条件付きバックホール (CBH) は、少なくとも 1 つのパブリック リンクと 1 つのプライベート リンクを持つハイブリッド SD-WAN ブランチのデプロイ用に設計された機能です。
ユースケース 1：パブリック インターネット リンクの障害
VMware SD-WAN Edge でパブリック インターネット リンクに障害が発生した場合、VMware SD-WAN Gateway へのトンネル、クラウド セキュリティ サービス (CSS)、およびインターネットへの直接のブレイクアウトは確立されません。このシナリオでは、条件付きバックホール機能（有効になっている場合）は指定されたバックホール ハブへのプライベート リンクを介して接続を使用します。これにより、SD-WAN Edge は、プライベート オーバーレイを介してインターネットに送信されたトラフィックをハブにフェイルオーバーし、インターネット宛先に到達可能にできます。
パブリック インターネット リンクに障害が発生し、条件付きバックホールが有効になっている場合、Edge は次のタイプのインターネット向けトラフィックをフェイルオーバーできます。
- インターネットへの直接トラフィック
- SD-WAN Gateway 経由のインターネット
- クラウド セキュリティ サービスのトラフィック
通常の処理では、パブリック リンクがアクティブで、インターネット向けトラフィックは、設定されたビジネス ポリシーに従って、直接または SD-WAN Gateway 経由でフローします。
パブリック インターネット リンクがダウンするか、または SD-WAN オーバーレイ パスが QUIET 状態になる（7 ハートビート後に Gateway から受信したパケットがない）場合、インターネット向けトラフィックはハブに動的にバックホールされます。
- ハブから直接転送
- ハブから Gateway に、Gateway からブレイクアウト
パブリック インターネット リンクが回復すると、CBH はそのトラフィック フローをパブリック リンクに戻そうとします。不安定なリンクによってパブリック リンクとプライベート リンク間にトラフィックのフラップが発生することを回避するために、CBH にはデフォルトの 30 秒のホールドオフ タイマーがあります。ホールドオフ タイマーに到達すると、フローはパブリック インターネット リンクにフェイルバックされます。
ユースケース 2：クラウド セキュリティ サービス (CSS) リンクの障害
パブリック インターネットがまだ稼動しているときに SD-WAN Edge で CSS (Zscaler) リンクの障害が発生すると、CSS へのトンネルが確立されず、トラフィックがブラックホールになります。このシナリオでは、条件付きバックホールが有効になっている場合、ビジネス ポリシーで条件付きバックホールを実行し、トラフィックをハブにルーティングできます。
ポリシーベースの条件付きバックホールによって、SD-WAN Edge はパブリック リンクのステータスに関係なく、CSS トンネルのステータスに基づいて CSS リンクを使用するインターネット向けトラフィックをフェイルオーバーすることができます。
- すべてのセグメントの CSS トンネルが VPN プロファイルでダウンしている。
- プライマリ CSS トンネルがダウンし、セカンダリ CSS トンネルが設定されている場合に、インターネット トラフィックで条件付きバックホールが有効にならず、トラフィックがセカンダリ CSS トンネルを経由する。
CSS リンクへのトンネルが回復すると、CBH はトラフィック フローを CSS に戻そうとし、トラフィックは条件付きでバックホールされません。
条件付きバックホールの動作特性
- 条件付きバックホールが有効になっている場合、デフォルトでは、ブランチ レベルのすべてのビジネス ポリシー ルールは、CBH 経由でトラフィックをフェイルオーバーする必要があります。選択されたポリシーの特定の要件に基づいて、条件付きバックホールからトラフィックを除外するには、選択されたビジネス ポリシー レベルでこの機能を無効にします。
- 条件付きバックホールは、パブリック リンクがダウンした場合、すでにハブにバックホールされている既存のフローには影響しません。既存のフローは、引き続き同じハブを使用してデータを転送します。
- ブランチにバックアップ パブリック リンクがある場合、バックアップ パブリック リンクは CBH よりも優先されます。プライマリ リンクとバックアップ リンクがすべて動作不能になった場合にのみ、CBH がトリガされ、プライベート リンクを使用します。
- プライベート リンクがバックアップとして機能している場合、アクティブなパブリック リンクに障害が発生し、プライベート バックアップ リンクがアクティブになると、トラフィックは CBH 機能を使用してプライベート リンクにフェイルオーバーします。
- この機能を使用するには、ブランチと条件付きバックホール ハブの両方で、プライベート リンクに同じプライベート ネットワーク名を割り当てる必要があります（そうしないと、プライベート トンネルは起動しません）。
条件付きバックホールの設定
- SD-WAN Orchestrator から、[設定 (Configure)] > [プロファイル (Profiles)] の順に移動します。[設定プロファイル (Configuration Profiles)] ページが表示されます。
- クラウド VPN を設定するプロファイルを選択し、[デバイス (Device)] 列の下にあるアイコンをクリックします。選択したプロファイルの [デバイス設定 (Device Settings)] ページが表示されます。
- [セグメントの設定 (Configure Segments)] ドロップダウン メニューから、条件付きバックホールを設定するプロファイル セグメントを選択します。デフォルトでは、[グローバル セグメント [正規] (Global Segment [Regular])] が選択されています。
注： 条件付きバックホール機能は、セグメントに対応しているため、機能する予定の各セグメントで有効にする必要があります。
- [クラウド VPN (Cloud VPN)] 領域に移動し、トグル ボタンを [オン (On)] にしてクラウド VPN を有効にします。
- ブランチから SD-WAN Hub への VPN を設定するには、[ブランチからハブ (Branch to Hubs)] で、[有効化 (Enable)] チェックボックスをオンにします。
- [ハブの選択 (Select Hubs)] リンクをクリックします。選択したプロファイルの [クラウド VPN ハブの管理 (Manage Cloud VPN Hubs)] ページが表示されます。
[ハブ (Hubs)] 領域から、バックホール ハブとして機能するハブを選択し、[>] 矢印を使用して、それらを [バックホール ハブ (Backhaul Hubs)] 領域に移動します。
- 条件付きバックホールを有効にするには、[条件付きバックホールの有効化 (Enable Conditional BackHaul)] チェックボックスをオンにします。
条件付きバックホールを有効にすると、 SD-WAN Edge は次のようにフェイルオーバーできます。
- 利用可能なパブリック インターネット リンクがない場合は常に、インターネット向けトラフィック（直接インターネット トラフィック、SD-WAN Gateway 経由のインターネット、および IPsec 経由のクラウド セキュリティ トラフィック）を MPLS リンクへ。
- パブリック インターネット リンクがまだ起動しているときに SD-WAN Edge で CSS (Zscaler) リンク障害が発生した場合は、インターネット向け CSS トラフィックをハブへ。
注：- 条件付きバックホールと SD-WAN 到達可能性は、同じ Edge で連携できます。条件付きバックホールと SD-WAN 到達可能性のどちらでも、パブリック インターネットが Edge 上でダウンしているときに、クラウド向けの Gateway トラフィックを MPLS にフェイルオーバーすることができます。条件付きバックホールが有効で、Gateway へのパスがなく、MPLS 経由でのハブへのパスがある場合、直接トラフィックと Gateway 向けトラフィックの両方が条件付きバックホールを適用します。SD-WAN の到達可能性の詳細については、MPLS 経由の SD-WAN サービスの到達可能性を参照してください。
- 複数のハブの候補がある場合、ハブが Gateway への接続を失っていない限り、条件付きバックホールはリストの最初のハブを使用します。
- [変更の保存 (Save Changes)] をクリックします。
条件付きバックホールのトラブルシューティング
