条件付きバックホール (CBH) は、少なくとも 1 つのパブリック リンクと 1 つのプライベート リンクを持つハイブリッド SD-WAN ブランチのデプロイ用に設計された機能です。
ユースケース 1：パブリック インターネット リンクの障害
VMware SD-WAN Edge でパブリック インターネット リンクに障害が発生した場合、VMware SD-WAN Gateway へのトンネル、クラウド セキュリティ サービス (CSS)、およびインターネットへの直接のブレイクアウトは確立されません。このシナリオでは、条件付きバックホール機能（有効になっている場合）は指定されたバックホール ハブへのプライベート リンクを介して接続を使用します。これにより、SD-WAN Edge は、プライベート オーバーレイを介してインターネットに送信されたトラフィックをハブにフェイルオーバーし、インターネット宛先に到達できるようになります。
パブリック インターネット リンクに障害が発生し、条件付きバックホールが有効になっている場合、Edge は次のタイプのインターネット向けトラフィックをフェイルオーバーできます。
- インターネットへの直接トラフィック
- SD-WAN Gateway 経由のインターネット
- クラウド セキュリティ サービスのトラフィック
通常の処理では、パブリック リンクがアクティブで、インターネット向けトラフィックは、設定されたビジネス ポリシーに従って、直接または SD-WAN Gateway 経由でフローします。
パブリック インターネット リンクがダウンするか、または SD-WAN オーバーレイ パスが QUIET 状態になる（7 ハートビート後に Gateway から受信したパケットがない）場合、インターネット向けトラフィックはハブに動的にバックホールされます。
- ハブから直接転送
- ハブから Gateway に、Gateway からブレイクアウト
パブリック インターネット リンクが回復すると、CBH はそのトラフィック フローをパブリック リンクに戻そうとします。不安定なリンクによってパブリック リンクとプライベート リンク間にトラフィックのフラップが発生することを回避するために、CBH にはデフォルトの 30 秒のホールドオフ タイマーがあります。ホールドオフ タイマーに到達すると、フローはパブリック インターネット リンクにフェイルバックされます。
ユースケース 2：クラウド セキュリティ サービス (CSS) リンクの障害
パブリック インターネットがまだ稼動しているときに SD-WAN Edge で CSS (Zscaler) リンクの障害が発生すると、CSS へのトンネルが確立されず、トラフィックがブラックホールになります。このシナリオでは、条件付きバックホールが有効になっている場合、ビジネス ポリシーで条件付きバックホールを実行し、トラフィックをハブにルーティングできます。
ポリシーベースの条件付きバックホールによって、SD-WAN Edge はパブリック リンクの状態に関係なく、CSS トンネルの状態に基づいて CSS リンクを使用するインターネット向けトラフィックをフェイルオーバーすることができます。
- すべてのセグメントの CSS トンネルが VPN プロファイルでダウンしている。
- プライマリ CSS トンネルがダウンし、セカンダリ CSS トンネルが設定されている場合に、インターネット トラフィックで条件付きバックホールが有効にならず、トラフィックがセカンダリ CSS トンネルを経由する。
CSS リンクへのトンネルが回復すると、CBH はトラフィック フローを CSS に戻そうとし、トラフィックは条件付きでバックホールされません。
条件付きバックホールの動作特性
- 条件付きバックホールが有効になっている場合、デフォルトでは、ブランチ レベルのすべてのビジネス ポリシー ルールは、CBH 経由でトラフィックをフェイルオーバーする必要があります。選択されたポリシーの特定の要件に基づいて、条件付きバックホールからトラフィックを除外するには、選択されたビジネス ポリシー レベルでこの機能を無効にします。
- 条件付きバックホールは、パブリック リンクがダウンした場合、すでにハブにバックホールされている既存のフローには影響しません。既存のフローは、引き続き同じハブを使用してデータを転送します。
- ブランチにバックアップ パブリック リンクがある場合、バックアップ パブリック リンクは CBH よりも優先されます。プライマリ リンクとバックアップ リンクがすべて動作不能になった場合にのみ、CBH がトリガされ、プライベート リンクを使用します。
- プライベート リンクがバックアップとして機能している場合、アクティブなパブリック リンクに障害が発生し、プライベート バックアップ リンクがアクティブになると、トラフィックは CBH 機能を使用してプライベート リンクにフェイルオーバーします。
- この機能を使用するには、ブランチと条件付きバックホール ハブの両方で、プライベート リンクに同じプライベート ネットワーク名を割り当てる必要があります（そうしないと、プライベート トンネルは起動しません）。
条件付きバックホールの設定
- エンタープライズ ポータルの [SD-WAN] サービスで、 の順に移動します。
- プロファイルを選択するか、[デバイス (Device)] 列の [表示 (View)] リンクをクリックします。選択したプロファイルの [デバイス (Device)] 設定ページが表示されます。
- [セグメント (Segments)] ドロップダウン メニューから、条件付きバックホールを設定するプロファイル セグメントを選択します。デフォルトでは、[グローバル セグメント [正規] (Global Segment [Regular])] が選択されています。
注： 条件付きバックホール機能は、セグメントに対応しているため、機能する予定の各セグメントで有効にする必要があります。
- [VPN サービス (VPN Services)] 領域に移動し、トグル ボタンを [オン (On)] にして[クラウド VPN (Cloud VPN)] を有効にします。
- [ブランチからハブの有効化 (Enable Branch to Hubs)] チェック ボックスをオンにします。
- [ハブの編集 (Edit Hubs)] リンクをクリックします。選択したプロファイルの [ハブの追加 (Add Hubs)] ウィンドウが表示されます。
[ハブ (Hubs)] 領域から、バックホール ハブとして機能するハブを選択し、矢印を使用して、それらを [バックホール ハブ (Backhaul Hubs)] 領域に移動します。
- 条件付きバックホールを有効にするには、[条件付きバックホールの有効化 (Enable Conditional BackHaul)] チェックボックスをオンにします。
条件付きバックホールが有効になっている場合、 SD-WAN Edge はフェイルオーバーできます。
- 利用可能なパブリック インターネット リンクがない場合は常に、インターネット向けトラフィック（直接インターネット トラフィック、SD-WAN Gateway 経由のインターネット、および IPsec 経由のクラウド セキュリティ トラフィック）を MPLS リンクへ。
- パブリック インターネット リンクがまだ起動しているときに SD-WAN Edge で CSS (Zscaler) リンク障害が発生した場合は、インターネット向け CSS トラフィックをハブへ。
注：- 条件付きバックホールと SD-WAN 到達可能性は、同じ Edge で連携できます。条件付きバックホールと SD-WAN 到達可能性のどちらでも、パブリック インターネットが Edge 上でダウンしているときに、クラウド向けの Gateway トラフィックを MPLS にフェイルオーバーすることができます。条件付きバックホールが有効で、Gateway へのパスがなく、MPLS 経由でのハブへのパスがある場合は、直接トラフィックと Gateway 向けトラフィックの両方が条件付きバックホールを適用します。SD-WAN の到達可能性の詳細については、MPLS 経由の SD-WAN サービスの到達可能性を参照してください。
- 複数のハブの候補がある場合、ハブが Gateway への接続を失っていない限り、条件付きバックホールはリストの最初のハブを使用します。
- [変更の保存 (Save Changes)] をクリックします。
条件付きバックホールのトラブルシューティング
ブランチ レベルで作成されたビジネス ポリシー ルールを持つユーザーの場合を考えてみます。[リモート診断 (Remote Diagnostics)] セクションから [アクティブ フローの一覧表示 (List Active Flows)] コマンドを実行することにより、ブランチでこれらの宛先 IP アドレスに対して定期的な ping が実行されているかどうかを確認できます。
詳細については、https://docs.vmware.com/jp/VMware-SD-WAN/index.htmlで公開されている『VMware SD-WAN トラブルシューティング ガイド』の「Edge でのリモート診断テスト」セクションを参照してください。
