VXLAN - ネットワークスペシャリスト

1.VXLAN
2.CiscoのSD-Access

1.VXLAN

1.1 VXLANとは

　VXLAN（ブイエックスラン：Virtual eXtensible Local Area Network）はフルスペルのとおり仮想的にLANをeXtensible（拡張）したプロトコルです。従来からあるVLANの場合，設定できるVLAN IDの上限は4094個です（VLAN IDは12ビットで，2の12乗＝4096）。一般の企業において，この上限値を超えることはあまりないでしょう。一方，AWSやAzureのような大規模クラウドサービスの場合，4094ではまったく足りません。そこで，VXLANです。
　VXLANでは，VXLANを識別するVNIというIDを約1,677万個作成できます（VNIは24ビットで，2の24乗＝16,777,216）。プロトコル上は約1,677万のレイヤー2ネットワークを作れるようになるのです。
　さて，VXLANの名前だけ見ると，レイヤー2プロトコルのような印象を受けます。実際，VXLANによって，離れた場所にあるセグメント間を，あたかも同一セグメントであるかように接続できます。ですが，VXLANは，VLANのようにレイヤー2に閉じた技術ではありません。VXLANは，レイヤー2のイーサネットフレームをレイヤー3のIPパケットにカプセル化する仕組みです。こうして，物理的または論理的に離れた場所にあるレイヤー2ネットワーク（セグメント）間を，レイヤー3ネットワークを経由して相互に接続できます。

1.2 オーバーレイネットワークとアンダーレイネットワーク

　オーバーレイ（overlay）という言葉には，「重ねる」「被せる」の意味があります。オーバーレイネットワークとは，下層のネットワーク（アンダーレイネットワーク）の上に被せて作ったネットワークのことです。
　R6の問題では，オーバーレイネットワークを実現する技術としてVXLANを使います。具体的には，下層にあるアンダーレイネットワークの上にレイヤー2のオーバーレイネットワークを作ります。（ちなみに，オーバーレイネットワークでは，ポートベースVLANも作成できます。）
　たとえば，AWSの東京リージョンの場合，172.31.0.0/16というVPC（仮想ネットワーク）が，三つのデータセンター（AZ）をまたがって構築されます。そして，各AZ内に172.31.1.0/24，172.31.2.0/24 などの複数のサブネットを作ります。もちろん，利用者Aも利用者Bも利用者Cも，それぞれの172.31.0.0/16という同じVPCを利用できますが，それぞれは独立しており通信が混じることはありません。内部仕様は公開されていないので憶測が含まれていますが，以下のような構成です。まず，データセンタ間を接続するために，L3SWやルータなどを使ってレイヤー3のネットワークを作ります。これがアンダーレイネットワークです。次に，VXLANを使い，このアンダーレイネットワーク上に，仮想的なレイヤー2のネットワーク（オーバーレイネットワーク）を複数作ります。

1.3 VNI（Virtual Network Identifier）

　VNIは，VXLANで作る論理的なネットワークの番号（Identifier：識別番号）です。VLANではVLAN IDでVLANを識別し，VLAN IDは12ビット（＝4,096）でした。一方のVXLANのIDであるVNIは24ビット（＝約1,677万）です。つまり，約1,677万個のL2ネットワークを作ることができます。

1.4 VXLANパケット

　VXLANパケットは，L2フレームをIPパケット（UDP）でカプセル化したものです。VXLANパケットの構造は，問題文で以下のように示されました。

　では，VLANとVXLANのフレームの違いを見てみましょう。
　VLANはレイヤー2の情報だけで構成されますが，VXLANはレイヤー3の情報（IPv4ヘッダー）とレイヤー2の情報（VNIヘッダーやイーサネットフレーム）で構成されています。

先頭のIPv4 ヘッダー，UDPヘッダー，VXLANヘッダーはアンダーレイネットワークの情報です。イーサネットフレームは，オーバーレイネットワークの情報です。

このネットワーク構成図で補足します。イーサネットフレームのデータ部分には、実際にはIPヘッダもあります。そのIPアドレスは、構成図にあるように192.16.1.xのIPアドレスです。そして、VLXNではVLAN110を識別するための情報として、例えばVNI＝10010が記載されます。そして、IPヘッダでは、アンダーレイネットワークとして、10.0.0.xのIPアドレスで通信が行われます。

1.5 VTEPの動作

(1)VTEPとは

VTEP（VXLAN Tunnel End-Point）は，フルスペルのとおり，VXLANのトンネル（Tunnel）の終わり（End）の地点（Point）です。
VTEPの解説の前に，問題文の図1で，VTEPがどこにあるかを確認しましょう。

　このように，VTEPは，L3スイッチの中にあり，他のVTEPとVXLANトンネルで接続していることがわかります。VTEPですが、インターフェースを指すこともありますが，今回の場合，L2ネットワークを構築するための仮想的なネットワーク機器だと考えてください。異なるL3SW内にあるVTEP同士をVXLANトンネルで接続して，仮想的なレイヤー2ネットワークを構築します。実際，上記の図では，6台全てのサーバが，一つのレイヤー2ネットワーク上に存在します。
　VTEPが何をしているかというと，VPNルータのような役割をします。サーバなどの端末からイーサネットフレームを受信すると，VXLANヘッダーなどを付与して（つまりカプセル化して）相手方のVTEPに送信します。

(2)VTEPの動作

VTEPの具体的な動作を以下の図で説明します。VM11とVM31は，物理的にも，アンダーレイのネットワーク的にも離れた場所にあります。しかしVM11とVM31は，同一セグメントにあるかのようにレイヤー2で通信できます。
　かなり複雑な図になってしまいましたが，図と番号❶～❼を一つ一つ確認しながらVTEPの動作を理解してください。

1.5 EVPNの仕組み

EVPNは，EVPN全体を制御する仕組みであるコントロールプレーンと，実際にデータを運ぶ仕組みであるデータプレーンの組合せで構成されます。

1.6 メーカー

AristaやCiscoが代表的

2.CiscoのSD-Access

2.1 VN (Virtual Network)

(1)概要

・VN (Virtual Network)は、実体は VRF (L3の仮想化) です。
・接続例

+-------+-------+                  +--------+--------+                +--------+--------+        +-------+-------+
| 端末 (Client) | ---------------- | Edge Node (EN)  | =============> | Border Node (BN)| ------ | Fusion Router | ---> [ 社内サーバ ]
+-------+-------+    (VLAN 10)     +--------+--------+  (VN：Employ)  +--------+--------+        +-------+-------+      (業務システム)
                                     (アクセススイッチ)                     (コアスイッチ)             (境界ルータ)

+-------+-------+                  +--------+--------+                +--------+--------+        +-------+-------+
| 端末 (Client) | ---------------- | Edge Node (EN)  | =============> | Border Node (BN)| ------ | Fusion Router | ---> [ インターネット ]
+-------+-------+    (VLAN 20)     +--------+--------+  (VN：Guest)   +--------+--------+        +-------+-------+      (YouTubeなど)
                                     (アクセススイッチ)                     (コアスイッチ)             (境界ルータ)

　※Guest VNの中にいる人は、Employee VNの中に絶対にアクセスできません。これが「VRF（VN）が分かれている」という意味です。

(2)2つのVNI

ただし、SD-Accessには 2種類のVNI があります。

IDの種類	正式名称	何を識別する？	解説
L2 VNI	Layer 2 VNI	VLAN（サブネット）	スイッチに入ってきた「VLAN 10」を、ファブリック内で識別するためのID（例：10010）
L3 VNI	Layer 3 VNI	VN（VRF）	これが「VN」の識別子。複数のVLAN（L2 VNI）を束ねる、VRFごとの共通ID（例：50001）

(3)VNを使うメリットは？

① 完全なセキュリティ隔離（マクロセグメンテーション）
これが最大の理由です。「社員用VN」と「IoT用VN（監視カメラなど）」と「ゲスト用VN」を作れば、物理的に同じスイッチやケーブルを使っていても、論理的には完全に別のネットワークになります。ファイアウォールで細かく制御しなくても、**「VNが違えば通信できない」**という強力な壁を簡単に作れます。
② IPアドレスの重複が可能
VRF（VN）が違えばルーティングテーブルが別なので、理論上は「社員用VNで 192.168.1.0/24」を使い、「ゲスト用VNでも 192.168.1.0/24」を使うことができます。（運用がややこしいので推奨はされませんが、M&Aなどで会社が合併した際には役立ちます）。
③ 設定の簡素化（DNA Centerの恩恵）
従来、ネットワーク全体でVRFを切るのは、すべてのスイッチにVRF設定を入れる必要があり大変でした。 SD-Accessなら、GUI（DNA Center）で「新しいVNを作成」とポチっとするだけで、全Edge/BorderノードにL3 VNI等の設定が自動投入されます。

2.2 接続例

(1)すべてをSD-Access対応機器にする場合

【外部の世界】
  (インターネット / WAN / データセンター)
            ↑
            |  (普通のルーティング接続)
            |
+---------------------------+
|    Fusion Router (ルータ)  |  ← ※ここはSD-Accessの外側
+---------------------------+
            |
            | (ここが境界線！)
            |
+---------------------------+
|    Core Switch (L3SW)     |  <=== ★ここが Border Node です！
|  (例: Catalyst 9500)      |       (出口・関所)
+---------------------------+
            |
            | (アンダーレイネットワーク)
            |
+---------------------------+
|   Access Switch (L2/L3SW) |  <=== ここが Edge Node です
|  (例: Catalyst 9300)      |       (入口・受付)
+---------------------------+
            |
      [ PC / スマホ ]

(2)Layer 2 Extension（L2拡張）

・エッジには他社L2スイッチを入れる場合です。
・Edge Node（Cisco Catalyst 9300等）のポートを一つ使い、そこから他社製L2スイッチ（HPやAllied）に繋ぎ、そこにPCを複数台ぶら下げる形です。
・「コスト削減」という最大のメリットの代わりに、SD-Accessの「便利機能」が一部失われます。
たとえば、障害があった場合に、DNA Centerからは「Edgeの先で何か起きてる」までしか分からない。他社SWにはCLI等で（必要に応じて）VLAN設定が必要)
ポートごとに細かくDot1x認証による制御ができなくなる。

[ Catalyst 9300 (Edge Node) ]
        | Port 1/0/1
        | (設定: Trunk / Multi-Auth)
        |
+-------+-------+
| 他社製L2スイッチ |  <--- ここは手動設定が必要！
+-------+-------+
   |    |    |
 [PC] [PC] [PC]

2.3 登場人物

登場人物（役割名）	主な仕事（一言で）	使っている技術	物理的な場所（例）	製品例
Catalyst Center (旧 DNA Center,DNAC)	総監督（設定自動化）	HTTPS / SSH	サーバールームまたはクラウド（AWS上）	AWSのEC2のインスタンス等に導入可
ISE	認証・権限付与	RADIUS / TACACS+	サーバールーム
Control Plane Node(CP)	位置情報DB（Map Server）	LISP	コアスイッチ等に同居、つまりBNと同一筐体可能
Edge Node （Fabric Edge Node）	端末収容・カプセル化	LISP / VXLAN	各フロアのスイッチ	Catalyst 9200 / 9300 シリーズ
Border Node （Fabric Border Node）	外部への出入り口	LISP / VXLAN / BGP	コア／集約スイッチ	Catalyst 9500 / 9600 シリーズ
Intermediate Node	パケット中継のみ	OSPF または IS-IS がしゃべれるL3スイッチ	ENとBNの間に設置するなど	Catalyst 9500 や9300、他社でもできなくはないが非推奨
Fusion Router	VRF間の接続・外部接続・Shared Serverへの接続用	BGP / VRF-Lite	コアのさらに上流
DHCPサーバ	IPアドレスの払い出し		社内LANが一般的	なんでもいい
エッジのL2SW	コスト削減目的で、エッジスイッチとして
Shared Server	複数のVNからアクセスするサーバ		社内、クラウドに限らず	DHCPサーバ、DNSサーバ、ADなど

2.4 用語

・SDA Fabric（SDAファブリック）：一言で言うと「SD-Accessの技術（LISPやVXLAN）が適用されている範囲全体」のことです。

2.5 汎用的なVXLANとSD-Accessとの違い

(1)EVPN（MP-BGP）ではなくLISP

汎用的なVXLANでは、EVPNを使いますが、Ciscoの場合はLISPを使います。

特徴	EVPN（汎用的な技術）	Cisco SD-Access
制御（コントロールプレーン）	MP-BGP （これがご提示のテキストの仕組み）	LISP （Locator/ID Separation Protocol）
転送（データプレーン）	VXLAN	VXLAN （※正確にはVXLAN-GPO）
管理主体	ネットワーク管理者（CLIや各種ツール）	Cisco DNA Center （現在のCatalyst Center）

(2)VTEPではなくEN

・SD-Accessにおいても、機能としてはVTEPを使いますが、SD-Accessの世界では名前が変わります。VTEP(VXLAN Tunnel Endpoint)ではなく、Edge Node (エッジノード)です。
・Edge Nodeでは、物理的な動作として、VTEPと同じくVXLANのカプセル化をします。また、論理的な動作として、 LISPを使って宛先を探します。

(3)動作の違い

手順	図の説明（汎用VXLAN）	SD-Accessでの動き
③	学習済みのテーブルを見て宛先VTEPを決定	LISPキャッシュを見る。無ければMap Serverに問い合わせて、宛先Edge Node（RLOC）を教えてもらう
④	VXLANヘッダを付与	VXLAN-GPOヘッダを付与（SGTタグが含まれる）
⑤	OSPFで宛先VTEPへ転送	（同じ）アンダレイのIS-IS / OSPFで転送
⑥	VNIを見てVLANへ転送	（同じ） VNI（L2 LISP Instance ID）を見て転送

2.6 IPアドレスの割り当て

(1)アンダーレイネットワークについて

ケーブル単位で1つのネットワークと考えればいい。なので、物理的は装置間でセグメントが確実にわかれ、かつケーブルごとにセグメントを付与する。

(2)オーバーレイネットワークの基本的な考え方

・VRF（VN）ごとにセグメント（VLAN）を割り当てます。
・一つのVN（VRF）の中に、複数のIPプール（VLAN）を入れることができます。

■例：VN: Employee (VRF)
IP Pool A: 192.168.10.0/24 (VLAN 10: 東京本社のデータ用)
IP Pool B: 192.168.20.0/24 (VLAN 20: 大阪支社のデータ用)
IP Pool C: 192.168.30.0/24 (VLAN 30: IP電話用)

(2)IP pool とIPの払い出し基本的な考え方

・IP Pool（IPプール）の設定をしますが、「このVN（部署）には、このIPレンジを使う」と決めるのはDNA Centerです。
・実際のPCにIPを配るのは、通常外部のDHCPサーバです
・例外的にプリンタなどに固定IPアドレスを割り当てることは可能

(3)SVI

・SVI (Switch Virtual Interface) とは、 L3スイッチの中に作られる「仮想的なルータのインターフェース」のことです。
・ PCから見たときの「デフォルトゲートウェイ」になります。
・EdgeスイッチはL3スイッチとして動くため、内部にSVI（ゲートウェイ）を持ち、そこでルーティングを行います。

2.7 ルーティング

(1)アンダーレイネットワーク

L3限定です。スイッチ間はすべてOSPFやIS-ISで接続されます。L2（STP）は使いません。
・SDNから外へのルートティング（BGP/VRF-LiteやStatic）の設計も必要

(2)オーバレイネットワーク

L3 オーバーレイ（IPパケット）が標準です。SD-AccessのEdge Node同士は、ルーティングプロトコルでネイバーを張りません。なので、ルーティングプロトコルは使わず、使うのは、LISP (Locator/ID Separation Protocol)です。
L2 オーバーレイ（イーサネットフレーム）もオプションで可能で、「L2 Flooding」を有効にすると使えます。

(3)Fusion RouterとSDA Fablic間

分断されたVN同士（VN1⇔VN2）や、外部（データセンター等）への通信を行うために設置するが、ファブリック（Border Node）とFusion Routerの間は eBGP で経路交換を行う。

2.8 認証設計

以下の３つ＋認証無しがある。

認証方式	主な対象	特徴
① 802.1X認証	PC、スマホ、タブレット	基本はこれ。証明書やID/パスワードを使う。最も安全だが、専用ソフト（サプリカント）が必要。
② MAB (MAC Authentication Bypass、実質MAC認証)	プリンタ、カメラ、IoT機器	802.1Xができない機器用。MACアドレスをIDとして認証する。
③ Web認証	ゲスト（来客）	一時利用者用。ブラウザでログイン画面を出してID/PWを入力させる。

また、認証で決まるのは、セグメント（VLAN）とSGTです。 ISE（認証サーバー）がそして、セグメントが決まることで、自動的にVN（VRF）も決定されます。
ISEからエッジスイッチに対して、RADIUS Access-Acceptを送りますが、そこで、以下のようにVLANとSGTを渡します。

Tunnel-Private-Group-ID = 10
Cisco-AVPair = cts:security-group-tag=10 (SGT)

2.8 無線LAN

無線AP（アクセスポイント）は「Edge Node (EN)」に接続

2.9 NW構成図

(1)機器配置

■クラウド
Entra ID

■サーバセグメント
・Catalyst Center (DNAC) ← SDA管理
・WLC (Catalyst 9800) ← 無線制御
・ISE (Primary/Secondary) ← 認証・ポリシー
・DHCP Server ← IP払い出し
・Local AD ← 認証DB
・Entra Connect（Windows Server)　←EntraIDとのLDAP連携
・各種業務サーバ

(2)NW構成図

以下も大変参考になります・
https://www.cisco.com/c/en/us/td/docs/solutions/CVD/Campus/cisco-sda-design-guide.html#Roles_and_Terminology

(3)VN (Virtual Network) と IPアドレス設計

用途	所属VN名（VRF）	IP Pool名（サブネット例）	ゲートウェイ（Anycast GW）	備考
基幹系（PC）	Corp_VN	Pool_Data（10.1.10.0/24）	10.1.10.1	一般社員用データ通信
音声（電話）	Corp_VN	Pool_Voice（10.1.20.0/24）	10.1.20.1	※PCと同じVNだが、プールを分けることで自動的にVoice VLANが割り当てられる
監視カメラ	IoT_VN	Pool_Camera（10.1.90.0/24）	10.1.90.1	基幹系とは通信不可（完全隔離）
NW監視通信	INFRA_VN	（Global）	（Underlay IP）	スイッチやAP自体の管理通信は、デフォルトの INFRA_VN を通る

(4)SGT(タグ）の設計

VNの中、あるいはVNをまたぐ通信のアクセス制御を定義します。

送信元 SGT	宛先 SGT	許可／拒否	設計意図
SGT_Employee	SGT_Server_Core	許可	社員は基幹サーバにアクセスOK
SGT_Employee	SGT_Camera	拒否	社員PCから監視カメラへの直接アクセスは禁止（覗き見防止）
SGT_Camera	SGT_Server_Cam	許可	カメラから録画サーバ（NVR）への保存はOK
SGT_Camera	SGT_Internet	拒否	カメラが勝手に外部と通信するのはウイルス感染の元なので禁止
SGT_Voice	SGT_Voice	許可	電話機同士の内線通話は許可

アクセス制御は、基本はSGACL（SGTベース）で実施する。ただし、インターネットや、SD-Access非対応の古いネットワークへ出ていく場合、相手はSGTを理解できないので、出口のルータ（Border NodeやFirewall）で、従来どおりの IPアドレスベースのACL や Firewallポリシーを書く必要があります。

(5)帯域制御・優先制御 (QoS) 設計

DNA Center の「アプリケーションポリシー」で自動化

トラフィック	QoSクラス（Cisco推奨）	具体的動作
音声（Voice）	Platinum（Expedited Forwarding）	最優先。遅延・揺らぎを極限まで減らす。帯域保証を行う。
基幹系（Data）	Silver / Default	ベストエフォート。ただし重要な業務アプリ（Office365など）のみ、Goldに引き上げる設定が可能。
監視カメラ	Gold（Video）	帯域は食うが、遅延には比較的強い。音声の次に優先する。
NW監視	Network Control	帯域は狭いが、輻輳時もパケットを落とさない（Telnet / SSH / SNMP など）。

(6)認証設計 (Authentication)

ISEでの制御として、「何をつないだら、どのVN/SGTに入れるか」の振り分けルールです。

デバイス	認証方式	ISEでの判定ロジック（AuthZ Policy）	割り当て結果
会社PC	802.1X	証明書あり OR AD参加PCである	VN：Corp_VN SGT：SGT_Employee
IP電話機	MAB + Profiling	MACアドレス認証＋「Cisco-Phone」というプロファイルに合致	VN：Corp_VN SGT：SGT_Voice Voice Domain：ON
監視カメラ	MAB	MACアドレス認証（事前に許可リスト登録）	VN：IoT_VN SGT：SGT_Camera
未許可PC	Guest / MAB	認証失敗、または特定のアカウント	VN：Guest_VN SGT：SGT_Guest （インターネットのみ）