VMware NSX Data Center for vSphere 6.4.8 リリースノート

VMware NSX Data Center for vSphere 6.4.8 | 2020 年 8 月 10 日 | ビルド 16724220

このドキュメントの改訂履歴を参照してください。

リリースノートの概要

本リリースノートには、次のトピックが含まれています。

新機能
バージョン、システム要件、およびインストール
廃止および提供を中止する機能
アップグレードに関する注意事項
FIPS コンプライアンス
改訂履歴
解決した問題
既知の問題

NSX Data Center for vSphere 6.4.8 の新機能

VMware NSX for vSphere 6.4.8 は VMware NSX for vSphere 6.4.7 の中に確認した問題を解決して、新規のお客様とそれ以前のバージョンからアップグレードしたお客様の両方に影響します。詳細については、解決した問題を参照してください。

バージョン、システム要件、インストール

注：

次の表は、推奨される VMware ソフトウェアのバージョンです。ここで推奨されるバージョンは一般的なものであり、環境に固有の推奨に優先するものではありません。これは、本ドキュメントが公開された時点で最新の情報です。
NSX とその他の VMware 製品を併用する場合にサポートされる最小バージョンについては、VMware 製品の相互運用性マトリクスを参照してください。VMware はテスト結果に基づいて、サポートされる最小バージョンを定めています。

製品またはコンポーネント	バージョン
NSX Data Center for vSphere	新たに導入する場合には、最新の NSX リリースをインストールすることをおすすめします。既存の環境をアップグレードする場合は、アップグレードのプランニングを行う前に、NSX Data Center for vSphere のリリースノートを参照して、特定の問題に関する情報を確認してください。あるいは、VMware テクニカルサポートの担当者に詳細をお問い合わせください。
vSphere	vSphere 6.5：推奨：6.5 Update 3 注：vSphere 6.5 Update 1 では、メモリ不足により ESX Agent Manager が機能しないという問題が解決しています。詳細については、VMware のナレッジベースの記事 KB2135378 を参照してください。重要： vSphere 6.5 でマルチキャストルーティングを使用している場合は、vSphere 6.5 Update 2 以降を推奨します。 vSphere 6.5 で NSX ゲストイントロスペクションを使用している場合は、vSphere 6.5 P03 以降を推奨します。 vSphere 6.7：推奨：6.7 Update 2 重要： vSphere 6.7 で NSX ゲストイントロスペクションを使用している場合は、NSX 6.4.6 をインストールする前にナレッジベースの記事 KB57248 を参照してください。詳細については、VMware サポートにお問い合わせください。注：vSphere 5.5 は、NSX 6.4 でサポートされていません。注：vSphere 6.0 は、ジェネラルサポートが終了しているため、NSX 6.4.7 以降ではサポートされません。
ゲストイントロスペクション (Windows)	NSX for vSphere をアップグレードする前に、VMware Tools を 10.3.10 にアップグレードすることをおすすめします。
ゲストイントロスペクション (Linux)	ゲスト仮想マシンでサポートされているバージョンの Linux がインストールされていることを確認してください。サポートされる Linux バージョンの最新のリストについては、『VMware NSX 管理ガイド』を参照してください。

システム要件とインストール

NSX のインストールの前提条件については、『NSX インストールガイド』の「NSX のシステム要件」のセクションを参照してください。

インストール手順については、『NSX インストールガイド』または『Cross-vCenter NSX インストールガイド』を参照してください。

廃止および提供を中止する機能

販売およびサポートの終了に関するご注意

ただちにアップグレードが必要な NSX およびその他の VMware 製品については、VMware Lifecycle Product Matrix（英語）を参照してください。

NSX for vSphere 6.1.x は、2017 年 1 月 15 日に提供終了日 (EOA) およびジェネラルサポートの終了日 (EOGS) を迎えました。（VMware ナレッジベースの記事 KB2144769 を参照してください）
vCNS Edge のサポートを終了：NSX 6.3.x 以降にアップグレードする前に、NSX Edge にアップグレードする必要があります。
NSX for vSphere 6.2.x は、2018 年 8 月 20 日にジェネラルサポートが終了 (EOGS) しました。
セキュリティに関する推奨に基づいて、NSX Edge IPsec VPN サービスの暗号化アルゴリズム 3DES のサポートを終了
IPsec サービスで提供されるセキュアな暗号に切り替えることが推奨されています。この暗号化アルゴリズムの切り替えは、IKE SA (phase1) だけでなく、IPsec サイトの IPsec SA (phase2) ネゴシエーションにも適用されます。

NSX Edge IPsec サービスで 3DES 暗号化アルゴリズムを使用している場合、サポートが終了しているリリースにアップグレードすると、推奨される別の暗号に置き換わります。このため、NSX Edge で使用する暗号化アルゴリズムに合わせてリモートピアの設定を変更しない限り、3DES を使用する IPsec サイトに接続できなくなります。

3DES 暗号を使用している場合は、IPsec サイトの設定で暗号化アルゴリズムを 3DES からサポート対象の AES (AES/AES256/AES-GCM) に変更します。たとえば、暗号化アルゴリズムが 3DES に設定されている各 IPsec サイトで、3DES を AES に変更します。これに合わせて、ピアのエンドポイントで IPsec 設定を更新します。

全般的な動作変更

vSphere Distributed Switch が複数ある環境で、その 1 つに VXLAN が設定されている場合、vSphere Distributed Switch のポートグループにすべての分散論理ルーターインターフェイスを接続する必要があります。NSX 6.4.1 以降、ユーザーインターフェイスと API でこの構成の適用が実装されます。以前のリリースでは、正しくない設定が可能となっていました。 NSX 6.4.1 以降にアップグレードした後に、分散論理ルーターインターフェイスに誤って接続した場合は、この問題を解決するための操作を行う必要があります。詳細については、アップグレードに関する注意事項を参照してください。

ユーザーインターフェイスの削除と変更

NSX 6.4.1 では、Service Composer キャンバスが削除されました。
NSX 6.4.7 の vSphere Client 7.0 では、次の機能が終了しています。
- NSX Edge：SSL VPN-Plus（KB79929 を参照）
- ツール：エンドポイントの監視（すべての機能）
- ツール：フローモニタリング（フローモニタリングダッシュボード、サービス別の詳細、構成）
- システムイベント：NSX チケットロガー

インストールの動作変更

バージョン 6.4.2 以降で、ixgbe ドライバを使用する物理 NIC を搭載したホストに NSX Data Center for vSphere をインストールした場合、デフォルトでは Receive Side Scaling (RSS) が ixgbe ドライバで有効になりません。NSX Data Center をインストールする前に、ホスト上の RSS を手動で有効にする必要があります。RSS は、ixgbe ドライバを使用する NIC を搭載したホストでのみ有効にしてください。RSS を有効にする手順については、VMware ナレッジベースの記事 https://kb.vmware.com/s/article/2034676 を参照してください。この記事には、VXLAN パケットスループットを向上させる RSS の推奨設定が記載されています。

これは、ESXi ホストにカーネルモジュール (VIB ファイル) をフレッシュインストールする場合のみ発生します。NSX の管理対象ホストを NSX 6.4.2 にアップグレードする場合、修正は必要はありません。

API の削除と動作の変更

NSX 6.4.2 で非推奨となった項目

次の項目の使用が非推奨となりました。今後のリリースで削除される可能性があります。

GET/POST/DELETE /api/2.0/vdn/controller/{controllerId}/syslog。代わりに GET/PUT /api/2.0/vdn/controller/cluster/syslog を使用してください。

NSX 6.4.1 での動作変更

POST /api/2.0/services/ipam/pools/scope/globalroot-0 で新しい IP アドレスプールを作成するか、PUT /api/2.0/services/ipam/pools/で既存の IP アドレスプールを変更するときに、プール内に複数の IP アドレス範囲が定義されていると、範囲が重複していないことが確認されます。以前のリリースでは、確認は実行されていませんでした。

NSX 6.4.0 で非推奨となった項目
次の項目の使用が非推奨となりました。今後のリリースで削除される可能性があります。

GET /api/4.0/edges/edgeID/status の systemStatus パラメータの使用は推奨されません。
GET /api/2.0/services/policy/serviceprovider/firewall/ の使用は推奨されません。GET /api/2.0/services/policy/serviceprovider/firewall/info を使用してください。
分散ファイアウォールのグローバル構成セクションでの TCP Strict の設定は非推奨となりました。NSX 6.4.0 以降では、TCP Strict はセクションレベルで定義されます。注：NSX 6.4.0 以降にアップグレードした場合、TCP Strict のグローバル構成は、既存のレイヤー 3 セクションの TCP Strict の設定に使用されます。レイヤー 2 セクションとレイヤー 3 リダイレクトセクションの設定では、TCP Strict は false になります。詳細については、『NSX API ガイド』の「分散ファイアウォール構成の操作」を参照してください。

NSX 6.4.0 での動作変更
NSX 6.4.0 では、POST /api/2.0/vdn/controller でコントローラを作成するときに、<name> パラメータの使用が必須となりました。

NSX 6.4.0 では、エラー処理が次のように変更されます。

以前のリリースでは、POST /api/2.0/vdn/controller は、コントローラの作成ジョブが作成されたことを示す「201 Created」を返しました。しかし、コントローラの作成に失敗している可能性がありました。NSX 6.4.0 以降では、応答が「202 Accepted」になります。
以前のリリースでは、移行モードまたはスタンドアローンモードで許可されていない API 要求を送信した場合、応答ステータスは「400 Bad Request」でした。 NSX 6.4.0 以降では、応答が「403 Forbidden」となります。

CLI の削除と動作の変更

NSX Controller ノードで、サポートされていないコマンドを使用しないでください。
NSX Controller ノードで NTP と DNS を設定する場合に、ドキュメントに記載されていないコマンドが使用できてしまう場合があります。ただし、これらのコマンドはサポートされていないため、NSX Controller ノードでは使用しないでください。『NSX CLI ガイド』に記載されているコマンドのみを使用してください。

注：インストールとアップグレードに影響する既知の問題については、「インストールとアップグレードに関する既知の問題」を参照してください。

アップグレードに関する注意事項

NSX をアップグレードするには、ホストクラスタのアップグレード（ホストの VIB のアップグレード）を含む、完全な NSX アップグレードを実行する必要があります。手順については、『NSX アップグレードガイド』の「ホストクラスタのアップグレード」セクションを参照してください。
VUM を使用したホストクラスタの NSX VIB のアップグレードはサポートされていせん。ホストクラスタの NSX VIB をアップグレードするには、アップグレードコーディネータ、ホストの準備、または関連する REST API を使用してください。
システム要件：NSX のインストールとアップグレードのシステム要件については、NSX ドキュメントの「NSX のシステム要件」セクションを参照してください。
NSX のアップグレードパス：VMware NSX のアップグレードの詳細については、VMware 製品の相互運用性マトリクスを参照してください。
Cross-vCenter NSX のアップグレードについては、NSX アップグレードガイドを参照してください。
ダウングレードはサポートされない:
- アップグレードの前に、必ず NSX Manager をバックアップしてください。
- NSX を正常にアップグレードしたあとは、ダウングレードすることはできません。
NSX 6.4.x へのアップデートが成功したことを確認するには、ナレッジベースの記事 KB2134525 を参照してください。
vCloud Networking and Security から NSX 6.4.x へのアップグレードはサポートされません。まず、サポート対象の 6.2.x リリースにアップグレードする必要があります。
相互運用性：アップグレードを行う前に、関連する VMware 製品をVMware 製品の相互運用性マトリックスで確認してください。
- NSX Data Center for vSphere 6.4.7 へのアップグレード：スケールに関する問題がいくつかあるため、VIO は NSX 6.4.7 と互換性がありません。
- NSX Data Center for vSphere 6.4 へのアップグレード：NSX 6.4 には、vSphere 5.5 との互換性がありません。
- NSX Data Center for vSphere 6.4.5 へのアップグレード：NSX が VMware Integrated OpenStack (VIO) で展開されている場合は、VIO を 4.1.2.2 または 5.1.0.1 にアップグレードしてください。バージョン 5.0 への spring パッケージアップデートのため、NSX 6.4.5 は以前のリリースと互換性がありません。
- vSphere 6.5 へのアップグレード：vSphere 6.5a 以降または 6.5 バージョンにアップグレードする場合は、最初に NSX 6.3.0 以降にアップグレードする必要があります。NSX 6.2.x には、vSphere 6.5 との互換性がありません。『NSX アップグレードガイド』の「NSX 環境での vSphere のアップグレード」を参照してください。
- vSphere 6.7 へのアップグレード：vSphere 6.7 にアップグレードする場合は、最初に NSX 6.4.1 以降にアップグレードする必要があります。これより前の NSX バージョンは、vSphere 6.7 と互換性がありません。『NSX アップグレードガイド』の「NSX 環境での vSphere のアップグレード」を参照してください。
パートナーサービスとの互換性：ゲストイントロスペクションまたはネットワークイントロスペクション用に VMware のパートナーサービスをサイトで使用している場合、アップグレード前にVMware 互換性ガイドを参照して、アップグレードする NSX のバージョンとベンダーのサービスに互換性があることを確認してください。
Networking and Security プラグイン：NSX Manager をアップグレードした後は、vSphere Web Client からログアウトし、再度ログインする必要があります。NSX プラグインが正しく表示されない場合には、ブラウザのキャッシュと履歴を消去してください。Networking and Security プラグインが vSphere Web Client に表示されない場合には、NSX アップグレードガイドの説明に従って、vSphere Web Client サーバをリセットしてください。
ステートレス環境：ステートレスホスト環境では、NSX アップグレードプロセスで、新しい VIB がホストイメージプロファイルに事前追加されます。ステートレスホストで NSX のアップグレードを行う場合は、次の手順を実行してください。
NSX 6.2.0 より前のバージョンでは、NSX Manager 上に 1 つの URL があり、そこから特定バージョンの ESX ホストの VIB を見つけることができました。つまり、管理者は NSX バージョンに関係なく、1 つの URL を知っておくだけで済みました。NSX 6.2.0 以降では、新しい NSX VIB を異なる URL で利用できます。正しい VIB を見つけるには、以下の手順を実行する必要があります。
1. 新しい VIB URL を https://<nsxmanager>/bin/vdn/nwfabric.properties から見つけます。
2. 必要な ESX ホストバージョンの VIB を、対応する URL から取得します。
3. 取得した VIB をホストイメージプロファイルに追加します。
サービス定義機能は、vSphere Client 7.0 の NSX 6.4.7 UI でサポートされていません。
たとえば、vSphere 6.5 または 6.7 で古い Trend Micro サービス定義が登録されている場合は、次のいずれかを行います。
- オプション 1：vSphere 7.0 にアップグレードする前に、vSphere Web Client の [サービス定義] タブに移動し、サービス定義を 7.0 に設定してから vSphere 7.0 にアップグレードします。
- オプション 2：vSphere 7.0 にアップグレードした後、次の NSX API を実行して、サービス定義を 7.0 にします。

POST https://<nsmanager>/api/2.0/si/service/<service-id>/servicedeploymentspec/versioneddeploymentspec

NSX コンポーネントのアップグレードに関する注意事項

NSX コンポーネントでの仮想マシンハードウェアバージョン 11 のサポート

NSX Data Center for vSphere 6.4.2 の新規インストールの場合、NSX コンポーネント（Manager、Controller、Edge、ゲストイントロスペクション）は仮想マシンハードウェアバージョン 11 にインストールされます。
NSX Data Center for vSphere 6.4.2 へアップグレードする場合、NSX Edge とゲストイントロスペクションは自動的に仮想マシンハードウェアバージョン 11 にアップグレードされます。NSX Manager と NSX Controller は、アップグレード後も引き続き仮想マシンハードウェアバージョン 8 で実行されます。仮想マシンハードウェアバージョン 11 にアップグレードすることも可能です。仮想マシンハードウェアのバージョンをアップグレードする手順については、ナレッジベース (https://kb.vmware.com/s/article/1010675) を参照してください。
NSX 6.3.x、6.4.0、6.4.1 の新規インストールの場合、NSX コンポーネント（Manager、Controller、Edge、ゲストイントロスペクション）は仮想マシンハードウェアバージョン 8 にインストールされます。

NSX Manager のアップグレード

重要：NSX 6.2.0、6.2.1 または 6.2.2 から NSX 6.3.5 以降にアップグレードする場合は、アップグレードを開始する前に、既知の問題への回避策を実行しておく必要があります。詳細については、VMware のナレッジベースの記事 KB000051624 を参照してください。
NSX 6.3.3 から NSX 6.3.4 以降にアップデートする場合は、VMware のナレッジベースの記事 KB2151719の回避策を行ってからアップデートしてください。
NSX のバックアップに SFTP を使用する場合は、hmac-sha1 はサポートされていないため、NSX 6.3.0 以降にアップグレードした後で hmac-sha2-256 に変更してください。サポートされるセキュリティアルゴリズムについては、VMware のナレッジベースの記事 KB2149282 を参照してください。
NSX Manager を NSX 6.4.1 にアップグレードすると、アップグレード中にバックアップが自動的に作成され、ローカルに保存されます。詳細については、NSX Manager のアップグレードを参照してください。
NSX 6.4.0 へのアップグレードでは、TLS の設定が維持されます。TLS 1.0 のみを有効にする場合、vSphere Web Client に NSX プラグインが表示されますが、NSX Manager は表示されません。データパスに影響はありませんが、NSX Manager の設定を変更することはできません。https://nsx-mgr-ip/ で NSX アプライアンスの管理 Web ユーザーインターフェイスにログインし、TLS 1.1 と TLS 1.2 を有効にします。これにより、NSX Manager アプライアンスが再起動します。

コントローラのアップグレード

NSX Controller クラスタには、3 台のコントローラノードが必要です。コントローラが 3 台未満の場合は、アップグレードを開始する前にコントローラを追加する必要があります。詳細については、NSX Controller クラスタのデプロイを参照してください。
NSX 6.3.3 では、NSX Controller の基盤となるオペレーティングシステムが変わりました。NSX 6.3.2 以前から NSX 6.3.3 以降にアップデートする場合、インプレースアップグレードは実行されません。既存のコントローラが 1 度に 1 つずつ削除され、同じ IP アドレスを使用して新しい Photon OS ベースのコントローラが展開されます。

コントローラを削除すると、関連する DRS の非アフィニティルールも削除されます。vCenter Server で新しい非アフィニティルールを作成して、新しいコントローラ仮想マシンが同じホストに配置されないようにする必要があります。

コントローラのアップグレードの詳細については、NSX Controller クラスタのアップグレードを参照してください。

ホストクラスタのアップグレード

NSX 6.3.2 以前のバージョンから NSX 6.3.3 以降にアップグレードすると NSX VIB 名が変更されます。
ESXi 6.0 以降に NSX 6.3.3 以降をインストールすると、esx-vxlan と esx-vsip VIB が esx-nsxv に変更されます。
アップグレードおよびアンインストールでホストの再起動が不要：vSphere 6.0 以降で、NSX 6.2.x から NSX 6.3.x 以降にアップグレードする場合、以降の NSX VIB の変更でホストの再起動が不要になります。代わりに、VIB 変更を完了するには、ホストをメンテナンスモードにする必要があります。これは、NSX ホストクラスタのアップグレードと ESXi のアップグレードの両方に影響します。詳細については、『NSX アップグレードガイド』を参照してください。

NSX Edge のアップグレード

NSX 6.4.1 で、無効な分散論理ルーターの設定を許可しない検証機能を追加：VXLAN と複数の vSphere Distributed Switch を持つ環境では、分散論理ルーターのインターフェイスを VXLAN が設定された vSphere Distributed Switch にのみ接続する必要があります。VXLAN が設定されていない vSphere Distributed Switch に分散論理ルーターのインターフェイスが接続していると、分散論理ルーターを NSX 6.4.1 以降にアップグレードできません。正しく設定されていないインターフェイスを VXLAN が設定されている vSphere Distributed Switch のポートグループに接続するには、API を使用します。有効な設定に変更してから、アップグレードを再試行します。インターフェイスの設定を変更するには、PUT /api/4.0/edges/{edgeId} または PUT /api/4.0/edges/{edgeId}/interfaces/{index} を使用します。詳細については、『NSX API ガイド』を参照してください。

ユニバーサル分散論理ルーター (UDLR) を 6.2.7 から 6.4.5 にアップグレードする前に、セカンダリ NSX Manager に関連付けられた UDLR 制御仮想マシンを vCenter Server から削除してください。
マルチ vCenter Server 環境で NSX UDLR を 6.2.7 から 6.4.5 にアップグレードするときに、UDLR 制御仮想マシンで HA が有効になっていると、セカンダリ NSX Manager で UDLR 仮想アプライアンス（UDLR 制御仮想マシン）のアップグレードに失敗します。アップグレード中に、HA ペアで HA インデックス #0 の仮想マシンが NSX データベースから削除されますが、この仮想マシンは vCenter Server に存在し続けます。このため、セカンダリ NSX Manager で UDLR 制御仮想マシンをアップグレードすると、仮想マシンの名前が vCenter Server 上の既存の仮想マシンと競合するため、アップグレードに失敗します。この問題を解決するには、セカンダリ NSX Manager の UDLR に関連付けられている vCenter Server から制御仮想マシンを削除し、UDLR を 6.2.7 から 6.4.5 にアップグレードします。
NSX Edge アプライアンスをアップグレードする前に NSX 用ホストクラスタを準備する必要がある：NSX 6.3.0 以降では、NSX Manager と Edge 間で、VIX チャネルを経由した管理プレーン通信はサポートされません。メッセージバスチャネル経由のみがサポートされます。NSX 6.2.x 以前から NSX 6.3.0 以降にアップグレードする場合、NSX Edge アプライアンスのデプロイ先のホストクラスタが準備されていることと、メッセージングインフラストラクチャのステータスが正常であることを確認する必要があります。NSX 用ホストクラスタが準備されていない場合、NSX Edge アプライアンスのアップグレードに失敗します。詳細については、『NSX アップグレードガイド』の NSX Edge のアップグレードを参照してください。

Edge Services Gateway (ESG) のアップグレード：
NSX 6.2.5 以降、リソース予約は NSX Edge のアップグレード時に実行されるようになりました。十分なリソースのないクラスタで vSphere HA が有効になっている場合、vSphere HA の制約に違反するためアップグレードに失敗することがあります。

そのようなアップグレードの失敗を回避するには、ESG をアップグレードする前に次の手順を実行します。

インストール時またはアップグレード時に値を明示的に設定していない場合は、次のリソース予約が NSX Manager で使用されます。

NSX Edge フォームファクタ	CPU 予約	メモリの予約
Compact	1000 MHz	512 MB
Large	2000 MHz	1024 MB
Quad Large	4000 MHz	2048 MB
X-Large	6000 MHz	8192 MB

インストール環境が vSphere HA 向けのベストプラクティスに従っていることを常に確認します。ナレッジベースの記事 KB1002080 を参照してください。
NSX チューニング設定 API を使用します。
PUT https://<nsxmanager>/api/4.0/edgePublish/tuningConfiguration
edgeVCpuReservationPercentage と edgeMemoryReservationPercentage の値が、フォームファクタで使用可能なリソースを超えていないことを確認します（デフォルト値は上の表を参照）。

vSphere HA が有効で Edge を展開している環境では、vSphere の [仮想マシンの起動] オプションを無効にする：vSphere HA が有効で Edge が展開されているクラスタでは、NSX Edge の 6.2.4 以前のバージョンを 6.2.5 以降にアップグレードした後、vSphere の [仮想マシンの起動] オプションを無効にする必要があります。それには、vSphere Web Client を開き、NSX Edge 仮想マシンが常駐する ESXi ホストを見つけ、[管理] > [設定] の順にクリックし、[仮想マシン] で [仮想マシンの起動/シャットダウン] を選択して、[編集] をクリックします。次に、仮想マシンが手動モードにあることを確認します。[自動起動/シャットダウン] リストに追加されていないことを確認してください。
NSX 6.2.5 以降にアップグレードする前に、ロードバランサの暗号化リストがコロン区切りであることを確認します。暗号化リストにコンマなど別の区切り文字が使用されている場合は、https://nsxmgr_ip/api/4.0/edges/EdgeID/loadbalancer/config/applicationprofiles への PUT 呼び出しを実行し、<clientssl> </clientssl> および <serverssl> </serverssl> の各 <ciphers> </ciphers> リストをコロン区切りのリストに置換します。たとえば、要求本文の関連セグメントは次のようになります。すべてのアプリケーションプロファイルに対して次の手順を繰り返します。
```
<applicationProfile>
  <name>https-profile</name>
  <insertXForwardedFor>false</insertXForwardedFor>
  <sslPassthrough>false</sslPassthrough>
  <template>HTTPS</template>
  <serverSslEnabled>true</serverSslEnabled>
  <clientSsl>
    <ciphers>AES128-SHA:AES256-SHA:ECDHE-ECDSA-AES256-SHA</ciphers>
    <clientAuth>ignore</clientAuth>
    <serviceCertificate>certificate-4</serviceCertificate>
  </clientSsl>
  <serverSsl>
    <ciphers>AES128-SHA:AES256-SHA:ECDHE-ECDSA-AES256-SHA</ciphers>
    <serviceCertificate>certificate-4</serviceCertificate>
  </serverSsl>
  ...
</applicationProfile>
```
vRealize Operations Manager (vROPs) 6.2.0 より前のバージョンでロードバランシングされたクライアントに正しい暗号バージョンを設定する：vROPs 6.2.0 より前のバージョンの vROPs プールメンバーは TLS バージョン 1.0 を使用しています。このため、NSX のロードバランサの設定で監視の拡張機能を編集し、"ssl-version=10" と明示的に指定する必要があります。手順については、『NSX 管理ガイド』の「サービスモニターの作成」を参照してください。
```
{
                              "expected" : null,
                              "extension" : "ssl-version=10",
                              "send" : null,
                              "maxRetries" : 2,
              "name" : "sm_vrops",
              "url" : "/suite-api/api/deployment/node/status",
              "timeout" : 5,
              "type" : "https",
              "receive" : null,
              "interval" : 60,
              "method" : "GET"
}
```
NSX 6.4.6 にアップデートした後、分散論理ルーター上の L2 ブリッジとインターフェイスが、異なるトランスポートゾーンに属する論理スイッチに接続できなくなる： NSX 6.4.5 以前では、分散論理ルーター (DLR) 上の L2 ブリッジインスタンスとインターフェイスは、異なるトランスポートゾーンに属する論理スイッチの使用をサポートしていました。NSX 6.4.6 以降では、この構成はサポートされません。分散論理ルーター上の L2 ブリッジインスタンスとインターフェイスは、同じトランスポートゾーンに属する論理スイッチに接続する必要があります。複数のトランスポートゾーンの論理スイッチが使用されている場合、NSX を 6.4.6 にアップデートすると、アップデート前の検証チェックで Edge のアップグレードがブロックされます。この Edge アップグレードの問題を解決するには、分散論理ルーターのブリッジインスタンスとインターフェイスを単一のトランスポートゾーンの論理スイッチに接続してください。
NSX 6.4.7 にアップグレードした後、DLR 上のブリッジとインターフェイスが、異なる VDS に属する dvPortGroup に接続できなくなる：このような設定が存在する場合、NSX Manager 6.4.7 へのアップグレードは、アップグレード前の検証チェックでブロックされます。この問題を解決するには、DLR のインターフェイスと L2 ブリッジを単一の VDS に接続します。
NSX 6.4.7 にアップグレードした後、接続している論理スイッチのトランスポートゾーンが複数の VDS にまたがる場合、VLAN でバッキングされたポートグループに DLR を接続できない：これは、ホスト間で DLR インスタンスを論理スイッチ dvPortGroup に正しく関連付けるために行われます。このような設定が存在する場合、NSX Manager 6.4.7 へのアップグレードは、アップグレード前の検証チェックでブロックされます。論理インターフェイスが存在する論理スイッチのトランスポートゾーンが複数の VDS にまたがっている場合、この問題を解決するには、VLAN でバッキングされたポートグループに論理インターフェイスを接続しないようにします。
NSX 6.4.7 にアップグレードした後、複数の DLR のインターフェイスと L2 ブリッジを同じネットワーク上に配置することはできません。このような設定が存在する場合、NSX Manager 6.4.7 へのアップグレードは、アップグレード前の検証チェックでブロックされます。この問題を解決するには、ネットワークが 1 つの DLR のみで使用されるようにします。

FIPS のアップグレードに関する注意事項

NSX 6.3.0 より前のバージョンから NSX 6.3.0 以降のバージョンにアップグレードする場合は、アップグレードが完了するまで FIPS モードを有効にしないでください。アップグレードが完了する前に FIPS モードを有効にすると、アップグレード済みのコンポーネントとアップグレードされていないコンポーネント間の通信が中断されます。詳細については、『NSX アップグレードガイド』の「FIPS モードと NSX アップグレードの理解」を参照してください。

OS X Yosemite および OS X El Capitan でサポートされる暗号：OS X 10.11 (EL Capitan) で SSL VPN クライアントを使用している場合は、AES128-GCM-SHA256、ECDHE-RSA-AES128-GCM-SHA256、ECDHE-RSA-AES256-GCM-SHA38、AES256-SHA、および AES128-SHA 暗号を使用して接続することができ、OS X 10.10 (Yosemite) を使用している場合は AES256-SHA および AES128-SHA 暗号のみを使用して接続することができます。
NSX 6.3.x へのアップグレードが完了するまでは FIPS を有効にしないでください。詳細については、『NSX アップグレードガイド』の「FIPS モードと NSX アップグレードの理解」を参照してください。
FIPS モードを有効にする前に、パートナーのソリューションが FIPS モードの認定を受けていることを確認してください。『VMware 互換性ガイド』と、関連するパートナーのドキュメントを参照してください。

FIPS コンプライアンス

NSX 6.4 を正しく設定すると、すべてのセキュリティ関連の暗号化に、FIPS 140-2 認証を受けている暗号モジュールが使用されます。

注：

コントローラと VPN のクラスタリング：NSX Controller は、IPsec VPN を使用してコントローラクラスタに接続します。IPsec VPN では、VMware Linux カーネル暗号モジュール（VMware Photon OS 1.0 環境）を使用しています。このモジュールは現在 CMVP 認証を申請中です。
Edge IPsec VPN：NSX Edge IPsec VPN では、VMware Linux カーネル暗号モジュール（VMware NSX OS 4.4 環境）を使用しています。このモジュールは現在 CMVP 認証を申請中です。

ドキュメントの改訂履歴

2020 年 8 月 10 日：初版。
2020 年 8 月 17 日：第 2 版。解決した問題 2306230 について記載しました。
2020 年 9 月 21 日：第 3 版。既知の問題に 2631548 と 2633165 を追加しました。
2021 年 4 月 26 日。第 4 版。解決した問題 2584256 について記載しました。

解決した問題

解決した問題 2614777：サービスポート/サービスポートの範囲が重複する2つのサービスでルールが構成されている場合、DFW ルールの発行に失敗する
DFW ルールの発行に失敗します。
解決した問題 2306230：ハートビートの遅延が原因で、ホストのメッセージングインフラストラクチャが停止する
ホストのパスワードがリセットされます。切断時に、ホストでユーザーを設定できない場合があります。
解決した問題 2584256：NSX Edge でメモリ使用率が高くなり、Edge が自動的に再起動される
Edge が応答不能になり、管理できなくなります。次の重大な警告が UI に表示されます。「NSX Edge のメモリがなくなりました。この Edge を 3 秒後に再起動します。」

既知の問題

既知の問題には次の項目が含まれます。

インストールとアップグレードに関する既知の問題
一般的な既知の問題
論理ネットワークと NSX Edge に関する既知の問題
相互運用性の問題

インストールとアップグレードに関する既知の問題

アップグレードの前に、このドキュメントの前半の「アップグレードに関する注意事項」を参照してください。

問題 1263858：SSL VPN がアップグレード通知をリモートクライアントに送信しない
SSL VPN ゲートウェイはアップグレード通知をユーザーに送信しません。管理者は、SSL VPN ゲートウェイ（サーバ）が更新されたことと、リモートユーザーが自分のクライアントを更新しなければならないことを、リモートユーザーに手動で通知する必要があります。

回避策：ユーザーは旧バージョンのクライアントをアンインストールして、最新バージョンを手動でインストールする必要があります。
問題 2429861：NSX 6.4.6 へのアップグレード後、vRNI ユーザーインターフェイスにエンドツーエンドの遅延が表示されない
vRNI 4.2 と vRNI 5.0 の vRNI 相互運用で、エンドツーエンドの遅延が表示されません。

回避策：vRNI を 5.0.0-P2 にアップデートします。
問題 2417029： NSX Manager データベースでドメインオブジェクトのパスが正しくない
- NSX Edge のアップグレードまたは再デプロイが失敗し、次のエラーメッセージが表示されます。
```
      Edge edge-XX をアップグレードするには、ネットワーク ファブリックのクラスタ/リソース プール resgroup-XXX を準備する必要があります。
```
- [コントローラの追加] ダイアログボックスの [フォルダ] ドロップダウンリストに、一部の仮想マシンフォルダしか表示されません。
- 1 つ以上のクラスタの状態が「準備ができていません」と表示されます。
回避策：この問題の回避策については、VMware のサポートに問い合わせください。
問題 2238989： ESXi ホストの vSphere Distributed Switch のアップグレード後、VDS の Software RSS 機能が有効にならない
VDS のアップグレード後に、Software Receive Side Scaling (SoftRSS) が有効になっているホストで com.vmware.net.vdr.softrss VDS プロパティがリストアされません。このため、SoftRSS が無効になります。/var/run/log/vmkernel.log ファイルに、softrss プロパティの設定に関連するエラーが記録されます。

回避策：

VDS をアップグレードする前に、softrss プロパティを削除し、VDS のアップグレード後に再設定します。
問題 2107188： VDS スイッチの名前に ASCII 以外の文字が含まれていると、ESXi ホストで NSX VIB のアップグレードに失敗する
/var/run/log/esxupdate.log ファイルに、アップグレードのステータスが記録されます。

回避策：

ASCII 文字を使用するように VDS 名を変更してから、再度アップグレードします。
問題 2590902： NSX 6.4.7 にアップグレードした後、IPv6 ネットワーク上のワークロード仮想マシンに固定 IPv6 アドレスが割り当てられると、仮想マシンから Edge の IPv6 ゲートウェイインターフェイスに ping を送信できなくなる
この問題は、vSphere Distributed Switch を 6.x から 7.0 にアップグレードした後に発生します。

回避策 1：

すべてのホストが接続されている VDS を選択し、編集設定に移動して、マルチキャストオプションで「基本」に切り替えます。

回避策 2：

次のルールを Edge ファイアウォールに追加します。
- Ping の許可ルール。
- マルチキャストリスナー検出 (MLD) の許可ルール：icmp6、type 130 (v1)、type 143 (v2)。

一般的な既知の問題

vSphere Web Client で、Flex コンポーネントを開いて HTML の画面に重ねると、画面が表示されなくなる
メニューやダイアログなどの Flex コンポーネントを開き、HTML 画面に重ねると、画面が一時的に非表示になります。
（参照：http://pubs.vmware.com/Release_Notes/en/developer/webclient/60/vwcsdk_600_releasenotes.html#issues）

回避策：なし。
問題 2543977：分散ファイアウォールの IPFIX コレクタが、UDP ポート 137 または 138 からのフローを検出できない
DFW で IPFIX が有効になっている場合、ポート 137 または 138 の NetBIOS フローがホストから送信されません。

回避策：

vSphere Client または NSX REST API を使用して、除外されたポート 137 または 138 をフロー除外から削除します。
問題 2302171/2590010：サンプリングレートが 100% の vSphere Distributed Switch で IPFIX を有効にすると、スループットが低下する
データパスのパフォーマンスが低下します。データパスのスループットが、ネットワークチャネルの帯域幅制限の半分まで減少します。

回避策：サンプリングレートを 10% 未満に設定します。
問題 2574333： NAT に 8,000 個のルールが設定されている場合、Edge vNIC の構成に 2 分以上かかる
vSphere Client に、NSX Manager が使用不能と表示されます。2 分後に UI がタイムアウトします。2 ～ 3 分後に vNIC 構成が正常に完了します。

回避策：なし。
問題 2443830： ixgben NIC ドライバを使用している場合、VXLAN ネットワーク上でデータパスのパフォーマンスが低下する
VXLAN ネットワークのスループットが低下します。

回避策：
- ESXi ホストで次のコマンドを実行します。
```
      esxcli system module parameters set -p "RSS=1,1" -m ixgben
```
- ホストを再起動します。
問題 2547022：子 Active Directory グループに新しい Active Directory ユーザーを追加したときに、そのユーザーが親 Active Directory グループのセキュリティグループに追加されない
親 Active Directory グループのセキュリティグループに、ユーザーが存在しません。

回避策：

子 Active Directory グループのセキュリティグループを追加します。
問題 2631548：NSX 6.4.8 VIB を使用して準備された ESXi ホストを再起動すると、ESXi ホストの netcpa プロセスがポート 1234 で CCP に接続できない
netcpad プロセスと hostd プロセスの初期化シーケンスで競合状態が発生し、hostd より前に netcpad プロセスの初期化が開始するため、ESX ホストの再起動後に、ESXi ホストから NSX Controller クラスタへの netcpa 接続が SYN_SENT ESX 状態のままになることがあります。

回避策：/etc/init.d/netcpad restart コマンドを使用して、netcpad プロセスを再起動します。
詳細については、VMware のナレッジベースの記事 KB80607 を参照してください。
問題 2633165：サブインターフェイスの作成/変更/削除を行う REST API 呼び出しが失敗する
REST API /api/4.0/edges/{edge-Id}/vnics/{vNic_Index}/subinterfaces/ によるサブインターフェイスの作成/変更/削除操作が失敗します。この障害は、次の URI を使用して REST API を実行した場合にのみ発生します。

/api/4.0/edges/{edge-Id}/vnics/{vNic_Index}/subinterfaces/ および /api/4.0/edges/{edge-Id}/vnics/{vNic_Index}/subinterfaces/{subInterface-index}。

自動化スクリプトで REST API /api/4.0/edges/{edge-Id}/vnics/{vNic_Index}/subinterfaces/ を使用してサブインターフェイスの作成/変更/削除を行うと、サブインターフェイスの操作でエラーが発生します。

回避策：UI または vnic REST API で実行したサブインターフェイス操作は成功します。
1) UI を使用して、サブインターフェイスを作成/変更/削除します。
2) サブインターフェイスの作成/更新/削除のペイロードを使用して、PUT api/4.0/edges/{edge-Id}/vnics/{index} を実行します。

論理ネットワークと NSX Edge に関する既知の問題

問題 1993241：固定ルーティングを使用した IPsec トンネルの冗長設定がサポートされない
プライマリトンネルが停止すると、IPsec トラフィックの配信に失敗し、トラフィックが中断します。この問題は、NSX 6.4.2 以降で発生します。

回避策：サービスを無効にして、再度有効にします。
問題 2430805/2576416：VDS に接続しているすべての NSX 準備済みのホストに DLR インスタンスが送信される
VLAN 代表インスタンスに関連する問題が発生します。VLAN 代表インスタンスが無効なホストに接続すると、VLAN トラフィックが中断します。

回避策：
- NSX 準備済みのホストで、同じ VDS を使用して VXLAN を構成します。
- ホストを再起動し、新しい構成を取得します。
問題 2576294： DLR の論理インターフェイスが複数の VDS に接続し、ホストが 2 つの VXLAN VDS の一部になっている場合、論理インターフェイスがホスト上の誤った VDS に接続される
正しく構成されていない状態で DLR が強制的に同期または再展開されると、すべての DLR の論理インターフェイスが誤った VDS に接続されます。また、新しい DLR の論理インターフェイスは、ホスト上の誤った VDS に接続されます。データパスのトラフィックが中断します。

回避策：
- クラスタの VXLAN 準備で使用されていない 2 つ目の VDS を削除します。
- ホスト構成の現在の状態に応じて、再展開または強制同期のいずれかを選択するか、ルートサービスを同期してホストの構成を修正します。
問題 2582197： NSX Edge インターフェイスに /32 サブネットマスクが設定されている場合、接続されたルートがルーティングテーブルまたはフォワーディングテーブルに表示されない
インターフェイスへのトラフィックは正常に処理される可能性もありますが、すべてのピアにアクセスするには、スタティックルートが必要になります。ユーザーは、サブネットマスク /32 のインターフェイスを使用できません。他のサブネットマスクが使用されている場合は問題ありません。

回避策：/32 サブネットマスクを除く他のサブネットマスクを使用します。
問題 2594802： Service Composer で、[優先順位の管理] ダイアログボックスを使用して、200 個目より後にセキュリティポリシーを移動できない
この問題は NSX 6.4.3 以降で発生します。これは、200 以上のセキュリティポリシーがある場合にのみ発生します。[優先順位の管理] ダイアログには、最初の 200 個のポリシーのみが表示されます。このため、200 個目より後にセキュリティポリシーを移動することはできません。

回避策：

セキュリティポリシーの重みを特定して、そのランクにセキュリティポリシーを移動します。たとえば、ランク 300 の重みが 1000、ランク 301 の重みが 1200 とします。セキュリティポリシーを 301 に移動する場合は、重みに 1100（つまり、1100 ～ 1200 の値）を指定します。

次の操作を行います。
1. [セキュリティポリシーの編集] ダイアログボックスを開きます。
2. セキュリティポリシーの重みを 1100 に変更し、301 に移動できるようにします。
3. 終了をクリックします。
4. ポリシーが 301 に移動したことを確認します。
問題 2395158：エンタープライズ管理者ロールが Active Directory グループに割り当てられていると、ファイアウォールセクションがグレーアウトされる
エンタープライズ管理者ロールが Active Directory グループに割り当てられています（割り当ては、[ユーザーとドメイン] > [ユーザー] > [ユーザーの識別] > [vCenter Server グループを指定する] で行います）。Active Directory グループに属するユーザーがログインし、ファイアウォールセクションをロックしている場合、ページを更新した後に、これらのユーザーがロックしているセクションはグレーアウトされます。

回避策：

[ユーザーとドメイン] > [ユーザー] > [ユーザーの識別] > [vCenter Server ユーザーを指定する] の順に移動して、エンタープライズ管理者ロールを Active Directory グループではなく、ユーザーに直接割り当てます。
問題 2444677： IPSec VPN トンネルを介して L2 VPN 経由で大量のファイルを転送すると、NSX Edge でカーネルパニックエラーが発生する
このエラーは、MTU が 1,500 バイトに設定されている場合に発生します。

回避策：

MTU を 1,600 バイトに設定します。
問題 2574260：ゲスト VLAN の使用（仮想ゲストのタグ付けまたは 802.1q VLAN のタグ付け）を有効にするために既存の論理スイッチの構成を更新すると、予期した結果にならない
この更新に合わせて、論理スイッチに関連付けられている VDS ポートグループは更新されません。

回避策：なし。
問題 2562965： DFW ルールの設定を保存すると、[保存] ボタンが数分間回転を続け、最終的に UI にエラーが表示される
vSphere Client に次のようなエラーメッセージが表示されます。
```
使用可能な NSX Manager はありません。現在のユーザーが NSX Manager に割り当てられたロールを所有していることを確認してください。
```
この問題は、DFW ルールの設定を保存している場合にのみ発生します。DFW ルールの発行に影響はありません。

回避策：なし。
問題 2595144： NSX 6.4.6 で、アクティブインターフェイスの数が 6 以上の場合、Quad Large Edge のメモリ使用率が 90% を超える
この問題は NSX 6.4.6 以降で発生します。Quad Large Edge で Rx リングバッファサイズが 4096 に変更されたことが原因です。
- インターフェイス数が 6 以上になると、NSX Edge はメモリ使用率が高いことを通知します。
- NSX Edge 仮想マシンで top -H コマンドを実行すると、通常のユーザー領域の使用率が表示されます。
- slabtop -o コマンドの出力には、 skbuff_head_cache のオブジェクト数が 10 万を超えていることが示されます。
回避策：この問題の回避策については、VMware のサポートに問い合わせください。

相互運用性の問題

問題 2586381：スケールに関する複数の問題があるため、VMware Integrated Openstack (VIO) は NSX 6.4.7 と互換性がありません。
NSX 6.4.7 は、VIO との相互運用性をサポートしていません。

回避策：なし。

リリース ノートの概要

NSX Data Center for vSphere 6.4.8 の新機能

バージョン、システム要件、インストール

システム要件とインストール

廃止および提供を中止する機能

販売およびサポートの終了に関するご注意

全般的な動作変更

ユーザー インターフェイスの削除と変更

インストールの動作変更

API の削除と動作の変更

CLI の削除と動作の変更

アップグレードに関する注意事項

アップグレードに関する注意事項

NSX コンポーネントのアップグレードに関する注意事項

FIPS のアップグレードに関する注意事項

FIPS コンプライアンス

ドキュメントの改訂履歴

解決した問題

既知の問題

リリースノートの概要

ユーザーインターフェイスの削除と変更