SD ルーティングデバイスの Secure Access の設定
Cisco Secure Access とは
Cisco Secure Access は、クラウドから提供されるネットワーク セキュリティ サービスを統合してハイブリッドワーク環境を接続するクラウド セキュリティ サービス エッジ（SSE）ソリューションです。このソリューションは、シームレスで透過的でセキュアなダイレクト インターネット アクセス（DIA）を提供し、ユーザーがあらゆるものからあらゆる場所に接続できるようにします。
Cisco IOS XE 17.14.1a では、Cisco SSE は、SD ルーティングデバイスが IPSec トンネルを使用して SSE プロバイダーに接続する機能を提供します。
| 機能 | リリース情報 | Description |
| Cisco Secure Access の設定 |
Cisco IOS XE リリース 17.14.1a |
Cisco Secure Access は、シームレスで透過的な、セキュアなダイレクト インターネット アクセス（DIA）を提供するクラウド セキュリティ サービス エッジ（SSE）ソリューションです。 このソリューションは、Cisco SD-WAN Manager のポリシーグループを使用して設定できます。 |
機能制限
-
Cisco Secure Access は API スロットリングをサポートしていません
-
CiscoSecure Access を Cisco SD-Routing と統合した後、Cisco Secure Access ダッシュボードでネットワーク トンネル グループ名に変更を加えた場合、Cisco SD-WAN Manager に反映されません
Cisco Secure Access を設定するためのワークフロー
このワークフローでは、Cisco Secure Access のセットアップに必要な手順の概要を示します。手順の詳細については、次のセクションを参照してください。
|
タスク |
説明 |
|---|---|
|
Cisco Secure Access ポータルでの事前設定 |
|
|
ポータルでログイン情報を確認し、API ログイン情報に書き込みアクセス権があることを確認します。 |
に移動し、API キーを生成および管理します。 トンネルグループとトンネルの作成への書き込みアクセス権があることを確認します。このアクセス権により、SD-WAN Manager を使用してトンネルが設定および展開された後、Cisco Secure Access と SD-Routing デバイス間のシームレスな接続が保証されます。 |
|
Cisco SD-WAN Manager の事前設定 |
|
| 設定グループを作成し、SD ルーティングデバイスに割り当てていることを確認します。 |
設定グループに移動 |
|
SD-WAN Manager で使用可能な CLI テンプレートを使用して、以下を設定します。 |
[Configuration Groups] に移動し、SD ルーティング設定グループを選択し、[Edit] をクリックして、対応する [CLI Profile] ダイアログボックスを選択します。[Add Feature Profile] ウィンドウで、[Create New] を選択し、名前と説明を入力してから、[CLI Configuration] セクションにコマンドを入力します。保存して、この機能パーセルを追加します。 |
|
これにより、デバイスが DNS サーバーと対話できるようになります。 HTTPS に接続してパブリック IP アドレスを取得するデバイスに DNS サーバーを設定できます。HTTPS の送信元インターフェイスを設定するには、Cisco SD-WAN Manager で ip http client source-interface name and number of the interface コマンドを使用します。 |
|
これにより、情報をインターネットに転送する前に、ローカルネットワーク内の複数のプライベートアドレスがパブリック IP アドレスにマッピングされます。たとえば、access-list nat acl1 に一致するパケットのすべての送信元アドレスは、ルータを出るときに Loopback 1 の IP アドレスに変換されます。 または |
|
デバイスのドメインルックアップを有効にする |
に移動し、[Global Lookup] を有効にします。 |
|
Cisco SD-WAN Manager での SSE 関連の設定 |
|
|
クラウドプロバイダーのログイン情報の設定 |
に移動します。 |
|
送信元インターフェイスアドレスの設定 |
に移動します。 |
|
ポリシーグループを使用した SSE ポリシーの作成 |
に移動します。 |
|
トラフィックリダイレクトの設定 |
これを設定すると、SSE トンネルを介してトラフィックをリダイレクトするサービスルートが作成されます。 [Configuration Groups] に移動し、SD ルーティング設定グループを選択し、[Edit] をクリックして、対応する [CLI Profile] ダイアログボックスを選択します。[Add Feature Profile] ウィンドウで、[Create New] を選択し、名前と説明を入力してから、[CLI Configuration] セクションにコマンドを入力します。保存して、この機能パーセルを追加します。 |
|
SSE ポリシーとポリシーグループの関連付け |
に移動し、以前に作成した SSE ポリシーを選択し、[Save] をクリックして SSE ポリシーをポリシーグループに関連付けます。 次に、このポリシーグループをデバイスに関連付けて展開します。 |
|
SSE 設定の確認 |
設定を確認します。 |
|
SSE トンネルのモニタリング |
SSE トンネルの
|
クラウドプロバイダーのログイン情報の設定
Cisco SSE への自動トンネルプロビジョニングのために Cisco SD-WAN Manager を有効にするためのログイン情報を設定します。
手順
ステップ 1 | をクリックして [Cisco Secure Access] を有効にし、次の詳細を入力します。これらのログイン情報はセッションの認証を開始するために使用され、その後のセッションでも使用されます。
| ||||||||
ステップ 2 | これらの詳細を保存します。 |
送信元インターフェイスとしてのループバック インターフェイスの設定
ループバック インターフェイスを送信元として設定します。このループバック インターフェイスはどのインターフェイスにも関連付けられていないため、接続が中断されるリスクはありません。
CLI テンプレートに次のコマンドを追加します。
interface loopback1
no shutdown
ip nat inside
ip address 1.1.1.1 255.255.255.255ポリシーグループを使用した SSE ポリシーの作成
始める前に
SSE ログイン情報が作成されていることを確認します。SD-WAN Manager でこれを行うには、に移動し、詳細を入力します。
手順
ステップ 1 | SD-WAN Manager で、に移動します。[Add Secure Service Edge (SSE)] をクリックします。 | ||||||||||||||||||||||||||||||||||||||||||||||
ステップ 2 | SSE ポリシーの名前を入力し、ソリューションタイプとして sd-routing を指定して、[Create] をクリックします。 | ||||||||||||||||||||||||||||||||||||||||||||||
ステップ 3 | トラッカーを作成します。自動トンネルの作成中に、Cisco SD-WAN Manager は、フェールオーバーパラメータのデフォルト値を使用してデフォルトのトラッカーエンドポイントを作成し、アタッチします。ただし、要件に合ったフェールオーバーパラメータを使用してカスタマイズされたトラッカーを作成することもできます。
| ||||||||||||||||||||||||||||||||||||||||||||||
ステップ 4 | トンネルを作成します。[Configuration] をクリックします。
| ||||||||||||||||||||||||||||||||||||||||||||||
ステップ 5 | 高可用性の設定」を参照してください。アクティブトンネルとバックアップトンネルを指定して、トンネル間でトラフィックを分散するには、[High Availability] をクリックして、次の手順を実行します。
| ||||||||||||||||||||||||||||||||||||||||||||||
ステップ 6 | [Region] の選択：リージョンを選択すると、プライマリリージョンとセカンダリリージョンのペアが選択されます。Cisco Secure Service Edge が提供するプライマリリージョンをドロップダウンリストから選択すると、Cisco SD-WAN Manager でセカンダリリージョンが自動的に選択されます。ユニキャスト IP アドレスを持つプライマリリージョンに到達できない場合は、ユニキャスト IP アドレスを持つセカンダリリージョンに到達できます。その逆も同様です。Cisco Secure Access は、両方のリージョンが常に到達可能であることを保証します。 | ||||||||||||||||||||||||||||||||||||||||||||||
What's next
ルートベースのトラフィック転送の作成
トンネルが確立されたら、関連するトラフィックをトンネルに転送する必要があります。Cisco IOS XE 17.14.1a では、CLI テンプレートを使用してトラフィック転送を設定し、次のコマンドを追加します。
ip sdwan route vrf <network> <subnetmask> service sse Cisco-Secure-Access
例：ip sdwan route vrf 2 0.0.0.0/0 service sse Cisco-Secure-Access
SSE ポリシーとポリシーグループの関連付けおよびデバイスへのポリシーグループの展開
ポリシーをデバイスで機能させるには、以前に作成した SSE ポリシーをポリシーグループに関連付け、後でそのデバイスに関連付ける必要があります。
手順
ステップ 1 | SD-WAN Manager で、に移動して、SD ルーティングデバイス用の新しいポリシーグループを作成します。 |
ステップ 2 | [Action] ボタンを選択し、[Policy] で、使用可能なポリシーから以前に作成した [SSE Policy] を選択します。 |
ステップ 3 | [Save] をクリックして、SSE ポリシーとポリシーグループ間の関連付けを作成します。この関連付けにより、SSE ポリシーがポリシーグループの一部になります。 |
ステップ 4 | ポリシーグループをデバイスに関連付けます。この関連付けにより、このポリシーグループをデバイスに展開すると、デバイスはこのポリシーグループに関連付けられているすべてのポリシーを継承します。 |
ステップ 5 | ポリシーグループをデバイスに展開します。デバイスで SSE トンネルを使用する準備が整いました。 |
What's next
Cisco Secure Access トンネルの確認
SD ルーティングデバイス用に設定した Cisco Secure Access トンネルに関する情報を表示するには、show sse all コマンドを使用します。
Device# show sse all
***************************************
SSE Instance Cisco-Secure-Access
***************************************
Tunnel name : Tunnel15000001
Site id: 2678135102
Tunnel id: 617865691
SSE tunnel name: C8K-63a9b72b-f1fa-4973-a323-c36861cf59ee
HA role: Active
Local state: Up
Tracker state: Up
Destination Data Center: 52.42.220.205
Tunnel type: IPSEC
Provider name: Cisco Secure Access
SD-WAN Manager からの Cisco Secure Access トンネルのモニターとトラブルシューティング
次のセクションでは、SSE トンネルの問題を特定し、修正措置を講じる方法を示します。
Cisco SD-WAN Manager を使用した SSE トンネル状態のモニタリング
Cisco SD-WAN Manager の次のオプションを使用して、SSE トンネルの状態をモニターします。
-
ダッシュボードに移動して、以下に関する情報を表示します。
-
下りトンネル
-
[Degraded Tunnels]：劣化状態は、SSE トンネルが稼働しているが、トラッカーによって検出されたトンネルのレイヤ 7 正常性が、設定された SLA パラメータを満たしていないことを示します。そのため、トラフィックはトンネルを通じてルーティングされません。
-
上りトンネル
-
-
に移動して、以下に関する情報を表示します。
データプレーントンネル、トンネルエンドポイント、およびトンネルの正常性
Cisco SD-WAN Manager は、Cisco Secure Access に対して作成された各自動トンネルに関する次の詳細を提供するテーブルを表示します。
|
フィールド |
説明 |
|---|---|
|
ホスト名 |
SD ルーティングデバイスのホスト名。 |
|
サイト ID |
WAN エッジデバイスが展開されているサイトの ID。 |
|
トンネル ID |
SIG/SSE プロバイダーによって定義されたトンネルの一意の ID。 |
|
[Transport Type] |
IPSec |
|
Tunnel Name |
ローカルエンドとリモートエンドの両方でトンネルを識別するために使用できるトンネルの一意の名前。SSE プロバイダーポータルでは、トンネル名を使用して、特定のトンネルに関する詳細を見つけることができます。 |
|
HA ペア |
アクティブまたはバックアップ |
|
プロバイダー |
Cisco Secure Access |
|
宛先データセンター |
トンネルが接続されている SIG/SSE プロバイダーのデータセンター。 |
|
トンネルステータス（ローカル） |
デバイスによって認識されるトンネルステータス。 |
|
トンネルステータス（リモート） |
SIG/SSE エンドポイントによって認識されるトンネルステータス。 |
|
イベント |
トンネルのセットアップ、インターフェイス状態の変更、およびトラッカー通知に関連するイベントの数。番号をクリックすると、イベントのスライドインペインが表示されます。スライドインペインには、特定のトンネルに関連するすべてのイベントが一覧表示されます。 |
|
トラッカー |
トンネル設定時に有効または無効にされます。 |
コマンドを使用したモニタリングとトラブルシューティング
このセクションでは、デバイスコマンドから SSE トンネルの問題を特定してトラブルシューティングする方法について詳しく説明します。
デバイス通知を使用したトラブルシューティング
（注） デバイスシェルにアクセスするには、同意トークンが必要です。同意トークンは、ネットワーク管理者と Cisco Technical Assistance Centre（Cisco TAC）の相互の同意により、システムシェルにアクセスする組織のネットワーク管理者を認証するために使用されるセキュリティ機能です。
イベントが生成されたデバイスに関する情報を表示するには、次の手順を実行します。
-
/opt/confd/bin/confd_cli -C -P 3010 -noaaa -g sdwan-oper コマンドを実行します。このコマンドを使用すると、シェルにアクセスしてデバイス通知を表示するためのコマンドを実行することができます。
-
show notification stream viptela コマンドを実行してデバイス通知を表示します。
Device#show notification stream viptelanotification eventTime 2023-11-09T06:21:19.95062+00:00 sse-tunnel-params-absent severity major host-name vm6 if-name TunnelSSE wan-if-ip 192.1.2.8
暗号セッションの詳細を使用したトラブルシューティング
show crypto session コマンドを実行して、暗号セッションの詳細を表示します。
Interface: Tunnel15000010
Profile: if-ipsec10-ikev2-profile
Session status: UP-ACTIVE
Peer: 3.76.88.203 port 4500
Session ID: 7
IKEv2 SA: local 10.1.15.15/4500 remote 3.76.88.203/4500 Active
IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0
Active SAs: 2, origin: crypto map
インターフェイスの詳細を使用したトラブルシューティング
show interface brief コマンドを実行します。このコマンドは、インターフェイスの詳細を表示します。
Tunnel15000010 10.1.15.15 YES TFTP up up
エンドポイントトラッカーの詳細を使用したトラブルシューティング
show endpoint tracker コマンドを実行します。このコマンドは、すべてのエンドポイントトラッカーの詳細を表示します。
Interface Record Name Status Address Family RTT in msecs Probe ID Next Hop
Tunnel16000002 DefaultTracker Up IPv4 22 20 Noneトンネルの詳細を使用したトラブルシューティング
show running config|sec sse コマンドを実行します。このコマンドは、トンネルと VRF の詳細を表示します。
sse instance Cisco-Secure-Access
ha-pairs
interface-pair Tunnel15000010 active-interface-weight 1 None backup-interface-weight 1
!
ip sdwan route vrf 2 0.0.0.0/0 service sse Cisco-Secure-Access