| VMware NSX Data Center for vSphere 6.4.4 | 2018 年 9 月 13 日 | ビルド 11197766 このドキュメントの改訂履歴を参照してください。 |
リリース ノートの概要
本リリース ノートには、次のトピックが含まれています。
NSX Data Center for vSphere 6.4.4 の新機能
重要：NSX for vSphere の名称が NSX Data Center for vSphere になりました。
NSX Data Center for vSphere 6.4.4 では、操作性と保守容易性が向上しており、ユーザーから報告された複数のバグが修正されています。詳細については、解決した問題を参照してください。
NSX Data Center for vSphere 6.4.4 の変更点：
NSX ユーザー インターフェイス
- VMware NSX： vSphere Client (HTML) 向けの機能をアップデートvSphere Client で、次の VMware NSX の機能を使用できるようになりました。論理スイッチ、Edge アプライアンス管理、Edge サービス（DHCP、NAT）、Edge 証明書、Edge グループ オブジェクト。サポートされる機能の一覧については、vSphere Client での VMware NSX for vSphere ユーザー インターフェイス プラグインの機能を参照してください。
ネットワークと Edge サービス
- Edge Service Gateway ごとのスタティック ルート： Quad Large と X-Large Edge Service Gateway のスタティック ルートが 2,048 から 10,240 に増えました。
バージョン、システム要件、およびインストール
注：
-
次の表は、推奨される VMware ソフトウェアのバージョンです。ここで推奨されるバージョンは一般的なものであり、環境に固有の推奨に優先するものではありません。
-
これは、本ドキュメントが公開された時点で最新の情報です。
-
NSX とその他の VMware 製品を併用する場合にサポートされる最小バージョンについては、VMware 製品の相互運用性マトリクスを参照してください。VMware はテスト結果に基づいて、サポートされる最小バージョンを定めています。
| 製品またはコンポーネント | バージョン |
| NSX Data Center for vSphere | 新たに導入する場合には、最新の NSX リリースをインストールすることをお勧めします。 既存の環境をアップグレードする場合は、アップグレードのプランニングを行う前に、NSX Data Center for vSphere のリリース ノートを参照して、特定の問題に関する情報を確認してください。あるいは、VMware テクニカル サポートの担当者に詳細をお問い合わせください。 |
| vSphere |
注：vSphere 5.5 は、NSX 6.4 でサポートされていません。 |
| ゲスト イントロスペクション (Windows) | VMware Tools のすべてのバージョンがサポートされます。一部のゲスト イントロスペクション ベースの機能には、VMware Tools の最新バージョンが必要です。
|
| ゲスト イントロスペクション (Linux) | NSX の本バージョンは、次の Linux のバージョンをサポートします。
|
システム要件とインストール
NSX のインストールの前提条件については、『NSX インストール ガイド』の「NSX のシステム要件」のセクションを参照してください。
インストール手順については、『NSX インストール ガイド』または『Cross-vCenter NSX インストール ガイド』を参照してください。
廃止および提供を中止する機能
販売およびサポートの終了に関するご注意
ただちにアップグレードが必要な NSX およびその他の VMware 製品については、VMware Lifecycle Product Matrix（英語）を参照してください。
-
NSX for vSphere 6.1.x は、2017 年 1 月 15 日に提供終了日 (EOA) およびジェネラル サポートの終了日 (EOGS) を迎えました。（VMware ナレッジベースの記事 KB2144769 を参照してください）
-
vCNS Edge のサポートを終了：NSX 6.3.x 以降にアップグレードする前に、NSX Edge にアップグレードする必要があります。
-
NSX for vSphere 6.2.x は、2018 年 8 月 20 日にジェネラル サポートが終了 (EOGS) しました。
-
セキュリティに関する推奨に基づいて、NSX Edge IPsec VPN サービスの暗号化アルゴリズム 3DES のサポートを終了
IPsec サービスで提供されるセキュアな暗号に切り替えることが推奨されています。この暗号化アルゴリズムの切り替えは、IKE SA (phase1) だけでなく、IPsec サイトの IPsec SA (phase2) ネゴシエーションにも適用されます。
NSX Edge IPsec サービスで 3DES 暗号化アルゴリズムを使用している場合、サポートが終了しているリリースにアップグレードすると、推奨される別の暗号に置き換わります。このため、NSX Edge で使用する暗号化アルゴリズムに合わせてリモート ピアの設定を変更しない限り、3DES を使用する IPsec サイトに接続できなくなります。
3DES 暗号を使用している場合は、IPsec サイトの設定で暗号化アルゴリズムを 3DES からサポート対象の AES (AES/AES256/AES-GCM) に変更します。たとえば、暗号化アルゴリズムが 3DES に設定されている 各 IPsec サイトで、3DES を AES に変更します。これに合わせて、ピアのエンドポイントで IPsec 設定を更新します。
全般的な動作変更
vSphere Distributed Switch が複数ある環境で、その 1 つに VXLAN が設定されている場合、vSphere Distributed Switch のポート グループにすべての分散論理ルーター インターフェイスを接続する必要があります。NSX 6.4.1 以降、ユーザー インターフェイスと API でこの構成の適用が実装されます。以前のリリースでは、正しくない設定が可能となっていました。 NSX 6.4.1 以降にアップグレードした後に、分散論理ルーター インターフェイスに誤って接続した場合は、この問題を解決するための操作を行う必要があります。詳細については、アップグレードに関する注意事項を参照してください。
ユーザー インターフェイスの削除と変更
NSX 6.4.1 では、Service Composer キャンバスが削除されました。
インストールの動作変更
バージョン 6.4.2 以降で、ixgbe ドライバを使用する物理 NIC を搭載したホストに NSX Data Center for vSphere をインストールした場合、デフォルトでは Receive Side Scaling (RSS) が ixgbe ドライバで有効になりません。NSX Data Center をインストールする前に、ホスト上の RSS を手動で有効にする必要があります。RSS は、ixgbe ドライバを使用する NIC を搭載したホストでのみ有効にしてください。RSS を有効にする手順については、VMware ナレッジベースの記事 https://kb.vmware.com/s/article/2034676 を参照してください。この記事には、VXLAN パケット スループットを向上させる RSS の推奨設定が記載されています。
これは、ESXi ホストにカーネル モジュール (VIB ファイル) をフレッシュ インストールする場合のみ発生します。NSX の管理対象ホストを NSX 6.4.2 にアップグレードする場合、修正は必要はありません。
API の削除と動作の変更
NSX 6.4.2 で非推奨となった項目
次の項目の使用が非推奨となりました。今後のリリースで削除される可能性があります。
GET/POST/DELETE /api/2.0/vdn/controller/{controllerId}/syslog。代わりにGET/PUT /api/2.0/vdn/controller/cluster/syslogを使用してください。
NSX 6.4.1 での動作変更
POST /api/2.0/services/ipam/pools/scope/globalroot-0 で新しい IP アドレス プールを作成するか、PUT /api/2.0/services/ipam/pools/
で既存の IP アドレス プールを変更するときに、プール内に複数の IP アドレス範囲が定義されていると、範囲が重複していないことが確認されます。以前のリリースでは、確認は実行されていませんでした。
NSX 6.4.0 で非推奨となった項目
次の項目の使用が非推奨となりました。今後のリリースで削除される可能性があります。
GET /api/4.0/edges/edgeID/statusの systemStatus パラメータの使用は推奨されません。GET /api/2.0/services/policy/serviceprovider/firewall/の使用は推奨されません。GET /api/2.0/services/policy/serviceprovider/firewall/infoを使用してください。- 分散ファイアウォールのグローバル設定セクションでの TCP Strict の設定は非推奨となりました。NSX 6.4.0 以降では、TCP Strict はセクション レベルで定義されます。注：NSX 6.4.0 以降にアップグレードした場合、TCP Strict のグローバル設定は、既存のレイヤー 3 セクションの TCP Strict の設定に使用されます。レイヤー 2 セクションとレイヤー 3 リダイレクト セクションの設定では、TCP Strict は false になります。詳細については、『NSX API ガイド』の「分散ファイアウォール設定の操作」を参照してください。
NSX 6.4.0 での動作変更
NSX 6.4.0 では、POST /api/2.0/vdn/controller でコントローラを作成するときに、<name> パラメータの使用が必須となりました。
NSX 6.4.0 では、エラー処理が次のように変更されます。
- 以前のリリースでは、
POST /api/2.0/vdn/controllerは、コントローラの作成ジョブが作成されたことを示す「201 Created」を返しました。 しかし、コントローラの作成に失敗している可能性がありました。NSX 6.4.0 以降では、応答が「202 Accepted」になります。 - 以前のリリースでは、移行モードまたはスタンドアローン モードで許可されていない API 要求を送信した場合、応答ステータスは「400 Bad Request」でした。 NSX 6.4.0 以降では、応答が「403 Forbidden」となります。
CLI の削除と動作の変更
NSX Controller ノードで、サポートされていないコマンドを使用しないでください。
NSX Controller ノードで NTP と DNS を設定する場合に、ドキュメントに記載されていないコマンドが使用できてしまう場合があります。ただし、これらのコマンドはサポートされていないため、NSX Controller ノードでは使用しないでください。『NSX CLI ガイド』に記載されているコマンドのみを使用してください。
アップグレードに関する注意事項
注：インストールとアップグレードに影響する既知の問題については、「インストールとアップグレードに関する既知の問題」を参照してください。
アップグレードに関する注意事項
-
NSX をアップグレードするには、ホスト クラスタのアップグレード（ホストの VIB のアップグレード）を含む、完全な NSX アップグレードを実行する必要があります。手順については、『NSX アップグレード ガイド』の「ホスト クラスタのアップグレード」セクションを参照してください。
-
VUM を使用したホスト クラスタの NSX VIB のアップグレードはサポートされていせん。ホスト クラスタの NSX VIB をアップグレードするには、アップグレード コーディネータ、ホストの準備、または関連する REST API を使用してください。
-
システム要件：NSX のインストールとアップグレードのシステム要件については、NSX ドキュメントの「NSX のシステム要件」セクションを参照してください。
- NSX のアップグレード パス：VMware NSX のアップグレードの詳細については、VMware 製品の相互運用性マトリクスを参照してください。
-
Cross-vCenter NSX のアップグレードについては、NSX アップグレード ガイドを参照してください。
- ダウングレードはサポートされない:
-
アップグレードの前に、必ず NSX Manager をバックアップしてください。
-
NSX を正常にアップグレードしたあとは、ダウングレードすることはできません。
-
- NSX 6.4.x へのアップデートが成功したことを確認するには、ナレッジベースの記事 KB2134525 を参照してください。
-
vCloud Networking and Security から NSX 6.4.x へのアップグレードはサポートされません。まず、サポート対象の 6.2.x リリースにアップグレードする必要があります。
- 相互運用性：アップグレードを行う前に、関連する VMware 製品をVMware 製品の相互運用性マトリックスで確認してください。
- NSX Data Center for vSphere 6.4 へのアップグレード：NSX 6.4 には、vSphere 5.5 との互換性がありません。
- vSphere 6.5 へのアップグレード：vSphere 6.5a 以降または 6.5 バージョンにアップグレードする場合は、最初に NSX 6.3.0 以降にアップグレードする必要があります。NSX 6.2.x には、vSphere 6.5 との互換性がありません。『NSX アップグレード ガイド』の「NSX 環境での vSphere のアップグレード」を参照してください。
- vSphere 6.7 へのアップグレード：vSphere 6.7 にアップグレードする場合は、最初に NSX 6.4.1 以降にアップグレードする必要があります。これより前の NSX バージョンは、vSphere 6.7 と互換性がありません。『NSX アップグレード ガイド』の「NSX 環境での vSphere のアップグレード」を参照してください。
- パートナー サービスとの互換性：ゲスト イントロスペクションまたはネットワーク イントロスペクション用に VMware のパートナー サービスをサイトで使用している場合、アップグレード前にVMware 互換性ガイドを参照して、アップグレードする NSX のバージョンとベンダーのサービスに互換性があることを確認してください。
- Networking and Security プラグイン：NSX Manager をアップグレードした後は、vSphere Web Client からログアウトし、再度ログインする必要があります。NSX プラグインが正しく表示されない場合には、ブラウザのキャッシュと履歴を消去してください。Networking and Security プラグインが vSphere Web Client に表示されない場合には、NSX アップグレード ガイドの説明に従って、vSphere Web Client サーバをリセットしてください。
- ステートレス環境：ステートレス ホスト環境では、NSX アップグレード プロセスで、新しい VIB がホスト イメージ プロファイルに事前追加されます。ステートレス ホストで NSX のアップグレードを行う場合は、次の手順を実行してください。
NSX 6.2.0 より前のバージョンでは、NSX Manager 上に 1 つの URL があり、そこから特定バージョンの ESX ホストの VIB を見つけることができました。つまり、管理者は NSX バージョンに関係なく、1 つの URL を知っておくだけで済みました。NSX 6.2.0 以降では、新しい NSX VIB を異なる URL で利用できます。正しい VIB を見つけるには、以下の手順を実行する必要があります。
- 新しい VIB URL を https://<nsxmanager>/bin/vdn/nwfabric.properties から見つけます。
- 必要な ESX ホスト バージョンの VIB を、対応する URL から取得します。
- 取得した VIB をホスト イメージ プロファイルに追加します。
NSX コンポーネントのアップグレードに関する注意事項
NSX コンポーネントでの仮想マシン ハードウェア バージョン 11 のサポート
- NSX Data Center for vSphere 6.4.2 の新規インストールの場合、NSX コンポーネント（Manager、Controller、Edge、ゲスト イントロスペクション）は仮想マシン ハードウェア バージョン 11 にインストールされます。
- NSX Data Center for vSphere 6.4.2 へアップグレードする場合、NSX Edge と ゲスト イントロスペクションは自動的に仮想マシン ハードウェア バージョン 11 にアップグレードされます。NSX Manager と NSX Controller は、アップグレード後も引き続き仮想マシン ハードウェア バージョン 8 で実行されます。仮想マシン ハードウェア バージョン 11 にアップグレードすることも可能です。仮想マシン ハードウェアのバージョンをアップグレードする手順については、ナレッジベース (https://kb.vmware.com/s/article/1010675) を参照してください。
- NSX 6.3.x、6.4.0、6.4.1 の新規インストールの場合、NSX コンポーネント（Manager、Controller、Edge、ゲスト イントロスペクション）は仮想マシン ハードウェア バージョン 8 にインストールされます。
NSX Manager のアップグレード
-
重要：NSX 6.2.0、6.2.1 または 6.2.2 から NSX 6.3.5 以降にアップグレードする場合は、アップグレードを開始する前に、既知の問題への回避策を実行しておく必要があります。詳細については、VMware のナレッジベースの記事 KB000051624 を参照してください。
-
NSX 6.3.3 から NSX 6.3.4 以降にアップデートする場合は、VMware のナレッジベースの記事 KB2151719の回避策を行ってからアップデートしてください。
-
NSX のバックアップに SFTP を使用する場合は、hmac-sha1 はサポートされていないため、NSX 6.3.0 以降にアップグレードした後で hmac-sha2-256 に変更してください。サポートされるセキュリティ アルゴリズムについては、VMware のナレッジベースの記事 KB2149282 を参照してください。
-
NSX Manager を NSX 6.4.1 にアップグレードすると、アップグレード中にバックアップが自動的に作成され、ローカルに保存されます。詳細については、NSX Manager のアップグレードを参照してください。
-
NSX 6.4.0 へのアップグレードでは、TLS の設定が維持されます。TLS 1.0 のみを有効にする場合、vSphere Web Client に NSX プラグインが表示されますが、NSX Manager は表示されません。データパスに影響はありませんが、NSX Manager の設定を変更することはできません。https://nsx-mgr-ip/ で NSX アプライアンスの管理 Web ユーザー インターフェイスにログインし、TLS 1.1 と TLS 1.2 を有効にします。これにより、NSX Manager アプライアンスが再起動します。
コントローラのアップグレード
- NSX Controller クラスタには、3 台のコントローラ ノードが必要です。コントローラが 3 台未満の場合は、アップグレードを開始する前にコントローラを追加する必要があります。詳細については、NSX Controller クラスタのデプロイを参照してください。
-
NSX 6.3.3 では、NSX Controller の基盤となるオペレーティング システムが変わりました。NSX 6.3.2 以前から NSX 6.3.3 以降にアップデートする場合、インプレース アップグレードは実行されません。既存のコントローラが 1 度に 1 つずつ削除され、同じ IP アドレスを使用して新しい Photon OS ベースのコントローラが展開されます。
コントローラを削除すると、関連する DRS の非アフィニティ ルールも削除されます。vCenter Server で新しい非アフィニティ ルールを作成して、新しいコントローラ仮想マシンが同じホストに配置されないようにする必要があります。
コントローラのアップグレードの詳細については、NSX Controller クラスタのアップグレードを参照してください。
ホスト クラスタのアップグレード
-
NSX 6.3.2 以前のバージョンから NSX 6.3.3 以降にアップグレードすると NSX VIB 名が変更されます。
ESXi 6.0 以降に NSX 6.3.3 以降をインストールすると、esx-vxlan と esx-vsip VIB が esx-nsxv に変更されます。 -
アップグレードおよびアンインストールでホストの再起動が不要：vSphere 6.0 以降で、NSX 6.2.x から NSX 6.3.x 以降にアップグレードする場合、以降の NSX VIB の変更でホストの再起動が不要になります。代わりに、VIB 変更を完了するには、ホストをメンテナンス モードにする必要があります。これは、NSX ホスト クラスタのアップグレードと ESXi のアップグレードの両方に影響します。詳細については、『NSX アップグレード ガイド』を参照してください。
NSX Edge のアップグレード
-
NSX 6.4.1 で、無効な分散論理ルーターの設定を許可しない検証機能を追加：VXLAN と複数の vSphere Distributed Switch を持つ環境では、分散論理ルーターのインターフェイスを VXLAN が設定された vSphere Distributed Switch にのみ接続する必要があります。VXLAN が設定されていない vSphere Distributed Switch に分散論理ルーターのインターフェイスが接続していると、分散論理ルーターを NSX 6.4.1 以降にアップグレードできません。正しく設定されていないインターフェイスを VXLAN が設定されている vSphere Distributed Switch のポート グループに接続するには、API を使用します。有効な設定に変更してから、アップグレードを再試行します。インターフェイスの設定を変更するには、
PUT /api/4.0/edges/{edgeId}またはPUT /api/4.0/edges/{edgeId}/interfaces/{index}を使用します。詳細については、『NSX API ガイド』を参照してください。 -
NSX Edge アプライアンスをアップグレードする前に NSX 用ホスト クラスタを準備する必要がある：NSX 6.3.0 以降では、NSX Manager と Edge 間で、VIX チャネルを経由した管理プレーン通信はサポートされません。メッセージ バス チャネル経由のみがサポートされます。NSX 6.2.x 以前から NSX 6.3.0 以降にアップグレードする場合、NSX Edge アプライアンスのデプロイ先のホスト クラスタが準備されていることと、メッセージング インフラストラクチャのステータスが正常であることを確認する必要があります。NSX 用ホスト クラスタが準備されていない場合、NSX Edge アプライアンスのアップグレードに失敗します。詳細については、『NSX アップグレード ガイド』の NSX Edge のアップグレードを参照してください。
-
Edge Services Gateway (ESG) のアップグレード：
NSX 6.2.5 以降、リソース予約は NSX Edge のアップグレード時に実行されるようになりました。十分なリソースのないクラスタで vSphere HA が有効になっている場合、vSphere HA の制約に違反するためアップグレードに失敗することがあります。そのようなアップグレードの失敗を回避するには、ESG をアップグレードする前に次の手順を実行します。
インストール時またはアップグレード時に値を明示的に設定していない場合は、次のリソース予約が NSX Manager で使用されます。
NSX Edge
フォーム ファクタCPU 予約 メモリの予約 Compact 1000 MHz 512 MB Large 2000 MHz 1024 MB Quad Large 4000 MHz 2048 MB X-Large 6000 MHz 8192 MB -
インストール環境が vSphere HA 向けのベスト プラクティスに従っていることを常に確認します。ナレッジベースの記事 KB1002080 を参照してください。
-
NSX チューニング設定 API を使用します。
PUT https://<nsxmanager>/api/4.0/edgePublish/tuningConfiguration
edgeVCpuReservationPercentage と edgeMemoryReservationPercentage の値が、フォーム ファクタで使用可能なリソースを超えていないことを確認します（デフォルト値は上の表を参照）。
-
-
vSphere HA が有効で Edge を展開している環境では、vSphere の [仮想マシンの起動] オプションを無効にする：vSphere HA が有効で Edge が展開されているクラスタでは、NSX Edge の 6.2.4 以前のバージョンを 6.2.5 以降にアップグレードした後、vSphere の [仮想マシンの起動] オプションを無効にする必要があります。それには、vSphere Web Client を開き、NSX Edge 仮想マシンが常駐する ESXi ホストを見つけ、[管理] > [設定] の順にクリックし、[仮想マシン] で [仮想マシンの起動/シャットダウン] を選択して、[編集] をクリックします。次に、仮想マシンが手動モードにあることを確認します。[自動起動/シャットダウン] リストに追加されていないことを確認してください。
-
NSX 6.2.5 以降にアップグレードする前に、ロード バランサの暗号化リストがコロン区切りであることを確認します。暗号化リストにコンマなど別の区切り文字が使用されている場合は、https://nsxmgr_ip/api/4.0/edges/EdgeID/loadbalancer/config/applicationprofiles への PUT 呼び出しを実行し、<clientssl> </clientssl> および <serverssl> </serverssl> の各 <ciphers> </ciphers> リストをコロン区切りのリストに置換します。たとえば、要求本文の関連セグメントは次のようになります。すべてのアプリケーション プロファイルに対して次の手順を繰り返します。
<applicationProfile> <name>https-profile</name> <insertXForwardedFor>false</insertXForwardedFor> <sslPassthrough>false</sslPassthrough> <template>HTTPS</template> <serverSslEnabled>true</serverSslEnabled> <clientSsl> <ciphers>AES128-SHA:AES256-SHA:ECDHE-ECDSA-AES256-SHA</ciphers> <clientAuth>ignore</clientAuth> <serviceCertificate>certificate-4</serviceCertificate> </clientSsl> <serverSsl> <ciphers>AES128-SHA:AES256-SHA:ECDHE-ECDSA-AES256-SHA</ciphers> <serviceCertificate>certificate-4</serviceCertificate> </serverSsl> ... </applicationProfile> - vRealize Operations Manager (vROPs) 6.2.0 より前のバージョンでロード バランシングされたクライアントに正しい暗号バージョンを設定する：vROPs 6.2.0 より前のバージョンの vROPs プール メンバーは TLS バージョン 1.0 を使用しています。このため、NSX のロード バランサの設定で監視の拡張機能を編集し、"ssl-version=10" と明示的に指定する必要があります。手順については、『NSX 管理ガイド』の「サービス モニターの作成」を参照してください。
{ "expected" : null, "extension" : "ssl-version=10", "send" : null, "maxRetries" : 2, "name" : "sm_vrops", "url" : "/suite-api/api/deployment/node/status", "timeout" : 5, "type" : "https", "receive" : null, "interval" : 60, "method" : "GET" }
FIPS のアップグレードに関する注意事項
NSX 6.3.0 より前のバージョンから NSX 6.3.0 以降のバージョンにアップグレードする場合は、アップグレードが完了するまで FIPS モードを有効にしないでください。アップグレードが完了する前に FIPS モードを有効にすると、アップグレード済みのコンポーネントとアップグレードされていないコンポーネント間の通信が中断されます。詳細については、『NSX アップグレード ガイド』の「FIPS モードと NSX アップグレードの理解」を参照してください。
-
OS X Yosemite および OS X El Capitan でサポートされる暗号：OS X 10.11 (EL Capitan) で SSL VPN クライアントを使用している場合は、AES128-GCM-SHA256、ECDHE-RSA-AES128-GCM-SHA256、ECDHE-RSA-AES256-GCM-SHA38、AES256-SHA、および AES128-SHA 暗号を使用して接続することができ、OS X 10.10 (Yosemite) を使用している場合は AES256-SHA および AES128-SHA 暗号のみを使用して接続することができます。
-
NSX 6.3.x へのアップグレードが完了するまでは FIPS を有効にしないでください。詳細については、『NSX アップグレード ガイド』の「FIPS モードと NSX アップグレードの理解」を参照してください。
- FIPS モードを有効にする前に、パートナーのソリューションが FIPS モードの認定を受けていることを確認してください。『VMware 互換性ガイド』と、関連するパートナーのドキュメントを参照してください。
FIPS コンプライアンス
NSX 6.4 を正しく設定すると、すべてのセキュリティ関連の暗号化に、FIPS 140-2 認証を受けている暗号モジュールが使用されます。
注：
- コントローラと VPN のクラスタリング：NSX Controller は、IPsec VPN を使用してコントローラ クラスタに接続します。IPsec VPN では、VMware Linux カーネル暗号モジュール（VMware Photon OS 1.0 環境）を使用しています。このモジュールは現在 CMVP 認証を申請中です。
- Edge IPsec VPN：NSX Edge IPsec VPN では、VMware Linux カーネル暗号モジュール（VMware NSX OS 4.4 環境）を使用しています。このモジュールは現在 CMVP 認証を申請中です。
ドキュメントの改訂履歴
2018 年 12 月 13 日：初版。
解決した問題
解決した問題には、次のトピックが含まれます。
解決した一般的な問題- 解決した問題 2089858：高ネットワーク スループットでのゲスト イントロスペクション サービス仮想マシンのメモリ制限
ゲスト イントロスペクション サービス仮想マシンのメモリ使用率が高くなります。NSX Manager との接続が切断されることもあります。問題のあるホストで実行されるユーザーのワークロードに影響する可能性があります。
- 解決した問題 2094345：NSX でフロー収集を有効にするとパープル スクリーンが表示される
ホストがクラッシュしてパープル スクリーンが表示され、仮想マシン データの損失が発生します。
- 解決した問題 2177097：API 呼び出し /api/2.0/vdn/config/segments を使用して、セグメント ID が 1 のプールを作成すると、エラーが発生し、「セグメント ID が範囲外になっています。有効な範囲は 5000-16777215 です」とメッセージが返されます。
API /api/2.0/vdn/config/segments を使用して単一値のセグメントを作成するときに、開始値と終了値に同じ値を指定すると、エラーが発生します。
- 解決した問題 2178339: systemd サービス ファイルの ExecReload 行から rsyslog 8.15.0-7.ph1 が削除され、/var/log/syslog と /var/log/messages でログが正しくローテーションされない
この問題により、/var/log パーティションのディスク容量がすべて使用され、新しいログの書き込みができなくなります。
- 解決した問題 2188753：domain_object_relationships テーブルで vNIC に複数のマッピングが存在すると、インベントリの同期で「重複するキーの値が一意性の制約に違反しています」という例外が発生する
インベントリの同期に失敗し、vCenter Server と NSX が同期されなくなります。
- 解決した問題 2194374：ゲスト イントロスペクション サービス仮想マシンの SSH が機能しない
RSA、DSA、ECDSA、ED25519 などの一部の SSH キーが自動的に生成されません。
- 解決した問題 2134192：スイッチにポートを設定していない場合、エラーが発生する
ハードウェア ゲートウェイの物理スイッチにポートを設定していない場合、スイッチのポートを取得しようとすると、NSX がエラーを返します。ポートを取得しようとすると、「インベントリ情報を取得できません」というエラーが表示されます。
- 解決した問題 2183584：推奨ルールの [適用先] 列のドロップダウン メニューに、Application Rule Manager セッションで作成されたセキュリティ グループが表示されない
推奨ルールの [適用先] 列のドロップダウン メニューに、Application Rule Manager セッションで作成されたセキュリティ グループが表示されない
- 解決した問題 2210313：「強制同期」ワークフローでセキュリティ ポリシーが継承されない
セキュリティ ポリシーを別の子ポリシーが継承している場合、強制同期を実行すると、子ポリシーが適用されたセキュリティ グループが親ポリシーのポリシー セキュリティ グループとして認識されません。親ポリシーのファイアウォール ルールが子ポリシーのポリシー セキュリティ グループに正しく適用されません。
- 解決した問題 2216582：一部の仮想マシンがアンチウイルスで保護されない
メモリ使用率が高いために仮想マシンの UUID が変更されると、変更後の仮想マシンに新しい設定が適用されません。一部の仮想マシンがアンチウイルスで保護されなくなります。
- 解決した問題 2195346：コントローラ クラスタを削除して追加すると、分散論理ルーターのインスタンスがセカンダリ Manager のホストから消去される
コントローラ クラスタを削除して追加すると、約 40 秒間トラフィックが失われます。
- 解決した問題 2213199：論理スイッチの仮想マシン ページが読み込まれない
ユーザー インターフェイスがフリーズ状態になります。論理スイッチの仮想マシンがすべて表示されません。
- 解決した問題 2172254：ブリッジのみを設定すると、アクティブなアプライアンスの再デプロイ時にアクティブ/アクティブがレポートされる
2 台のアプライアンスに同じ IP アドレスが設定されているとレポートされることがあります（アクティブ/アクティブ状態）。ただし、アップリンクが 1 つでも設定されている場合、または分散論理ルーターでルーティングが設定されている場合は、この問題は発生しません。アップリンクが設定されていない場合や、分散論理ルーターで動的ルーティングが有効になっておらず、L2 ブリッジのみが設定されている場合に、トラフィックがドロップし、アクティブ/アクティブ状態が発生します。
- 解決した問題 2018917：NSX バックアップ ファイルの数が多くなり、予期しない動作が発生する
NSX バックアップ ファイルの数が多くなり、予期しない動作が発生します。たとえば、NSX の展開に失敗したり、ユーザー インターフェイスが応答しなくなります。
- 解決した問題 2158380：ログアウト後に SSL VPN DNS サフィックスの変更が元に戻らない
SSL VPN クライアントのログアウト後に、アダプタの DNS サフィックスの変更が元に戻りません。DNS 解決が想定どおりに機能しないことがあります。
- 解決した問題 2177891：Edge の障害から復旧した後で、Edge BGP から学習したネクストホップが想定どおりに機能しないことがある
Edge の障害から復旧した後で、Edge BGP で学習したネクストホップが想定どおりに機能しないことがあります。ユーザーのトポロジによっては、パケット ロスが発生する可能性があります。
- 解決した問題 2178771：SSL VPN インターフェイス na0 でゲートウェイ IP アドレスが失われる
接続したクライアントのゲートウェイとして機能している SSL VPN na0 インターフェイスで IP アドレスが失われ、クライアントからのトラフィックが中断します。クライアント トラフィックが想定どおりに送信されません。
- 解決した問題 2192834：deployAppliance フラグを使用せずにアプライアンスの設定を削除しても、解決策が提示されない
エラー メッセージが明瞭でなく、解決策も提示されません。
- 解決した問題 2126743：仮想マシンをセキュリティ グループに追加するとき、仮想マシンの IP アドレスが addrset に表示されない
セキュリティ グループに仮想マシンに追加するときに、仮想マシンの IP アドレスが addrset に表示されません。正しく設定されているセキュリティ グループに仮想マシンを追加しても、仮想マシンに正しいポリシーが適用されないため、トラフィックが失われます。
- 解決した問題 2197442：ユニバーサル分散論理ルーター (UDLR) の BGP ネイバーのパスワードがセカンダリ NSX Manager に複製されない
設定したネイバーからルートが学習されません。
- 解決した問題 2209469：セクション レベルの作成/更新が Edge に発行されない
Edge でのセクションの更新は成功しますが、データプレーンでルールが更新されません。
- 解決した問題 2207483：East-West と North-South の両方のルーティング トラフィックのネットワーク遅延が大きい
ルーティング トラフィックを生成する仮想マシンの TxWorld の CPU 使用率が 100% になり、ネットワーク遅延が大きくなります。
- 解決した問題 2192486：基盤となるユニキャスト ルーティングがスタティック ルートを経由していて、高可用性 (HA) モードが無効になっているときに、NSX 6.4.2 から 6.4.3 にアップデートすると、South - North のマルチキャスト トラフィック転送が停止する
NSX 内の送信元と NSX 外のレシーバ間でマルチキャスト ストリームを実行し、基盤となるユニキャスト ルーティングがスタティック ルートを経由している場合、NSX 6.4.2 から 6.4.3 にアップデートすると、既存のマルチキャスト ストリームでトラフィック転送が停止します。アップデート後に作成されたマルチキャスト ストリームは影響を受けず、転送されます。
- 解決した問題 2185738：IPv6 アドレスが設定されているインターフェイスを使用できない
IPv4 アドレスを持つ内部インターフェイスはリストに表示されますが、このインターフェイスに IPv6 アドレスも設定されているとエラーが発生します。IPv6 アドレスを含むインターフェイスに DNS フォワーダの設定が適用されません。
- 解決した問題 2215061：ロード バランサが設定され、グループ オブジェクトと高可用性が有効な場合、DCN の発行後に両方の仮想マシンに同じ ApplianceConfig が送信され、NSX Edge で高可用性状態が失われる
高可用性が切断され、スプリット ブレインが発生します。
- 解決した問題 2220327：Edge でシステム管理リソースの予約を設定できない
Edge でカスタム リソースの予約を選択すると、ユーザー インターフェイスのメニューにシステム管理リソースの予約が表示されません。
- 解決した問題 2220549：グループ オブジェクトを使用するファイアウォール ルールの検証に時間がかかり、ユーザー インターフェイスがタイムアウトする
グループ オブジェクトを使用するファイアウォール ルールが設定されていると、Edge ファイアウォールの設定変更に 2 分以上かかり、ユーザー インターフェイスがタイムアウトします。
- 解決した問題 2220325：テクニカル サポート バンドルのファイルにプレーン テキストのパスワードが設定されている
テクニカル サポート バンドルに含まれているプレーン テキストの設定ファイルに、postgres、rabbitmq のパスワードが記述され、取得可能な状態になっています。
- 解決した問題 2208178：NSX Manager の再起動後、ユーザー インターフェイスの [ホストの準備] タブに NSX VIB のインストール タスクが実行中と表示される
ESX Agent Manager は NSX VIB のインストールを開始しません。
既知の問題
既知の問題には次の項目が含まれます。
- 一般的な既知の問題
- インストールとアップグレードに関する既知の問題
- NSX Manager に関する既知の問題
- 論理ネットワークと NSX Edge に関する既知の問題
- セキュリティ サービスに関する既知の問題
- 問題 2197754：vSphere Distributed Switch を 6.6 にアップグレードすると、ホストにパープル スクリーンが表示される
NSX 6.4 がインストールされている環境で vSphere Distributed Switch をバージョン 6.6 にアップグレードすると、ESXi がパープル スクリーンを表示します。この問題は、新規にインストールされた vSphere 6.7 の vSphere Distributed Switch 6.6 では発生しません。
回避策：vSphere 6.7 にアップグレードする場合は、バージョン 6.5 以前の vSphere Distributed Switch を使用してください。
- vSphere Web Client で、Flex コンポーネントを開いて HTML の画面に重ねると、画面が表示されなくなる
メニューやダイアログなどの Flex コンポーネントを開き、HTML 画面に重ねると、画面が一時的に非表示になります。
(参照：http://pubs.vmware.com/Release_Notes/en/developer/webclient/60/vwcsdk_600_releasenotes.html#issues)回避策：なし。
- 問題 2118255： 分散論理ルーターの制御仮想マシンがマルチキャスト ルーティングに参加しない
分散論理ルーターの制御仮想マシンがマルチキャスト ルーティングに参加しません。制御仮想マシンでは、マルチキャスト関連の CLI には、空の CLI が表示されます。
- 問題 2145540: ESX 6.7 で、ホストが参加するアンダーレイ マルチキャスト グループの合計数が 128 に制限されている
分散論理ルーターでマルチキャスト ルーティングを設定している場合は、レプリケーション マルチキャストの範囲を 64 以下（CIDR /26 以上）にすることをおすすめします。
- 問題 2189417：イベント ログの数がサポートされる制限を超える
イベント数が増加すると、一部のイベントが失われ、IDFW が機能しなくなります（物理ワークロードの場合のみ）。
回避策：物理ワークロードを縮小します。
- 問題 2236618：10,000 のスタティック ルートのある ESG で vNIC/アプライアンスの設定を行うと、応答時間が約 2 分と表示される
スタティック ルートの数が増加すると、vNIC/アプライアンスの設定に時間がかかります。ユーザー インターフェイスで vNIC/サブインターフェイス/アプライアンスを設定し、2 分の制限時間を超えるとタイムアウトになることがあります。ただし、設定自体は成功します。
回避策：ユーザー インターフェイスの表示を更新して、設定変更のステータスを確認します。
アップグレードの前に、このドキュメントの前半の「アップグレードに関する注意事項」を参照してください。
- 問題 2001988：NSX ホスト クラスタのアップグレードで各クラスタをアップグレードしているときに、[ホストの準備] タブでクラスタ全体のインストール状況を確認すると、「準備ができていません」と「インストール中」が交互に表示される
NSX のアップグレードで、NSX が準備したクラスタの「アップグレードを利用可能」をクリックすると、ホストのアップグレードを開始します。DRS FULL AUTOMATIC が設定されたクラスタの場合、ホストのアップグレードがバックグラウンドで問題なく実行されているにも関わらず、インストール状況として「インストール中」と「準備ができていません」が交互に表示されます。
回避策：これはユーザー インターフェイスの問題で、無視しても問題ありません。ホスト クラスタのアップグレードが完了するまでお待ちください。
- 問題 1859572: vCenter Server バージョン 6.0.0 で管理されている ESXi ホストから NSX バージョン 6.3.x の NSX VIB をアンインストールすると、ホストがメンテナンス モードのままになる
クラスタで NSX 6.3.x の NSX VIB をアンインストールする場合、vSphere ESX Agent Manager (EAM) サービスがホストをメンテナンス モードに切り替え、VIB をアンインストールし、ホストのメンテナンス モードを解除します。ただし、ホストを vCenter Server 6.0.0 で管理している場合、VIB のアンインストール後にホストがメンテナンス モードのままになります。VIB をアンインストールする EAM サービスは、ホストをメンテナンス モードに切り替えることはできますが、メンテナンス モードの解除に失敗します。回避策：ホストのメンテナンス モードを手動で解除します。vCenter Server バージョン 6.5a 以降でホストを管理している場合、この問題は発生しません。
- 問題 1263858: SSL VPN がアップグレード通知をリモート クライアントに送信しない
SSL VPN ゲートウェイはアップグレード通知をユーザーに送信しません。管理者は、SSL VPN ゲートウェイ（サーバ）が更新されたことと、リモート ユーザーが自分のクライアントを更新しなければならないことを、リモート ユーザーに手動で通知する必要があります。
回避策：ユーザーは旧バージョンのクライアントをアンインストールして、最新バージョンを手動でインストールする必要があります。
- 問題 2106417: NSX Manager を 6.3.0 から 6.4.1 にアップグレードした後で、ゲスト イントロスペクション サービス仮想マシンの状態が「失敗」になる
vCenter Server 6.5 u1 を使用していて、NSX Manager を 6.3.0 から 6.4.1 にアップグレードすると、ゲスト イントロスペクション サービス仮想マシンのアップグレードに失敗する場合があります。
回避策：この問題が発生したら、ゲスト イントロスペクション サービス仮想マシンを削除して、再度デプロイします。
- 問題 2006028：アップグレード中に vCenter Server システムが再起動すると、ホストのアップグレードに失敗する場合がある
ホストのアップグレード中に関連する vCenter Server システムが再起動すると、ホストのアップグレードに失敗し、ホストがメンテナンス モードになる場合があります。[解決] をクリックしても、ホストがメンテナンス モードから切り替わりません。クラスタのステータスは「準備ができていません」になります。
回避策：ホストのメンテナンス モードを手動で終了します。クラスタで [準備ができていません] をクリックして、[すべて解決] をクリックします。
- 問題 2171182： NSX ユーザー インターフェイスの [ハードウェア デバイス] タブで、複数のレプリケーション クラスタを作成または管理できない
NSX ユーザー インターフェイスでは、デフォルトで 1 つのレプリケーション クラスタを表示できますが、複数のレプリケーション クラスタを表示できません。
回避策：現在、複数のレプリケーション クラスタは、API を通じてサポートしています。複数のレプリケーション クラスタを管理するには、NSX API を使用してください。
- 問題 1747978：NSX Edge 高可用性のフェイルオーバー後に、OSPF 隣接関係が MD5 認証で削除される
NSX for vSphere 6.2.4 環境で、NSX Edge が高可用性構成となっており、OSPF グレースフル リスタートが設定され、認証に MD5 が使用される場合、OSPF は正常に起動できません。隣接関係は、Dead タイマーが OSPF ネイバー ノード上で終了した後にのみ発生します。回避策：なし。
- 問題 2005973：いくつかの GRE トンネルを削除し、管理プレーンから Edge ノードの強制同期を行うと、ルーティング デーモン MSR がすべてのルーティング設定を失う
この問題は、GRE トンネル経由で BGP セッションを使用している Edge で発生することがあります。GRE トンネルを削除し、管理プレーンから Edge の強制同期を行うと、すべてのルーティング設定が失われます。
回避策：Edge ノードを再起動してください。
- 問題 2005900: 8-way iBGP/マルチホップ BGP ECMP の大規模なトポロジで、すべての GRE トンネルがフラップすると、CPU 使用率が 100% になり、Edge でルーティング デーモン MSR がスタックする
この問題は、ESG で iBGP またはマルチホップ BGP が設定され、多くの GRE トンネルにまたがって複数のネイバーが確立されている大規模なトポロジで発生する可能性があります。複数の GRE トンネルがフラップすると、CPU 使用率が 100% になり、MSR がスタックする場合があります。
回避策：Edge ノードを再起動してください。
- 問題 2239686：10,000 のスタティック ルートのある ESG（XLARGE または QUADLARGE）でマルチキャストを設定すると、設定が完了するまでに 2 分ほどかかる
スタティック ルートの数が増えると、ルーティング設定での BGP/OSPF/グローバルの設定に時間がかかります。マルチキャストを設定した場合、ルーティング設定での以降の BGP/OSPF/グローバル設定は成功しますが、処理に時間がかかります。ルーティング設定で、ユーザー インターフェイスから BGP/OSPF/グローバルの設定を行うと、制限時間の 2 分を超えてタイムアウトになる場合があります。ただし、設定は成功します。ユーザー インターフェイスの表示を更新すると、設定変更のステータスが反映されます。
回避策：
- マルチキャストを設定していない場合、bgp、ospf、スタティック ルート、グローバルの設定は 10 ～ 20 秒で完了します。
- マルチキャストが必要ない場合は、マルチキャストを設定しないでください。
- マルチキャストが設定済みでも不要な場合は、マルチキャストの設定を解除すれば応答時間が短縮されます。
- 問題 1648578：新しい NetX ホストベースのサービス インスタンスの作成時に、NSX でクラスタ/ネットワーク/ストレージの追加が強制される
vSphere Web Client からファイアウォール、IDS、IPS などの NetX ホストベース サービス用に新しいサービス インスタンスを作成する際に、クラスタ/ネットワーク/ストレージの追加が不要な場合でも強制されます。回避策：新しいサービス インスタンスの作成時に、クラスタ/ネットワーク/ストレージに関する情報を追加し、フィールドに入力します。これにより、サービス インスタンスの作成が許可され、操作を続行できるようになります。
- 問題 2018077：カスタム L7 ALG サービスを含むルールに宛先ポートとプロトコルが指定されていないと、ファイアウォール ルールの発行に失敗する
宛先ポートとプロトコルを指定せずに、L7 ALG APP (APP_FTP、APP_TFTP、APP_DCERPC、APP_ORACLE) を選択して L7 サービスを作成し、このサービスをファイアウォール ルールで使用すると、ファイアウォール ルールの発行に失敗します。
回避策：次の ALG サービスにカスタム L7 サービスを作成するときに、宛先ポートとプロトコル (TCP/UDP) に適切な値を設定します。
- APP_FTP：ポート 21、プロトコル：TCP
- APP_TFTP：ポート 69、プロトコル：UDP
- APP_DCERPC：ポート 135、プロトコル：TCP
- APP_ORACLE：ポート 1521、プロトコル：TCP
