クライアント IP の保持

このセクションでは、クライアント IP アドレス保持の構成と範囲について説明します。

デフォルトでは、NSX Advanced Load Balancer サービスエンジン (SE) は、バックエンドサーバ宛てのトラフィックの送信元 NAT (SNAT) を実行します。SNAT により、アプリケーションサーバは SE インターフェイスの IP アドレスを認識し、元のクライアントの IP アドレスを認識しません。クライアントの IP アドレスを保持することは、サーバがセキュリティおよびアクセス制御ポリシーを適用する必要がある場合など、多くの場合に望ましい機能です。NSX Advanced Load Balancer でこの問題を解決するには、次の 2 つの方法があります。

X-Forwarded-For ヘッダーの挿入：: HTTP(S) アプリケーションプロファイルのみに制限されています。
プロキシプロトコルのサポート：: L4 アプリケーションプロファイルの TCP トラフィックのみに制限されています。

上記の両方では、バックエンドサーバがそれぞれの機能をサポートできる必要があります。

もう 1 つの方法は、SE がクライアント IP アドレスを、SE からバックエンドサーバへのロードバランシングされた接続の送信元 IP アドレスとして使用することです。クライアント IP アドレスの保持と呼ばれるこの機能は、アプリケーションプロファイルでオン/オフに設定できる NSX Advanced Load Balancer のデフォルトゲートウェイ機能およびプロパティの 1 つのコンポーネントです。

注：

[サービスエンジンを使用した IP ルーティングの有効化] オプションは、[クライアント IP アドレスの保持] を選択するために必須ではありません。

[IP ルーティングの有効化] の詳細については、「ネットワークサービス構成」を参照してください。

クライアント IP アドレスの保持の範囲

Legacy HA モードでは、フローティングインターフェイス IP アドレスを構成して、サーバのデフォルトゲートウェイとして設定することで、Preserve-Client-IP 機能を使用するためのリターントラフィックを引き付けます。
- NSX-T オーバーレイのクライアント IP アドレスの保持展開の場合、プールサーバではデフォルトゲートウェイを更新する必要がありません。
Elastic HA モードでは、クライアント IP アドレスの保持は、バックエンドサーバからの応答がサービスエンジンを通過することが想定されない一方向トラフィックに対してのみサポートされます。

他の機能との相互排他

クライアント IP アドレスの保持は、仮想サービスの SNAT と相互に排他的です。
HTTP(s) アプリケーションプロファイルで接続多重化を有効にすることは、[クライアント IP アドレスの保持] オプションの選択と互換性がありません。
NSX Advanced Load Balancer は、次の場合に常にバックエンド接続の NAT を実行します。
- クライアントとサーバの IP アドレスが同じサブネットにある場合。
- バックエンドサーバが SE に直接接続されているネットワーク上にない場合、つまり 1 ホップ以上離れている場合。

使用事例の例

SE グループで仮想サービスを作成するために使用されるアプリケーションプロファイルでクライアント IP アドレスの保持を有効にする前に、SE グループで IP ルーティングを有効にします。

また、

ネクストホップをフロントエンドフローティング IP アドレスとして使用して、フロントエンドサーバ上のバックエンドサーバネットワークへのスタティックルートを構成します。
バックエンドサーバのデフォルトゲートウェイを SE として構成します。
SE のデフォルトゲートウェイをフロントエンドルーターとして構成します。

クライアント IP アドレスの保持の構成

10.10.10.0/24 ネットワーク（常に直接接続ネットワーク）のバックエンドサーバと 10.10.40.0/24 ネットワークのフロントエンドルーターを使用した、二本柱のシンプルなセットアップを検討してください。この機能を構成する手順は次のとおりです。

詳細モードウィザードを使用して仮想サービスを作成します。[アプリケーション] > [仮想サービスの作成] > [詳細] > [アプリケーションプロファイルの編集] で、クライアント IP アドレスを保持するようにアプリケーションプロファイルを構成します。

選択したアプリケーションプロファイルで仮想サービスを有効にする前に、この構成を行う必要があります。クライアント IP アドレスを保持するようにアプリケーションプロファイルを構成すると、このアプリケーションプロファイルを使用するすべての仮想サービスのクライアント IP アドレスが保持されます。

: > configure applicationprofile System-HTTP
: applicationprofile> preserve_client_ip
Overwriting the previously entered value for preserve_client_ip
: applicationprofile> save

NSX-T オーバーレイクラウドでのクライアント IP アドレスの保持の展開については、『VMware NSX Advanced Load Balancer インストールガイド』の「NSX-T オーバーレイのクライアント IP の保持」セクションを参照してください。