サイトの生存性

Site Survivability の仕組み

ここでは、Site Survivabilityの仕組みについて簡単に説明します。

• 通常動作(WANリンクがアップ):

  • AP、スイッチ、Mist Edgeは、クラウドネットワークアクセス制御(NAC)へのRadSecトンネルを確立します。

  • クラウドNACは、このRadSecトンネルを介してクライアント認証要求を処理します。

  • サイトレベルのMist EdgeのNAC Edgeサービスは、最近認証されたクライアントと設定されたサーバー証明書のローカルキャッシュをクラウドから定期的に(30分ごとに)同期します。NAC Edge RADIUSサービスは、Access アシュアランスクラウドがMist Edgeから到達できない場合にのみ、クライアント認証要求に対応することに注意してください。

• 障害(WANリンクがダウンしています):

  • クラウドNACへの接続が失われると、ネットワークデバイスはバックアップRadSecサーバーとして設定されたNACエッジに自動的に切り替わります。

  • NACエッジは、信頼できる組織認証機関(CA)を使用してクライアント証明書(EAP-TLS用)を検証し、クライアントのローカルキャッシュをチェックして、VLAN情報などのキャッシュされた認証属性を提供します。

  • キャッシュに見つからないクライアントは、顧客定義のデフォルトVLANに割り当てられます。

• 回復(WANリンクが復元されました):

  • デバイスは、組み込みのフェイルバック動作に基づいて、クラウドNACに切り替わります。

  • Mist EdgeがプライマリRadSecセッションを再確立します。

  • クライアント認証要求は、クラウドNACによって処理されます。

サイトサバイバビリティモードでサポートされるもの

• 認証方法(WANリンクがダウンしている場合):

  キャッシュされたエントリを使用した802.1X EAP-TLSおよびMAC認証バイパス(MAB)

• 認可:

  • システムは、VLANやRADIUS AVPなどの認識されたクライアントのキャッシュされた属性を返します。

  • 不明なMABクライアントの場合、キャッシュミスの場合に備えて、お客様が設定したデフォルトVLANが使用されます。

  • EAP-TLS検証に合格したものの認識されない802.1Xクライアントの場合、キャッシュミスの場合にデフォルトVLANが使用されます。

• キャッシュの動作:

  • TTL(Time-To Live)の設定は1日から30日まで(デフォルト設定は7日)

  • エッジデバイスの再起動時にも永続キャッシュ

  • TTLが終了した後のクライアントエントリーの自動クリーンアップ

サイトサバイバビリティモードでサポートされていないもの

WANリンクがダウンすると、NAC Edgeはローカルのキャッシュ情報のみに依存し、外部システムに接続できません。つまり

• EAP-TTLS および Device-Auth 認証はサポートされていません。例えば、パスワードベースの認証はサポートされていません。

• 外部IDプロバイダ(IdP)は使用できないため、クラウドディレクトリやIdPルックアップは行われません。

• MDMプロバイダベースのポリシーは適用できません。

• リアルタイムのクラウドポリシー評価はできません。

• キャッシュエントリーのない新しいデバイスは動的ポリシーを取得できず、設定したデフォルトVLANが割り当てられます。