例：単一 EPG または同じテナント内の複数の EPG における Cisco ACI でのマイクロセグメンテーション

EPG に Web サーバを割り当て、類似したポリシーを適用できるようにすることができます。デフォルトでは、EPG 内のすべてのエンドポイントが自由に相互に通信できます。ただし、この Web EPG に実稼働 Web サーバと開発用 Web サーバが混在する場合は、このれらの異なるタイプの Web サーバ間の通信を許可したくない場合があります。Cisco ACI でのマイクロセグメンテーションを使用すると、新しい EPG を作成し、「Prod-xxxx」や「Dev-xxx」などの VM 名属性に基づいてエンドポイントを自動的に割り当てることができます。

例：エンドポイント検疫のためのマイクロセグメンテーション

Web サーバおよびデータベース サーバに個別の EPG があり、それぞれに Windows VM と Linux VM の両方が含まれているとします。Windows のみに影響するウィルスがネットワークに脅威を与えている場合は、たとえば「Windows-Quarantine」という新しい EPG を作成し、VM ベースのオペレーティング システム属性を適用してすべての Windows ベースのエンドポイントをフィルタリングで除去することにより、すべての EPG にわたって Windows VM を分離することができます。この検疫 EPG には、さらに制限された通信ポリシーを適用できます（許可されるプロトコルの制限や、コントラクトを持たないことによるその他の EPG との通信の防御など）。マイクロセグメント EPG は、コントラクトを持っていてもコントラクトを持っていなくてもかまいません。

Cisco APIC

1. ユーザーは、Cisco APIC で VMware VDS または Microsoft Hyper-V 仮想スイッチの VMM ドメインを構成します。

2. Cisco APIC は vCenter または SCVMM に接続し、以下を実行します。

   1. VMware VDS または Microsoft Hyper-V 仮想スイッチのインスタンスを作成します。

   2. VM と、関連付けられた VMware vCenter または Microsoft SCVMM からのハイパーバイザのインベントリ情報をプルします。

3. ユーザーはアプリケーション EPG を作成し、vCenter/SCVMM ドメインに関連付けます。各 vCenter/SCVMM ドメインでは、新しいカプセル化がこのアプリケーション EPG に割り当てられます。アプリケーション EPG に属性はありません。

   vCenter/SCVMM 管理者は、マイクロセグメンテーション（uSeg）EPG ではなく、このアプリケーション EPG に仮想エンドポイントを割り当てます。ポート グループとして vCenter/SCVMM に表示されるのはこのアプリケーション EPG です。

4. ユーザは uSeg EPG を作成して VMM ドメインに関連付けます。

   uSeg EPG はポート グループとして vCenter/SCVMM に表示されません。これには特別な機能があります。uSeg EPG には、フィルタ条件と一致する VM ベースの属性があります。uSeg EPG VM 属性と VM の間に一致がある場合、Cisco APIC はその VM を uSeg EPG に動的に割り当てます。

   エンドポイントはアプリケーション EPG から uSeg EPG に転送されます。uSeg EPG が削除されると、エンドポイントは再びアプリケーション EPG に割り当てられます。

   Seg EPG を有効にするには、uSeg EPG を VMM ドメインに割り当てる必要があります。 uSeg EPG を VMM ドメインに関連付けると、その条件はその VMM ドメインにのみ適用されます。VMware VDS がある場合は、uSeg EPG をアプリケーション EPG と同じブリッジ ドメインに割り当てる必要もあります。

   VMware VDS の場合、その VMM ドメインとブリッジ ドメインにその基準が適用されます。

リーフ スイッチ

1. 物理リーフ スイッチは Cisco APIC から属性ポリシーを取得します。

2. VM が Microsoft Hyper-V 仮想スイッチに接続されると、Microsoft Hyper-V 仮想スイッチは、OpFlex プロトコルを使用して VM 接続メッセージを物理リーフ スイッチに送信します。

   VMware vSphere 分散スイッチ（VDS）は、OpFlex プロトコルを使用して VM 接続メッセージを送信しません。

   Microsoft Hyper-V 仮想スイッチの場合、エンドポイント情報の同期は 5 分ごとに行われます。したがって、エンドポイントをマイクロセグメント化された EPG に移動するか、マイクロセグメント化された EPG から戻すには、最大 5 分かかります。

3. 物理リーフ スイッチは、テナントに設定された属性ポリシーと VM を照合します。

4. VM が設定された VM 属性と一致する場合、物理リーフ スイッチは、対応するカプセル化とともに、uSeg EPG を Microsoft Hyper-V 仮想スイッチにプッシュします。

   この操作では、vCenter/SCVMM での VM に対する元のポート グループ割り当ては変更されません。

   VMware VDS の場合、物理リーフ スイッチはマイクロセグメント化された EGP をプッシュしません。リーフ スイッチは、属性ベースのマイクロセグメンテーションを実行します。

Microsoft Hyper-V 仮想スイッチ向けのパケット転送

1. VM がデータ パケットを送信すると、Microsoft Hyper-V 仮想スイッチは、アプリケーション EPG ではなく、uSeg EPG に対応するカプセル化を使用してパケットにタグを付けます。

2. 物理リーフのハードウェアは、属性ベースのカプセル化された VM パケットを確認して、設定されたポリシーと照合します。

   VM は uSeg EPG に動的に割り当てられ、パケットは、その特定の uSeg EPG に定義されたポリシーに基づいて転送されます。

VMware VDS のパケット転送

Cisco ACI でマイクロセグメンテーションを有効にすると、Cisco APIC は VLAN のペア（PVLAN）を割り当て、VMware vCenter で PVLAN ポート グループを構成します。これにより、同じポート グループ内の 2 つの VM が相互に通信を試みた場合でも、トラフィックは強制的にリーフ スイッチに送られます。

リーフ スイッチに直接接続されていない ESXi サーバのブレード スイッチで PVLAN を構成する必要があります。

（注）	VMware VDS VMM ドメインに関連付けられた EPG に Cisco ACI でマイクロセグメンテーションを設定すると、短時間のトラフィックの中断が発生する可能性があります。

ネットワークベースの属性

ネットワーク ベースの属性は、IP（IP アドレス フィルタ）と MAC（MAC アドレス フィルタ）です。uSeg EPG に、1 個以上の MAC アドレスまたは IP アドレスを適用できます。

IP アドレスには単にアドレスまたはサブネットを指定し、MAC アドレスには単にアドレスを指定します。

（注）	ネットワークベースの属性を使用し、同じサブネット内の IP アドレスを分類する場合は、MAC ベースのネットワークの属性を使用する必要があります。IP ベースのマイクロセグメンテーション EPG は、同じサブネット内の IP アドレスの分類をサポートしていません。IP ベースのマイクロセグメンテーション EPG は、トラフィックでレイヤ 3 ルーティングが必要な場合にのみサポートされます。トラフィックがブリッジされた場合、マイクロセグメンテーション ポリシーは適用できません。

VM ベースの属性

複数の VM ベースの属性を VMware VDS uSeg EPG に適用できます。VM ベースの属性は、VMM ドメイン、オペレーティング システム、ハイパーバイザ ID、データセンタ、VM ID、VM 名、VNic Dn（vNIC ドメイン名）、カスタム属性、タグです。

（注）	属性データセンタは、Microsoft Hyper-V 仮想スイッチのクラウドに対応します。

（注）	属性 VM フォルダは、GUI にも表示されます。この機能はベータ テスト版のみであり、実稼働環境で展開しないでください。

VM ベースの属性を作成する場合、属性に名前を付けるほかに、以下を実行する必要があります。

1. [VM Name] や [Hypervisor Identifier] などの属性タイプを指定します。

2. [Equals] や [Starts With] などの演算子を指定します。

3. 特定の vNIC またはオペレーティング システムの名前などの値を指定します。

カスタム属性およびタグ属性

カスタム属性とタグ属性を使用すると、他の属性で使用されていない基準に基づいて属性を定義できます。たとえば、VMware vCenter で「セキュリティ ゾーン」というカスタム属性を定義し、この属性を「DMZ」や「エッジ」などの値を持つ 1 つ以上の VM に関連付けることができます。APIC 管理者は、その VM カスタム属性に基づいて、uSeg EPG を作成できます。

カスタム属性およびタグ属性が、VM の属性として APIC GUI で表示されます。

• カスタム属性

  • VMware vCenter で構成された VM 属性として VMware VDS で使用可能

  • Microsoft SCVMM で設定されているカスタム プロパティとして Microsoft Hyper-V 仮想スイッチで利用可能です

• タグ属性：VMware VDS でのみ利用可能

VMware VDS のカスタム属性またはタグ属性を使用する場合は、VMware vSphere Web クライアントにも追加する必要があります。Microsoft Hyper-V の仮想スイッチのカスタム属性を使用する場合は、Microsoft SCVMM のカスタム プロパティとして追加する必要があります。USeg EPG を設定する前に行うことをお勧めします。これにより、Cisco APIC で"マイクロセグメンテーション ポリシーを設定する際、ドロップダウンリストでカスタム属性またはタグ属性を選択することができます。

Cisco APIC で uSeg EPG を設定した後、vSphere Web クライアントまたは SCVMM でカスタム属性またはタグ属性を追加できます。ただし実行する場合、テキスト ボックスにカスタム属性またはタグ属性の名前を入力可能でも、Cisco APIC のドロップダウンリストでカスタム属性またはタグ属性が表示されません。

vSphere Web Client でカスタム属性またはタグ属性を追加する手順については、VMware vSphere ESXi および VMware vCenter Server のドキュメントを参照してください。SCVMM でカスタム属性を追加するための手順については、Microsoft のマニュアルを参照してください。

ただし、カスタム属性と同様に、一部でタグ属性とは異なります。

• タグ属性は、ホストやデータセンターなど、VMware vCenter の任意のオブジェクトに適用できます。カスタム属性は、VM および ESXi ホストにのみ適用できます。ただし、VM のタグ属性のみがマイクロセグメンテーションに関連します。

• カスタム属性と同様に、タグ属性には名前と値がありません。タグはオブジェクトに適用されるか否かのみラベリングしています。

• カスタム属性を設定するため、演算子や値と同じく、コントローラおよび VM に関する詳細を説明します。タグ属性を設定するには、属性タイプ、カテゴリ、演算子、タグ名を提供します。

（注）

タグ属性は、VMware vCenter が vSphere 6.0 以降を実行している場合にのみ、マイクロセグメント化された EPG に定義できます。 タグ属性を使用して Cisco ACI でマイクロセグメンテーションを有効にするには、Cisco APIC で VMware vCenter タグ収集を有効にします。次の例に示すように、各 VMM ドメインの REST API 呼び出しを使用してこれを行います。 https://APIC-IPA/api/node/mo.xml Body: <polUni> <vmmProvP vendor="VMware"> <vmmDomP name="Domain-Name" enableTag="yes"> </vmmDomP> </vmmProvP> </polUni> ドメイン名が正しいことを確認します。

テナント内の属性の一意性

属性はテナント内で一意である必要があります。一意性は属性の値によって異なります。

たとえば、ネットワーク ベースの属性については、テナント内の属性 IP アドレスのフィルタを使用できます。その場合、使用されるたびに属性が異なる値の IP アドレスを持つことができます。したがって、アドレス 192.168.33.77 の IP アドレス フィルタ属性は複数回使用できません。ただし、IP アドレスが異なるのであれば（たとえば 192.168.33.78）、IP アドレス フィルタ属性を 2 回使用できます。

演算子の優先順位のルールの適用方法

テナント内の特定の VM 属性の演算子により、マイクロセグメントに VM ベース属性を適用する順序が決まります。また、同じ属性および重複する値を共有するマイクロセグメント グループ内での、演算子の優先順位も決定されます。次の表は、Microsoft Hyper-V 仮想スイッチのデフォルトの演算子の優先順位を示しています。

優先順位のルールの適用方法についての例

データセンター クラスタで同じテナントの下に VM_01_HR_DEV、VM_01_HR_TEST および VM_01_HR_PROD という 3 つの人事 VM マシンがあります。VM 名属性に基づいて、2 つのマイクロセグメント化された EPG を作成しました。

演算子タイプ Equals は演算子タイプ Contains よりも優先順位が高いため、値 VM_01_HR の前に値 VM_01_HR_PROD が一致します。したがって、VM 名は両方のマイクロセグメントに当てはまりますが、完全な条件一致であるため、および演算子 Equals は演算子 Contains よりも優先順位が高いため、VM_01_HR_PROD という名前の VM はマイクロセグメント HR-VM-01-PROD に配置されます。他の 2 つの VM は、マイクロセグメント CONTAIN-HR に配置されます。