このセクションの記事

もっと見る

コントロールパネル（オーバーレイタイプ）：インターネットブレイクアウト

Avatar
NTTPC
  • 更新

コントロールパネルマニュアル一覧（オーバーレイタイプ）

提供機能

インターネットブレイクアウト
　1．ネットワーク定義の設定
　2．カスタムトラフィック定義の設定
　3．トラフィッククラス定義の設定
　4．IP フィルター（ブレイクアウト）定義の設定
　5．インターネットブレイクアウトポリシー定義の設定
　6．LANポート設定

インターネットブレイクアウト

エッジ装置にはオーバレイネットワークとは別に、拠点のエッジ装置から直接インターネットへ接続するインターネットブレイクアウトの機能があります。ここではインターネットブレイクアウトの機能について説明していきます。
 

設定の順序

インターネットブレイクアウトを設定する場合には事前に各設定情報の参照先を定義する必要があります。設定項目における設定手順及び相関関係は下図の通りです。

  1. ネットワーク定義の設定
  2. カスタムトラフィック定義の設定
  3. トラフィッククラス定義の設定
  4. IP フィルター定義の設定
  5. インターネットブレイクアウトポリシー定義の設定
  6. LANポート設定

 img_setting_controlpanel07_206_1.jpg

 

1．ネットワーク定義の設定

  • インターネットブレイクアウトの設定を行うには、最初に「ネットワーク」定義を作成します。すでに作成済みの「ネットワーク」定義の設定があればそちらを活用ください。
  • 利用する「ネットワーク」定義に「割り当てIPアドレス帯」を設定します。
  • 「割り当てIPアドレス帯」は、ネットワーク定義を設定する全てのエッジ装置のブレイクアウトの内部処理用のサブネットとして自動的に利用します。1拠点に使用するエッジ装置のブレイクアウトの内部処理用のサブネットは、/30のサブネットとして4つのIPアドレス（例. 192.168.1.0/30 の場合、4つのIPアドレス（192.168.1.0, 192.168.1.1, 192.168.1.3, 192.168.1.4））が必要となります。ご利用する拠点数×4つのIPアドレス数を確保した1つサブネット範囲を「割り当てIPアドレス帯」に指定ください。
  • 「割り当てIPアドレス帯」は、お客様の全てのLAN側IPアドレスと重複しない（現在お客様ネットワークで利用していない）サブネットを指定ください。重複した場合の動作はサポート外です。
  • 「割り当てIPアドレス帯」に設定するサブネット範囲と、拠点数の関係は下表のとおりです。必ずお客様拠点数よりブレイクアウト設定上限 拠点数が多くなるように「割り当てIPアドレス」を設定して下さい。
  • 「割り当てIPアドレス帯」は、/1～/24の範囲で指定が必要です。
凡例 お客様拠点数 割り当てIPアドレス帯 ブレイクアウト設定上限　拠点数
1 5 192.168.1.0/24
※最小/24のため

ブレイクアウト設定上限 8拠点

<32個（/27のIPアドレス)÷4個（/30のIPアドレス）=8拠点分>
2 10

192.168.1.0/24
※最小/24のため

ブレイクアウト設定上限 16拠点

<64個（/26のIPアドレス)÷4個（/30のIPアドレス）=16拠点分>
3 50 192.168.1.0/24

ブレイクアウト設定上限 64拠点

<256個（/24のIPアドレス)÷4個（/30のIPアドレス）=64拠点分>
4 100 192.168.0.0/23

ブレイクアウト設定上限 128拠点

<512個（/28のIPアドレス)÷4個（/30のIPアドレス）=128拠点分>
5 200（最大） 192.168.0.0/22

ブレイクアウト設定上限 200拠点（拠点数上限のため）

<1024個（/22のIPアドレス)÷4個（/30のIPアドレス）=256拠点分>

※上表の凡例では「192.168.1.0」のIPアドレスを利用しましたが、実際の割り当てIPアドレス帯は、お客様の全てのLAN側IPアドレスと重複しない（現在お客様ネットワークで利用していない）サブネットを指定ください。

 

設定手順

ここではブレイクアウト機能で利用するネットワーク設定について説明します。

  • TOP画面 > ネットワーク > ネットワーク一覧 > ネットワーク作成をクリック

mceclip0.png

mceclip1.png

 設定項目の設定値は以下となります。

項目 内容
 名前  作成するカスタムトラフィック定義の名称を入力　
 メモ  備考欄として利用
 最大60文字まで入力可能

 

パラメータ値

名前

設定値：[ネットワーク定義の名称のテキスト]
　新たに作成するネットワーク定義の名称を入力します。
　 　例：SDWANネットワーク

メモ

設定値：備考欄としてのテキスト
　作成するネットワーク定義の備考/補足説明してテキストを入力します。
　最大60文字まで入力可能です。

 

設定手順

作成したネットワーク定義にブレイクアウトの内部処理用のサブネットを指定します。

  • TOP画面 > ネットワーク > ネットワーク一覧 > 作成したネットワーク名をクリック > 割り当てIPアドレス帯 追加 をクリック

mceclip5.png

設定項目の設定値は以下となります。

項目 内容
 割り当てIPアドレス帯  サブネットを/1～/24の範囲で指定ください。　
 種別

 service

 

パラメータ値

割り当てIPアドレス帯

設定値：サブネット
　そのテナントで利用する全拠点のブレイクアウト内部処理用のサブネットを指定します。
　 　例：192.168.1.0/24

種別

設定値：service
　ここは変更不要です。Serviceのまま設定下さい。

 

 

2．カスタムトラフィック定義の設定

ブレイクアウト機能で制御したい個別の通信をカスタムトラフィック設定として定義するための設定となります。
ここで定義した通信は「トラフィッククラス」の中の「アプリケーション選択」に表示、選択することができるようになります。

 

設定手順

  • TOP画面 > ブレイクアウト > テナント選択 > インターネットブレイクアウトポリシー > ポリシー構成 > カスタムトラフィック > [+カスタムトラフィック作成]

ibo_icon.png

 img_setting_controlpanel07_206_2.jpg

設定項目の設定値は以下となります。

項目 内容
 名前  作成するカスタムトラフィック定義の名称を入力　
 メモ

 備考欄として利用
 最大60文字まで入力可能
 DSCP値　

 サポート外となります。
 内容　  宛先IPアドレス　  対象とする宛先のIPアドレスもしくはネットワークアドレスを指定　　
 宛先ポート番号　

 対象とする宛先のポート番号を指定
 1つのカスタムトラフィック定義あたり、10個まで作成が可能
 1つのポート番号あたり、512連番までの範囲指定が可能
 有効にする　

 有効化
 TCP / UDP / ICMP　　

 対象プロトコルの選択
 送信元IPアドレス　  対象とする送信元のIPアドレスもしくはネットワークアドレスを指定　　
 送信元ポート番号　

 対象とする送信元のポート番号を指定　
 1つのカスタムトラフィック定義あたり、10個まで作成が可能
 1つのポート番号あたり、512連番までの範囲指定が可能

 

パラメータ値

名前

設定値：[カスタムトラフィック定義の名称のテキスト]
　新たに作成するカスタムトラフィック定義の名称を入力します。
　 　例：Simple-Traffic-APP

メモ

設定値：備考欄としてのテキスト
　作成するカスタムトラフィック定義の備考/補足説明してテキストを入力します。
　最大60文字まで入力可能です。
　 　例：Simple-Traffic-APP

DSCP値

　サポート外となります

宛先 IPアドレス

設定値：宛先のIPアドレスのテキスト
　条件として宛先のIPアドレス ( HOST ) もしくはネットワークアドレスを指定します。
　 　例：192.168.100.1 もしくは 192.168.100.0/24

宛先ポート番号

設定値：宛先ポート番号のテキスト
　条件として宛先ポート番号を指定します。ポート番号は[＋Add Item]により追加可能です。
　1つのカスタムトラフィック定義あたり、10個まで作成が可能です。
　1つの宛先ポート番号あたり、512連番までの範囲指定が可能です。
　 　例：80

有効化

設定値：[チェックボックス]
　チェックボックスをクリックすることでカスタムトラフィック定義を有効化します。

TCP/UDP/ICMP

設定値：[TCP / UDP / ICMP]
　条件としてプロトコルを選択します。

送信元 IPアドレス

設定値：送信元のIPアドレスのテキスト
　条件として送信元のIPアドレス ( HOST ) もしくはネットワークアドレスを指定します。
　 　例：192.168.200.1 もしくは 192.168.200.0/24

送信元ポート番号

設定値：宛先ポート番号のテキスト
　条件として宛先ポート番号を指定します。ポート番号は[＋Add Item]により追加可能です。
　1つのカスタムトラフィック定義あたり、10個まで作成が可能です。
　1つの宛先ポート番号あたり、512連番までの範囲指定が可能です。
　 　例：5000-5511

 

留意事項

  • icmpを指定される場合には、宛先 / 送信元ポート番号を設定することはできません。

 

3．トラフィッククラス定義の設定

当該エッジ装置がインターネットブレイクアウト機能を用いて通信を行う場合に、組み込まれたアプリケーションや個別に設定したカスタムトラフィック定義を参照するためにクラス定義を作成します。

 

設定手順

  • TOP画面 > ブレイクアウト > テナント選択 >　インターネットブレイクアウトポリシー > ポリシー構成 > [トラフィッククラス]　＞[+トラフィッククラス作成]

 img_setting_controlpanel07_206_3.jpg

設定項目の設定値は以下となります。

項目 内容
 名前  作成するクラス定義の名称を入力　
 メモ

 備考欄として利用
 最大60文字まで入力可能
 アプリケーション選択　　

 作成したカスタムアプリケーション、または組み込みのアプリケーションまたは通信プロトコルを選択　　

 

パラメータ値

名前

設定値：トラフィッククラス定義の名称のテキスト
　新たに作成するトラフィッククラス定義の名称を入力します。
　　特定通信を指定する設定例（任意）：Simple-Traffic-CLASS
　　デフォルトルート選択用の特殊設定例（指定）： __(アンダーバー2つ)default__ (アンダーバー2つ)

メモ

設定値：備考欄としてのテキスト
　新たに作成するトラフィッククラス定義の備考/補足説明して任意のテキストを入力します。
　最大60文字まで入力が可能です。
　　特定通信を指定する設定例 (任意) ：シンプルなトラフィック制御用のクラス定義
　　デフォルトルート選択用の特殊設定例（指定）：リモートブレイクアウト用

カスタムトラフィック

設定値：[組み込みプロトコル / カスタムトラフィック定義]
　特定通信を指定する条件として宛先ポート番号を指定します。
　組み込みプロトコル (例.HTTPなど) や事前に定義したカスタムトラフィック定義を選択することも可能です。
　ポート番号は[＋Add Item]により追加可能です。
　また、ここでリモートブレイクアウトのためのオブジェクトを定義する必要があります。

  • 特定通信を指定する設定例（任意）： [組み込みプロトコル / カスタムトラフィック定義] を選択
  • デフォルトルート選択用の特殊設定例（指定）： なし（カスタムトラフィックプロトコルを削除してください）

 img_setting_controlpanel07_206_4.jpg
トラフィッククラスの初期選択プロトコルを(-)ボタンをクリックして削除してください。

 img_setting_controlpanel07_206_5.jpg
トラフィッククラスの初期選択アプリケーションが消えたことを確認して、「作成」をクリックしてください。

以下の 制御可能なアプリケーションを指定したい場合、1つのトラフィッククラスに、複数のアプリケーション選択を含めて登録しなければならない場合があります。以下をご確認ください。

項目 アプリケーション選択
 Office 365

  以下の全てのアプリを1つのトラフィッククラスに含めて
  登録する必要があります。 
「Office365_app」
「Office365-01_app」、「Office365-02_app」、
「Office365-03_app」、「Office365-04_app」、
「Office365-05_app」

 

 

以下の beta版のアプリケーションを指定したい場合、1つのトラフィッククラスに、複数のアプリケーション選択を含めて登録しなければならない場合があります。以下をご確認ください。

項目 アプリケーション選択
 Teams

  以下の全てのアプリを1つのトラフィッククラスに含めて
  登録する必要があります。 
「Office365_app」
「Office365-01_app」、「Office365-02_app」、
「Office365-03_app」、「Office365-04_app」、
「Office365-05_app」
「Teams-beta-01_app」、「Teams-beta-02_app」、
「Teams-beta-03_app」、「Teams-beta-04_app」 
 Zoom

 「Zoom-beta_app」
 Webex　　

 「Webex-beta_app」
 B-Boom

 「B-room-beta_app」
 Google Drive

 「GoogleDrive-beta_app」
 SmartPBX

「Smart-PBX-01_app」、「Smart-PBX-02_app」、「Smart-PBX-03_app」

 

留意事項

  • 個別に制御したいIPアドレスやポート番号がある場合には、事前にカスタムトラフィク定義が必要となります。

 

4．IP フィルター（ブレイクアウト）定義の設定

当該エッジ装置がインターネットブレイクアウト通信を行う場合に、ルールやポリシーを参照するためにIPフィルター（ブレイクアウト）を作成します。
IPフィルタではlocal（自拠点のエッジ装置のWAN側）からインターネットブレイクアウトする際にIPFilterの設定が可能です。この設定により、意図しない通信を遮断することができます。
そして、今までの定義を利用して、 インターネットブレイクアウトの通信ポリシーを定義します。

 

設定手順

  • TOP画面 > ブレイクアウト > テナント選択 >　インターネットブレイクアウトポリシー > ポリシー構成 > IPフィルター　＞[+IPフィルター作成]

 img_setting_controlpanel07_206_6.jpg

設定項目の設定値は以下となります。

項目 内容
 IPフィルターの名前  新たに作成するIPフィルタ定義の名称を入力　

 IPフィルタのルール　

  動作　  deny　  選択しないでください 
 accept　  こちらを選択してください
 送信元セグメント　  「0.0.0.0/0」を入力　
 宛先セグメント　  「0.0.0.0/0」を入力
 通信方向　  out  outを選択してください　
 プロトコル又はポート番号　  ALLを選択してください　　
 ポート指定　　  開始ポート番号　　 1 (デフォルトのまま)　
 終了ポート番号　 65535 (デフォルトのまま)　
 ステータス  有効　 こちらを選択してください（デフォルトのまま）　
 無効　 選択しないでください 

 

パラメータ値

IPフィルターの名前

設定値：IPフィルター定義の名称のテキスト
　新たに作成するIPフィルター定義の名称を入力します。
　 　例：Internet-Breakout-RULE

動作

設定値：[Deny / Accept]
　条件に合致した際の動作を選択します。

送信元セグメント

設定値：送信元のネットワークアドレスのテキスト

Filter条件として送信元のネットワークアドレスを指定します。
　 　例：192.168.100.0/24

宛先セグメント

設定値：宛先のネットワークアドレスのテキスト
　Filter条件として宛先のネットワークアドレスを指定します。
　 　例：192.168.200.0/24

通信方向

設定値：[both / to-internet / from-internet]
　Filter条件として通信の向きを定義するために選択します。
　Both：双方向の通信を対象とします
　to-internet：LANセグメントからインターネットへのアウトバウント通信を対象とします。
　from-internet：インターネットからLANセグメントへのインバウント通信を対象とします。

プロトコル名

設定値：[対象となるプロトコル]

　Filter条件としてプロトコルを定義するために選択します。
　ALL：すべての通信を対象とします。すべての通信をインターネットブレイクアウトさせる場合に選択します。
　プロトコル指定：HTTPなど、特定のプロトコルを対象とします。プロトコル (HTTPなど) を指定した場合には、自動的に対象となるポート番号 (80) の割り当てが行われます。仮にポート番号を指定しても無視されます。
　TCPカスタム：特定のTCP通信を対象とします。この場合Port rangeでポート番号も指定してください。
　UDPカスタム：特定のUDP通信を対象とします。この場合Port rangeでポート番号も指定してください。

ポート指定

設定値：TCP/UDPカスタムをプロトコル名で選択する際に入力するポート番号のテキスト
　開始ポート番号：ポート番号の範囲を指定する場合の開始番号となります
　終了ポート番号：ポート番号の範囲を指定する場合の終了番号となります。
　１つのポート番号だけ指定する場合には開始ポート番号及び終了ポート番号に同じポート番号を指定してください。 

 

留意事項

  • TCP/UDPカスタムを利用する場合、必ずPort rangeを指定してください。デフォルトでは1～65535となっています。
  • ALL_ICMPを利用する場合、ポート番号を指定頂く必要はございません。
  • ALL_ICMP、PINGの動作に差異はございません。ALL_ICMPを設定ください。

 

5．インターネットブレイクアウトポリシー定義の設定


トラフィッククラス定義やIPフィルター定義を１つのインターネットブレイクアウトポリシー定義として関連づけるための設定を行います。

ブレイクアウトポリシーは、最大60個まで作成できます。

 

設定手順

  • TOP画面 > ブレイクアウト > テナント選択 >　インターネットブレイクアウトポリシー > [+インターネットブレイクアウトポリシー作成]

 img_setting_controlpanel07_206_7.jpg


設定項目の設定値は以下となります。

項目 内容
 インターネットブレイクアウトポリシー名　　  新たに作成するインターネットブレイクアウトポリシー定義の名称を入力　　
 IPフィルター選択  参照するIPフィルター定義を選択
 URLフィルター  サポート外となります　
 ブレイクアウト（remote/local）  Local or Remote を選択
 トラフィッククラス  作成したトラフィッククラス定義の名称を選択

 

パラメータ値

インターネットブレイクアウトポリシー名

設定値：インターネットブレイクアウトポリシー定義の名称のテキスト
　新たに作成するインターネットブレイクアウトポリシー定義の名称を入力します。
　 　例：Internet-Breakout-POLICY

IPフィルター選択

設定値：[IPフィルター定義]
　Filterの条件を参照するため、事前に作成したIPフィルター定義を選択します。
　 　例：Internet-Breakout-RULE

URLフィルター

設定値：サポート外となります。

ブレイクアウト

設定値：local / remoteを選択

インターネットブレイクアウトを自拠点(Local)又は他拠点(remote)で実施するか選択します。 「remote」を選択する場合には、他拠点側のエッジ装置のlan側にインターネット環境があり、Static route(0.0.0.0/0）が予め設定され、デフォルトルートを自拠点まで経路広告させる必要があります。
また、リモート拠点（他拠点のエッジ装置）のLAN側のインターネット向けのデフォルトルートを優先させる場合には、remoteを選択するだけでなく、トラフィッククラスに「__default__」を指定してください。それにより、自拠点のデフォルトルートより、経路広告で他拠点から受信するデフォルトルートを優先して通信させることができます。
「local」を選択する場合は、ローカル拠点（自拠点のエッジ装置）のエッジ装置のネットワークにインターネットブレイクアウトポリシーを適用し、有効化されたタイミングで自動的にwan-1にデフォルトルートが設定されますが、他の拠点からくるデフォルトルートに影響されないように、インターネットブレイクアウトポリシーのトラフィッククラス定義に「__default__」を指定し、breakoutに「local」を指定してください。

トラフィッククラス

設定値：[Class定義]

事前に作成したトラフィッククラス定義を参照するために指定します。
また、トラフィッククラスに「__default__」を参照させることにより、ブレイクアウトで選択したデフォルトルートをLocal / remoteのどちらを優先するか定義することが出来ます。Local（自拠点のエッジ装置）でICMPのみブレイクアウトさせ、それ以外（デフォルトルート）はRemote（他拠点のエッジ装置）へ通信させる場合は次の図の設定となります。

 img_setting_controlpanel07_206_8.jpg

 img_setting_controlpanel07_206_9.jpg

 

留意事項

  • お客さまにより作成されたトラフィッククラスは、インターネットブレイクアウトポリシーに設定されているか否かを問わず、変更および削除が可能です。
    設定済みのトラフィッククラスを削除した場合、当該ポリシーのトラフィッククラスが選択されない状態 ( Nothing selected ) となります。

 

6．LANポート設定

当該エッジ装置のLAN I / Fにネットワーク定義の紐付けを行います。この際に事前に設定した「ネットワーク（1. ネットワーク定義の設定）」「インターネットブレイクアウトポリシー（5.インターネットブレイクアウトポリシー定義の設定）」を参照します。
エッジ装置毎に個別にブレイクアウトポリシーは設定する事が出来ます。また、LAN I / Fも個別に LAN-1、LAN-2など自由に指定可能であり、セグメンテーションによりネットワークを分けている場合でも問題なく設定できます。

 

設定手順

  • TOP画面 > 拠点 > テナント選択 > 対象テナントを選択 > 対象拠点名を選択 > LANポート画面[lan-1/lan-2の編集ボタン] > [Port作成]

mceclip6.png

設定項目の設定値は以下となります。

項目 内容
 ネットワーク選択  所属するネットワークを指定します。
「1. ネットワーク定義の設定」で作成したネットワーク定義を指定します。
 インターネットブレイクアウトポリシー  作成したインターネットブレイクアウトポリシーを指定します。
「5.インターネットブレイクアウトポリシー定義の設定」で作成したポリシーを指定します。
 LANネットワークアドレス/サブネットマスク  利用ネットワークアドレス　サブネットマスクを含めて入力
 LANインターフェースのプライマリIPアドレス  エッジ装置のLAN側 I / FのIPアドレスを入力
 LANインターフェースのセカンダリIPアドレス(非サポート)　　  サポート外となります。

 

パラメータ値

ネットワーク選択

設定値：[Network定義]

インターネットブレイクアウト用に定義したネットワーク定義（「1. ネットワーク定義の設定」で作成したネットワーク定義）を指定します。
当該エッジ装置が通信を行うネットワーク定義を指定する。同一のVPN契約であっても、このネットワーク定義が異なるエッジ装置間での通信は行えません。
　 　例：SDWANネットワーク

インターネットブレイクアウトポリシー

設定値：[インターネットブレイクアウトポリシー定義]

インターネットブレイクアウトポリシーで定義したポリシー（「5.インターネットブレイクアウトポリシー定義の設定」で作成したポリシー）を適用します。インターネットブレイクアウトポリシーの定義は「コントロールパネルマニュアル：インターネットブレイクアウト」を参照してください。

LANネットワークアドレス/サブネットマスク

設定値：LAN-I/Fで利用するIPアドレスのテキスト

クラスA、クラスCおよびお客さまが正規に申請されたグローバルIPアドレスのみ指定が可能となります。入力値としてその他の値も入力可能ですが、 動作保証はしません。
　 　例：192.168.100.0/24

LANインターフェースのプライマリIPアドレス

設定値：LAN-I/Fで利用するIPアドレスのテキスト

[Prefix]で指定したクラスセグメントから1つのアドレスを指定して入力します。このアドレスがエッジ装置のLAN-I/FのIPアドレスとして設定されます。
ホットスタンバイ構成の場合は、Primary側のIPアドレスとして設定されます。
　 　例：192.168.100.1

LANインターフェースのセカンダリIPアドレス

設定値：LAN I / Fで利用するIPアドレスのテキスト

シングル構成及びコールドスタンバイ構成時には利用しません。
ホットスタンバイ構成のSecondary側のIPアドレスとして設定されます。

 

以上で設定は完了です。

関連記事

コメント

0件のコメント

記事コメントは受け付けていません。