポートをサポートします。

MAP-E の詳細については、 NFX シリーズデバイスでのカプセル化によるアドレスとポートのマッピングを参照してください。

メモ：

MAP-Eは、Japanネットワークイネーブラー(JPNE)標準にのみ準拠しています。
CSOは、NFX150をCPEとするブランチサイトの1つのWANリンク(セキュアSD-WAN Advancedサービスのみ)でのみMAP-Eをサポートします。WAN リンクに対して、IPV6 アドレス割り当てとローカルブレークアウトを有効にする必要があります。

送信元NATルールの自動作成

メモ：

セキュアSD-WAN Essentialsサービスがあるサイトは、インターフェイスベースのソースNATルールのみをサポートしています。SD-WAN Essentials サイトでこのオプションを有効にすると、インターフェイスベースのソース NAT ルールが自動的に適用されます。SD-WAN アドバンスドサイトでこのオプションを有効にする場合は、[ 変換 ] フィールドからソース NAT ルールを選択する必要があります。

切り替えボタンをクリックして、送信元NATルールの自動作成を有効または無効にします。デフォルトでは、このフィールドは、WAN リンクに対して IPv4 アドレス割り当てとローカルブレークアウトが有効になっている場合に有効になります。

表 2 に、WAN リンク上でソース NAT ルールを自動的に作成する方法を示します。自動的に作成された送信元NATルールは暗黙的に定義されてサイトに適用され、NATポリシーページには表示されません。

メモ：

特定のルールセット内で NAT ルールを作成することで、自動的に作成された NAT ルールを手動で上書きできます。たとえば、変換用のインターフェイスではなく送信元NATプールを使用するには、この特定のルールセット内に、関連する部門ゾーンとWANインターフェイスを送信元および宛先として含むNATルールを作成します。例えば：

Dept-Zone1 --> W1 : Translation=Pool-2

手動で作成されたNATルールは、対応する自動的に作成されたNATルールよりも高い優先度に配置されます。

また、他のフィールド (アドレス、ポート、プロトコルなど) を送信元エンドポイントまたは送信先エンドポイントの一部として追加することもできます。例えば：

Dept-Zone1, Port 56578 --> W1: Translation=Pool-2

翻訳

メモ：

このフィールドは、ソース NAT ルールの自動作成が WAN リンクに対して有効になっており、使用されている SD-WAN サービスが [詳細] の場合にのみ表示されます。セキュアSD-WAN Essentialsサービスがあるサイトは、インターフェイスベースのソースNATルールのみをサポートしています。

WANリンク上のトラフィックに使用するNATのタイプを選択します。

インターフェイス - デフォルトのインターフェイスベースNATを使用します。
プール:プールベースのNATを使用します。このオプションを選択する場合は、NAT プールに使用する IP アドレスを指定する必要があります。

メモ：
テナント所有のパブリック IP アドレスに対して NAT は実行されません。

IP アドレス

プールベースの NAT の場合は、1 つ以上の IP アドレス、サブネット、または IP アドレス範囲を入力します。複数の IP アドレスを指定するには、コンマを使用し、ハイフンを使用して範囲を示します。たとえば、192.0.2.1-192.0.2.50 のようになります。

優先ブレークアウトリンク

切り替えボタンをクリックして、WAN リンクを最も優先されるブレークアウトリンクとして有効にします。

このオプションを無効にすると、利用可能なブレークアウトリンクから ECMP を使用してブレークアウトリンクが選択されます。

BGP アンダーレイオプション

メモ：

SD-WAN Essentialsサービスがあるサイトには適用されません。

メモ：

この設定は、WAN リンクで IPv4 アドレス割り当て (アドレス割り当て方法として STATIC を使用) とローカルブレークアウトが有効になっている場合にのみ構成できます。

切り替えボタンをクリックして、BGP アンダーレイルーティングを有効にします。

BGP アンダーレイルーティングを有効にすると、プライマリ PE ノードとセカンダリ PE ノード(設定されている場合)にアドバタイズメントがルーティングされます。

CSOは、WANインターフェイスサブネットをアドバタイズします。
プールベースの変換を設定した場合、CSO は NAT アドレスプールをアドバタイズします。

メモ：

アンダーレイBGPがWANリンクに対して有効になっている場合、BGPから学習したルートはローカルブレイクアウト用にインストールされます。CSOは静的デフォルトルートを生成しません。

プライマリネイバー

WAN リンクのゲートウェイに入力した IP アドレスが表示されます。

セカンダリネイバー

PEの回復力を提供する場合は、セカンダリPEノードを設定できます。

セカンダリ PE ノードの IP アドレスを入力します。

メモ：

プライマリ PE ノードがダウンした場合、セカンダリ PE がネクストホップとして使用されます。プライマリPEが復旧すると、ルートネクストホップがプライマリPEに変更されます。

eBGPピアAS番号

外部(EBGP)ピアの自律システム(AS)番号を入力します。

メモ：

ピアAS番号が設定されていない場合、または設定されているピアAS番号がCPEサイトの番号と同じ場合、BGPタイプは内部BGP(IBGP)と見なされます。

認証

使用する BGP ルート認証方法を選択します。

[なし(None)]:認証を使用しないことを示します。これがデフォルトです。
[MD5 を使用]:MD5 が認証に使用されることを示します。このオプションを選択する場合は、認証キーを指定する必要があります。

認証キー

MD5 を認証に使用するように指定した場合は、BGP パケットの信頼性を検証するために使用する MD5 認証キー(パスワード)を指定します。

パブリック LAN プレフィックスのアドバタイズ

切り替えボタンをクリックして、パブリック LAN プレフィックスのアドバタイズを有効にします。このフィールドはデフォルトで無効になっています。

テナントにパブリック IP アドレスプールが構成されていて、パブリック LAN プレフィックスのアドバタイズを有効にした場合、テナントのパブリック IP アドレスプールに該当するサブネットで作成された LAN セグメントの場合、CSO は LAN サブネットを BGP アンダーレイにアドバタイズします。

メモ：

WAN リンクに対してパブリック LAN アドバタイズメントが有効になっている場合、パブリック LAN プレフィックスは BGP アンダーレイを介して MPLS またはインターネットに向けてアドバタイズされます。サイトのオーバーレイとアンダーレイに、同じ LAN プレフィックスに対して 2 つのバージョンのルートがインストールされている場合、オーバーレイルートは常にアンダーレイよりも優先されます。

フルメッシュに使用

切り替えボタンをクリックして、WANリンクをフルメッシュトポロジの一部にできるかどうかを指定します。

シングル CPE デバイスがあるサイトでは、最大 3 つの WAN リンクをメッシュ有効にすることができ、デュアル CPE デバイスがあるサイトでは、最大 4 つの WAN リンクをメッシュ有効にできます。

メモ：

このフィールドを有効にしても、SD-WAN Essentials サービスを使用するサイトは、2 つのブランチサイト間で閉じられるセッション数のユーザー定義しきい値に基づく動的メッシュトンネルの作成または削除をサポートしません。ただし、OpCo管理者またはテナント管理者は、カスタマーポータルのCSO GUIを使用して、ソースサイトと宛先サイトの間に静的トンネルを作成できます。

メッシュオーバーレイリンクタイプ

[フルメッシュフィールドに使用]が有効になっている場合、メッシュオーバーレイリンクのタイプ(GREとGRE_IPSEC)を選択します。

リンクタイプがインターネットの場合、デフォルトでは、メッシュオーバーレイリンクタイプの値は GRE_IPSEC です。

リンクタイプが MPLS の場合、次のいずれかのオプションを選択します。

GRE-IPSEC
Gre

メモ：

WANリンクのIPv6アドレス割り当てを有効にしている場合は、メッシュオーバーレイリンクのタイプとしてGRE-IPSECのみを選択できます。

メッシュタグ

フルメッシュに使用フィールドが有効になっている場合、トンネルを作成するための WAN リンクに関連付けるタグを入力します。リンクに割り当てることができるタグは 1 つだけです。

メッシュタグの一致は、メッシュをサポートするサイト間でトンネルを形成するために使用される基準の1つです。

ブランチサイトの場合は、メッシュタグを1つ選択できます。
エンタープライズハブの場合は、1 つ以上のメッシュタグを選択できます。

メッシュタグの詳細については、「メッシュタグの概要」を参照してください。

エンタープライズハブに接続

このフィールドは、[ハブ設定]セクションの[メッシュタグを使用してEHubを接続する]フィールドを有効にしている場合は表示されません。

メッシュタグを使用せずにサイトをエンタープライズハブに手動で接続する場合は、この切り替えボタンを有効にします。

プライマリ EHub トンネルタイプ