構成のチュートリアル

前提

それぞれのデータセンター設計 JVDで説明したように、3ステージのデータセンター、折りたたみ式ファブリックデータセンター、および5ステージのEVPN VXLANデータセンターをプロビジョニングします。

オーバーザトップ設計(MACSECあり)

DCI OTT設計では、下の図に示すように、レイヤー2スイッチ(QFX10002-36Q)またはレイヤー2スイッチングクロスコネクト構成をサポートするISPスイッチを使用して、2つの3ステージデータセンターが相互接続されます。QFX10002-36Qスイッチの場合、MPLSおよびL2回線のライセンスが必要です。レイヤー2スイッチングクロスコネクトの詳細については、 レイヤー2回線クロスコネクト(CCC)設定に関するジュニパーガイドを参照してください。このJVDでは、これら2つのスイッチの構成について簡単に説明します。これは、DCIの実装状況によって異なるため、このJVDの範囲外だからです。

分かりやすくするために、以下の 図1に示すように、2つのデータセンターをDC1およびDC2と呼びます。

図1:2つのDCを接続するOTT設計

ApstraでのDCIの設定に進む前に、 図1 に示すように、両方のデータセンターの境界リーフスイッチを相互接続(ISP)スイッチに物理的にケーブル接続してください。Apstraを使用してデータセンターの相互接続性をプロビジョニングするには、以下の手順に従います。

1. Apstra UIにログオンし、最初の3ステージデータセンター(以降、DC1)の設計図に移動します。両方のボーダーリーフについて、以下に示すように相互接続ISPスイッチへのリンクを設定します。各境界リーフのISPスイッチを接続するインターフェイスを反映したケーブルも更新されていることを確認します。外部汎用サーバーの作成に関する詳細については、既存のブループリントへのリンクの追加に関する Apstraガイド を参照してください。
   図 2: 境界リーフから ISP スイッチ 1 へのリンク
   図 3: ボーダー リーフ 2 と ISP スイッチ 2 との接続
2. リモートデータセンターの境界リーフスイッチ(この場合はDC2)のループバックIPを許可するルーティングポリシーを作成します。 ブループリント> ステージングされた>ポリシー>ルーティングポリシー に移動し、データセンター(DC2)境界リーフスイッチのループバックIPのインポートルートを許可する関連するポリシーを作成または変更します。
   図 4:DC2 境界リーフ スイッチのインポート ルートの追加
3. 次に、現在のブループリント(DC1)のボーダーリーフスイッチをリモートデータセンターブループリント(DC2)に接続するための接続テンプレートを作成します。この手順により、VLAN タグ付きの 2 つのデータ センター間のアンダーレイ接続が作成されます。前のステップで定義したルーティングポリシーは、ルートインポートに割り当てられます。アンダーレイ eBGP は、両方のデータ センターのボーダー リーフ スイッチ1間でも作成されます。同様に、両方のデータセンターのボーダーリーフスイッチ2間のアンダーレイ接続eBGPを設定します。境界リーフ接続ごとに 2 つの接続テンプレートを作成する必要があります。接続性を確認するには、 図 1 を参照してください。
   図 5:境界リーフ スイッチ 1 接続テンプレート
   図 6:境界リーフ スイッチ 2 接続テンプレート

   接続テンプレートを作成したら、次に示すように境界リーフ スイッチに割り当てます。Apstra接続テンプレートの詳細については、『 Juniper Apstraガイド』を参照してください。

   図 7:境界リーフ スイッチ 1 への接続テンプレートの割り当て
   図 8:境界リーフ スイッチ 2 への接続テンプレートの割り当て
4. 接続テンプレートを割り当てた後、 ブループリント > ステージングされた仮想>ルーティングゾーンに移動し>、 デフォルトルーティングゾーンをクリックしてIPV4およびIPV6 IPアドレスを割り当て、2つのデータセンター間のボーダーリーフ接続を作成します。
   図9:IPアドレスを割り当てて、両方のデータセンターの境界リーフスイッチ間にIPリンクを作成します

   オーバーレイ接続を作成するには、[ Blueprint > Staged > DCI ] に移動し、[ Over the Top] または [External Gateway ] を選択して、リモート データ センターのリモート境界リーフ スイッチの詳細を入力します。この手順は、両方の境界リーフ スイッチで異なる相互接続スイッチを使用してリモート データ センターの境界リーフに接続するため、両方の境界リーフ スイッチに対して実行する必要があります。

   図 10:DC1 境界リーフ 1 と DC2 境界リーフ 1 の間にオーバートップまたは外部ゲートウェイを作成する
   図 11:DC1 境界リーフ 2 と DC2 境界リーフ 2 の間にオーバートップ ゲートウェイまたは外部ゲートウェイを作成する
5. 次に、次に示すように、ASN、ISPスイッチのループバックIPが、リモートデータセンターの境界リーフスイッチ、つまりDC2の境界リーフスイッチASNおよびループバックIPを反映していることを確認します。[ Blueprint > Staged > Physical > Topology ]に移動し、[Generic server representation of ISP]スイッチをクリックし、次の画面の右側で、次に示すようにプロパティに移動して、ASNとループバックIPを更新します。汎用サーバ ISP スイッチ 2 についても同じ手順を繰り返します。
   図12:eBGPのためのリモートデータセンターのASNおよびループバックアップデート
6. DC1 の ブループリント > Uncommitted に移動し 、すべての変更をコミットします。ISPスイッチとリモートデータセンター(このインスタンスではDC2)ブループリントはDCI接続で設定されていないため、この時点では接続は確立されないことに注意してください。これについては、次の手順で説明します。
7. リモート・データ・センター(DC2など)について、上記の手順をすべて繰り返します。次に、ISPスイッチでの設定の作成に進みます( 相互接続ISPスイッチの設定を参照してください)。
   注:この実習では、ISPスイッチの設定を手動で適用しました。
8. また、DC1とDC2のデータセンター間のトラフィックを暗号化するために、境界リーフスイッチにもMACSEC設定が適用されました。ApstraはMACSECをサポートしていないため、configletを使用して適用されました。詳細については、セクション1を参照してください。
9. ISPスイッチとリモートデータセンター(DC2)での設定がコミットされると、接続が確立され、ApstraはDCI接続に関連する異常を示さなくなります。ApstraでBGP、インターフェイスなどの異常が示された場合は、これらを分析してトラブルシューティングします。

図 13: DC1 境界リーフ スイッチ 1 の BGPが DC2 境界リーフ スイッチ 1 で確立される

図 14: DC2 境界リーフ スイッチ 2 で確立された DC1 境界リーフ スイッチ 2 BGP

図 15: DC2 境界リーフ スイッチ 1 の DC1 境界リーフ スイッチ 1 で確立された BGP

図 16: DC1 境界リーフ スイッチ 2 で確立された DC2 境界リーフ スイッチ 2 BGP

相互接続 ISP スイッチの設定

DCI接続の場合、データセンター間の接続の選択は、レイテンシ、リンクまたはノード障害時のコンバージェンス時間、トランスポートタイプ(レイヤー2/レイヤー3)、相互接続を提供するために使用されるハードウェアなどの要因によって異なります。

このラボでは、2つのQFX10002-36Qを使用し、ボーダーリーフは10Gリンクを使用して接続します。MPLSおよびL2回線は、レイヤー2クロスコネクトの設定に使用されます。設定スニペットは、接続を提供するためにISPスイッチの1つに適用される必要な設定を示しています。MPLSおよびL2回線のライセンスも適用されました。インターフェイススイッチ間クロスコネクトの詳細については、 レイヤ2クロスコネクトガイドを参照してください。

1. インターフェイスは、回線クロスコネクト(CCC)カプセル化でethernet-ccc(物理インターフェイス全体を設定、 [set interfaces <interface_name> encapsulation ethernet-ccc])として作成されます。回線を機能させるためには、論理インターフェイス(ユニット0)に、両方のデータセンターのボーダーリーフに接続するインターフェイスのファミリー ccc [edit interfaces <interface_name> unit 0 family ccc] を設定する必要があります。
2. それに加えて、回線クロスコネクトスイッチ [edit protocols connections] は、ステップ1でCCCとして設定されたインターフェイスを使用して設定されます。
3. 最後に、レイヤー2スイッチングクロスコネクトを機能させるためには、MPLSプロトコルを有効にする必要があります。

EVPN-VXLANタイプ2シームレススティッチング(レイヤー2とMACSECのみ) デザイン

タイプ 2 のシームレスなステッチ DCI 設計では、サイト間の VLAN/VNI ストレッチのサブセットのみが設定されます。この設計では、2つのデータセンター間のトラフィックの暗号化にもMACSECが使用されます。この設計では、 Over-the-Top(OTT)(MACSECを使用)で説明されているように、3ステージのデータセンターと折りたたみ式ファブリックのデータセンターがレイヤー2スイッチ(QFX10002-36Q)を使用して相互接続されています。

図17:データセンター間のタイプ2シームレスステッチ接続

分かりやすくするために、 図17に示すように、2つのデータセンターをDC1およびDC3と呼びます。両方のデータセンターが相互接続ISPスイッチに物理的にケーブル接続されていることを確認します。

この場合の設定手順は、OTT 設計と同様です。このためには、先に進む前に、3ステージ(DC1)と折りたたみ式ファブリック(DC3)の両方のブループリントを起動して実行する必要があります。タイプ 2 DCI および MACSEC の設定手順は次のとおりです。

1. 最初の3ステージデータセンター(以下、DC1)の設計図に移動します。両方のボーダーリーフについて、以下に示すように相互接続ISPスイッチへのリンクを設定します。リンクも更新されていることを確認します。外部汎用サーバーの作成に関する詳細については、既存のブループリントへのリンクの追加に関する Apstraガイド を参照してください。以下は、接続を示すボーダーリーフスイッチ1の例です。ボーダーリーフスイッチ2についても同じ手順を繰り返します。
   図 18:境界リーフ スイッチ 1 の接続
2. ルーティングポリシーを作成し、リモートデータセンターの境界リーフスイッチ(この場合はDC3)のループバックIPを許可します。 ブループリント > ステージングされた>ポリシー>ルーティングポリシーに移動し、 関連するポリシーを作成または変更して、リモートデータセンター(DC3)境界リーフスイッチのループバックIPのインポートルートを許可します。
   図 19: DC3 からのルートのインポートを許可するルーティング ポリシー
3. 現在の設計図(DC1)の境界リーフスイッチをリモートデータセンターのブループリント(DC3)に接続するための接続テンプレートを作成します。この手順により、VLAN タグ付きの 2 つのデータ センター間にアンダーレイ接続が作成されます。前のステップで定義したルーティングポリシーは、ルートインポートに割り当てられます。アンダーレイ eBGP は、両方のデータ センターの境界リーフ スイッチ1間でも作成されます。同様に、両データセンターの境界リーフスイッチ2間のアンダーレイ接続eBGPを設定します。境界リーフ スイッチごとに 2 つの接続テンプレートを作成する必要があります。
   図 20: Border Leaf1 用に作成された接続テンプレート
   図 21:境界リーフ スイッチ 2 用に作成された接続テンプレート
4. 接続テンプレートを作成したら、次に示すように境界リーフ スイッチに割り当てます。Apstra接続テンプレートの詳細については、『 Juniper Apstraガイド』を参照してください。
   図 22:接続テンプレート に割り当てられた境界リーフ スイッチ 1
   図 23:接続テンプレート に割り当てられた境界リーフ スイッチ 2
5. オーバーレイ接続を作成するには、[ Blueprint > Staged > DCI ] に移動し、[ Integrated Interconnect ] を選択して相互接続ドメインを作成します。これにより、両方のデータセンター(DC1とDC3)で相互接続ESIが異なっていることが保証されます。
   重要な注意:シームレスステッチを行うには、両方のリモートボーダーリーフを選択して、論理的なフルメッシュオーバーレイ接続を作成する必要があります( 図26を参照)。たとえば、DC1 でプライマリ境界リーフ スイッチのリンクまたはノード障害が発生した場合、指定フォワーダ ロールはセカンダリ境界リーフ スイッチに移動します。DC1 セカンダリ境界リーフ スイッチが、指定フォワーダではないリモート境界リーフ スイッチにトラフィックを送信する場合、ルートはリモート DC のプライマリ境界リーフ スイッチと共有されません。したがって、論理的なフルメッシュを実装することが推奨され、必須です。
   図 24: Interconnect ドメイン の作成

   次に、[Local and Remote Gateway]をクリックして、 図25 および 図26に示すように、リモートゲートウェイ、つまりASN、ループバックなどのDC3境界リーフスイッチ情報を入力します。

   図 25: ローカルおよびリモートゲートウェイ
   図 26:両方の境界リーフ スイッチのリモートおよびローカルゲートウェイの作成

6. DCI 全体に拡張する VXLAN/VNI の関連付けに進む前に、「 Blueprint > Staged > Virtual Network and create Virtual Network」に移動します。仮想ネットワークの作成については、 Apstraガイド を参照してください。シームレスな拡張を機能させるには、リモートデータセンターの設計図に同じ仮想ネットワークを作成する必要があります。

   次に、 Blueprint > Staged > DCI > Integrated Interconnect に戻り、接続タイプを選択してリストされている仮想ネットワークを選択し、レイヤー 2 (EVPN タイプ 2) を有効にします。必要に応じて、変換VNIも設定できます。変換VNIが設定されている場合、スイッチは、データセンター全体に設定された共通のVNIにトラフィックを転送している間に、VNIを変換します。境界リーフスイッチは、変換されたVNIが相互接続されたVNIリストに含まれている場合にのみVNIを変換します(Apstraは、境界リーフスイッチ1のレンダリングされた設定に示されているように、 [edit routing-instance evpn-1 protocols evpn interconnect interconnected-vni-list] の下に含まれています)。

   図 27: Border Leaf1 スイッチの Apstra レンダリング済み構成スニペット

   図 28:拡張して適用する仮想ネットワークの選択 VNI

7. この時点で、データセンターの相互接続設定の準備は完了です。また、コミットされた場合は、2つのデータセンター間の接続が確立され、データセンター間のトラフィックは暗号化されません。ApstraはMACSECをネイティブにサポートしていないため、このJVD設計では、コンフィグレットを使用して設定された2つのDCの間にMACSECが設定されます(コンフィグレットを使用したMACSECの適用については、セクション 1 を参照してください)。

8. 次に、次に示すように、ISPスイッチのASN、ループバックIPがリモートデータセンターのボーダーリーフスイッチ、つまりDC3のボーダーリーフスイッチASNとループバックIPを反映していることを確認します。 [Blueprint > Staged > Physical > Topology (物理トポロジー のステージング)] に移動し、境界リーフ スイッチ 1 をクリックし、に示すように次の画面右側をクリックします。次に示すようにプロパティに移動し、ASN とループバック IP を更新します。汎用サーバ ISP スイッチ 2 についても同じ手順を繰り返します。
   図29:ASNの設定、リモートデータセンターのループバック 境界リーフ スイッチ
9. DC1 のブループリント > Uncommitted に移動し、すべての変更をコミットします。この時点では、ISPスイッチとリモートデータセンター(このインスタンスではDC3)ブループリントにDCI接続が設定されていないため、接続は確立されないことに注意してください。これについては、次の手順で説明します。
10. リモートデータセンター(DC3など)に対して、上記のすべての手順を繰り返します。次に、「 相互接続ISPスイッチの設定」セクションで説明したように、ISPスイッチでの設定の作成に進みます。
11. ISPスイッチとリモートデータセンター(DC3)での設定がコミットされると、接続が確立され、ApstraはDCI接続に関連する異常を示さなくなります。ApstraでBGP、ケーブル、インターフェイスなどの異常が表示された場合は、これらの問題を分析してトラブルシューティングします。

図30:DC1のボーダーリーフスイッチ1のBGPとインターフェイスがすべて緑色で表示されているApstra スイッチ1

図31:BGPとインターフェイスをすべて表示したApstra DC1の境界リーフスイッチ2の

図 32: DC3 リーフ スイッチの BGP とインターフェイスがすべて緑色

VXLANタイプ2ステッチの検証中に、Apstraが、折りたたみ式ファブリックリーフスイッチへのDCIオーバーレイEVPN BGPポリシー設定の適用を省略し、折りたたみ式リーフスイッチ間のオーバーレイルートのアドバタイズを停止していることに気付きました。ただし、3ステージのファブリックスパインスイッチにも同じことが適用され、オーバーレイルートのアドバタイズを停止しました。以下の設定は、既存のEVPN eBGP設定で折りたたまれたファブリックリーフスイッチのコンフィグレットを使用して適用されたものです。

EVPN-VXLANタイプ2およびタイプ5シームレスステッチデザイン

この設計と構成は、 EVPN-VXLANタイプ2シームレスステッチング(MACSECを使用したレイヤー2のみ)設計と似ていますが、タイプ2およびタイプ5のステッチ設計が含まれる点が異なります。ただし、ストレッチする仮想ネットワークの選択中に、タイプ 2 (レイヤー 2) とタイプ 5 (レイヤー 3) の両方が有効になります。仮想ネットワークのレイヤー3をデータセンター全体に拡張する場合は、Apstraの[レイヤー3ポリシー]タブのVRFも有効にし、ルーティングポリシーをVRFに関連付ける必要があります。詳細については、 Apstraガイド を参照してください。

図 33: タイプ 2 とタイプ 5 のを拡張する仮想ネットワークの選択

図 34:VRF のレイヤ 3 ポリシーの設定

VRFに対してタイプ5ルートを有効にすることで、Apstraは以下の設定を適用し、データセンター間でEVPNルートをステッチします。シームレスなステッチを機能させるには、リモートデータセンターに同じ相互接続ルートターゲットを適用する必要があります。

適用された追加の設定

1. MACSEC

   ApstraはMACSECをネイティブでサポートしていないため、このJVD設計では、コンフィグレットを使用して設定された2つのDC間でMACSECが設定されます。詳細については、 Day OneガイドのMACSEC設定を参照してください。

   注:QFX5700などの一部のプラットフォームでは、論理インターフェイス(IFL)レベルのMACSECはサポートされていません。そのため、QFX5700(境界ゲートウェイ)には物理インターフェイス(IFD)が設定されます。

   OTT および Type2 シームレス ステッチのプロパティ セットは、 ブループリント > カタログ > プロパティ set を使用してブループリントにインポートされます。

   図 35: MACSEC コンフィグレット のプロパティ セット

   MACSEC のコンフィグレットは、 図 35 に示すようにプロパティ セットを使用します。OTTとType2の両方のシームレスステッチに同じコンフィグレットが使用されます。

   図36:ApstraのMACSECコンフィグレット

   次に示すのは、両方のデータセンターのボーダーリーフスイッチ1とボーダーリーフスイッチ2の両方に適用されたレンダリングされた設定です。

2. EVPNタイプ5ルートは、特定のルートをホストします

   Apstraファブリック設定のホスト固有のルートについては、以下に示すようにEVPNタイプ5ルートを有効にします。これにより、ファブリック内のホストの数に応じてルートが増加します。EVPNタイプ5ルートのデフォルト設定は無効です。DCI タイプ 2 とタイプ 5 のシームレス ステッチについては、[ Blueprint > Staged > Fabric Settings (ブループリント ステージングされたファブリック設定)] に移動します。この設定が無効になっている場合、共有されるルートは、仮想ネットワーク ネットワークIP サブネットで構成されているサブネット プレフィックスになります。

   図 37: ホスト固有のIPルートを有効にするためのファブリック設定
3. ノード障害時のコンバージェンス時間を改善するBFD

リンクやノード障害時のコンバージェンス時間を短縮するために、DCI オーバーレイ BGP セッションに BFD を適用しました。Apstraは、DCIオーバーレイBGPセッションにBFDを適用しません。そのため、このコンフィグレットを使用して、DCIオーバーレイBGPセッションにBFDを設定しました。BFD オーバーレイ セッションでは、接続テンプレートを使用して BFD を適用しました。