VMware NSX Data Center for vSphere 6.4.11 リリース ノート

VMware NSX Data Center for vSphere 6.4.11 | 2021 年 8 月 26 日 | ビルド 18524545 このドキュメントの改訂履歴を参照してください。

リリース ノートの概要

本リリース ノートには、次のトピックが含まれています。

• 新機能
• バージョン、システム要件、およびインストール
• 廃止および提供を中止する機能
• アップグレードに関する注意事項
• FIPS コンプライアンス
• 改訂履歴
• 解決した問題
• 既知の問題

NSX Data Center for vSphere 6.4.11 の新機能

VMware NSX for vSphere 6.4.11 では、ユーザーに発生した複数のバグが修正されています。詳細については、解決した問題を参照してください。

• プラットフォーム セキュリティの向上 - NSX Controller は、次の 4 つの暗号のみを使用して TLS 接続を受け入れます。 
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 
  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 

重要：NSX for vSphere 6.4.2、6.4.3、6.4.4、または 6.4.5 からワンステップでアップグレードする場合は、6.4.10 または 6.4.11 バンドルにアップグレードする前に、VMware ナレッジベースの記事 KB82662 の回避策に従ってください。回避策の手順を行わないと、KB の記事に記載されているエラーが発生します。

注：NSX for vSphere 6.4.6 以降のバージョンは、6.4.10 および 6.4.11 に直接アップグレードできます。

注：NSX Data Center for vSphere のジェネラル サポート (EoGS) は 2022 年 1 月 16 日で終了します。また、技術的なガイダンスは 2023 年 1 月 16 日に終了します。NSX-T Data Center への移行を検討することをおすすめします。次のドキュメント リソースをご覧ください。

• NSX-T Data Center Migration Coordinator ガイド
• VMware NSX Tech Zone にある移行関連のドキュメント

バージョン、システム要件、インストール

注：

• 次の表は、推奨される VMware ソフトウェアのバージョンです。ここで推奨されるバージョンは一般的なものであり、環境に固有の推奨に優先するものではありません。これは、本ドキュメントが公開された時点で最新の情報です。

• NSX とその他の VMware 製品を併用する場合にサポートされる最小バージョンについては、VMware 製品の相互運用性マトリクスを参照してください。VMware はテスト結果に基づいて、サポートされる最小バージョンを定めています。

製品またはコンポーネント	バージョン
NSX Data Center for vSphere	新たに導入する場合には、最新の NSX リリースをインストールすることをおすすめします。 既存の環境をアップグレードする場合は、アップグレードのプランニングを行う前に、NSX Data Center for vSphere のリリース ノートを参照して、特定の問題に関する情報を確認してください。あるいは、VMware テクニカル サポートの担当者に詳細をお問い合わせください。
vSphere	vSphere 6.5： 推奨：6.5 Update 3 注：vSphere 6.5 Update 1 では、メモリ不足により ESX Agent Manager が機能しないという問題が解決しています。詳細については、VMware のナレッジベースの記事 KB2135378 を参照してください。 重要： vSphere 6.5 でマルチキャスト ルーティングを使用している場合は、vSphere 6.5 Update 2 以降を推奨します。 vSphere 6.5 で NSX ゲスト イントロスペクションを使用している場合は、vSphere 6.5 P03 以降を推奨します。 vSphere 6.7： 推奨：6.7 Update 2 重要：  vSphere 6.7 で NSX ゲスト イントロスペクションを使用している場合は、NSX 6.4.6 をインストールする前にナレッジベースの記事 KB57248 を参照してください。詳細については、VMware サポートにお問い合わせください。 注：vSphere 5.5 は、NSX 6.4 でサポートされていません。 注：vSphere 6.0 は、ジェネラル サポートが終了しているため、NSX 6.4.7 以降ではサポートされません。
ゲスト イントロスペクション (Windows)	NSX for vSphere をアップグレードする前に、VMware Tools を 10.3.10 にアップグレードすることをおすすめします。
ゲスト イントロスペクション (Linux)	ゲスト仮想マシンでサポートされているバージョンの Linux がインストールされていることを確認してください。サポートされる Linux バージョンの最新のリストについては、『VMware NSX 管理ガイド』を参照してください。

システム要件とインストール

NSX のインストールの前提条件については、『NSX インストール ガイド』の「NSX のシステム要件」のセクションを参照してください。

インストール手順については、『NSX インストール ガイド』または『Cross-vCenter NSX インストール ガイド』を参照してください。

廃止および提供を中止する機能

販売およびサポートの終了に関するご注意

ただちにアップグレードが必要な NSX およびその他の VMware 製品については、VMware Lifecycle Product Matrix（英語）を参照してください。

• NSX for vSphere 6.1.x は、2017 年 1 月 15 日に提供終了日 (EOA) およびジェネラル サポートの終了日 (EOGS) を迎えました。（VMware ナレッジベースの記事 KB2144769 を参照してください）

• vCNS Edge のサポートを終了：NSX 6.3.x 以降にアップグレードする前に、NSX Edge にアップグレードする必要があります。

• NSX for vSphere 6.2.x は、2018 年 8 月 20 日にジェネラル サポートが終了 (EOGS) しました。

• セキュリティに関する推奨に基づいて、NSX Edge IPsec VPN サービスの暗号化アルゴリズム 3DES のサポートを終了
  IPsec サービスで提供されるセキュアな暗号に切り替えることが推奨されています。この暗号化アルゴリズムの切り替えは、IKE SA (phase1) だけでなく、IPsec サイトの IPsec SA (phase2) ネゴシエーションにも適用されます。
   
  NSX Edge IPsec サービスで 3DES 暗号化アルゴリズムを使用している場合、サポートが終了しているリリースにアップグレードすると、推奨される別の暗号に置き換わります。このため、NSX Edge で使用する暗号化アルゴリズムに合わせてリモート ピアの設定を変更しない限り、3DES を使用する IPsec サイトに接続できなくなります。
   
  3DES 暗号を使用している場合は、IPsec サイトの設定で暗号化アルゴリズムを 3DES からサポート対象の AES (AES/AES256/AES-GCM) に変更します。たとえば、暗号化アルゴリズムが 3DES に設定されている 各 IPsec サイトで、3DES を AES に変更します。これに合わせて、ピアのエンドポイントで IPsec 設定を更新します。

全般的な動作変更

vSphere Distributed Switch が複数ある環境で、その 1 つに VXLAN が設定されている場合、vSphere Distributed Switch のポート グループにすべての分散論理ルーター インターフェイスを接続する必要があります。NSX 6.4.1 以降、ユーザー インターフェイスと API でこの構成の適用が実装されます。以前のリリースでは、正しくない設定が可能となっていました。  NSX 6.4.1 以降にアップグレードした後に、分散論理ルーター インターフェイスに誤って接続した場合は、この問題を解決するための操作を行う必要があります。詳細については、アップグレードに関する注意事項を参照してください。

ユーザー インターフェイスの削除と変更

• NSX 6.4.1 では、Service Composer キャンバスが削除されました。
• NSX 6.4.7 の vSphere Client 7.0 では、次の機能が終了しています。
  • NSX Edge：SSL VPN-Plus（KB79929 を参照）
  • ツール： エンドポイントの監視（すべての機能）
  • ツール： フロー モニタリング（フロー モニタリング ダッシュボード、サービス別の詳細、構成）
  • システム イベント：NSX チケット ロガー

インストールの動作変更

バージョン 6.4.2 以降で、ixgbe ドライバを使用する物理 NIC を搭載したホストに NSX Data Center for vSphere をインストールした場合、デフォルトでは Receive Side Scaling (RSS) が ixgbe ドライバで有効になりません。NSX Data Center をインストールする前に、ホスト上の RSS を手動で有効にする必要があります。RSS は、ixgbe ドライバを使用する NIC を搭載したホストでのみ有効にしてください。RSS を有効にする手順については、VMware ナレッジベースの記事 https://kb.vmware.com/s/article/2034676 を参照してください。この記事には、VXLAN パケット スループットを向上させる RSS の推奨設定が記載されています。

これは、ESXi ホストにカーネル モジュール (VIB ファイル) をフレッシュ インストールする場合のみ発生します。NSX の管理対象ホストを NSX 6.4.2 にアップグレードする場合、修正は必要はありません。

API の削除と動作の変更

NSX 6.4.2 で非推奨となった項目

次の項目の使用が非推奨となりました。今後のリリースで削除される可能性があります。

• GET/POST/DELETE /api/2.0/vdn/controller/{controllerId}/syslog。代わりに GET/PUT /api/2.0/vdn/controller/cluster/syslog  を使用してください。

NSX 6.4.1 での動作変更

POST /api/2.0/services/ipam/pools/scope/globalroot-0 で新しい IP アドレス プールを作成するか、PUT /api/2.0/services/ipam/pools/ で既存の IP アドレス プールを変更するときに、プール内に複数の IP アドレス範囲が定義されていると、範囲が重複していないことが確認されます。以前のリリースでは、確認は実行されていませんでした。

NSX 6.4.0 で非推奨となった項目
次の項目の使用が非推奨となりました。今後のリリースで削除される可能性があります。

• GET /api/4.0/edges/edgeID/status の systemStatus パラメータの使用は推奨されません。
• GET /api/2.0/services/policy/serviceprovider/firewall/ の使用は推奨されません。GET /api/2.0/services/policy/serviceprovider/firewall/info を使用してください。
• 分散ファイアウォールのグローバル構成セクションでの TCP Strict の設定は非推奨となりました。NSX 6.4.0 以降では、TCP Strict はセクション レベルで定義されます。注：NSX 6.4.0 以降にアップグレードした場合、TCP Strict のグローバル構成は、既存のレイヤー 3 セクションの TCP Strict の設定に使用されます。レイヤー 2 セクションとレイヤー 3 リダイレクト セクションの設定では、TCP Strict は false になります。詳細については、『NSX API ガイド』の「分散ファイアウォール構成の操作」を参照してください。

NSX 6.4.0 での動作変更
NSX 6.4.0 では、POST /api/2.0/vdn/controller でコントローラを作成するときに、<name> パラメータの使用が必須となりました。

NSX 6.4.0 では、エラー処理が次のように変更されます。

• 以前のリリースでは、POST /api/2.0/vdn/controller は、コントローラの作成ジョブが作成されたことを示す「201 Created」を返しました。 しかし、コントローラの作成に失敗している可能性がありました。NSX 6.4.0 以降では、応答が「202 Accepted」になります。
• 以前のリリースでは、移行モードまたはスタンドアローン モードで許可されていない API 要求を送信した場合、応答ステータスは「400 Bad Request」でした。 NSX 6.4.0 以降では、応答が「403 Forbidden」となります。

CLI の削除と動作の変更

NSX Controller ノードで、サポートされていないコマンドを使用しないでください。
NSX Controller ノードで NTP と DNS を設定する場合に、ドキュメントに記載されていないコマンドが使用できてしまう場合があります。ただし、これらのコマンドはサポートされていないため、NSX Controller ノードでは使用しないでください。『NSX CLI ガイド』に記載されているコマンドのみを使用してください。

アップグレードに関する注意事項

• アップグレードに関する全般的な注意事項
• NSX コンポーネントのアップグレードに関する注意事項
• FIPS のアップグレードに関する注意事項

注：インストールとアップグレードに影響する既知の問題については、「インストールとアップグレードに関する既知の問題」を参照してください。

アップグレードに関する注意事項

• vCSA または ESXi を 7.0 以降にアップグレードすると、ホスト上の仮想マシンの East/West および North/South 接続で問題が発生します。詳細については、VMware のナレッジベースの記事 KB85070 を参照してください。
• NSX Data Center for vSphere 6.4.11 へのアップグレード後に、強度の低い暗号を使用して NSX Controller API を呼び出すサードパーティの統合が、動作を停止する可能性があります。

• NSX をアップグレードするには、ホスト クラスタのアップグレード（ホストの VIB のアップグレード）を含む、完全な NSX アップグレードを実行する必要があります。手順については、『NSX アップグレード ガイド』の「ホスト クラスタのアップグレード」セクションを参照してください。

• VUM を使用したホスト クラスタの NSX VIB のアップグレードはサポートされていせん。ホスト クラスタの NSX VIB をアップグレードするには、アップグレード コーディネータ、ホストの準備、または関連する REST API を使用してください。

• システム要件：NSX のインストールとアップグレードのシステム要件については、NSX ドキュメントの「NSX のシステム要件」セクションを参照してください。

• NSX のアップグレード パス：VMware NSX のアップグレードの詳細については、VMware 製品の相互運用性マトリクスを参照してください。

• Cross-vCenter NSX のアップグレードについては、NSX アップグレード ガイドを参照してください。

• ダウングレードはサポートされない:

  • アップグレードの前に、必ず NSX Manager をバックアップしてください。

  • NSX を正常にアップグレードしたあとは、ダウングレードすることはできません。

• NSX 6.4.x へのアップデートが成功したことを確認するには、ナレッジベースの記事 KB2134525 を参照してください。

• vCloud Networking and Security から NSX 6.4.x へのアップグレードはサポートされません。まず、サポート対象の 6.2.x リリースにアップグレードする必要があります。

• 相互運用性：アップグレードを行う前に、関連する VMware 製品をVMware 製品の相互運用性マトリックスで確認してください。
  • NSX Data Center for vSphere 6.4.7 へのアップグレード：スケールに関する問題がいくつかあるため、VIO は NSX 6.4.7 と互換性がありません。
  • NSX Data Center for vSphere 6.4 へのアップグレード：NSX 6.4 には、vSphere 5.5 との互換性がありません。
  • NSX Data Center for vSphere 6.4.5 へのアップグレード：NSX が VMware Integrated OpenStack (VIO) で展開されている場合は、VIO を 4.1.2.2 または 5.1.0.1 にアップグレードしてください。バージョン 5.0 への spring パッケージ アップデートのため、NSX 6.4.5 は以前のリリースと互換性がありません。
  • vSphere 6.5 へのアップグレード：vSphere 6.5a 以降または 6.5 バージョンにアップグレードする場合は、最初に NSX 6.3.0 以降にアップグレードする必要があります。NSX 6.2.x には、vSphere 6.5 との互換性がありません。『NSX アップグレード ガイド』の「NSX 環境での vSphere のアップグレード」を参照してください。
  • vSphere 6.7 へのアップグレード：vSphere 6.7 にアップグレードする場合は、最初に NSX 6.4.1 以降にアップグレードする必要があります。これより前の NSX バージョンは、vSphere 6.7 と互換性がありません。『NSX アップグレード ガイド』の「NSX 環境での vSphere のアップグレード」を参照してください。 
• パートナー サービスとの互換性：ゲスト イントロスペクションまたはネットワーク イントロスペクション用に VMware のパートナー サービスをサイトで使用している場合、アップグレード前にVMware 互換性ガイドを参照して、アップグレードする NSX のバージョンとベンダーのサービスに互換性があることを確認してください。
• Networking and Security プラグイン：NSX Manager をアップグレードした後は、vSphere Web Client からログアウトし、再度ログインする必要があります。NSX プラグインが正しく表示されない場合には、ブラウザのキャッシュと履歴を消去してください。Networking and Security プラグインが vSphere Web Client に表示されない場合には、NSX アップグレード ガイドの説明に従って、vSphere Web Client サーバをリセットしてください。
• ステートレス環境：ステートレス ホスト環境では、NSX アップグレード プロセスで、新しい VIB がホスト イメージ プロファイルに事前追加されます。ステートレス ホストで NSX のアップグレードを行う場合は、次の手順を実行してください。

  NSX 6.2.0 より前のバージョンでは、NSX Manager 上に 1 つの URL があり、そこから特定バージョンの ESX ホストの VIB を見つけることができました。つまり、管理者は NSX バージョンに関係なく、1 つの URL を知っておくだけで済みました。NSX 6.2.0 以降では、新しい NSX VIB を異なる URL で利用できます。正しい VIB を見つけるには、以下の手順を実行する必要があります。

  1. 新しい VIB URL を https://<nsxmanager>/bin/vdn/nwfabric.properties から見つけます。
  2. 必要な ESX ホスト バージョンの VIB を、対応する URL から取得します。
  3. 取得した VIB をホスト イメージ プロファイルに追加します。
• サービス定義機能は、vSphere Client 7.0 の NSX 6.4.7 UI でサポートされていません。
  たとえば、vSphere 6.5 または 6.7 で古い Trend Micro サービス定義が登録されている場合は、次のいずれかを行います。
  • オプション 1：vSphere 7.0 にアップグレードする前に、vSphere Web Client の [サービス定義] タブに移動し、サービス定義を 7.0 に設定してから vSphere 7.0 にアップグレードします。
  • オプション 2：vSphere 7.0 にアップグレードした後、次の NSX API を実行して、サービス定義を 7.0 にします。

                      POST https://<nsmanager>/api/2.0/si/service/<service-id>/servicedeploymentspec/versioneddeploymentspec

NSX コンポーネントのアップグレードに関する注意事項

NSX コンポーネントでの仮想マシン ハードウェア バージョン 11 のサポート

• NSX Data Center for vSphere 6.4.2 の新規インストールの場合、NSX コンポーネント（Manager、Controller、Edge、ゲスト イントロスペクション）は仮想マシン ハードウェア バージョン 11 にインストールされます。
• NSX Data Center for vSphere 6.4.2 へアップグレードする場合、NSX Edge と ゲスト イントロスペクションは自動的に仮想マシン ハードウェア バージョン 11 にアップグレードされます。NSX Manager と NSX Controller は、アップグレード後も引き続き仮想マシン ハードウェア バージョン 8 で実行されます。仮想マシン ハードウェア バージョン 11 にアップグレードすることも可能です。仮想マシン ハードウェアのバージョンをアップグレードする手順については、ナレッジベース (https://kb.vmware.com/s/article/1010675) を参照してください。
• NSX 6.3.x、6.4.0、6.4.1 の新規インストールの場合、NSX コンポーネント（Manager、Controller、Edge、ゲスト イントロスペクション）は仮想マシン ハードウェア バージョン 8 にインストールされます。

NSX Manager のアップグレード

• 重要：NSX 6.2.0、6.2.1 または 6.2.2 から NSX 6.3.5 以降にアップグレードする場合は、アップグレードを開始する前に、既知の問題への回避策を実行しておく必要があります。詳細については、VMware のナレッジベースの記事 KB000051624 を参照してください。

• NSX 6.3.3 から NSX 6.3.4 以降にアップデートする場合は、VMware のナレッジベースの記事 KB2151719の回避策を行ってからアップデートしてください。

• NSX のバックアップに SFTP を使用する場合は、hmac-sha1 はサポートされていないため、NSX 6.3.0 以降にアップグレードした後で hmac-sha2-256 に変更してください。サポートされるセキュリティ アルゴリズムについては、VMware のナレッジベースの記事 KB2149282 を参照してください。

• NSX Manager を NSX 6.4.1 にアップグレードすると、アップグレード中にバックアップが自動的に作成され、ローカルに保存されます。詳細については、NSX Manager のアップグレードを参照してください。

• NSX 6.4.0 へのアップグレードでは、TLS の設定が維持されます。TLS 1.0 のみを有効にする場合、vSphere Web Client に NSX プラグインが表示されますが、NSX Manager は表示されません。データパスに影響はありませんが、NSX Manager の設定を変更することはできません。https://nsx-mgr-ip/ で NSX アプライアンスの管理 Web ユーザー インターフェイスにログインし、TLS 1.1 と TLS 1.2 を有効にします。これにより、NSX Manager アプライアンスが再起動します。

コントローラのアップグレード

• NSX Controller クラスタには、3 台のコントローラ ノードが必要です。コントローラが 3 台未満の場合は、アップグレードを開始する前にコントローラを追加する必要があります。詳細については、NSX Controller クラスタのデプロイを参照してください。

• NSX 6.3.3 では、NSX Controller の基盤となるオペレーティング システムが変わりました。NSX 6.3.2 以前から NSX 6.3.3 以降にアップデートする場合、インプレース アップグレードは実行されません。既存のコントローラが 1 度に 1 つずつ削除され、同じ IP アドレスを使用して新しい Photon OS ベースのコントローラが展開されます。

  コントローラを削除すると、関連する DRS の非アフィニティ ルールも削除されます。vCenter Server で新しい非アフィニティ ルールを作成して、新しいコントローラ仮想マシンが同じホストに配置されないようにする必要があります。

  コントローラのアップグレードの詳細については、NSX Controller クラスタのアップグレードを参照してください。

ホスト クラスタのアップグレード

• NSX 6.3.2 以前のバージョンから NSX 6.3.3 以降にアップグレードすると NSX VIB 名が変更されます。
  ESXi 6.0 以降に NSX 6.3.3 以降をインストールすると、esx-vxlan と esx-vsip VIB が esx-nsxv に変更されます。

• アップグレードおよびアンインストールでホストの再起動が不要：vSphere 6.0 以降で、NSX 6.2.x から NSX 6.3.x 以降にアップグレードする場合、以降の NSX VIB の変更でホストの再起動が不要になります。代わりに、VIB 変更を完了するには、ホストをメンテナンス モードにする必要があります。これは、NSX ホスト クラスタのアップグレードと ESXi のアップグレードの両方に影響します。詳細については、『NSX アップグレード ガイド』を参照してください。

NSX Edge のアップグレード

• NSX 6.4.1 で、無効な分散論理ルーターの設定を許可しない検証機能を追加：VXLAN と複数の vSphere Distributed Switch を持つ環境では、分散論理ルーターのインターフェイスを VXLAN が設定された vSphere Distributed Switch にのみ接続する必要があります。VXLAN が設定されていない vSphere Distributed Switch に分散論理ルーターのインターフェイスが接続していると、分散論理ルーターを NSX 6.4.1 以降にアップグレードできません。正しく設定されていないインターフェイスを VXLAN が設定されている vSphere Distributed Switch のポート グループに接続するには、API を使用します。有効な設定に変更してから、アップグレードを再試行します。インターフェイスの設定を変更するには、PUT /api/4.0/edges/{edgeId} または PUT /api/4.0/edges/{edgeId}/interfaces/{index} を使用します。詳細については、『NSX API ガイド』を参照してください。

• ユニバーサル分散論理ルーター (UDLR) を 6.2.7 から 6.4.5 にアップグレードする前に、セカンダリ NSX Manager に関連付けられた UDLR 制御仮想マシンを vCenter Server から削除してください。
  マルチ vCenter Server 環境で NSX UDLR を 6.2.7 から 6.4.5 にアップグレードするときに、UDLR 制御仮想マシンで HA が有効になっていると、セカンダリ NSX Manager で UDLR 仮想アプライアンス（UDLR 制御仮想マシン）のアップグレードに失敗します。アップグレード中に、HA ペアで HA インデックス #0 の仮想マシンが NSX データベースから削除されますが、この仮想マシンは vCenter Server に存在し続けます。このため、セカンダリ NSX Manager で UDLR 制御仮想マシンをアップグレードすると、仮想マシンの名前が vCenter Server 上の既存の仮想マシンと競合するため、アップグレードに失敗します。この問題を解決するには、セカンダリ NSX Manager の UDLR に関連付けられている vCenter Server から制御仮想マシンを削除し、UDLR を 6.2.7 から 6.4.5 にアップグレードします。

• NSX Edge アプライアンスをアップグレードする前に NSX 用ホスト クラスタを準備する必要がある：NSX 6.3.0 以降では、NSX Manager と Edge 間で、VIX チャネルを経由した管理プレーン通信はサポートされません。メッセージ バス チャネル経由のみがサポートされます。NSX 6.2.x 以前から NSX 6.3.0 以降にアップグレードする場合、NSX Edge アプライアンスのデプロイ先のホスト クラスタが準備されていることと、メッセージング インフラストラクチャのステータスが正常であることを確認する必要があります。NSX 用ホスト クラスタが準備されていない場合、NSX Edge アプライアンスのアップグレードに失敗します。詳細については、『NSX アップグレード ガイド』の「NSX Edge のアップグレード」を参照してください。

• Edge Services Gateway (ESG) のアップグレード：
  NSX 6.2.5 以降、リソース予約は NSX Edge のアップグレード時に実行されるようになりました。十分なリソースのないクラスタで vSphere HA が有効になっている場合、vSphere HA の制約に違反するためアップグレードに失敗することがあります。

  そのようなアップグレードの失敗を回避するには、ESG をアップグレードする前に次の手順を実行します。

  インストール時またはアップグレード時に値を明示的に設定していない場合は、次のリソース予約が NSX Manager で使用されます。

  NSX Edge フォーム ファクタ	CPU 予約	メモリの予約
  Compact	1000 MHz	512 MB
  Large	2000 MHz	1024 MB
  Quad Large	4000 MHz	2048 MB
  X-Large	6000 MHz	8192 MB

  1. インストール環境が vSphere HA 向けのベスト プラクティスに従っていることを常に確認します。ナレッジベースの記事 KB1002080 を参照してください。

  2. NSX チューニング設定 API を使用します。
     PUT https://<nsxmanager>/api/4.0/edgePublish/tuningConfiguration
     edgeVCpuReservationPercentage と edgeMemoryReservationPercentage の値が、フォーム ファクタで使用可能なリソースを超えていないことを確認します（デフォルト値は上の表を参照）。

• vSphere HA が有効で Edge を展開している環境では、vSphere の [仮想マシンの起動] オプションを無効にする：vSphere HA が有効で Edge が展開されているクラスタでは、NSX Edge の 6.2.4 以前のバージョンを 6.2.5 以降にアップグレードした後、vSphere の [仮想マシンの起動] オプションを無効にする必要があります。それには、vSphere Web Client を開き、NSX Edge 仮想マシンが常駐する ESXi ホストを見つけ、[管理] > [設定] の順にクリックし、[仮想マシン] で [仮想マシンの起動/シャットダウン] を選択して、[編集] をクリックします。次に、仮想マシンが手動モードにあることを確認します。[自動起動/シャットダウン] リストに追加されていないことを確認してください。

• NSX 6.2.5 以降にアップグレードする前に、ロード バランサの暗号化リストがコロン区切りであることを確認します。暗号化リストにコンマなど別の区切り文字が使用されている場合は、https://nsxmgr_ip/api/4.0/edges/EdgeID/loadbalancer/config/applicationprofiles への PUT 呼び出しを実行し、<clientssl> </clientssl> および <serverssl> </serverssl> の各 <ciphers> </ciphers> リストをコロン区切りのリストに置換します。たとえば、要求本文の関連セグメントは次のようになります。すべてのアプリケーション プロファイルに対して次の手順を繰り返します。

  <applicationProfile>
    <name>https-profile</name>
    <insertXForwardedFor>false</insertXForwardedFor>
    <sslPassthrough>false</sslPassthrough>
    <template>HTTPS</template>
    <serverSslEnabled>true</serverSslEnabled>
    <clientSsl>
      <ciphers>AES128-SHA:AES256-SHA:ECDHE-ECDSA-AES256-SHA</ciphers>
      <clientAuth>ignore</clientAuth>
      <serviceCertificate>certificate-4</serviceCertificate>
    </clientSsl>
    <serverSsl>
      <ciphers>AES128-SHA:AES256-SHA:ECDHE-ECDSA-AES256-SHA</ciphers>
      <serviceCertificate>certificate-4</serviceCertificate>
    </serverSsl>
    ...
  </applicationProfile>

• vRealize Operations Manager (vROPs) 6.2.0 より前のバージョンでロード バランシングされたクライアントに正しい暗号バージョンを設定する：vROPs 6.2.0 より前のバージョンの vROPs プール メンバーは TLS バージョン 1.0 を使用しています。このため、NSX のロード バランサの設定で監視の拡張機能を編集し、"ssl-version=10" と明示的に指定する必要があります。手順については、『NSX 管理ガイド』の「サービス モニターの作成」を参照してください。

  {
                                "expected" : null,
                                "extension" : "ssl-version=10",
                                "send" : null,
                                "maxRetries" : 2,
                "name" : "sm_vrops",
                "url" : "/suite-api/api/deployment/node/status",
                "timeout" : 5,
                "type" : "https",
                "receive" : null,
                "interval" : 60,
                "method" : "GET"
             }

• NSX 6.4.6 にアップデートした後、分散論理ルーター上の L2 ブリッジとインターフェイスが、異なるトランスポート ゾーンに属する論理スイッチに接続できなくなる：  NSX 6.4.5 以前では、分散論理ルーター (DLR) 上の L2 ブリッジ インスタンスとインターフェイスは、異なるトランスポート ゾーンに属する論理スイッチの使用をサポートしていました。NSX 6.4.6 以降では、この構成はサポートされません。分散論理ルーター上の L2 ブリッジ インスタンスとインターフェイスは、同じトランスポート ゾーンに属する論理スイッチに接続する必要があります。複数のトランスポート ゾーンの論理スイッチが使用されている場合、NSX を 6.4.6 にアップデートすると、アップデート前の検証チェックで Edge のアップグレードがブロックされます。この Edge アップグレードの問題を解決するには、分散論理ルーターのブリッジ インスタンスとインターフェイスを単一のトランスポート ゾーンの論理スイッチに接続してください。

• NSX 6.4.7 にアップグレードした後、DLR 上のブリッジとインターフェイスが、異なる VDS に属する dvPortGroup に接続できなくなる：このような設定が存在する場合、NSX Manager 6.4.7 へのアップグレードは、アップグレード前の検証チェックでブロックされます。この問題を解決するには、DLR のインターフェイスと L2 ブリッジを単一の VDS に接続します。

• NSX 6.4.7 にアップグレードした後、接続している論理スイッチのトランスポート ゾーンが複数の VDS にまたがる場合、VLAN でバッキングされたポートグループに DLR を接続できない：これは、ホスト間で DLR インスタンスを論理スイッチ dvPortGroup に正しく関連付けるために行われます。このような設定が存在する場合、NSX Manager 6.4.7 へのアップグレードは、アップグレード前の検証チェックでブロックされます。論理インターフェイスが存在する論理スイッチのトランスポート ゾーンが複数の VDS にまたがっている場合、この問題を解決するには、VLAN でバッキングされたポート グループに論理インターフェイスを接続しないようにします。 

• NSX 6.4.7 にアップグレードした後、複数の DLR のインターフェイスと L2 ブリッジを同じネットワーク上に配置することはできません。このような設定が存在する場合、NSX Manager 6.4.7 へのアップグレードは、アップグレード前の検証チェックでブロックされます。この問題を解決するには、ネットワークが 1 つの DLR のみで使用されるようにします。

FIPS のアップグレードに関する注意事項

NSX 6.3.0 より前のバージョンから NSX 6.3.0 以降のバージョンにアップグレードする場合は、アップグレードが完了するまで FIPS モードを有効にしないでください。アップグレードが完了する前に FIPS モードを有効にすると、アップグレード済みのコンポーネントとアップグレードされていないコンポーネント間の通信が中断されます。詳細については、『NSX アップグレード ガイド』の「FIPS モードと NSX アップグレードの理解」を参照してください。

• OS X Yosemite および OS X El Capitan でサポートされる暗号：OS X 10.11 (EL Capitan) で SSL VPN クライアントを使用している場合は、AES128-GCM-SHA256、ECDHE-RSA-AES128-GCM-SHA256、ECDHE-RSA-AES256-GCM-SHA38、AES256-SHA、および AES128-SHA 暗号を使用して接続することができ、OS X 10.10 (Yosemite) を使用している場合は AES256-SHA および AES128-SHA 暗号のみを使用して接続することができます。

• NSX 6.3.x へのアップグレードが完了するまでは FIPS を有効にしないでください。詳細については、『NSX アップグレード ガイド』の「FIPS モードと NSX アップグレードの理解」を参照してください。

• FIPS モードを有効にする前に、パートナーのソリューションが FIPS モードの認定を受けていることを確認してください。『VMware 互換性ガイド』と、関連するパートナーのドキュメントを参照してください。

FIPS コンプライアンス

NSX 6.4 を正しく設定すると、すべてのセキュリティ関連の暗号化に、FIPS 140-2 認証を受けている暗号モジュールが使用されます。

注：

• コントローラと VPN のクラスタリング：NSX Controller は、IPsec VPN を使用してコントローラ クラスタに接続します。IPsec VPN では、VMware Linux カーネル暗号モジュール（VMware Photon OS 1.0 環境）を使用しています。このモジュールは現在 CMVP 認証を申請中です。
• Edge IPsec VPN：NSX Edge IPsec VPN では、VMware Linux カーネル暗号モジュール（VMware NSX OS 4.4 環境）を使用しています。このモジュールは現在 CMVP 認証を申請中です。

ドキュメントの改訂履歴

2021 年 8 月 26 日：初版。
2021 年 11 月 9 日：第 2 版。アップグレードに関する全般的な注意事項を追加しました。解決した問題 2793863 および 2783553 について記載しました。既知の問題 2723675 と 2382623 について記載しました。
2022 年 5 月 31 日：第 3 版。既知の問題 2968016 を追加しました。

解決した問題

• 解決した問題 2429861：NSX-v 6.4.6 へのアップグレード後、vRNI ユーザー インターフェイスにエンドツーエンドの遅延が表示されない

  vRNI 4.2 と vRNI 5.0 の vRNI 相互運用で、エンドツーエンドの遅延が表示されません。

• 解決した問題 2430805、2576416：VDS に接続しているすべての NSX 準備済みのホストに DLR インスタンスが送信される

  VLAN 代表インスタンスに関連する問題が発生します。VLAN 代表インスタンスが無効なホストに接続すると、VLAN トラフィックが中断します。

• 解決した問題 2417029：NSX Manager データベースでドメイン オブジェクトのパスが正しくない
  • NSX Edge のアップグレードまたは再デプロイが失敗し、次のエラー メッセージが表示されます。

        Edge edge-XX をアップグレードするには、ネットワーク ファブリックのクラスタ/リソース プール resgroup-XXX を準備する必要があります。

  • [コントローラの追加] ダイアログ ボックスの [フォルダ] ドロップダウン リストに、一部の仮想マシン フォルダしか表示されません。
  • 1 つ以上のクラスタの状態が「準備ができていません」と表示されます。
• 解決した問題 2443830：ixgben NIC ドライバを使用している場合、VXLAN ネットワーク上でデータ パスのパフォーマンスが低下する

  VXLAN ネットワークのスループットが低下します。

• 解決した問題 2714980：NSX-v 6.4.9 または 6.4.10 のセットアップで、3 つのコントローラ Zookeeper ログすべてに読み取りタイムアウト エラーと例外がランダムに記録される

  NSX-v 6.4.9 または 6.4.10 のセットアップで、3 つのコントローラ Zookeeper ログすべてに「Unexpected exception causing shutdown while sock still open java.io.EOFException」というログ メッセージが記録されます。

• 解決した問題 2659409：デフォルトで有効になっている DNSSEC 検証により、ドメイン解決に失敗する

  サポートされていないドメインは DNS フォワーダによって解決できません。ドメイン サイトへのアクセスができません。

• 解決した問題 2667067：セキュリティ タグをメンバーに持つセキュリティ グループを変換する場合、400 以上のセキュリティ グループに同じタグが含まれていると、処理にかかる時間が大幅に長くなる

  SecurityGroup の変換にかかる時間により、DFW の公開時間に遅延が発生します。

• 解決した問題 2678466：ESX ホストで一部のルートが見つからない

  ESX ホストで一部のルートが見つからないため、トラフィックが停止します。

• 解決した問題 2685928：iptables ルールの一致を実行すると、oops がクラッシュする

  ファイアウォールがしばらく機能しません。

• 解決した問題 2690275：[Edge] -> [ファイアウォール] -> [ルール] の [ルールを下に追加] と [ルールを上に追加] メニューが機能せず、新しいルールの作成に失敗する

  これらの 2 つのメニューを使用してルールを追加することができません。

• 解決した問題 2690380：SVM の IP アドレスの適用に失敗する

  SVM に対する管理 IP アドレスがありません。

• 解決した問題 2698462：仮想マシン vMotion がインポートされてから数秒間にわたり、L7 属性を持つフローが、正しくないルールに一致する可能性がある

  vMotion のインポート後に、一部の既存のフローがドロップされることがあります。新しいフローが、正しくないルールに一致する可能性があります。

• 解決した問題 2708365：ネイバーで [デフォルトの発信元] が有効になっている場合、ESG は、ローカル アドレスではなくネイバー アドレスがネクスト ホップに設定された BGP ルートをネイバーにアドバタイズする

  ネクスト ホップが正しくないため、トラフィックが失われる可能性があります。

• 解決した問題 2726256：ユーザー インターフェイスを使用してアプリケーション プロファイルの CA 証明書/CRL を置き換えることができない

  CA 証明書は選択できますが、選択した証明書は保存されません。

• 解決した問題 2733697：LDAP 認証で SSLVPN サーバ プロセスがクラッシュする

  すべての SSLVPN クライアントが接続を失います。

• 解決した問題 2733890：NSX でステートフル DFW（分散ファイアウォール）が構成されている場合、デフォルト値が 120 秒の TCP タイムアウト期間が経過するまで、仮想マシンは TCP 接続を再確立できない

  TCP 接続を数秒以内に再確立できない場合、特定のユーザーのアプリケーションが失敗することがあります。

• 解決した問題 2768777：10 個を超えるサブインターフェイスを Edge に表示できない

  10 個を超えるサブインターフェイスがある場合でも、10 個を超えるサブインターフェイスのグリッドを Edge に表示できません。

• 解決した問題 2780321：NSX Manager のアップグレード後、クラスタ/ホストのアップグレードが「モジュール nsx-dvfilter-switch-security: module を削除できません。」というエラーで失敗する

  ホストのアップグレードに失敗します。

• 解決した問題 2783605：プロセッサ タイプが AMD EPYC 7543 32 コア プロセッサの PowerEdge R6525 では、NSX Edge が ESXi 6.7 での起動に失敗する

  NSX Edge が機能しません。

• 解決した問題 2639708：複数の DCN の更新で VSE ブロードキャストが発生し、Manager と Edge の両方で CPU の使用率が急増する

  大規模な環境またはグループ オブジェクトが頻繁に使用されている設定では、NSX Manager と Edge の両方で CPU の使用率が急増する可能性があります。この CPU 使用率の急増で Edge のデータパスが影響を受ける可能性があります。

• 解決した問題 2690015：[Edge IPsec VPN] - [IPsec VPN の編集] ダイアログの [トンネル構成] タブで、英語以外のロケールがロードされない

  Edge IPsec 設定の表示や編集ができません。

• 解決した問題 2713018：アクティブな L7 フローが存在するときに vsip モジュールがアンロードされると、vsip-flow ヒープでメモリ リークが発生する

  vsip モジュールが適切にアンロードされない場合は、リカバリするためにホストを手動で再起動する必要があります。

• 解決した問題 2793863：最初の Edge アプライアンスに不一致があり、2 番目のアプライアンスには不一致がない場合、「Edge 仮想マシンの現在の場所が構成された場所と一致しません」という警告メッセージが表示されない

  最初のアプライアンス仮想マシンに不一致があることを示す警告がありません。

• 解決した問題 2783553：NSX for vSphere プラグイン 6.4.10 が vCenter Server バージョン 70u3 で機能しない

  すべての NSX for vSphere プラグイン ページに、「HTTP Status 500 – Internal Server Error」というエラーが表示されます。バージョン 6.4.10 以前のプラグインは機能しません。

既知の問題

既知の問題には次の項目が含まれます。

• インストールとアップグレードに関する既知の問題
• 一般的な既知の問題
• 論理ネットワークと NSX Edge に関する既知の問題

インストールとアップグレードに関する既知の問題

アップグレードの前に、このドキュメントの前半の「アップグレードに関する注意事項」を参照してください。

• 問題 1263858：SSL VPN がアップグレード通知をリモート クライアントに送信しない

  SSL VPN ゲートウェイはアップグレード通知をユーザーに送信しません。管理者は、SSL VPN ゲートウェイ（サーバ）が更新されたことと、リモート ユーザーが自分のクライアントを更新しなければならないことを、リモート ユーザーに手動で通知する必要があります。

  回避策：ユーザーは旧バージョンのクライアントをアンインストールして、最新バージョンを手動でインストールする必要があります。

• 問題 2238989： ESXi ホストの vSphere Distributed Switch のアップグレード後、VDS の Software RSS 機能が有効にならない

  VDS のアップグレード後に、Software Receive Side Scaling (SoftRSS) が有効になっているホストで com.vmware.net.vdr.softrss VDS プロパティがリストアされません。このため、SoftRSS が無効になります。/var/run/log/vmkernel.log ファイルに、softrss プロパティの設定に関連するエラーが記録されます。

  回避策：

  VDS をアップグレードする前に、softrss プロパティを削除し、VDS のアップグレード後に再設定します。

• 問題 2107188： VDS スイッチの名前に ASCII 以外の文字が含まれていると、ESXi ホストで NSX VIB のアップグレードに失敗する

  /var/run/log/esxupdate.log ファイルに、アップグレードのステータスが記録されます。

  回避策：

  ASCII 文字を使用するように VDS 名を変更してから、再度アップグレードします。

• 問題 2590902： NSX 6.4.7 にアップグレードした後、IPv6 ネットワーク上のワークロード仮想マシンに固定 IPv6 アドレスが割り当てられると、仮想マシンから Edge の IPv6 ゲートウェイ インターフェイスに ping を送信できなくなる

  この問題は、vSphere Distributed Switch を 6.x から 7.0 にアップグレードした後に発生します。

  回避策 1：

  すべてのホストが接続されている VDS を選択し、編集設定に移動して、マルチキャスト オプションで「基本」に切り替えます。

  回避策 2：

  次のルールを Edge ファイアウォールに追加します。

  • Ping の許可ルール。
  • マルチキャスト リスナー検出 (MLD) の許可ルール：icmp6、type 130 (v1)、type 143 (v2)。

一般的な既知の問題

• vSphere Web Client で、Flex コンポーネントを開いて HTML の画面に重ねると、画面が表示されなくなる

  メニューやダイアログなどの Flex コンポーネントを開き、HTML 画面に重ねると、画面が一時的に非表示になります。

  回避策：なし。 

• 問題 2543977： 分散ファイアウォールの IPFIX コレクタが、UDP ポート 137 または 138 からのフローを検出できない

  DFW で IPFIX が有効になっている場合、ポート 137 または 138 の NetBIOS フローがホストから送信されません。

  回避策：

  vSphere Client または NSX REST API を使用して、除外されたポート 137 または 138 をフロー除外から削除します。

• 問題 2574333： NAT に 8,000 個のルールが設定されている場合、Edge vNIC の構成に 2 分以上かかる

  vSphere Client に、NSX Manager が使用不能と表示されます。2 分後に UI がタイムアウトします。2 ～ 3 分後に vNIC 構成が正常に完了します。

  回避策：なし。

• 問題 2598824：NSX-v Manager の vMotion で警告メッセージが表示される

  NSX-v Manager の vMotion で次のメッセージが表示されます。「仮想イーサネット カード 'ネットワーク アダプタ 1' はサポートされていません。これは、ホストの一般的な制限ではありませんが、選択されたホストの仮想マシンに設定されたゲスト OS の制限です。」

  回避策：この警告メッセージは無視してください。vMotion は正常に完了します。

• 問題 2112662：VXLAN が構成されていない場合、サポート バンドルの GUI でホストの一覧が表示されない

  VXLAN が有効になっていない場合、ESX ホストのテクニカル サポート バンドルをダウンロードできません。

  回避策：ESX ホストを表示するには、クラスタで VXLAN を有効にします。

• 問題 2723675：BigSur の MacOS クライアントで、プライベート ネットワークの DNS 解決が機能しない

  MacOS BigSur で DNS が機能しません。

  回避策：なし。

• 問題 2382623：ホストの準備状態が緑色になる前に、VXLAN 構成タスクがタイムアウトした

  クラスタの VXLAN 状態に「ホストの準備状態が緑色になる前に、VXLAN 構成タスクがタイムアウトしました」というエラーが表示されますが、ホストの準備状態は緑色になっています。このエラーは表示上の問題であり、データ パスに影響はありません。

  回避策：NSX Manager ログ (vsm.log) で前述のメッセージを確認して、クラスタのエラーに影響する ESXi ホストを特定します。ESXi ホストを特定したら、問題のある ESXi ホストをクラスタから削除し、再度追加します。これにより、VIB が再インストールされ、エラー状態が修正されます。

• 問題 2968016: NSX for vSphere バージョン 6.4.4 以降にアップグレードした後、HOST ヘッダーが構成された LB モニターが期待どおりに動作しない

  NSX のアップグレードには、nagios プラグイン バージョンのアップグレードが含まれます。この新しいバージョンでは、ヘッダーに HOST が含まれなくなり、HOST ヘッダーが構成された LB モニターでエラーが発生する可能性があります。

  回避策：詳細については、ナレッジ ベースの記事 KB79469 を参照してください。

論理ネットワークと NSX Edge に関する既知の問題

• 問題 1993241： 固定ルーティングを使用した IPsec トンネルの冗長設定がサポートされない

  プライマリ トンネルが停止すると、IPsec トラフィックの配信に失敗し、トラフィックが中断します。この問題は、NSX 6.4.2 以降で発生します。

  回避策：サービスを無効にして、再度有効にします。

• 問題 2576294： DLR の論理インターフェイスが複数の VDS に接続し、ホストが 2 つの VXLAN VDS の一部になっている場合、論理インターフェイスがホスト上の誤った VDS に接続される

  正しく構成されていない状態で DLR が強制的に同期または再展開されると、すべての DLR の論理インターフェイスが誤った VDS に接続されます。また、新しい DLR の論理インターフェイスは、ホスト上の誤った VDS に接続されます。データ パスのトラフィックが中断します。

  回避策：

  • クラスタの VXLAN 準備で使用されていない 2 つ目の VDS を削除します。
  • ホスト構成の現在の状態に応じて、再展開または強制同期のいずれかを選択するか、ルート サービスを同期してホストの構成を修正します。 
• 問題 2582197： NSX Edge インターフェイスに /32 サブネット マスクが設定されている場合、接続されたルートがルーティング テーブルまたはフォワーディング テーブルに表示されない

  インターフェイスへのトラフィックは正常に処理される可能性もありますが、すべてのピアにアクセスするには、スタティック ルートが必要になります。ユーザーは、サブネット マスク /32 のインターフェイスを使用できません。他のサブネット マスクが使用されている場合は問題ありません。

  回避策：/32 サブネット マスクを除く他のサブネット マスクを使用します。

• 問題 2395158： エンタープライズ管理者ロールが Active Directory グループに割り当てられていると、ファイアウォール セクションがグレーアウトされる

  エンタープライズ管理者ロールが Active Directory グループに割り当てられています（割り当ては、[ユーザーとドメイン] > [ユーザー] > [ユーザーの識別] > [vCenter Server グループを指定する] で行います）。Active Directory グループに属するユーザーがログインし、ファイアウォール セクションをロックしている場合、ページを更新した後に、これらのユーザーがロックしているセクションはグレーアウトされます。

  回避策：

  [ユーザーとドメイン] > [ユーザー] > [ユーザーの識別] > [vCenter Server ユーザーを指定する] の順に移動して、エンタープライズ管理者ロールを Active Directory グループではなく、ユーザーに直接割り当てます。

• 問題 2444677： IPSec VPN トンネルを介して L2 VPN 経由で大量のファイルを転送すると、NSX Edge でカーネル パニック エラーが発生する

  このエラーは、MTU が 1,500 バイトに設定されている場合に発生します。

  回避策：MTU を 1,600 バイトに設定します。

• 問題 2574260： ゲスト VLAN の使用（仮想ゲストのタグ付けまたは 802.1q VLAN のタグ付け）を有効にするために既存の論理スイッチの構成を更新すると、予期した結果にならない

  この更新に合わせて、論理スイッチに関連付けられている VDS ポート グループは更新されません。

  回避策：なし。

• 問題 2661353：  キープアライブが GRE トンネルで有効になっていると、GRE トンネル フラップが不安定になることがある

  GRE トンネル フラップでトラフィックが停止する可能性があります。この問題は、GRE キープアライブが有効になっている場合にのみ発生します。

  回避策：ESG で GRE キープアライブを無効にします。