ZTISの設定とテストの例

このサイトのスイッチテンプレート

すべてのZTIS設定は、スイッチテンプレートを使用して実行する必要があります。このアプローチにより、すべてのアクセス スイッチ上のZTIS設定が、特に次の項目について、一貫して同期された状態に保たれます。

• 静的GBPタグ割り当ての定義
• ZTISの適用に使用されるスイッチポリシーの適用。

オプションが利用可能な場合でも、上書きによるGBPタグの割り当てやスイッチポリシーの設定は避けてください。スイッチテンプレートを使用して設定の一貫性を維持することを強くお勧めします。

以下は、簡単にインポートして適用できるように、JSON 形式で提供されているスイッチ テンプレートです。このラボを再作成する場合は、エラーを最小限に抑え、設定ミスを防ぐために、テンプレートを使用することをお勧めします。

上記のJSONをインポートしない場合は、以下の参照用に、ジュニパーMistポータルから同じ設定を作成することもできます。次の手順を実行します:

組織->スイッチテンプレートに移動して、新しいスイッチテンプレートを作成します。テンプレートを作成ボタンをクリックし、一意の名前で新しいテンプレートを作成します。この例では、テンプレートの名前は「uap-branch」です。

サイトに割り当てオプションを選択して、ブランチ内のすべてのスイッチを含むサイトに新しいテンプレートを割り当てます。すべてのスイッチが同じサイトに属していることが重要です。そうすることで、スイッチは同期された設定を受け取り、同じVLANの認識を共有します。

このケースでは、3つのスイッチすべてがプライマリサイトにあるため、以下の設定が表示されます。

次に、動的認証用に RADIUS サーバーを構成します。当社の場合、組み込みのジュニパー Mist NACソリューションを使用しました。これには次のもののみが必要です。

• 認証サーバー=Mist Auth

ただし、別のRADIUSまたはNACソリューションベンダーを使用している場合は、個々の設定を適用します。

次のステップでは、VLAN を表す個々のネットワークを作成します。上記の表を念頭に置いて、ネットワークで次の設定が行われます。

• 最初のネットワーク
  • 既存の default ネットワークを再利用しています
  • VLAN ID=1 は、すべての収益ポートのネイティブVLAN IDです。これにより、支社/拠点のスイッチとAPを帯域内で管理できるようになりました。
• セカンドネットワーク
  • 名前=VLAN1088
  • VLAN ID =1088
• 第3のネットワーク
  • 名前=VLAN1099
  • VLAN ID =1099

次に、ラボ設計で使用するポートプロファイルを作成します。

次のポートプロファイルは、2台のアクセススイッチへのダウンリンクでWANルーターにアップリンクを接続するためにのみ、分散型スイッチで使用されます。

• 名前=UAP-LINK
• ポート有効=Enabled
• モード=Trunk
• ポートネットワーク=default
• トランクネットワーク
  • すべてのネットワーク=Unchecked/Disabled
  • Networks=VLAN1088 と VLAN1099

別々の有線クライアントで使用される2つのVLANについては、それぞれに3つのポートプロファイルを作成します。

• RADIUS(NAC)動的認証のないポートプロファイル。これにより、ラボ中に強制することなく最初の有線クライアントテストが可能になり、設定の検証に役立ちます。後で、静的 MACアドレスまたは静的 VLAN GBP タグの割り当てをテストに適用するために使用することもできます。テンプレートでは、これらのプロファイルは -no-authで終わります。
• RADIUS(NAC)動的認証とMACアドレスベースのクライアント識別を使用するポートプロファイル。ラボでは、設定変更後最大10分ほど待たないように、再認証の間隔を30秒に短縮します。この短縮間隔は、実稼働環境では推奨されません。テンプレートでは、これらのプロファイルは -mab-authで終わります。
• 有線クライアント向けに802.1X EAP-TLSによるRADIUS(NAC)動的認証を使用するポートプロファイル。EAP-MD5は証明書を回避するために使用することもできますが、APを介した無線クライアント認証はサポートしていません。テンプレートでは、これらのプロファイルは -eap-authで終わります。

以下の6つのポートプロファイルを作成します。

• ポートプロファイル1
  • 名前=vlan1099-no-auth
  • ポート有効=Enabled
  • モード=Access
  • ポートネットワーク=VLAN1099
• ポートプロファイル2
  • 名前=vlan1099-mab-auth
  • ポート有効=Enabled
  • モード=Access
  • ポートネットワーク=VLAN1099
  • dot1x 認証=Checked/Enabled を使用します
    • 複数のサプリカントを許可=Checked/Enabled
    • Mac 認証=Checked/Enabled
      • Mac認証のみ=Checked/Enabled
      • 認証プロトコル=pap
    • 再認証間隔=30 注:本番環境ではこれを行わないでください。
• ポートプロファイル3
  • 名前=vlan1099-eap-auth
  • ポート有効=Enabled
  • モード=Access
  • ポートネットワーク=VLAN1099
  • dot1x認証を使用 =Checked/Enabled
• ポートプロファイル4
  • 名前=vlan1088-no-auth
  • ポート有効=Enabled
  • モード=Access
  • ポートネットワーク=VLAN1088
• ポートプロファイル5
  • 名前=vlan1088-mab-auth
  • ポート有効=Enabled
  • モード=Access
  • ポートネットワーク=VLAN1088
  • dot1x 認証=Checked/Enabled を使用します
    • 複数のサプリカントを許可=Checked/Enabled
    • Mac 認証=Checked/Enabled
      • Mac認証のみ=Checked/Enabled
      • 認証プロトコル=pap
    • 再認証間隔=30 注:本番環境では行わないでください。
• ポートプロファイル6
  • 名前=vlan1088-eap-auth
  • ポート有効=Enabled
  • モード=Access
  • ポートネットワーク=VLAN1088
  • dot1x認証を使用 =Checked/Enabled

スクリーンショットの例を次に示します。

ポートプロファイル1の例:

ポートプロファイル2の例:

ポートプロファイル3の例:

スイッチテンプレートを保存して、スイッチに適用します。ZTIS設定は後のステップで適用します。

WANルーターの設定

以下の要件を満たす限り、この設定には任意のWANルーターを使用できます。

• 支社/拠点のディストリビューション スイッチとアクセス スイッチに接続されたインターフェイス上で設定されたすべての VLAN のデフォルト ゲートウェイとして機能することで、レイヤー 2 からレイヤー 3 までの境界を提供します。
• すべてのVLANのDHCPサーバーとして機能するため、有線および無線クライアント(インバンド管理を使用する場合はオプションでスイッチとAP)がDHCPリースを受け取ることができます。
• WANインターフェイスで送信元NATを実行し、すべてのVLANからのトラフィックが変換されたアドレスを使用してインターネットにアクセスできるようにします。
• 1つのネイティブVLANをサポートし、残りのVLANはダウンストリームのスイッチとAPに向けてタグ付けされます。これにより、支社/拠点環境に専用の帯域外管理ネットワークを必要とせずに、インバンドデバイスを管理できます。

ジュニパーネットワークス®のSRXシリーズファイアウォールを選択した場合、支社/拠点スイッチに使用されているのと同じジュニパーMistポータルからその設定を管理できます。設定例は、参照されたドキュメントに記載されており、この設定でも使用されました。

私たちのラボではセッションスマートルーターを使用しましたが、この JVDには構成例が含まれています。

以下に、簡単にインポートして導入できるように、JSON 形式で WAN Edge テンプレートを示します。

SRXシリーズファイアウォールに精通しており、WANエッジを使用していない場合には、以下のラボでも使用できる簡単なJunos設定を提供します。

アクセスおよび分散型スイッチの設定

スイッチに移動し、「プライマリサイト」を選択します。「リスト」ビューに切り替え、右上隅にあるハンバーガーメニューを開き、バージョンでフィルタリングします。スイッチにインストールされているJunosバージョンが表示されます。アクセス スイッチが ZTIS に対応していること、およびインストールされている Junos ファームウェアが ZTIS をサポートしていることを確認します。そうでない場合は、スイッチを交換するか、ファームウェアをアップグレードしてください。

次に、 分散型スイッチ を選択し、以下のポートプロファイルで ポート を設定します。

• ポートプロファイル
  • ポートID=ge-0/0/0-2
  • インターフェイス=L2 Interface
  • 設定プロファイル=UAP-Link

次に、 Access Switch1 に移動し、以下のポートプロファイルで ポート を設定します。

• ポートプロファイル1
  • ポートID=mge-0/0/1
  • インターフェイス=L2 Interface
  • 設定プロファイル=UAP-Link
• ポートプロファイル2
  • ポートID=mge-0/0/3
  • インターフェイス=L2 Interface
  • 設定プロファイル=vlan1099-no-auth
• ポートプロファイル3
  • ポートID=ge-0/0/16
  • インターフェイス=L2 Interface
  • 設定プロファイル=vlan1099-no-auth

次に、 Access Switch2 に移動し、以下のポートプロファイルで ポート を設定します。

• ポートプロファイル1
  • ポートID=mge-0/0/1
  • インターフェイス=L2 Interface
  • 設定プロファイル=UAP-Link
• ポートプロファイル2
  • ポートID=mge-0/0/3
  • インターフェイス=L2 Interface
  • 設定プロファイル=vlan1088-no-auth
• ポートプロファイル3
  • ポートID=ge-0/0/16
  • インターフェイス=L2 Interface
  • 設定プロファイル=vlan1099-no-auth

RADIUS(NAC)設定

NACソリューションを使用した動的RADIUSベースの認証を通じて、ZTISにGBPタグを割り当てることを強くお勧めします。RADIUS access-acceptメッセージ内にGBPタグを割り当てるには、以下のジュニパーベンダー固有(ID 2636)属性のいずれかを使用する必要があります。標準RADIUS属性 Filter-ID (タイプ11)は使用できません。

• 古いジュニパー RADIUS VSA Juniper-Switching-Filter (文字列としてタイプ48)を使用できます。この属性では、戻り値は次の例のような文字列である必要があります: apply action gbp-tag 100。
• または、新しいジュニパー RADIUS VSA Juniper-Group-Based-Policy-Id (整数としてタイプ53)を使用することもできます。この属性では、戻り値は単にGBPタグ番号(例: 100)です。

GBPタグの割り当てには、これらの属性のうち1つだけを使用できます。新しい属性を使用すると、同じaccess-acceptメッセージでレガシー属性を使用して、必要に応じて追加のACLフィルターを参照できるため、新しい属性を使用することをお勧めします。新しいVSAがRADIUSサーバー辞書でサポートされていない場合は、代わりにレガシー属性にフォールバックできます。以下の認証ポリシーラベルの例は、両方を使用する方法を示しています。

次のセクションでは、 FreeRADIUS サーバーのVSA設定例を示します。

この例では組み込みのジュニパー NACソリューションを使用しているため、まず組織 ->認証ポリシーラベル に移動して、4つのラベル例を設定します。

• ラベル1は、MACアドレスベースの認証のために有線デスクトップVMを識別するために使用されます。私たちの環境にあるものはすべて、OUI 0x52:54:00から始まります。
  • ラベル名=Wired-Client-VM
  • ラベルタイプ=Client List
  • ラベル値=52:54:00:*
• Label2は、新しいVSA for GBPタグ割り当てを使用してクライアント認証を成功させるための戻り値属性を定義するために使用されます。
  • ラベル名=GBP-100
  • ラベルタイプ=AAA Attribute
  • ラベル値=GBP Tag
  • GBPタグ値=100
• ラベル3は、GBPタグ割り当て用のレガシーVSAを使用してクライアント認証を成功させるための戻り値属性を定義するために使用されます。
  • ラベル名=GBP-200
  • ラベルタイプ=AAA Attribute
  • ラベル値=Custom Vendor Specific Attribute
  • 属性1
    • 名前=Juniper-Switching-Filter
    • 値=apply action gbp-tag 200

これで、以下の認証ラベルが定義されます。

オプション:このラボでは、EAP-TLSが主に無線クライアント認証に使用されます。これは、クライアント証明書を発行できるエンタープライズルート認証機関を含む、公開鍵インフラストラクチャ(PKI)が利用可能であることを前提としています。必要なセットアップ手順は、別のJVDにすでに文書化されているため、ここでは繰り返しません。クライアント設定の例については、こちらのWindowsおよびLinuxクライアント向けJVDでも説明しています。

注:

有線クライアントにEAP-MD5またはMABを選択することで、証明書の作成と有線クライアントの登録の複雑さを回避できることに注意してください。

組織>認証ポリシーに移動することで、初期認証ルールセットを次のように定義します。

• ルール1
  • 名前=Wired-EAP
  • 一致条件=EAP-TLS AND Wired
  • ポリシー=Pass
  • 割り当てられたポリシー=Network Access Allowed と GBP-200
• ルール2
  • 名前=Wired-MAB
  • 一致条件=Wired-Client-VM AND MAB AND Wired
  • ポリシー=Pass
  • 割り当てられたポリシー=Network Access Allowed と GBP-100

完了すると、この設定は以下に示す例のようになります。

ZTIS設定の追加

注:

実稼働環境では、GBPポリシーを初めて追加するときにメンテナンスウィンドウをスケジュールする必要があります。

ラボの設定が完了したので、ZTIS 設定の追加に進むことができます。同じサイト(この例ではブランチサイト)内のすべてのアクセススイッチで一貫した同期された設定を確保するには、すべてのZTIS設定をスイッチテンプレートを通じて適用する必要があります。 Organization-> Switch Templates に移動し、前に作成したテンプレートを選択します。最初のステップは、以下の手順に従って、GBPタグの割り当てと宛先IPアドレスのルールを定義することです。

• GBPタグポリシー1
  • 名前=client1
  • タグの割り当て=Dynamic
  • GBPタグ=100
• GBPタグポリシー2
  • 名前=client2
  • タグの割り当て=Dynamic
  • GBPタグ=200
• GBPタグポリシー3
  • 名前=vlan1099
  • タグの割り当て=Static
  • GBP値の選択 from=IP/Port/Protocol
  • 宛先IPアドレス=10.99.99.0/24
  • プロトコル=Any
  • 宛先ポート=<none>
  • GBPタグ=<none>
• GBPタグポリシー4
  • 名前=vlan1088
  • タグの割り当て=Static
  • GBP値の選択 from=IP/Port/Protocol
  • 宛先IPアドレス=10.88.88.0/24
  • プロトコル=Any
  • 宛先ポート=<none>
  • GBPタグ=<none>
• GBPタグポリシー5
  • 名前=branch
  • タグの割り当て=Static
  • GBP値の選択 from=IP/Port/Protocol
  • 宛先IPアドレス=10.0.0.0/8
  • プロトコル=Any
  • 宛先ポート=<none>
  • GBPタグ=<none>
• GBPタグポリシー6
  • 名前=internet
  • タグの割り当て=Static
  • GBP値の選択 from=IP/Port/Protocol
  • 宛先IPアドレス=0.0.0.0/0
  • プロトコル=Any
  • 宛先ポート=<none>
  • GBPタグ=<none>

結果の構成は次のようになります。

他の静的GBP設定オプションを使用する場合は、以下の制限事項と推奨事項に留意してください。

• 静的 MACアドレスGBPタグの割り当ては、RADIUSサーバーが導入されていない場合にのみ使用してください。クライアント認証管理には中央の RADIUS サーバーを使用することを推奨します。これは、拡張性が高く、MACアドレスのOUIベンダーIDに基づくクライアント識別を使用できるからです。
• 静的なネットワーク割り当て(またはVLAN)は、上記のようにEX4400シリーズのみに制限されます。
• IPサブネットとは、送信元IPアドレスによるGBP割り当てを指します。これは支社/拠点の設計ではサポートされておらず、キャンパスファブリックの設計でのみ可能です。

次のステップでは、適用に使用するGBPポリシーを作成します。宛先ルールを注文するときは、前述のガイドラインに従ってください。

1. 宛先GBPタグに一致するすべてのルールをリストの先頭に表示する必要があります。これらのルールは、同じVLAN内のトラフィックにのみ適用されます。これはZTISの既知の制限です。
2. 次に、IPプレフィックス宛先を最長のプレフィックスから最短のプレフィックスへと順に並べて(重複しないと仮定)、より具体的なルールをより一般的なルールの前に評価するようにします。/0プレフィックスが付いたインターネットトラフィックをカバーするルールは、特定のGBPソースタグに対して常に最後に配置する必要があります。宛先IPプレフィックスは、同じVLAN内のトラフィックにも使用できますが、他のVLANに向けられたトラフィックには必要です。

結果の構成例は以下のようになります。

• スイッチポリシー1
  • 名前=client1-policy
  • ソース=client1
  • 宛先1
    • 宛先=client1 (ルールセットの最初の宛先GBPタグ)
    • トラフィック=allow
  • 宛先2
    • 宛先=client2 (ルールセットの最初の宛先GBPタグ)
    • トラフィック=allow
  • 宛先3
    • destination=vlan1099 (ルールセットの2番目の/24宛先IPアドレス)
    • トラフィック=allow
  • 宛先4
    • 宛先=vlan1088 (ルールセットの2番目の/24宛先IPアドレス)
    • トラフィック=allow
  • 宛先5
    • 宛先=branch (ルールセットの3番目に/8宛先IPアドレス)
    • トラフィック=allow
  • 宛先6
    • 宛先=internet (/0宛先IPアドレスはルールセットの最後になります)
    • トラフィック=allow
• スイッチポリシー2
  • 名前=client2-policy
  • ソース=client2
  • 宛先1
    • 宛先=client1 (ルールセットの最初の宛先GBPタグ)
    • トラフィック=allow
  • 宛先2
    • 宛先=client2 (ルールセットの最初の宛先GBPタグ)
    • トラフィック=allow
  • 宛先3
    • 宛先=vlan1099 (ルールセットの2番目の/24宛先IPアドレス)
    • トラフィック=allow
  • 宛先4
    • 宛先=vlan1088 (ルールセットの2番目の/24宛先IPアドレス)
    • トラフィック=allow
  • 宛先5
    • 宛先=branch (ルールセットの 3 番目に /8 宛先 IP アドレス)
    • トラフィック=allow
  • 宛先6
    • 宛先=internet (/0宛先IPアドレスはルールセットの最後にあります)
    • トラフィック=allow

まず、監視機能を使用してトラフィックの流れを確認するため、ここではトラフィックをブロックしません。

すべての設定が完了すると、スイッチ ポリシーは次のようになります。

テンプレートを保存するときは、GBPポリシーが初めて適用されることに留意してください。前述のように、このGBPポリシー設定を初めて受信したすべてのスタンドアロンスイッチのパケット転送エンジンが再起動します。バーチャルシャーシが導入されている場合、GBPの初期設定を有効にするには、バーチャルシャーシ全体を手動で再起動する必要があります。

アクセス スイッチでは、結果として Junos 設定は以下の例のようになります。

GBPポリシーに加えて、アクセススイッチは内部的には小型で隔離されたEVPNファブリックのように動作し、VXLANに基づくポリシー制御を行うため、他にも変更が加えられます。

スイッチ上の追加 Junos CLI

このドキュメントを書いた時点では、ジュニパー Mist クラウドには、ZTIS対応スイッチ間のリンクを自動検出して設定する機能が備わっていました。したがって、システムをサポートし、追加のCLIを介してこれらのリンクを手動で設定します。

注:

すでに述べたように、ブランチ設計では、ZTIS対応スイッチ間で既知のポートを設定する必要はありません。その後、システムは自動的にL2ユニキャストではなくマルチキャストL2メッセージ伝搬に切り替わります。ZTISで知られているアップ/ダウンリンクを設定すると、アクセススイッチを接続する分散型スイッチにすでにGBPタグが表示されるという利点があります。

当ラボの ディストリビューションスイッチ で、Mist-CloudがスイッチがZTIS対応であることを検知してZTIS設定をプッシュし、追加のJunos CLIを介して設定を完了するために、アクセススイッチへのダウンリンクを指定するだけで済みました。

アクセススイッチでは、ZTISアップリンクも設定する必要がありました。将来的には、これを回避するための自動検出メカニズムが計画されています。

Testing Your ZTIS Design

ラボを実行するときは、最初にクライアント VM (および WAN ルーター) の MAC アドレスを把握し、以下に示すようなテーブルを作成する必要があります。

ネイティブ KVM を使用すると、以下のコマンドを使用できます。

デスクトップVMでLinuxが実行されている場合は、デスクトップVM内で次の手順を実行できます。

その知識があれば、次のテーブルを作成できます。

表2:ラボデバイスのMACアドレス

VM	MACアドレス	IPアドレス	VLAN	認証	GBPタグ	スイッチ	ポート
デスクトップ1	52:54:00:79:a7:47	10.99.99.99/24	1099	MAB	100	アクセス1	MGE-0/0/3
デスクトップ2	52:54:00:ea:15:ed	10.88.88.88/24	1088	MAB	100	アクセス2	MGE-0/0/3
デスクトップ3	52:54:00:c3:53:e1	DHCPリース	1099	EAP	200	アクセス1	ge-0/0/16
デスクトップ4	52:54:00:db:53:a2	DHCPリース	1099	EAP	200	アクセス2	ge-0/0/16
SSR1	52:54:00:ef:18:36	10.99.99.1/24 10.88.88.1/24 10.33.33.1/24	1099 1088 1			アクセス1+2	MGE-0/0/1

新しいテスト演習を開始するときは、次のベスト プラクティスに従って、より迅速かつ一貫性のある結果を得ることをお勧めします。

1. すべての有線クライアント仮想マシンをシャットダウンまたは停止します。これにより、MACアドレスがアクセススイッチからできるだけ早く古くなるようになります。
2. 必要なGBP設定変更をスイッチテンプレートに適用します。
3. アクセス スイッチ上の有線クライアント認証に必要なポート設定変更を行います。
4. リモートシェルを介してアクセススイッチにアクセスし、 show ethernet-switching tableCLIコマンドを実行することで、学習したクライアントMACアドレスが存在しなくなったことを確認します。MACアドレスのエージングを待たない場合は、 clear ethernet-switching table コマンドを使用してテーブルを手動でクリアできます。
5. クライアント仮想マシンの電源をオンにして、新しいラボを開始します。

以下の出力例は、ラボのクリーンな開始状態を示し、現在学習されているクライアントMACアドレスがないことを示しています。

最初のラボでは、上の表に示した初期設定の有線クライアントを使用し始めましょう。わかりやすくするために、2台の有線クライアントはMACアドレスベースの認証を使用して認証されます。他の2つの有線クライアントはEAP認証を使用するため、EAP-TLSを使用します。この設定をサポートするには、アクセス スイッチの有線ポート設定を次のように変更する必要があります。

• アクセススイッチ=access1
  • ポートプロファイルの割り当て1
    • ポートID=mge-0/0/3
    • 設定プロファイル=vlan1099-mab-auth
  • ポートプロファイルの割り当て2
    • ポートID=ge-0/0/16
    • 設定プロファイル=vlan1099-eap-auth
• アクセススイッチ=アクセス2
  • ポートプロファイルの割り当て1
    • ポートID=mge-0/0/3
    • 設定プロファイル=vlan1088-mab-auth
  • ポートプロファイルの割り当て2
    • ポートID=ge-0/0/16
    • 設定プロファイル=vlan1099-eap-auth

私たちのラボでは、分散型スイッチがZTISをサポートしていないため、CLIコマンド show unified-access-policyを使用してレポートが正確かどうかを検証する必要があります。注:キャンパスファブリック環境では、すべての非IP Closファブリックについて、スイッチ間リンクはLAG aeインターフェイスとして設定し、単一のLLDPネイバーのみを表示する必要があります。これは、同じ送信元MACアドレスを共有するため(これはESI-LAGMACアドレスとは関係ありません)。

すべての有線クライアントと無線クライアントがオンボーディングされたら、 組織>認証ポリシーにあるRADIUS NACレポートを確認します。

有線クライアントのNACイベントを確認すると、新しいVSA属性を使用して割り当てられたGBPタグ値が表示されます。

有線EAP-TLSクライアントのNACイベントを確認すると、EAP-TLS認証の実行時に古いVSA属性を使用して割り当てられたGBPタグ値が表示されます。

有線クライアントのMAB認証を確認するには、リモートシェルを介してスイッチに接続し、以下のCLIコマンドを使用します。

有線クライアントのEAP認証を確認するには、リモートシェルを介してスイッチに接続し、以下のCLIコマンドを使用します。

次に、両方のアクセス スイッチのイーサネット スイッチング テーブルを確認して、どの GBP タグが有線クライアントと無線クライアントに関連付けられているかを確認します。

Access1スイッチには、次のものが表示されます。

Access2スイッチには、次のものが表示されます。

これにより、GBPタグがローカルインターフェイスの mge-0/0/3 と ge-0/0/16 で期待どおりローカルで学習されるだけでなく、リモートデバイスを介しても学習されることが確認できます。以下を観察および検証できます。

• リモートアクセススイッチから学習した有線MABクライアントGBPタグは、分散型スイッチインターフェイス mge-0/0/1 を介して表示されます。
• リモートに接続されたアクセススイッチからの有線EAPクライアントGBPタグは、ディストリビューションスイッチインターフェイス mge-0/0/1 を介して学習されます。

評価の次のフェーズでは、desktop1 VMと各スイッチのローカルファイアウォールカウンターを使用して、構成されたポリシーを検証します。以下の個々のスイッチ構成を確認する場合にも、この動作に気付くでしょう。

ページを下にスクロールすると、設定したルールのカウンターが表示されます。

ただし、これらのルールカウンターは長期監視を目的としており、約3分ごとに更新されます。すぐに結果が得られる必要があるラボテストでは、リモートシェルをアクセススイッチに使用し、カウンターをローカルで確認します。テストを実行する前に、まずカウンターをクリアすることをお勧めします。

テスト1: 次に、Desktop1 VM(MABを使用)を使用して、同じVLAN内にあるが割り当てられている2つの有線EAPクライアントにpingを実行しましょう。

Access1スイッチのファイアウォールカウンターを確認すると、この双方向トラフィックに対応するアクティビティが観察されます。

• gbp_client1-policy_02 ICMPリクエストパケットを含む送信元GBPタグ100から宛先GBPタグ200に作成されるために使用されます。
• gbp_client2-policy_01 ICMP応答パケットを含む送信元GBPタグ200から宛先GBPタグ100に作成されるために使用されます。

テスト2: ファイアウォールカウンターを再度リセットし、Desktop1 VMからWANルーターゲートウェイIPにpingを実行します。

Access1スイッチのファイアウォールカウンターを確認すると、以下のことがわかります。

• この gbp_client1-policy_03 は、宛先IPプレフィックスが10.99.99.0/24の送信元GBPタグ100に対して作成されたために適用されます。この場合、そのプレフィックスはクライアントのVLANとWANルーターの両方を表します。これにより、GBPタグの定義や割り当てができない同じVLAN内でクライアントのルールを作成できます。

テスト3: Access1 スイッチと Access2 スイッチのファイアウォール カウンターをリセットし、Desktop1 VM(vlan1099 の Access1 に配置)から Desktop2 VM(vlan1088 の Access2 に配置)に ping を実行します。

Access1 のスイッチ カウンターを確認すると、次のような出力が表示されます。

Access2スイッチカウンタを確認すると、次のような出力が表示されます。

これは、双方向トラフィックが以下のフローを使用するためです。

• Access1スイッチでは、ICMPリクエストは、Desktop2 VMが配置されているVLANであるIPプレフィックス10.88.88.0/24を宛先とする送信元GBPタグ100の gbp_client1-policy_04 を使用します。
• Access2スイッチでは、ICMP応答は、Desktop1 VMが配置されているVLANである10.99.99.0/24のIPプレフィックス宛ての送信元GBPタグ100に対して gbp_client1-policy_03 を使用します。

TEST4: ファイアウォール カウンターを再度リセットし、Desktop1 VM からのインバンド管理のために vlan1033 のスイッチに ping を実行します。

Access1スイッチのファイアウォールカウンターを確認すると、以下のことがわかります。

• gbp_client1-policy_05 は、IPプレフィックス10.0.0.0/8を宛先とする送信元GBPタグ100に対して作成されたために適用されます。この場合、複数のVLANが存在する場合に同じブランチ内のトラフィックを制御するために使用され、より具体的なポリシーで明示的に定義されていないトラフィックに対する一般的なキャッチオールルールとして機能します。

テスト5: ファイアウォールカウンターを再度リセットし、Desktop1 VMから、Webページのダウンロードなど、インターネットへのトラフィックを作成します。

Access1スイッチのファイアウォールカウンターを確認すると、以下のことがわかります。

• gbp_client1-policy_06 は、IP プレフィックス 0.0.0.0/0 を宛先とする送信元 GBP タグ 100 に対して作成されたために適用されます。このルールは、インターネットを宛先とするすべての非ローカルファブリックトラフィックを対象としており、評価される最終ルールとして機能します。

設定済みのルールとその適用時期を理解したところで、必要に応じてルールを使用してトラフィックを制御またはブロックすることができます。

TEST6: 前回のラボを繰り返しますが、今回はインターネットへのトラフィックをブロックします。スイッチテンプレートに移動し、 internet を右クリックして「拒否」を選択します。

ルールの色が赤に変わります。最後に、アクセス スイッチに適用されるようにテンプレートを保存します。

設定が変更されると、トラフィックは許可されなくなります。

ファイアウォールカウンターを再度リセットし、Desktop1 VMから、Webページのダウンロードなど、インターネットへのトラフィックを作成します。ブロックするように設定を変更したため、トラフィックは失敗しています。

ファイアウォールカウンターを確認すると、トラフィック試行のパケットカウントが表示されるので、GBPソースタグ100を持つクライアントがいつインターネットトラフィックにアクセスしようとするかを監視できます。

TEST7:同じVLAN内にある無線クライアントと有線クライアント間のトラフィックをブロックするには、TEST1に一致する双方向ポリシーを確認し、以下に示すようにブロックします。

Desktop1 VMから、同じVLAN内の無線クライアントにpingを実行します。

Access1スイッチのファイアウォールカウンターは、ICMPリクエストに一致するルール gbp_client1-policy_02 でのみ増加します。