エッジデバイスは、セキュアなポイント ツー ポイント トンネルを介してクラウド内のホスト VPC に接続します。エッジデバイスと AWS Transit Gateway の間に IPSec トンネルが設定されます。これらのトンネルは、ブランチ VPN トラフィックと BGP ルーティングトラフィックを伝送します。BGP を使用して、デバイスとトランジットゲートウェイがルーティング情報を交換し、ルーティングテーブルを構築します。

ブランチデバイスには、ホスト VPC への接続を必要とする VPN をいくつでも設定できます。これらの VPN はそれぞれ、トランジットゲートウェイへの VPN アタッチメントとして表されます。VPN アタッチメントの一部として、AWS カスタマーゲートウェイおよび VPN ゲートウェイ クラウド オブジェクトが作成され、ブランチデバイスからトランジットゲートウェイへの VPN 接続が可能になります。特定のサイトのトランジットゲートウェイとブランチデバイスは、異なる BGP ASN 内にあります。タグ（ホスト VPC）への VPN のマッピング情報は、グローバルマッピングから取得されます。このマッピングがクラウドで実現されます。

ブランチ デバイス テンプレートで新しいサービス VPN を設定すると、更新イベントが生成され、接続マトリックスに基づいてマッピングがトリガーされます。同様に、デバイステンプレートからサービス VPN を削除すると、別の更新イベントが生成され、マッピングの解除がトリガーされます。

（注）	ブランチエッジ WAN インターフェイスの数は、ブランチエッジデバイスが接続する必要があるリージョンの数に比例する必要があります。たとえば、ブランチが 2 つの AWS リージョン内のホストに接続する必要がある場合は、そのリージョンの各クラウドゲートウェイに 1 つの WAN インターフェイスをアタッチする必要があります。ブランチ内の WAN インターフェイスを同じ色にすることはできません。

サポートされている最小リリース：Cisco IOS XE Catalyst SD-WAN リリース 17.12.1a、Cisco Catalyst SD-WAN Manager リリース 20.12.1

AWS Cloud WAN は、統合グローバルネットワークの構築、管理、およびモニターに使用できるマネージド WAN サービスです。AWS グローバルネットワークを介して、さまざまなサイトやリージョンからのトラフィックを簡単に接続してルーティングすることができます。

AWS Cloud WAN を使用すると、シンプルなネットワークポリシーを使用してネットワークを設定および保護することができます。Cisco SD-WAN Manager ワークフローを使用して AWS 統合を設定すると、バックエンドでネットワークポリシーが定義されて入力されます。

AWS 統合ワークフローを使用すると、グローバル AWS クラウド WAN ネットワークを作成し、さまざまなセグメントを定義し、さまざまなリージョンのさまざまな VPC をこれらのセグメントにアタッチすることができます。

（サポートされている最小リリース：Cisco IOS XE Catalyst SD-WAN リリース 17.13.1a および Cisco Catalyst SD-WAN Manager リリース 20.13.1）AWS Cloud WAN 統合は、スタティックルートを使用する代わりに、BGP ベースのダイナミックルーティングを使用して、さまざまなサイトやリージョンからのトラフィックをルーティングします。AWS 統合ワークフローでは、クラウドゲートウェイには、IPSec ベースの接続を可能にするセグメントとの BGP ピアリングがあります。これにより、ワークフローに柔軟性と冗長性が追加されています。

サポート対象の最小リリース：Cisco IOS XE Catalyst SD-WAN リリース 17.14.1a および Cisco Catalyst SD-WAN Manager リリース 20.14.1

Cisco SD-WAN Manager 内の設定グループを使用して、AWS 統合ワークフローでデバイスを設定できます。2 つのクラウドゲートウェイ間で同じ設定グループを使用することはサポートされていません。

グローバル設定の設定グループを使用して、デバイスの設定を有効にすることができます。グローバル設定で設定グループを使用した設定を有効にしていた場合は、クラウドゲートウェイを作成するときに、既存の設定グループを選択するか、新しい設定グループを作成することができます。設定グループの詳細については、『Cisco Catalyst SD-WAN Configuration Groups』を参照してください。

（注）	グローバル設定で設定グループを使用したデバイスの設定を有効にすると、テンプレートと設定グループの両方を使用してデバイスを設定することができます。

1. Cisco SD-WAN Manager のメニューから、[Configuration] > [Cloud OnRamp for Multicloud] を選択します。Cloud OnRamp for Multicloud ダッシュボードが表示されます。

2. [Setup] ペインで [Associate Cloud Account] をクリックします。[Associate Cloud Account] ページの外部 ID をメモします。

3. [Cloud Provider] フィールドで、ドロップダウンリストから [Amazon Web Services] を選択します。

4. [Account Name] フィールドにアカウント名を入力します。

5. （任意）[Description] フィールドに説明を入力します。

6. [Use for Cloud Gateway] で、アカウントにクラウドゲートウェイを作成する場合は [Yes] を選択し、しない場合は [No] を選択します。

7. [Login in to AWS With]フィールドで、使用する認証モデルを選択します。

   • Key

   • IAM 役割

   [Key] モデルを選択した場合は、[API Key] および [Secret Key] フィールドで、それぞれのキーを指定します。

   または

   [IAM Role] モデルを選択した場合は、Cisco SD-WAN Manager が提供する [External ID] を使用して IAM ロールを作成します。ウィンドウに表示された外部 ID をメモして、IAM ロールの作成時に使用できる [Role ARN] 値を指定します。

   Cisco IOS XE Catalyst SD-WAN リリース 17.4.1a 以降では、IAM ロールを作成するには、AWS 管理コンソールを使用して Cisco SD-WAN Manager から提供された外部 ID をポリシーに入力する必要があります。次の手順を実行します。

   1. 既存の Cisco SD-WAN Manager EC2 インスタンスに IAM ロールをアタッチします。

      1. ポリシーを作成するには、AWS ドキュメントの IAM ロールの作成（コンソール）のトピックを参照してください。AWS の [Create policy] ウィザードで、[JSON] をクリックし、次の JSON ポリシードキュメントを入力します。

         {
           
"Version": "2012-10-17",

           "Statement": [{

             "Sid": "VisualEditor0",
             
"Effect": "Allow",

             "Action": "sts:AssumeRole",
             
"Resource": "*"

             }
]
         
}

         

      2. IAM ロールを作成し、ステップ 1 で作成したポリシーに基づいて Cisco SD-WAN Manager EC2 インスタンスにアタッチする方法については、AWS Security Blog の「Easily Replace or Attach an IAM Role to an Existing EC2 Instance by Using the EC2 Console」ブログを参照してください。

         （注）	[Attach permissions policy] ウィンドウで、手順 1 で作成した AWS 管理ポリシーを選択します。

         （注）	次の権限セットが許可されます。 AmazonEC2FullAccess IAMReadOnlyAccess AWSNetworkManagerFullAccess AWSResourceAccessManagerFullAccess AWS IAM ロールの作成の詳細については、「Creating an AWS IAM Role」[英語] を参照してください。

   2. マルチクラウド環境に使用する AWS アカウントで IAM ロールを作成します。

      1. AWS ドキュメントの IAM ロールの作成（コンソール）のトピックを参照して、[Require external ID] をオンにし、手順 2 でメモした外部 ID を貼り付けて、IAM ロールを作成します。

      2. ロールを担当できるユーザーを変更するには、AWS ドキュメント のロール信頼ポリシーの変更（コンソール）のトピックを参照してください。

         [IAM Roles] ウィンドウで、下にスクロールして、前の手順で作成したロールをクリックします。

         [Summary] ウィンドウで、上部に表示される [Role ARN] をメモします。

         （注）	手順 7 で IAM ロールとして認証モデルを選択した場合は、このロール ARN 値を入力できます。

      3. 信頼関係を変更したら、[JSON] をクリックし、次の JSON ドキュメントを入力します。変更内容を保存します。

         （注）	次の JSON ドキュメントのアカウント ID は、Cisco SD-WAN Manager EC2 インスタンスに属しています。

         {
           "Version": "2012-10-17",
           "Statement": [
             {
               "Effect": "Allow",
               "Principal": {
                 "AWS": "arn:aws:iam::[Account ID from Part 1]:root"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                 "StringEquals": {
                   "sts:ExternalId": "[vManage provided External ID]"
                }
               }
             }
           ]
         }
         

8. [Add] をクリックします。

クラウドアカウントの詳細を表示または更新するには、[Cloud Account Management] ページで [...] をクリックします。

また、関連付けられたホスト VPC タグまたはクラウドゲートウェイがない場合は、クラウドアカウントを削除することもできます。

（注）

マルチクラウドリソースのクリーンアッププロセス中に、Cisco SD-WAN Manager は現在のデータベースを、組織名とアカウントの詳細タグを使用してアカウント内の実行中のリソースと比較します。タグには一致するが、現在のデータベースにないリソースがある場合は、削除されます。したがって、組織名および関連する AWS アカウントの詳細が同じ場合、Cisco SD-WAN Manager の AWS マルチクラウドリソースは別の Cisco SD-WAN Manager によって削除される可能性があります。複数の異なる Cisco SD-WAN Manager オーバーレイで同じ AWS アカウントを使用している場合は、Cisco SD-WAN Manager ごとに異なる組織名とオーバーレイ名を使用することをお勧めします。

クラウド トランジット ゲートウェイのグローバル設定を構成するには、次の手順を実行します。

1. Cisco SD-WAN Manager のメニューから、[Configuration] > [Cloud OnRamp for Multicloud] を選択します。[Setup] ペインで [Cloud Global Settings] をクリックします。[Cloud Global Settings] ウィンドウが表示されます。

2. （サポート対象の最小リリース：Cisco Catalyst SD-WAN Manager リリース 20.14.1）

   設定グループを使用してデバイスを設定するには、[Enable Configuration Group] オプションを有効にします。

3. [Cloud Provider] フィールドで、[Amazon Web Services] を選択します。

4. [Cloud Gateway Solution] ドロップダウンリストをクリックして、[AWS Transit Gateway and CSR in Transit VPC] を選択します。または、 Cisco IOS XE Catalyst SD-WAN リリース 17.5.1a 以降では、次のいずれかのオプションを選択します。

   Cisco IOS XE Catalyst SD-WAN リリース 17.5.1a 以降では、オプションの組み合わせはサポートされていません。たとえば、VPN 接続を使用して作成されたクラウドゲートウェイがある場合、AWS Transit Gateway Connect 接続を作成する前に、これらのクラウドゲートウェイを削除する必要があります。

   • [Transit Gateway–VPN based (using TVPC)]：AWS クラウドでインスタンス化されたトランジットゲートウェイを介して、クラウドゲートウェイをクラウド内の VPC に接続できるようにします。クラウドゲートウェイは、トランジット VPC 内でインスタンス化される 1 組のクラウドサービスルータで構成されます。このオプションでは、AWS VPN 接続（IPSec）アプローチを使用します。

   • [Transit Gateway–Connect based (using TVPC)]：AWS クラウドでインスタンス化されたトランジットゲートウェイを介して、クラウドゲートウェイをクラウド内の VPC に接続できるようにします。クラウドゲートウェイは、トランジット VPC 内でインスタンス化される 1 組のクラウドサービスルータで構成されます。このオプションでは、AWS TGW Connect（GRE トンネル）アプローチを使用します。

   • [Transit Gateway–Branch-connect]：AWS クラウドでインスタンス化されたトランジットゲートウェイを介して、さまざまな Cisco Catalyst SD-WAN エッジデバイスをクラウド内の VPC に接続できるようにします。このオプションでは、AWS VPN 接続（IPSec）アプローチを使用します。

   • （サポートされている最小リリース：Cisco Catalyst SD-WAN Manager リリース 20.12.1）

     [Cloud WAN–VPN based (using TVPC)]：AWS Cloud Wan を介して、クラウドゲートウェイをクラウド内の VPC に接続できるようにします。クラウドゲートウェイは、トランジット VPC 内でインスタンス化される 1 組のクラウドサービスルータで構成されます。このオプションでは、AWS VPN 接続（IPSec）アプローチを使用します。

   • （サポートされている最小リリース：Cisco Catalyst SD-WAN Manager リリース 20.12.1）

     [Cloud WAN–Connect based (using TVPC)]：AWS Cloud Wan を介して、クラウドゲートウェイをクラウド内の VPC に接続できるようにします。クラウドゲートウェイは、トランジット VPC 内でインスタンス化される 1 組のクラウドサービスルータで構成されます。このオプションでは、AWS Connect アタッチメント（GRE トンネルのサポート）アプローチを使用します。

5. Cisco vManage リリース 20.8.1 以降では、次のフィールドを使用できます。

   • [Reference Account Name] ドロップダウンリストをクリックして、参照アカウント名を選択します。Cisco SD-WAN Manager は、この参照アカウント名を使用してソフトウェアイメージとインスタンスサイズを検出します。

     （注）	必要に応じて、クラウドゲートウェイの作成時に別のアカウントを選択することもできます。

   • [Reference Region] ドロップダウンリストをクリックして、参照リージョンを選択します。Cisco SD-WAN Manager は、参照されたアカウント名の下で、この参照リージョン内のソフトウェアイメージとインスタンスサイズを検出します。

6. [Software Image] フィールドで、次の手順を実行します。

   1. [BYOL] をクリックして所有ライセンス持ち込みソフトウェアイメージを使用するか、[PAYG] をクリックして従量制課金ソフトウェアイメージを使用します。

   2. ドロップダウンリストから、ソフトウェアイメージを選択します。

7. [Instance Size] ドロップダウンリストをクリックして、必要なサイズを選択します。

8. [IP Subnet Pool] を入力します。

9. [Cloud Gateway BGP ASN Offset] を入力します。

10. [Intra Tag Communication] を選択します。オプションは、[Enabled] または [Disabled] です。

11. [Default Route] を選択します。オプションは、[Enabled] または [Disabled] です。

12. [Update] をクリックします。

[Global IP Subnet Pool]：グローバルサブネットプールを使用しているクラウドゲートウェイがない場合にのみ更新できます。クラウドゲートウェイは、カスタム設定の有無にかかわらず、グローバルサブネットプールを使用します。サブネットプールの値は、グローバル設定の値と似ています（CIDR のリストをカンマで区切った後に比較できます。たとえば、10.0.0.0/8, 10.255.255.254/8 と 10.255.255.254/8, 10.0.0.0/8 は似ています）。

グローバルサブネットプールを使用しているクラウドゲートウェイがない場合、グローバル設定内の更新されたサブネットプールは、既存のカスタムサブネットプールと重複しないようにする必要があります。

[Custom IP Subnet Pool]：カスタム設定を作成する場合、そのサブネットプールは既存のカスタムサブネットプールと重複しないようにする必要があります。設定されたグローバルサブネットプールと部分的に重複することはできません。

利用可能なアカウントの各リージョンすべてにわたって、すべてのアカウントのホスト VPC を検出できます。ホスト VPC 検出が呼び出されると、VPC の検出はキャッシュなしで実行されます。

1. Cisco SD-WAN Manager のメニューから、[Configuration] > [Cloud OnRamp for Multicloud] を選択します。[Discover] の下の [Host Private Networks] をクリックします。[Discover Host Private Networks] ウィンドウに、使用可能な VPC のリストが表示されます。

   [host VPC] テーブルには次の列があります。

   • クラウド リージョン

   • アカウント名

   • ホスト VPC 名

   • ホスト VPC タグ

   • アカウント ID（Account ID）

   • ホスト VPC ID

   必要に応じて、列をクリックして VPC を並べ替えます。

2. [Region] ドロップダウンリストをクリックして、特定のリージョンに基づいて VPC を選択します。

3. [Tag Actions] をクリックして、次のアクションを実行します。

   • [Add Tag]：選択した VPC をグループ化し、これらの VPC に同時にタグ付けします。

   • [Edit Tag]：選択した VPC をあるタグから別のタグに移行します。

   • [Delete Tag]：選択した VPC のタグを削除します。

   複数のホスト VPC をタグの下にグループ化できます。同じタグの下のすべての VPC は、単一のユニットと見なされます。タグは接続を確実にし、インテント管理で VPC を表示するために不可欠です。

クラウドゲートウェイは、クラウド内のトランジット VPC（TVPC）、TVPC 内の CSR、およびトランジットゲートウェイをインスタンス化したものです。クラウドゲートウェイを作成するには、次の手順を実行します。

（注）	この手順を開始する前に、同じタイプのライセンス（BYOL または PAYG）を持つ、テンプレートがアタッチされた 2 つのデバイスがあることを確認します。

1. Cisco SD-WAN Manager のメニューから、[Configuration] > [Cloud OnRamp for Multicloud] を選択します。[Manage] の下にある [Create Cloud Gateway] をクリックします。[Manage Cloud Gateway - Create] ウィンドウが表示されます。

2. [Cloud Provider] フィールドで、ドロップダウンリストから [Amazon Web Services] を選択します。

3. [Cloud Gateway Name] フィールドに、クラウドゲートウェイ名を入力します。

4. （任意）[Description] に説明を入力します。

5. [Account Name]ドロップダウンリストからアカウント名を選択します。

6. [Region]ドロップダウンリストからリージョンを選択します。

7. （オプション）ドロップダウンリストから SSH キーを選択します。

8. （最小リリース：Cisco vManage リリース 20.10.1）[Site Name] ドロップダウンリストから、クラウドゲートウェイを作成するサイトを選択します。

9. [Software Image] フィールドで、次の手順を実行します。

   1. ライセンスオプションを選択します。所有ライセンス持ち込みの場合は [BYOL]、従量課金の場合は [PAYG] を選択します。

   2. ドロップダウンメニューで、ソフトウェアイメージを選択します。

      （注）	ソフトウェアイメージのオプションは、[BYOL] と [PAYG] のどちらを選択するかによって決まります。

      （注）	Cisco Cloud OnRamp for Multicloud を使用せずに Cisco Catalyst 8000V をオンボーディングする方法については、『Cisco SD-WAN Getting Started Guide』を参照してください。

10. [Instance Size] ドロップダウンリストをクリックして、必要なサイズを選択します。キャパシティのニーズに基づいて、WAN エッジのサイズを選択します。

11. [IP Subnet Pool] を入力します。サブネットプールはトランジット VPC の作成に使用され、/16 ～ /24 の範囲内にある必要があります。システムにより、トランジット VPC の 8 サブネットごとに /27 が割り当てられます。

12. （サポート対象の最小リリース：Cisco Catalyst SD-WAN Manager リリース 20.14.1）

    クラウドゲートウェイを作成したとき、または AWS のグローバル設定を構成したときに [Enable Configuration Group] オプションを有効にした場合は、[Configuration Group] ドロップダウンリストから次のいずれかのアクションを実行します。

    • 構成グループを選択します。

    • 新しい設定グループを作成して使用するには、[Create New] を選択します。[Create Configuration Group] ダイアログボックスで、新しい設定グループの名前を入力し、[Done] をクリックします。ドロップダウンリストから新しい設定グループを選択します。選択した設定グループは、マルチクラウドワークフローでデバイスを設定するために使用されます。

    （注）	ここで設定グループを有効にすると、すべてのクラウドプロバイダーに対して設定グループが有効になります。たとえば、ここでこのオプションを有効にすると、他のすべてのマルチクラウドおよびインターコネクト プロバイダーの設定グループも有効になります。

    1. [Chassis number] を選択して、シャーシのペアを設定グループに関連付けます。

    2. [Configure Device Parameters] をクリックし、以下を入力します。

       1. システム IP

       2. ホスト名（Hostname）

       3. TLOC Color

       4. Username

       5. [User Password]

    3. [Create Gateway] をクリックします。

13. このオプションは、デバイステンプレートを使用した設定にのみ適用されます。

    [UUID (specify 2)] ドロップダウンリストで UUID の詳細を選択します。

    （注）	テンプレートがアタッチされた論理デバイス（UUID）のみがリストに表示されます。 Cisco vManage リリース 20.10.1 以降では、[Site Name] ドロップダウンリストからサイトを選択すると、UUID が自動的に入力されます。

14. （最小リリース：Cisco vManage リリース 20.10.1）[Multi-Region Fabric Settings] エリアの [MRF Role] で、[Border] または [Edge] を選択します。

    このオプションは、マルチリージョン ファブリックが有効になっている場合にのみ使用できます。

15. [Add] をクリックして、新しいクラウドゲートウェイを作成します。

（注）	AWS Cloud WAN のクラウドゲートウェイの作成には、展開されているリソースに応じて 1 時間以上かかる場合があります。AWS がこのリージョンのリソースを確認および検証している場合は、リージョンでの最初の展開が失敗する可能性があります。 AWS Cloud WAN をサポートしていないリージョンでは、クラウドゲートウェイを作成できません。現在サポートされているリージョンについては、AWS のドキュメントを参照してください。

次の手順を実行して、クラウドゲートウェイにサイトをアタッチします。

1. Cisco SD-WAN Manager のメニューから、[Configuration] > [Cloud OnRamp for Multicloud] を選択します。[Manage] の下の [Gateway Management] をクリックします。[Cloud Gateways] ウィンドウが表示されます。テーブルには、クラウドアカウント名、ID、クラウドタイプ、トランジットゲートウェイとともにクラウドゲートウェイのリストが表示されます。

   クラウドゲートウェイごとに、サイトを表示、削除、またはさらに接続できます。

2. 目的のクラウドゲートウェイについて、[…] をクリックし、[Cloud Gateway] を選択します。

3. [Attachment] をクリックします。

4. [Attach Sites] をクリックします。

5. [Circuit Color] ドロップダウンリストで、回線の色を選択します。回線の色により、クラウドゲートウェイに接続するサイトの検索条件が定義されます。

6. [Next] をクリックします。[Attach Sites - Select Sites] ウィンドウが表示されます。テーブルには、選択した回線の色を持つサイトが表示されます。

7. [Available Sites] からサイトを 1 つ以上選択し、それらを [Selected Sites] に移します。

8. [Next] をクリックします。

9. [Attach Sites - Site Configuration] ウィンドウで、[Tunnel Count] を入力します。トンネル数の範囲は 1 ～ 8 です。各トンネルは 2.5 Gbps の帯域幅を提供します。

10. [Accelerated VPN] オプションで、[Enabled] または [Disabled] を選択します。AWS Global Accelerator は、クラウドへの接続を最適化するのに役立ちます。

11. [Next] をクリックします。[Attach Sites - Configuration Override] ウィンドウが表示されます。必要に応じて、前の手順で実行した設定を上書きすることができます。トンネル数と高速 VPN ステータスの値を変更できます。

12. [Next] をクリックします。[Next Steps] ウィンドウが表示され、追加したアタッチメントを保存してフローを終了することができます。

13. [Save and Exit] をクリックします。設定が成功すると、ブランチエンドポイントが正常にアタッチされたことを示すメッセージが表示されます。

（注）	トンネルのステータスを表示するには、[Cloud OnRamp for Multicloud] ダッシュボードまたは [Site Details] ウィンドウに移動します。