このセクションでは、ルート タイプ、コネクト ルートとスタティック ルート、動的ルートとタイブレイク シナリオ、分散コスト計算 (DCC) を使用したオーバーレイ フロー制御 (OFC) の設定値など、VMware SASE のルーティング機能の概要について説明します。
概要
VMware SASE ルーティングは、[VCRP] と呼ばれる独自のプロトコルで構築されています。これは、マルチパス対応で、[VCMP] トランスポートによってセキュリティが保護されています。SD-WAN エンドポイントは、iBGP フル メッシュと同様に VCRP を使用して接続されます。SD-WAN Gateway は、BGP ルート リフレクタのように機能し、プロファイル設定に基づいて、カスタマー エンタープライズ内の 1 台の SD-WAN Edge から他の SD-WAN Edge にルートを反映します。
次の図は、マルチクラウド Non SD-WAN Destination を使用した一般的な SD-WAN 展開を示しています。Orchestrator はルート計算を実行します(動的コスト計算 (DCC) を使用する新しい方法と優先される方法とは対照的です)。
ルーティング目的の SD-WAN コンポーネント
- [SD-WAN Edge] は、プライベート、パブリック、ハイブリッドの各アプリケーションおよび仮想サービスへのセキュアで最適化された接続を提供するエンタープライズ クラスのデバイスまたは仮想クラウド インスタンスです。SD-WAN のルーティングでは、Edge は[境界ゲートウェイ]です。Edge は、通常の Edge(ハブが設定されていない)、ハブとして単独で、またはクラスタの一部として、またはスポーク(ハブが設定されている場合)として機能できます。
- [SD-WAN Gateway] は、自律的、ステートレス、水平方向に拡張可能で、複数のテナントの Edge が接続できるクラウドで提供されます。いずれの SD-WAN 展開でも、複数の SD-WAN Gateway が地理的に分散し（遅延の低減のため）、水平方向に拡張可能な（キャパシティ確保のため）ネットワークとして展開され、各 Gateway は接続されている Edge の[ルート リフレクタ]として機能します。
Edge でローカルに学習されたすべてのルートは、設定に基づいて Gateway に送信されます。その後、Gateway は、これらのルートをエンタープライズ内の他の Edge に反映します。これにより、トンネルのフル メッシュを構築することなく、フル メッシュ VPN 接続を効率的に確立できます。
- [SASE Orchestrator] は、マルチテナントのクラウドベースの設定および監視ポータルです。SD-WAN ルーティングでは、Orchestrator はすべてのエンタープライズのルートを管理し、デフォルトのルーティング動作をオーバーライドできます。
ルーティングの目的でVMware SD-WANコンポーネントの例については、次の図を参照してください。
ルート タイプ
- [ローカル ルート]：SD-WAN Edge でローカルに学習されるすべてのルート。これは、接続されたサブネット、静的に設定されたルート、または BGP または OSPF を介して学習されたルートのいずれかです。
- [リモート ルート]：VCRP から学習されるルート。つまり、Edge にローカルに存在しないルートはリモート ルートです。このルートは別の Edge から送信され、設定に基づいて、Gateway によってカスタマー エンタープライズ内の他の Edge に反映されます。
SD-WAN は、変更できない非動的ルート(BGP および OSPF)のトラフィックを厳密な順序でルーティングします。ただし、場合によっては、[最長プレフィックス一致]の手法を使用して、ルーティング フローを操作できます。
- 最も長いプリフィックス長。
- ローカル コネクト。
- 優先オプションが有効な場合はローカル スタティック(LAN スタティック < WAN スタティック)。
- 優先オプションが有効になっていない場合は、オーバーレイ ルートが優先されます。
- ローカルの NSD スタティック ルート。
- NSD IPsec が NSD GRE に勝ちます。
- リモート NSD 静的。
- リモート Edge が接続されました。
- リモート Edge の LAN/WAN スタティック。
- PG スタティック。
- PG セキュア スタティック > PG 非セキュア スタティック。
- 動的ルート(オーバーレイ フロー制御 (OFC) または分散コスト計算ベースのルート順序)。
- サイト ローカル(OSPF 内部/イントラ、BGP 非アップリンク)は、過度に動的なルートよりも優先されます。
- ローカル OSPF エリア間/エリア内ルートがローカル BGP を介して優先されます。
- ローカル BGP がローカル OSPF 外部 (OE1/OE2) に優先します。
- 優先コストのリモート ルートが、非優先ローカル ルート (OE1、OE2、UPLINK BGP) よりも優先されます。
- リモート動的ルート設定内で考慮されます(優先順位が低い方が優先されます)。
- 設定が同じ場合、BGP 属性と OSPF メトリックが比較されます)。
- OSPF INTRA> INTER > OE1 > OE2
- BGP
- ローカル設定の方が高い
- 短いAS_PATHの長さ
- より小さい BGP メトリック
- 環境設定の計算の詳細については、DCC セクションを参照してください。
コネクト ルートとスタティック ルート
このセクションでは、コネクト ルートとスタティック ルートに関する重要な情報について説明します。接続ルートは、インターフェイスに直接接続されているネットワークに設定されたルートです。スタティック ルートは、プリンタなどの既存のネットワーク接続デバイスにスタティック ルートが必要な特殊な場合に役立ちます。スタティック ルートの詳細については、「スタティック ルートの設定」を参照してください。
[コネクト ルート]
- コネクト ルートを SD-WAN で表示するには、Orchestrator で次のように設定します。
- [クラウド VPN (Cloud VPN)] を有効にする必要があります。
- コネクト ルートは、有効な IP アドレスを使用して設定する必要があります。
- このルートの Edge インターフェイスが、レイヤー 1 で稼動し、レイヤー 2 および 3 で機能している必要があります。
- この Edge インターフェイスに関連付けられた VLAN も稼動している必要があります。
- [広報 (Advertise)] フラグは、設定されたコネクト ルートの Edge インターフェイスの [インターフェイスの IP アドレスの設定 (Interface IP settings)] で設定する必要があります。
- スタティック ルートを SD-WAN で表示するには、Orchestrator で次のように設定します。
- [クラウド VPN (Cloud VPN)] を有効にする必要があります。
- スタティック ルートの設定で [広報 (Advertised)] をオンにする必要があります。
- スタティック ルートは、WAN アンダーレイまたは LAN にトラフィックを転送できます。
- スタティック ルートを追加すると、Edge インターフェイスで NAT がバイパスされます。
- スタティック ルートを使用する ECMP（等コスト マルチパス ルーティング）はサポートされていません。最初のスタティック ルートのみが使用されます。
- ネクスト ホップで障害が発生した場合にトラフィックのブラックホールを回避するには、ICMP プローブを使用します。
- [優先 (Preferred)] フラグがオンになっているスタティック ルートは、オーバーレイで学習された VPN ルートよりも優先されます。
[優先 (Preferred)] チェックボックスをオンにすると、コストの低い VPN ルートが使用可能な場合でも、スタティック ルートが常に最初に一致します。
このオプションをオンにしないと、VPN ルートのコストがスタティック ルートより高くても、使用可能な VPN ルートがスタティック ルートよりも優先的に一致します。スタティック ルートは、対応する VPN ルートが使用できない場合にのみ一致します。
[広報 (Advertise)] チェックボックスをオンにすると、VPN を経由してスタティック ルートが広報され、ネットワークの他の SD-WAN Edge がリソースにアクセスできるようになります。これにより、ローカル BGP/OSPF などのルーティング プロトコルへのスタティック ルート再配分も有効になります。
このオプションは、リモート ワークをしている社員個人のプリンタなどのプライベート リソースがスタティック ルートとして設定されており、他のユーザーがリソースにアクセスできないようにする必要がある場合は選択しないでください。
OFC の[グローバル広報フラグ]は、オーバーレイに追加されるルートを制御します。デフォルトでは、外部 OSPF と Non SD-WAN Destination iBGP のルート タイプはオーバーレイに広報されません。また、Edge がハブとブランチの両方として機能している場合は、ハブではなくブランチ用に設定された[グローバル広報フラグ]が使用されます。
[自己ルート]は、IP アドレスの最長プレフィックス一致 (LPM)（172.16.1.10/32 など）を使用したインターフェイスベースのプレフィックスを参照します。このプレフィックスは、Edge にローカルにインストールされますが、リモート Edge には広報されません。セルフ ルートのもう 1 つの用語は、「インターフェイス ルート」です。Edge ログに、自己ルートがルート フラグ「s」として表示されます。
リモート Edge クライアントが送信元 Edge 側の接続ルートに属するクライアントに戻ることができるように、接続されたルートをオーバーレイに広報できるため、セルフ ルートは接続されたルートとは異なります。自己ルートは、Edge 自体に対して厳密にローカルです。
[クラウド ルート]は「v」フラグで示され、マルチパス トラフィックをインターネットに送信する（つまり、インターネットに到達する前に Gateway を利用する動的マルチパス最適化 (DMPO) を使用してインターネットにトラフィックを送信する）場合に、プライマリ VMware SD-WAN Gateway を指す Edge にインストールされたルートです。また、Edge は、パブリック クラウドでホストされている VMware Orchestrator に送信される管理トラフィックに対応する Gateway 経由のクラウド ルートも使用します。
分散コスト計算 (DCC) を使用するオーバーレイ フロー制御 (OFC)
[分散コスト計算の概要]
分散コスト計算 (DCC) は、SASE Orchestrator ではなく、SD-WAN Edge と Gateway を利用してルート設定の計算を行う機能です。Edge と Gateway はそれぞれ、ルートを学習するとすぐにそのルートを挿入し、その設定を Orchestrator に伝達します。
DCC は、大規模な展開で、Orchestrator のみに依存している場合、Edge や Gateway が Orchestrator に到達できずに、更新されたルーティング設定を受信できない、あるいは一度に大量のルート設定を計算するときに Orchestrator がルートの更新を迅速に配信できないために、ルート設定をタイムリーに更新できないという問題を解決します。ルート設定の計算を Edge と Gateway に分散することで、迅速かつ信頼性の高いルート更新が保証されます。
[分散コスト計算設定の実行方法]
| Edge | Partner Gateway/ホスト型 Gateway |
|---|---|
| NSD E BGP | NSD E/I BGP |
| NSD I BGP | E/I BGP |
| NSD アップリンク BGP | |
| OSPF O | |
| OSPF IA | |
| E BGP | |
| I BGP | |
| OSPF OE1 | |
| OSPF OE2 | |
| アップリンク BGP |
| O = OSPF イントラ エリア |
| IA = OSPF インター エリア |
| OE1 = OSPF 外部タイプ 1 |
| OE2 = OSPF 外部タイプ 2 |
| E BGP = 外部 BGP |
| I BGP = 内部 BGP |
| NSD = Non SD-WAN Destination |
各ルート タイプには設定値があり(このドキュメントのコストとして設定を考慮)、学習された各ルートにはルートのタイプに基づいて設定値が割り当てられます。設定値が小さいほど、優先順位が高くなります。表 1-3 に、各ルート タイプのデフォルト設定値を示します。
| [デバイス (Device)] | [ルート タイプ (Route Type)] | [デフォルト設定 (Default Preference)] |
| Edge/ハブ | NSD E BGP | 997 |
| Edge/ハブ | NSD I BGP | 998 |
| Gateway | NSD E/I BGP | 999 |
| Edge/ハブ | NSD アップリンク BGP | 1,000 |
| Edge/ハブ | OSPF O | 1001 |
| Edge/ハブ | OSPF IA | 1002 |
| Edge/ハブ | E BGP | 1003 |
| Edge/ハブ | I BGP | 1004 |
| Partner Gateway | E/I BGP | 1005 |
| Edge/ハブ | OSFP OE1 | 1001006 |
| Edge/ハブ | OSPF OE2 | 1001007 |
| ハブ/Edge | BGP アップリンク | 1001008 |
上記の表に表示される設定値は、オーバーレイ フロー制御設定のデフォルトの優先順位に基づいています。デフォルトの順序が変更された場合、値はそれに応じて調整されます。
[動的ルートのワークフロー]
- Edge や Gateway が、動的ルートを学習します。
- SD-WAN が、内部でルートのタイプとそのデフォルト設定値を特定します。
- SD-WAN が、正しい設定値を割り当て、ルーティング情報ベース (RIB) および転送情報ベース (FIB) にルートをインストールします。
- SD-WAN が、このルートに設定されたデフォルトの広報アクションを判断します。広報アクションに基づいて、SD-WAN がカスタマー エンタープライズ全体でルートを広報するか（広報済み）、RIB と FIB にローカルにルートを追加する以外のアクションを実行しません（広報なし）。
- SD-WAN によって、このルートが Orchestrator に同期され、Orchestrator に表示されます。
優先 VPN 出口ポイント
このセクションでは、[優先 VPN 出口ポイント]とは何か、どのルートをどのカテゴリに分類できるか、およびルートの固定を使用するデフォルト値の上書きについて説明します。
エンタープライズ ポータルの [SD-WAN] サービスで に移動すると、[優先 VPN 出口 (Preferred VPN Exits)] というセクションが表示されます。このセクションには、デフォルトの優先順位が表示され、一部のルート カテゴリが他のカテゴリよりも優先されることがマークで示されています。
![優先 VPN 出口が表示されている [オーバーレイ フロー制御 (Overlay Flow Control)] 画面のスクリーンショット。](images/GUID-88F40274-06D4-4E33-A862-23DE899A0BDA-low.jpg)
- [Edge]：ハブまたはスポーク Edge のいずれかで学習できる[内部ルート]はこのカテゴリに分類され、優先順位が最も高いことを示すマークが付けられます。[内部ルート]を OSPF OE 1 / OE 2 または BGP アップリンク タイプのルートにすることはできません。
- [ハブ]：Edge/ハブで学習された外部ルートはハブ カテゴリに分類され、通常、優先順位は低いです。ハブ ルートには、OSPF OE 1/2 と BGP アップリンクが含まれます。
- [Partner Gateway]：Partner Gateway で学習されたすべてのルート。
- [ルーター]：ルーターは、BGP または OSPF を使用して Edge によって学習されたルート プレフィックスを表し、動的ルートに割り当てられる設定を決定します。通常、VPN 出口の[ルーター]より上のすべての出口ポイントには小さい設定値（優先コスト）が割り当てられ、優先順位は高くなります。一方、[ルーター]より下のすべての出口ポイントには大きい設定値が割り当てられ、優先順位は低くなります。
- たとえば、DCC が有効になっている場合、[ルーター]より上の [VPN 出口ポイント]（Edge、Partner Gateway、またはハブ）に属するすべてのルートの設定値は 1,000,000 未満になり、[ルーター]より下のルートの設定値は 1,000,000 を超える値になります。
- 次の例では、[ルーター]より上の [VPN 出口ポイント]（NSD、Edge、Partner Gateway）の設定値は、1,000,000 未満になり、ハブの設定値は 1,000,000 を超える値になります。
![[オーバーレイ フロー制御 (Overlay Flow Control)] の別のスクリーンショット。[ルーター (Router)] が強調表示され、ルーター タイプの上下の設定値が示されています。](images/GUID-8F10AAAF-45BE-47F0-9A3D-A66598B78194-low.jpg)
[ルートの固定によるデフォルト設定値の上書き]
- 次のいずれかの方法で、[オーバーレイ フロー制御 (Overlay Flow Control)] ページでルートを固定します。
- [ルートのリスト (Routes List)] で 1 つ以上のルートを選択し、[学習したルート設定を固定 (Pin Learned Route Preference)] オプションをクリックします。
- 表の下にある [編集 (Edit)] をクリックして、[優先 VPN 出口 (Preferred VPN Exits)] の順序を変更します。
- Orchestrator が、このルーティング イベントをカスタマー エンタープライズの関連する Edge に送信します。
- Edge が、固定された順序に一致するように既存の設定値を上書きします。
- 固定されたルートに割り当てられる設定値は、1、2、3 などの最小値から始まるため、優先順位が最も高くなり、[オーバーレイ フロー制御 (Overlay Flow Control)] ページのルートの順序と一致します。
注： ルートの固定の詳細については、 サブネットの設定を参照してください。
すべてのタイプのルートのタイブレイク シナリオ
Edge が 2 つ以上の送信元/ネイバーに対して同じプレフィックスを受信した場合のシナリオを以下に示します。
SD-WAN 展開のシナリオとして考えられるのは、2 台の異なる Edge または Partner Gateway から同じプレフィックスを広報することです。VMware SD-WAN では、サブネットが同じカテゴリ（Edge、ハブ、Partner Gateway）内にあり、設定値が同じ場合、ルートの並べ替えで BGP 属性または OSPF メトリックが最初に照合されます。
それでも優先順位を付けられない場合、SD-WAN はネクスト ホップ デバイスの[論理 ID]（Edge または Gateway の [UUID (Universally Unique Identifier)] から取得）を使用して、関連付けを解除します。ネクスト ホップ デバイスは、使用されているブランチ間 VPN のタイプに応じて、Gateway またはハブ Edge になります。カスタマー エンタープライズが Gateway 経由のブランチ間 VPN を使用している場合、ネクスト ホップは Gateway になり、ブランチからハブ への VPN を使用しているカスタマーのネクスト ホップはハブ Edge になります。
複数の Gateway が同じ正確なルート タイプと設定を広報する場合は、最終的なタイ ブレーカーがあります。この最終的なタイ ブレーカーは、学習された最も古いルートを優先します。ルーティングの結果を確実に得るために、特定のルートを固定するか、BGP 属性とコストを設定して、一部のルートを他のルートよりも優先させることができます。
動的ルートの設定の計算とルートの並べ替えの図については、次の図を参照してください。
- Spoke1 と Spoke2 は、ルートを BGP ルート（非アップリンク）として学習します。
- Hub1 と Hub2 は、ルートをアップリンク BGP ルートとして学習します。
- PG1 も同じルートを学習します。
- スポーク プロファイルで、Hub1 と Hub2 経由のブランチ間が有効になっています。
- spoke1 と spoke2 はルートを BGP として学習するため、DCC 設定マッピング テーブルに従って、優先コスト値（このセクションでは設定値はコストと呼ばれます）が 1003 であることを選択します。
- ルート 9.9.9.9/32 は、リファレンス コストが 1000000 の Spoke1 と Spoke2 の FIB にインストールされます。通常どおり、アンダーレイ ルートはリファレンス コストのみで FIB にインストールされます。DCC 設定テーブルから取得されたコスト/設定は、ルートの並べ替えに使用するリモート SD-WAN エンティティ (Edge/Gateway) 用です。
- Spoke1 と Spoke2 は、取得されたコスト 1003 を使用してルートを VCRP 経由で Gateway およびリモート Edge/ハブに再配分します。次の出力イメージは、スポークの取得されたコスト/設定を示しています。
- 同様に、Hub1 と Hub2 はルートを学習し、非優先コスト (1001008) を取得します。これは、ルートをアップリンク ルートとして学習するためです。ハブは、このコストで Gateway およびその他の Edge にルートを再配分します。次の出力は、ハブの取得されたコスト/設定を示しています。
- PG1 は BGP から同じルートを学習し、コスト 1005 を使用して Edge に再配分します。次の出力は、PG の取得されたコスト/設定を示しています。
- Spoke1 は Hub1 と Hub2 からルートを受信し、非優先コストは 1001008 です。Spoke1 の優先コストは 003 です。したがって、spoke1 独自のアンダーレイ ルートが優先され、ハブ ルートはアンダーレイ ルート (SB) の下にインストールされます。ハブ ルート内で設定（コスト）が同じ場合、ルートの並べ替えのために BGP 属性が比較されます。BGP 属性も同じ場合、ルートのインストールにハブの順序が使用されます。
- Spoke1 は、それぞれのコストが 1003 と 1005 の Spoke2 および PG1 からルートを受信します。Spoke1 は優先コストが 1003 で、優先コスト (<100000) で Spoke2 および PG1 からルートを受信するため、Spoke1 はリファレンス コスト 1000000 を受信優先コストに追加し、FIB にルートをインストールします。この場合、Spoke2 のルートは 1001003 のコストでインストールされ、PG1 のルートは 1001005 のコストでインストールされます。
- Spoke2 またはハブがルートを非アップリンク ルートとして学習する場合は、同じルートの並べ替えロジックが適用されます。
- エンティティで学習されたアンダーレイ ルートがない場合、受信したルートの設定/コストへの修正はありません。ルートは、受信した設定/コストに従ってインストールされます。
- ハブは、FIB に 1000000 のリファレンス コストで独自のアンダーレイ ルート (SB) をインストールします。
- ハブは、優先コストが 1003 のスポーク ルートを受信します。コストはスポーク間で同じであるため、BGP 属性は比較され、それに基づいて並べ替えられます。BGP 属性も同じ場合は、スポークの論理 ID が並べ替えに使用されます（下位の宛先論理 ID がタイ ブレーカーで優先されます）。スポークのルートは、受信コストのままでインストールされます。
- ハブは、優先コストを持つ PG1 のルートを受信します。したがって、そのコストをそのまま使用してインストールされます。
- PG1 は、設定が 100000 の独自のアンダーレイ ルート (PB) をインストールします。
- PG1 は、対応する設定を持つスポーク ルートとハブ ルートを受信します。ルートは、設定値に基づいて FIB に配置されます。設定が同じ場合は、BGP 属性が考慮されます。BGP 属性も同じ場合は、並べ替えに論理 ID が使用されます。
- PG では、設定/コストの修正はありません。
- DCC が有効になっていない場合、広報の判定と設定の計算は Orchestrator によって実行されます。各エンティティ（Edge または Gateway）は、学習したルートを Orchestrator に送信し、Orchestrator から応答を受信することを想定します。Orchestrator から応答を受信すると、Edge または Gateway は応答内の広報フラグが「true」の場合、他の SD-WAN エンティティへのルートの再配布を開始します。
- DCC が有効になっている場合と同様に、ルートの順序設定は変わりませんが、DCC が無効になるこのシナリオでは設定値は修正されません。
- Orchestrator ベースの設定の計算では、リファレンス設定/コストは 512 です。設定/コスト < 512 が優先コストですが、> 512 は非優先ルート（アップリンク ルート、OSPF 外部ルート）に割り当てられます。その他のルートの並べ替えロジックは、DCC が有効な場合と同じままです。
- spoke2 が最初にルートを学習して Orchestrator に送信すると、Orchestrator はエンティティとルート タイプに基づいて設定の割り当てを開始します。spoke2 は非アップリンクとして学習するため、Orchestrator は設定値（64 など）を割り当てます。その後、spoke1 が同じルートを Orchestrator に送信すると、Orchestrator はエンティティ、ルート タイプ、およびルート属性を比較します。より良い場合は、設定を < 64 に割り当てます。より悪い場合は、設定を > 64 に割り当てます。
- ハブはルートをアップリンク ルートとして学習し、Orchestrator に送信します。Orchestrator は、非優先コスト (>512) を割り当てます。この例では、4096 です。設定が同じ場合、ハブの順序を使用してスポーク内のルートが並べ替えられます。
- DCC が無効になっている場合、（非アップリンク ルートを持つ）spoke1 のルートの順序は次の図のようになります。
- アップリンク ルートを持つハブのルーターの順序は、次の図のようになります。
- PG のルートの順序は次の図のようになります。
- 最も長いプリフィックス長。
- ローカルの NSD スタティック ルート。
- リモート NSD 静的。
- PG セキュア スタティック。
- エンタープライズ レベルの PG スタティック ルートがグローバル レベルの PG スタティックよりも優先されます。
- リモート接続/スタティック。
- Edge の logical_id がタイ ブレーカーになります（より高い論理 ID が優先されます）。
- 動的ルート(オーバーレイ フロー制御 (OFC) または分散コスト計算ベースのルート順序)。
- 動的ルートの並べ替えは、設定値に基づいて行われます。より低い優先度が優先されます。
- Edge とは異なり、Gateway での自動修正には設定はありません。動的ルートの場合、Gateway は受信した設定でルートをインストールします。ローカル ルートは常にリファレンス設定 1000000 でインストールされます。
注： 設定の計算の詳細については、「分散コスト計算 (DCC) を使用するオーバーレイ フロー制御 (OFC)」セクションを参照してください。 - PG 非セキュア スタティック。
