Cisco ネットワーク プラグ アンド プレイ ソリューションは、以下のコンポーネントから構成されています。

• Cisco Application Policy Infrastructure Controller エンタープライズ モジュール（APIC-EM）：Cisco APIC-EM は、エンタープライズ ネットワーク（アクセス、キャンパス、WAN、およびワイヤレス）向けのシスコの SDN コントローラです。プラットフォームは複数のアプリケーション（SDN アプリケーション）をホストし、それらのアプリケーションでは、コア ネットワーク自動化ソリューションを推進するオープンなノースバウンド REST API が使用されます。また、さまざまなサウスバウンド プロトコルもサポートしています。これらのプロトコルによって、お客様の環境に導入済みの各種ネットワーク デバイスと通信し、新規および既存の環境のいずれにも SDN の利点を広めることができます。

• Cisco ネットワーク プラグ アンド プレイ アプリケーション：この Cisco APIC-EM アプリケーションはプレインストールされており、シスコ デバイスからプラグ アンド プレイ要求を受信して、事前定義のルールと条件に基づいてデバイスをプロビジョニングします。

• Cisco Plug and Play IOS エージェント：このエージェントはシスコ デバイスに組み込まれており、デバイスの展開時に HTTPS によるオープン プラグ アンド プレイ プロトコルを使用して Cisco ネットワーク プラグ アンド プレイ アプリケーションと通信します。

• iOS および Android デバイス用の Cisco Plug and Play モバイル アプリケーション：iOS および Android デバイス用のモバイル アプリケーションを使用して、シスコ デバイスにブートストラップ コンフィギュレーションを設定し、リモート ブランチでの展開を開始できます。このアプリケーションは、3G/4G/WiFi 接続で Cisco ネットワーク プラグ アンド プレイ アプリケーションと通信して、事前定義のデバイス ブートストラップ コンフィギュレーションを取得し、それを物理接続の特殊なシリアル ケーブルを使用してシスコ ネットワーク デバイスに配布します。

• Cisco SMI プロキシ：このオプションのコンポーネントは、新しい Cisco Plug and Play IOS エージェントがない旧バージョンの IOS（IOS-XE3.6.3E および IOS 15.2(2) E3 よりも前の IOS）を搭載しているシスコ スイッチを展開する場合に必要です。SMI プロキシは、新しいプラグ アンド プレイ プロトコルを使用する Cisco ネットワーク プラグ アンド プレイ アプリケーションと古いシスコ スイッチとの間でプロキシとして機能します。このプロキシはルーティング プラットフォームではサポートされません。

• 汎用 HTTP プロキシ：Cisco APIC-EM が DMZ ゾーンの背後にあるため、リモート デバイスから直接到達できない場合は、このオプションのコンポーネントを使用してリモート ブランチを展開します。汎用 HTTP リバース プロキシを DMZ 内で APIC-EM の前に配置して、デバイスとコントローラの間でメッセージを中継させることができます。また、汎用プロキシを使用しないで VPN を介してコントローラに到達できるように、プライベート VPN リンクを設定することもできます。

• Plug and Play Connect：DHCP および DNS 手法が使用可能でない場合の PNP サーバ自動ディスカバリ用のクラウド コンポーネント（オプション）。PNP サーバは、APIC-EM における Cisco ネットワーク プラグ アンド プレイ アプリケーションのバックエンド部分です。シスコ ネットワーク デバイスは devicehelper.cisco.com の Cisco Plug and Play Connect クラウド サービスと通信して、組織で定義されている適切な PNP サーバの IP アドレスを取得します。

ここでは、以下の一般的な使用例のワークフローについて説明します。

• リモート ブランチ/サイトの展開

• キャンパス/LAN の展開

• 計画外のデバイスの展開

• Plug and Play Connect デバイスの展開

前提条件として、Cisco ネットワーク プラグ アンド プレイ アプリケーションを搭載した Cisco APIC-EM コントローラが稼動している必要があります。

シスコのネットワーク プラグ アンド プレイ ソリューションを導入する場合は、次の推奨事項に従ってください。

• シスコのネットワーク デバイスで APIC-EM コントローラを自動検出するには、オプション 43 の DHCP サーバを設定します。DHCP および DNS の設定の詳細については、APIC-EM コントローラの自動検出に対する DHCP の設定を参照してください。

• 導入されるすべての新規デバイスのシスコのネットワーク プラグ アンド プレイ アプリケーションにデバイス設定を事前プロビジョニングします。これには、デバイス シリアル番号、ブートストラップ コンフィギュレーション、すべてのコンフィギュレーション、IOS イメージをサイトのとそのデバイスに設定することも含まれます。詳細については、『Configuration Guide for Cisco Network Plug and Play on Cisco APIC-EM』を参照してください。ただし、[Unplanned Device] 展開オプションを使用する場合は、事前プロビジョニングは必要ありません。

• trustpool セキュリティ機能を使用するには、既知の認証局（CA）から発行された有効な証明書を APIC-EM コントローラにインストールする必要があります。デフォルトの自己署名証明書では trustpool セキュリティを使用できません。また、DHCP オプション 43 の文字列に HTTPS トランスポート オプション（K5）を設定する必要があります。詳細については、APIC-EM コントローラの自動検出に対する DHCP の設定を参照してください。

• デバイスの起動順序：一般に、ルーティングとアップストリーム デバイスは最初に展開する必要があります。ルータおよびすべてのアップストリーム デバイスがアップされてプロビジョニングされると、スイッチとダウンストリーム デバイスを展開できます。Cisco ネットワーク プラグ アンド プレイ IOS エージェントは、デバイスの初回起動時にのみ、APIC-EM コントローラの自動検出を試みます。現時点で、デバイスがコントローラに接続できない場合、デバイス プロビジョニングは失敗するため、アップストリーム デバイスは最初にプロビジョニングする必要があります。

• シスコのルータ トランク/アクセス ポートの設定：一般的なブランチ ネットワークには、ルータとスイッチが含まれます。1 つ以上のスイッチは WAN ルータに接続され、IP フォンやアクセス ポイントなどの他のエンドポイントはスイッチに接続します。スイッチがアップストリーム ルータに接続すると、次の導入モデルは、シスコのネットワーク プラグ アンド プレイでサポートされます。

  • ダウンストリーム スイッチがルータのスイッチ ポートを使用してルータに接続されます。このタイプの接続では、ルータのスイッチ ポートをトランクまたはアクセス ポートとして設定できます。

    （注）	上流に位置するルータが Cisco 4000 シリーズ ISR ルータである場合、この機能はソフトウェアリリース 15.5(3) S4 で解決済みの注意事項 CSCut77951 の影響を受けます。

  • ルータのルーテッド ポートを使用してダウンストリーム スイッチをルータに接続する。この場合、ルーテッド ポートはサブインターフェイスを使用して複数の VLAN をサポートできます。プラグ アンド プレイ プロセス中、スイッチはそのポートを自動的にトランク ポートとして設定します。大規模ブランチの場合は、ルータとダウンストリーム スイッチ間に複数の VLAN を設置する必要があります。このような使用例をサポートするには、スイッチをルーテッド ポートに接続する必要があります。

• デフォルトでは、非 VLAN 1 設定の Cisco ネットワーク プラグ アンド プレイは、VLAN 1 を使用してデバイスをサポートします。1 以外の VLAN を使用するには、隣接するアップストリーム デバイスでサポート対象のリリースが実行されていなければなりません。また、そのアップストリーム デバイスに「pnp startup vlan x」グローバル CLI コマンドを設定して、以降のプラグアンドプレイ デバイスにこの CLI をプッシュする必要があります。隣接するアップストリーム デバイスでこのコマンドを実行した場合、そのアップストリーム デバイスでは VLAN メンバーシップの変更は行われません。ただし、以降のプラグ アンド プレイ デバイス上のすべてのアクティブ インターフェイスは、指定された VLAN に変更されます。このガイドラインはルータとスイッチの両方に該当します。

（注）	非 VLAN 1 機能を使用する場合は、すべてのネイバー スイッチ デバイスが、3.6.0、3.6.1 や 3.6.2 リリースではなく、Cisco IOS XE リリース 3.6.3 以降を実行していることを確認してください。以前のリリースに含まれていた関連注意事項 CSCut25533 の詳細については、『Release Notes for Cisco Network Plug and Play』の「Caveats」の項を参照してください。

Cisco ネットワーク プラグ アンド プレイの設定のプロビジョニング時に、設定ファイルは、デバイスの実行コンフィギュレーションに適用されます。デバイスが Virtual Route Forwarding（VRF）を使用している場合、または最終的な設定に複数の IP インターフェイスがある場合、最終的な設定の適用後に APIC-EM コントローラにコンタクトするために使用する送信元 IP アドレスが変更される可能性があります。この IP アドレスの変更によりコントローラへの接続の損失が発生する可能性があり、デバイスのステータスには、コントローラがデバイスからの正常な応答の受信に失敗するためプロビジョニングのエラーが表示されます。

たとえば、ルータの導入では、ルータが APIC-EM コントローラにコンタクトするために使用する当初の送信元 IP アドレスは、その WAN IP アドレスです。コントローラがルータに設定をプッシュした後、ルータはコントローラにコンタクトするために任意の IP アドレス（トンネル IP アドレスなど）を使用できます。トンネル IP アドレスからコントローラへの IP 接続がない場合は、コントローラ上でヘルス チェック エラーが発生します。

この問題を回避するには、最終的なプロビジョニング設定で ip http client source-interface interface コマンドを使用します。プラグ アンド プレイ プロトコルは HTTP または HTTPS を使用するため、このコマンドは、VRF に関係なく、設定のプロビジョニングの前に、コントローラへのコンタクトに最初に使用したのと同じ応答のインターフェイスを使用するようにデバイスに指示します。ルータ導入シナリオでは、送信元インターフェイスと同じ WAN インターフェイスを指定できます。

Cisco ネットワーク プラグ アンド プレイ ソリューションでは、ネットワーク デバイスと APIC-EM コントローラ間で HTTPS 接続が使用されます。このセキュアな接続は、DHCP オプションで指定された転送タイプに応じて、2 種類の方法のいずれかで実行されます。DHCP の設定に関する詳細については、APIC-EM コントローラの自動検出に対する DHCP の設定を参照してください。

DHCP オプション 43 の文字列の K パラメータで指定された転送タイプに応じて、セキュア接続は次の方法で実装されます。

• HTTP が転送プロトコル（デフォルト）として指定され、セキュア接続はトラストポイントに基づきます。

  トラストポイントに基づくセキュア接続は、APIC-EM コントローラにデフォルトでインストールされる自己署名証明書を信頼します。この自己署名証明書を使用して、ネットワーク デバイスにデフォルトのトラストポイントが作成されます。これにより、デバイスは HTTPS を介して APIC-EM コントローラに安全に接続できるようになります。HTTP が転送プロトコルとして指定されているにもかかわらず、HTTPS が APIC-EM コントローラとの通信に使用されます。

• HTTPS が転送プロトコルとして指定され、セキュア接続は trustpool に基づきます。

  trustpool に基づくセキュア接続では、さらに、APIC-EM コントローラの自己署名証明書を各自の CA 署名付き証明書と置き換える必要があります。trustpool は、信頼できる認証局により署名され、Cisco InfoSec によって発行された証明書の特別なストアです。シスコ ネットワーク デバイスは、APIC-EM コントローラに接続するとただちに trustpool バンドルをインポートします。これにより、デバイスはコントローラの証明書を検証してルート CA トラストポイントを作成できるので、固有の署名付き証明書を使用した HTTPS による安全な通信が可能になります。

T パラメータを使って DHCP オプション 43 に場所を指定することで、ネットワークの別の場所に trustpool バンドルをホストすることもできます。その場合、ネットワーク デバイスは、APIC-EM にインストールされているデフォルトの trustpool ではなく、ユーザの trustpool バンドルを取得します。

セキュリティ、証明書のインポート、および trustpool バンドルの詳細については、『Cisco Application Policy Infrastructure Controller Enterprise Module Deployment Guide』の「Cisco APIC-EM Security」の章を参照してください。

APIC-EM コントローラを自動検出できない場合は、デバイス インストーラで Cisco Plug and Play モバイル アプリケーション（iOS または Android 版）を使用して、シスコ デバイスにブートストラップ コンフィギュレーションを設定し、リモート ブランチの展開を開始することができます。このモバイル アプリケーションは、3G/4G/WiFi 接続で Cisco ネットワーク プラグ アンド プレイ アプリケーションと通信して、事前定義されたデバイス ブートストラップ コンフィギュレーションを取得し、デバイスのコンソール ポートに物理的に接続している特別なケーブルを使用して、シスコ ネットワーク デバイスにブートストラップ コンフィギュレーションを配布します。

モバイル アプリケーションは次の App Store から入手できます。

• iOS：https://itunes.apple.com/WebObjects/MZStore.woa/wa/viewSoftware?id=1050793709&mt=8

• Android：https://play.google.com/store/apps/details?id=com.cisco.ciscopnpandroid

（注）	iOS 向け Cisco Plug and Play アプリケーションでは、IOS バージョン 7 以降が必要です。Android 向けアプリケーションでは、Android バージョン 4.1 以降が必要です。

（注）	Cisco Plug and Play モバイル アプリケーションは、シスコ ワイヤレス アクセス ポイント デバイスの展開には使用されません。

デバイスが iOS デバイスであるか Android デバイスであるかに応じて、次のコンソール ケーブルが必要です。

• iOS デバイス：Lightening（8 ピン）コネクタ付き iOS デバイスの場合は、Redpark Lightning コンソール ケーブル（L2-RJ45V）。従来の 30 ピン コネクタ付き iOS デバイスの場合は、Redpark コンソール ケーブル（C2-RJ45V）。

• Android デバイス：Airconsole Bluetooth アダプタ

（注）	ネットワーク デバイスからコンソール ケーブルを切断した後に別のネットワーク デバイスに接続する場合は、最初にモバイル アプリケーションを手動で更新し、新しいデバイスに接続するときに適切なステータスを反映する必要があります。

（注）	Redpark ケーブル付きの iOS モバイル デバイスを使用しており、複数のネットワーク デバイスを展開する場合は、1 台のデバイスで作業が完了したら、モバイル デバイスとネットワーク デバイスの両方から Redpark ケーブルを外してシリアル接続を閉じる必要があります。モバイル デバイスからケーブルを外さないと、シリアル セッションが終了せず、以降のデバイスに誤った設定が展開される可能性があります。

Smart Install（SMI）プロキシは、新しい Cisco Plug and Play IOS エージェントがない旧バージョンの IOS（IOS-XE 3.6.3E および IOS 15.2(2) E3 よりも前の IOS）を搭載しているシスコ スイッチの Smart Install 機能を活用します。SMI プロキシは、そのようなスイッチと新しいプラグ アンド プレイ プロトコルを使用する Cisco ネットワーク プラグ アンド プレイ アプリケーションとの間でプロキシとして機能します。

SMI プロキシは、Smart Install Director 機能をサポートしているスイッチング プラットフォームにのみ適用され、ルーティング プラットフォームではサポートされません。

SMI プロキシの設定の詳細については、『Smart Install Configuration Guide』の「Configuring SMI Proxy」の章を参照してください。

（注）	お客様が Cisco ネットワーク プラグ アンド プレイ ソリューションのメリットをすべて享受するには、新しい IOS イメージへのアップグレードを検討する必要があります。SMI プロキシは、新しい Cisco Plug and Play IOS エージェントの全機能を備えているわけではないので、Cisco Plug and Play IOS エージェントを備えた IOS イメージを展開するまでの暫定的なソリューションと見なす必要があります。

展開するリモート ネットワーク デバイスがパブリック インターネットを使用して APIC-EM コントローラと通信する必要があり、コントローラが DMZ の背後にある場合は、ネットワーク デバイスが APIC-EM コントローラと通信できるように、ネットワークに汎用 HTTP プロキシをインストールする必要があります。汎用 HTTP リバース プロキシ（Apache リバース プロキシなど）を DMZ 内で APIC-EM コントローラの前に配置して、ネットワーク デバイスと APIC-EM コントローラ間でメッセージを中継させることができます。

リバース プロキシを使用するには、既知の認証局（CA）から発行された証明書と同じ証明書を、Apache HTTP プロキシ サーバ、APIC-EM、および展開するネットワーク デバイスにインストールする必要があります。この証明書によって、すべてのデバイスで信頼できる通信を確立できます。APIC-EM コントローラは、ネットワーク デバイスに証明書をインストールします。

APIC-EM に証明書をインポートするには、[Settings] > [Proxy Gateway Certificate] GUI コマンドを使用します（『Cisco Application Policy Infrastructure Controller Enterprise Module Deployment Guide』の「Configuring the Cisco APIC-EM Settings」の章を参照）。

（注）	シスコでは、自己署名証明書をコントローラで使用したり、コントローラにインポートすることはお勧めしません。既知の認証局（CA）から有効な X.509 証明書をインポートすることをお勧めします。

Cisco ネットワーク プラグ アンド プレイ ソリューションは、Ubuntu 上で Apache HTTP Server バージョン 2.4.7 を使用してテストされています。Apache コンフィギュレーション ファイルの下記の行は、Apache でリバース プロキシを有効にする方法を示しています。下記のコマンド内の APIC-EM-ip-address を APIC EM コントローラの IP アドレスに置き換えてください。

<VirtualHost *:80>
        ProxyRequests Off
        ProxyPreserveHost On
        ProxyPass / http://apic-em-ip-address
/
        ProxyPassReverse / http://apic-em-ip-address
/
        ServerName your-server-name
        ServerAdmin webmaster@localhost
        SSLCertificateChainFile /etc/apache2/sites-available/Your-IntermediateCA-file.crt
        DocumentRoot /var/www/html
        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>
<VirtualHost *:443>
        SSLProtocol ALL
        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined
        SSLEngine On
        SSLCertificateFile /etc/apache2/sites-available/your-certificate-file.crt
        SSLCertificateKeyFile /etc/apache2/sites-available/your-certificate-key-file.key
        SSLProxyEngine On
        SSLProxyVerify none
        SSLProxyCheckPeerCN Off
        SSLProxyCheckPeerExpire Off
        SSLProxyCheckPeerName Off
        SSLProxyProtocol all -SSLv2
    <Location />
        ProxyPass https://apic-em-ip-address
/ retry=1 acquire=3000 timeout=600 KeepAlive=On
        ProxyPassReverse https://apic-em-ip-address
/
    </Location>
        <Proxy *>
        Order allow,deny
        Allow from all
        </Proxy>
        ProxyPreserveHost On
        <FilesMatch "\.(cgi|shtml|phtml|php)$">
        SSLOptions +StdEnvVars
        </FilesMatch>
        <Directory /usr/lib/cgi-bin>
        SSLOptions +StdEnvVars
        </Directory>
        BrowserMatch "MSIE [2-6]" \
        nokeepalive ssl-unclean-shutdown \
        downgrade-1.0 force-response-1.0
        BrowserMatch "MSIE [17-9]" ssl-unclean-shutdown
</VirtualHost>

この項では、展開時に生じる可能性がある一般的なセルフ ヘルプ トピックや問題を扱います。

（注）	製品をシスコのリセラーから購入された場合、テクニカル サポートについては、直接リセラーにお問い合わせください。この製品をシスコから直接購入された場合は、次の URL でシスコ テクニカル サポートまでご連絡ください。http://www.cisco.com/c/en/us/support/web/tsd-cisco-worldwide-contacts.html

デバイスは、Plug and Play Connect を介して DHCP、DNS、プロキシ サーバ、またはクラウドによって APIC-EM コントローラを自動的に検出できます。ここでは、コントローラの検出に関する次の内容について説明します。

• APIC-EM コントローラの自動検出に対する DHCP の設定

• DNS を使用した APIC-EM コントローラの自動検出

• サーバ ID の設定