NSX 管理ガイド

Update 14変更日：2021 年 5 月 12 日VMware NSX Data Center for vSphere 6.4

最新の技術ドキュメントは、 VMware の Web サイト （https://docs.vmware.com/jp/）

VMware, Inc.3401 Hillview Ave.Palo Alto, CA 94304www.vmware.com

ヴイエムウェア株式会社105-0013　東京都港区浜松町 1-30-5浜松町スクエア 13Fwww.vmware.com/jp

Copyright ©

2010 - 2021 VMware, Inc. All rights reserved. 著作権および商標情報。

NSX 管理ガイド

VMware, Inc. 2

目次

NSX 管理ガイド 13

1 NSX Data Center for vSphere のシステム要件 14

2 NSX Data Center for vSphere で必要となるポートおよびプロトコル 17

3 NSX Data Center for vSphere の概要 18NSX Data Center for vSphere コンポーネント 19

データ プレーン 20

制御プレーン 21

管理プレーン 22

使用プラットフォーム 22

NSX Edge 22

NSX Services 25

4 Cross-vCenter Networking and Security の概要 27Cross-vCenter NSX のメリット 27

Cross-vCenter NSX の仕組み 28

Cross-vCenter NSX でのサービスのサポート マトリックス 29

ユニバーサル NSX Controller クラスタ 31

ユニバーサル トランスポート ゾーン 31

ユニバーサル論理スイッチ 31

ユニバーサル分散論理ルーター 31

ユニバーサル ファイアウォール ルール 32

ユニバーサル ネットワークとセキュリティ オブジェクト 33

Cross-vCenter NSX トポロジ 33

複数サイトおよび単一サイトの Cross-vCenter NSX 33

Local Egress（ローカル出力方向） 35

NSX Manager ロールの変更 36

5 トランスポート ゾーン 38レプリケーション モードについて 40

トランスポート ゾーンの追加 43

トランスポート ゾーンの編集 44

トランスポート ゾーンの拡張 45

トランスポート ゾーンの縮小 46

Controller Disconnected Operation (CDO) モード 46

VMware, Inc. 3

6 論理スイッチ 47論理スイッチの追加 49

論理スイッチの追加 49

論理スイッチの NSX Edge への接続 52

論理スイッチでのサービスのデプロイ 53

論理スイッチへの仮想マシンの接続 53

論理スイッチの接続テスト 54

論理スイッチでのなりすましの防止 54

論理スイッチの編集 54

論理スイッチのシナリオ 55

管理者 John による NSX Manager へのセグメント ID プールの割り当て 57

管理者 John による VXLAN 転送パラメータの設定 58

管理者 John によるトランスポート ゾーンの追加 59

管理者 John による論理スイッチの作成 59

7 ハードウェア ゲートウェイの設定 61シナリオ： ハードウェア ゲートウェイのサンプル構成 62

レプリケーション クラスタの設定 63

ハードウェア ゲートウェイの NSX Controller への接続 64

ハードウェア ゲートウェイの証明書の追加 65

論理スイッチの物理スイッチへのバインド 67

8 L2 ブリッジ 69L2 ブリッジの追加 70

論理的にルーティングされた環境への L2 ブリッジの追加 71

ブリッジ スループットの向上 72

Software Receive Side Scaling の有効化 73

9 ルーティング 74分散論理ルーターの追加 74

Edge Services Gateway の追加 86

グローバル設定の指定 95

NSX Edge 設定 97

証明書の操作 97

FIPS モード 102

NSX Edge アプライアンスの管理 104

NSX Edge アプライアンスのリソース予約の管理 106

インターフェイスの操作 109

サブ インターフェイスの追加 112

自動ルール設定の変更 116

CLI 認証情報の変更 116

NSX 管理ガイド

VMware, Inc. 4

高可用性について 116

NSX Edge と NSX Manager の強制同期 120

NSX Edge の Syslog サーバの設定 121

NSX Edge サービス ステータスの表示 122

NSX Edge の再デプロイ 122

NSX Edge のテクニカル サポート ログのダウンロード 125

スタティック ルートの追加 125

分散論理ルーター上での OSPF の設定 127

Edge Services Gateway 上での OSPF の設定 132

BGP の設定 137

ルート再配分の設定 141

NSX Manager ロケール ID の表示 143

ユニバーサル分散論理ルーター上でのロケール ID の設定 143

ホストまたはクラスタ上でのロケール ID の設定 144

マルチキャスト ルーティングのサポート、制限、およびトポロジー 145

分散論理ルーターでのマルチキャストの設定 147

Edge Services Gateway でのマルチキャストの構成 149

マルチキャスト トポロジ 151

10 論理ファイアウォール 153分散ファイアウォール 153

コンテキスト アウェア ファイアウォール 155

セッション タイマー 164

仮想マシンの IP アドレス検出 167

ファイアウォールによる保護からの仮想マシンの除外 169

ファイアウォール CPU イベントおよびメモリしきい値イベントの表示 170

分散ファイアウォールのリソース使用率 170

Edge ファイアウォール 170

NSX Edge ファイアウォール ルールの使用 171

ファイアウォール ルール セクションの操作 191

ファイアウォール ルール セクションの追加 191

ファイアウォール ルール セクションのマージ 192

ファイアウォール ルール セクションの削除 193

ファイアウォール ルール セクションのロック 193

ファイアウォール ルール セクションのロック解除 194

ファイアウォール ルールの使用 195

ファイアウォール ルールの追加 195

デフォルトの分散ファイアウォール ルールの編集 203

分散ファイアウォール ルールの強制同期 203

カスタムのレイヤー 3 プロトコルでのファイアウォール ルール 204

未発行の設定の保存 205

NSX 管理ガイド

VMware, Inc. 5

保存されたファイアウォール設定の読み込み 205

ファイアウォール ルールのフィルタ 206

ファイアウォール ルールの順序の変更 207

セキュリティ グループでのファイアウォール ルールの動作 207

ファイアウォール ルールのヒット数とリセット 207

ファイアウォールのログ 208

11 ファイアウォール シナリオ 213コンテキスト アウェア ファイアウォールのシナリオ 213

アプリケーション ID の設定 214

12 Identity Firewall の概要 216Identity Firewall のワークフロー 217

Identity Firewall でサポートされるテスト済みの構成 218

13 Active Directory ドメインの操作 222NSX Manager への Windows ドメインの登録 222

Windows ドメインと Active Directory の同期 224

Windows ドメインの編集 225

Windows 2008 で読み取り専用セキュリティ ログ アクセスを有効にする 225

ディレクトリ権限の確認 226

14 SpoofGuard の使用 228SpoofGuard ポリシーの作成 229

IP アドレスの承認 230

IP アドレスの変更 231

IP アドレスのクリア 232

15 Virtual Private Network (VPN) 233SSL VPN-Plus の概要 233

ネットワーク アクセス SSL VPN-Plus の設定 235

SSL VPN-Plus Client のインストール 245

SSL VPN-Plus Client でのプロキシ サーバの設定 248

SSL VPN-Plus のログ 249

クライアント設定の編集 250

全般設定の編集 250

Web ポータル デザインの編集 251

SSL VPN での IP アドレス プールの使用 251

プライベート ネットワークの操作 253

インストール パッケージの操作 255

ユーザーの操作 255

NSX 管理ガイド

VMware, Inc. 6

ログインおよびログオフ スクリプトの操作 256

IPsec VPN の概要 258

ポリシー ベースの IPsec VPN 258

ルートベースの IPsec VPN 259

ポリシー ベースの IPsec VPN サイトの構成 261

ルート ベースの IPsec VPN サイトの構成 270

IPsec VPN サイトの編集 272

IPsec VPN サイトの無効化 272

IPsec VPN サイトの削除 272

IPSec の用語集 273

IKEv1 フェーズ 1 とフェーズ 2 273

ポリシー ベースの IPsec VPN サイトの構成例 276

Cisco 2821 を統合したサービス ルーターの使用 277

Cisco ASA 5510 の使用 280

Cisco CSR 1000V アプライアンスの使用 282

WatchGuard Firebox X500 の設定 286

L2 VPN の概要 286

L2 VPN のベスト プラクティス 289

SSL 経由の L2 VPN 295

IPsec 経由での L2 VPN 300

L2 VPN クライアントとしてのスタンドアローン Edge 301

シナリオ：拡張 VLAN または VXLAN ネットワークの追加 309

シナリオ：拡張 VLAN または VXLAN ネットワークの削除 313

16 論理ロード バランサ 315ロード バランシングの設定 319

ロード バランサ サービスの設定 321

サービス モニターの作成 322

サーバ プールの追加 330

アプリケーション プロファイルの作成 333

アプリケーション ルールの追加 341

仮想サーバの追加 348

アプリケーション プロファイルの管理 350

アプリケーション プロファイルの編集 350

ロード バランサ用 SSL Termination の設定 350

アプリケーション プロファイルの削除 351

サービス モニターの管理 351

サービス モニターの編集 352

サービス モニターの削除 352

サーバ プールの管理 352

サーバ プールの編集 352

NSX 管理ガイド

VMware, Inc. 7

ロード バランサでの透過モードの設定 353

サーバ プールの削除 353

プール ステータスの表示 354

仮想サーバの管理 354

仮想サーバの編集 354

仮想サーバの削除 355

アプリケーション ルールの管理 355

アプリケーション ルールの編集 355

アプリケーション ルールの削除 356

NTLM 認証を使用する Web サーバのロード バランシング 356

ロード バランサの HTTP 接続モード 356

NSX ロード バランサ構成のシナリオ 358

シナリオ：ワンアーム ロード バランサの設定 358

シナリオ：インライン ロード バランサの設定 363

シナリオ：Platform Services Controller 用 NSX ロード バランサの設定 366

シナリオ：SSL オフロード 370

シナリオ：SSL 証明書のインポート 376

シナリオ：SSL パススルー 378

シナリオ：SSL クライアントとサーバ認証 380

17 その他の Edge サービス 383DHCP サービスの管理 383

DHCP IP アドレス プールの追加 384

DHCP サービスの開始 385

DHCP IP アドレス プールの編集 386

DHCP 静的割り当ての追加 386

DHCP 割り当ての編集 388

DHCP リレーの設定 388

DHCP リレー サーバの追加 389

DHCP リレー エージェントの追加 390

DNS サーバの構成 391

18 Service Composer 392Service Composer の使用 394

Service Composer でのセキュリティ グループの作成 395

グローバル設定 398

セキュリティ ポリシーの作成 400

セキュリティ グループへのセキュリティ ポリシーの適用 404

Service Composer キャンバス 405

セキュリティ タグの操作 407

一意の ID の選択 408

NSX 管理ガイド

VMware, Inc. 8

適用されているセキュリティ タグの表示 409

セキュリティ タグの作成 409

セキュリティ タグの割り当て 410

セキュリティ タグの編集 410

セキュリティ タグの削除 411

有効なサービスの表示 411

セキュリティ ポリシーの有効なサービスの表示 411

セキュリティ ポリシーのサービス障害の表示 412

仮想マシンでの有効なサービスの表示 412

セキュリティ ポリシーの操作 413

セキュリティ ポリシーの優先順位の管理 413

セキュリティ ポリシーの編集 414

セキュリティ ポリシーの削除 414

セキュリティ ポリシー設定のインポートとエクスポート 414

セキュリティ ポリシー設定のエクスポート 415

セキュリティ ポリシー設定のインポート 415

Service Composer のシナリオ 416

感染しているマシンを隔離するシナリオ 416

セキュリティ設定のバックアップ 421

19 ゲスト イントロスペクション 424ゲスト イントロスペクションのアーキテクチャ 425

ホスト クラスタへの ゲスト イントロスペクション のインストール 427

Windows 仮想マシンへのゲスト イントロスペクション シン エージェントのインストール 429

Linux 仮想マシンへのゲスト イントロスペクション シン エージェントのインストール 431

ゲスト イントロスペクション のステータスの表示 434

ゲスト イントロスペクション の監査メッセージ 434

ゲスト イントロスペクションのイベント 434

ゲスト イントロスペクション モジュールのアンインストール 436

Linux 用ゲスト イントロスペクションのアンインストール 436

20 ネットワークの拡張性 437分散サービス挿入 438

Edge ベースのサービス挿入 438

サードパーティのサービスの統合 438

パートナー サービスの展開 439

Service Composer を介したベンダー サービスの使用 441

論理ファイアウォールを使用したベンダー ソリューションへのトラフィックのリダイレクト 441

パートナーのロード バランサの使用 442

サードパーティ統合の削除 443

NSX 管理ガイド

VMware, Inc. 9

21 ユーザー管理 444機能別の NSX ユーザーおよび権限 444

シングル サインオンの構成 454

ユーザー権限の管理 456

デフォルト ユーザー アカウントの管理 457

vCenter Server ユーザーへのロールの割り当て 457

グループ ベースのロール割り当て 459

CLI を使用して Web インターフェイスのアクセス権を持つユーザーを作成する 461

ユーザー アカウントの編集 463

ユーザー ロールの変更 464

ユーザー アカウントを無効または有効にする 464

ユーザー アカウントの削除 464

22 ネットワークおよびセキュリティ オブジェクト 466IP アドレス グループの操作 466

IP アドレス グループの作成 467

IP アドレス グループの編集 468

IP アドレス グループの削除 468

MAC アドレス グループの操作 468

MAC アドレス グループの作成 469

MAC アドレス グループの編集 469

MAC アドレス グループの削除 470

IP アドレス プールの操作 470

IP アドレス プールの作成 470

IP アドレス プールの編集 471

IP アドレス プールの削除 471

セキュリティ グループの操作 472

セキュリティ グループでのファイアウォール ルールの動作 472

セキュリティ グループの作成 473

セキュリティ グループの編集 476

セキュリティ グループの削除 476

サービスおよびサービス グループの操作 477

サービスの作成 477

サービス グループの作成 478

サービスまたはサービス グループの編集 479

サービスまたはサービス グループの削除 479

23 運用管理 480ライセンスの追加と割り当て 480

ダッシュボードの使用 482

カスタム ウィジェット 483

NSX 管理ガイド

VMware, Inc. 10

システムのスケール ダッシュボード 483

通信チャネルの健全性の確認 484

NSX Controller の管理 485

NSX Controller 名の変更 485

コントローラ パスワードの変更 486

NSX Controller クラスタの DNS、NTP、Syslog の設定 486

NSX Controller のテクニカル サポート ログのダウンロード 488

複数サイトでのコントローラ切断モード 489

Controller Disconnected Operation (CDO) モードの有効化 490

Controller Disconnected Operation (CDO) モードの無効化 491

CDO 設定の再同期 491

VXLAN ポートの変更 492

カスタマー エクスペリエンス向上プログラム 494

カスタマー エクスペリエンス向上プログラムのオプションの編集 494

NSX のログについて 495

監査ログ 496

NSX チケット ロガーの使用 496

監査ログの表示 497

システム イベント 497

システム イベントのレポートの表示 497

システム イベントの形式 498

アラーム 498

アラームの形式 499

SNMP トラップの操作 499

システム設定の管理 503

NSX Manager 仮想アプライアンスへのログイン 503

NSX Manager の日時の編集 504

NSX Manager アプライアンスの IP アドレスの変更 504

NSX Manager の Syslog サーバの設定 507

NSX Manager での FIPS モードと TLS 設定の変更 508

DNS サーバの編集 509

Lookup Service の詳細の編集 509

vCenter Server の編集 510

NSX のテクニカル サポート ログのダウンロード 510

NSX Manager の SSL 証明書 511

NSX のバックアップとリストア 514

NSX Manager のバックアップとリストア 514

vSphere Distributed Switch のバックアップ 521

vCenter Server のバックアップ 521

NSX の監視と診断ツール 521

フロー モニタリング 521

NSX 管理ガイド

VMware, Inc. 11

IPFIX の設定 528

Application Rule Manager 545

ホストの健全性ステータスの監視 555

ネットワーク遅延のモニタリング 557

エンドポイントの監視データの収集 558

トレースフロー 561

パケット キャプチャ 564

サポート バンドル収集ツール 567

24 Cross-vCenter NSX でのディザスタ リカバリのシナリオ 572シナリオ 1：サイト全体の停止（予定のメンテナンス） 576

シナリオ 2：サイト全体の停止（予期しない障害） 580

シナリオ 3：プライマリ サイトへの完全なフェイルバック 584

NSX 管理ガイド

VMware, Inc. 12

NSX 管理ガイド

『NSX 管理ガイド』には、VMware NSX®Manager™ ユーザー インターフェイス、VMware vSphere® Web Client、VMware vSphere®Client™を使用して、VMware NSX® Data Center for vSphere® の構成、監視、

メンテナンスを行う方法が記載されています。詳細な設定手順や推奨されるベスト プラクティスについても記載し

ています。

重要： NSX for vSphere の名称が NSX Data Center for vSphere になりました。

対象読者

本書は、VMware vSphere® 環境で NSX Data Center for vSphere をインストールまたは使用するユーザー

を対象としています。本書に記載されている情報は、システム管理者としての経験があり、仮想マシン テクノロジー

および仮想データセンターの操作に詳しい方を対象としています。本書は、VMware ESXi™、VMware vCenter Server®

、vSphere Web Client などの vSphere について知識があることを前提としています。

タスクの手順

このガイドのタスクの手順は、vSphere Web Client に基づいています。このガイドのタスクの一部は、新しい

vSphere Client を使用して実行することもできます。新しい vSphere Client のユーザー インターフェイスの用

語、トポロジ、ワークフローは、vSphere Web Client の同じ要素や項目とほとんど一致しています。

注： vSphere Web Client の NSX プラグインの一部の機能は、NSX 6.4 の vSphere Client で実装されてい

ません。サポートされている機能とサポートされていない機能の最新のリストについては、https://docs.vmware.com/jp/VMware-NSX-for-vSphere/6.4/rn/nsx-vsphere-client-65-functionality-support.html を参照してください。

VMware の技術ドキュメントの用語集

VMware は、新しい用語を集めた用語集を提供しています。当社の技術ドキュメントで使用されている用語の定義

については、http://www.vmware.com/support/pubs をご覧ください。

VMware, Inc. 13

NSX Data Center for vSphere のシステム要件 1NSX Data Center for vSphere のインストールまたはアップグレードを行う前に、ネットワーク構成とリソース

について検討します。vCenter Server ごとに 1 つの NSX Manager をインストールできます。ESXi ホストあ

たり 1 つの ゲスト イントロスペクション インスタンス、データ センターあたり複数の NSX Edge インスタンスを

インストールできます。

ハードウェア

次の表は、NSX Data Center for vSphere アプライアンスのハードウェア要件です。

表 1-1. アプライアンスのハードウェア要件

アプライアンス メモリ vCPU ディスク容量

NSX Manager 16 GB（大規模な環境の場合は

24 GB）

4

大規模な環境の場合：

8 以下（6.4.0 から 6.4.6）

32 以下（6.4.7 以降）

60 GB

NSX Controller 4 GB 4 28 GB

NSX Edge

（分散論理ルーターは Compact アプライアンスとしてデプロイ）

[Compact]： 512 MB

[Large]： 1 GB

Quad Large：4 GB（6.4.9 以降）、2 GB（6.4.0 ～ 6.4.8）

[X-Large]：8 GB

[Compact]： 1

[Large]： 2

[Quad Large]： 4

[X-Large]： 6

[Compact、Large]：640 MB のディスク 1 台 + 512 MB のディ

スク 1 台

[Quad Large]：640 MB のディ

スク 1 台 + 512 MB のディスク 2 台

[X-Large]：640 MB のディスク

1 台 + 2 GB のディスク 1 台 + 512 MB のディスク 1 台

ゲスト イントロスペクション 2 GB 2 5 GB（プロビジョニング後の容量

は 6.26 GB）

一般的なガイドラインとして、NSX で管理する環境に 256 を超えるハイパーバイザーが含まれる場合、NSX Manager のリソースを少なくとも vCPU 8 個とメモリ 24 GB に増やしてください。vCPU は 32 個以下にして

ください。構成の上限については、VMware 構成の上限ツールの「NSX Data Center for vSphere」セクション

を参照してください。記載されている構成の上限は、NSX Manager アプライアンスのサイズが Large であること

を前提としています。特定のサイジングに関する情報については、VMware サポートにお問い合わせください。

VMware, Inc. 14

仮想アプライアンスへのメモリと vCPU の割り当てを増加させる方法については、『vSphere 仮想マシン管理』の

「メモリ リソースの割り当て」と「仮想 CPU 数の変更」を参照してください。

ゲスト イントロスペクション アプライアンスにプロビジョニングされた容量は、ゲスト イントロスペクション に

6.26 GB と表示されます。これは、クラスタ内の複数のホストが　1 つのストレージを共有している場合、vSphere ESX Agent Manager が高速クローン用にサービス仮想マシンのスナップショットを作成するためです。このオ

プションを ESX Agent Manager で無効にする方法については、ESX Agent Manager のドキュメントを参照し

てください。

ネットワークの遅延

コンポーネント間のネットワーク遅延が、以下の最大遅延時間内であることを確認する必要があります。

表 1-2. コンポーネント間のネットワーク遅延の最大値

コンポーネント 遅延の最大値

NSX Manager と NSX Controller ノード 150 ms RTT

NSX Manager と ESXi ホスト 150 ms RTT

NSX Manager と vCenter Server システム 150 ms RTT

NSX Manager と Cross-vCenter NSX 環境の NSX Manager 150 ms RTT

NSX Controller と ESXi ホスト 150 ms RTT

ソフトウェア

最新の相互運用性の情報については、http://partnerweb.vmware.com/comp_guide/sim/interop_matrix.php で、製品の相互運用性マトリックスを参照してください。

NSX Data Center for vSphere、vCenter Server、ESXi の推奨バージョンについては、アップグレードする

NSX Data Center for vSphere バージョンのリリース ノートを参照してください。リリース ノートは、NSX Data Center for vSphere ドキュメント サイト https://docs.vmware.com/jp/VMware-NSX-for-vSphere/index.html で入手できます。

NSX Manager を Cross-vCenter NSX 環境に参加させるには、次の条件を満たす必要があります。

コンポーネント バージョン

NSX Manager 6.2 以降

NSX Controller 6.2 以降

vCenter Server 6.0 以降

ESXi ESXi 6.0 以降

NSX 6.2 以降の VIB が準備されているホスト クラスタ

Cross-vCenter NSX 環境のすべての NSX Manager を 1 つの vSphere Web Client から管理するには、

vCenter Server システムを拡張リンク モードで接続する必要があります。『vCenter Server およびホスト管理』

の「拡張リンク モードの使用」を参照してください。

NSX 管理ガイド

VMware, Inc. 15

パートナーのソリューションと NSX との互換性を確認するには、VMware 互換性ガイドで ネットワークとセキュ

リティ (http://www.vmware.com/resources/compatibility/search.php?deviceCategory=security) を参照してください。

クライアントとユーザー アクセス

NSX Data Center for vSphere 環境を管理するには、次が必要です。

n 正引き/逆引きの名前解決。これは、vSphere インベントリに ESXi ホストを名前で追加した場合に必要です。

この機能がないと、NSX Manager は IP アドレスを解決できません。

n 仮想マシンを追加、パワーオンの権限。

n 仮想マシンのファイルを保存するデータストアへのアクセス、そのデータストアにファイルをコピーするための

アカウント権限。

n NSX Manager ユーザー インターフェイスにアクセスするには、Web ブラウザで Cookie を有効にする必要

があります。

n NSX Manager と ESXi ホスト、vCenter Server、デプロイする NSX Data Center for vSphere アプラ

イアンスの間でポート 443 を開く必要があります。このポートは、ESXi ホストから OVF ファイルをダウンロ

ードして展開するために必要です。

n 使用している vSphere Client または vSphere Web Client のバージョンでサポートされている Web ブラ

ウザは次のとおりです。サポートされている Web ブラウザのリストについては、https://docs.vmware.com/jp/VMware-NSX-Data-Center-for-vSphere/6.4/rn/nsx-vsphere-client-65-functionality-support.html を参照してください。

Microsoft Internet Explorer ブラウザ（32 ビットおよび 64 ビット）は NSX 6.4.x ではサポートされてい

ません。

n vSphere 6.5 と NSX Data Center for vSphere 6.4 で vSphere Client (HTML5) を使用する方法につ

いては、https://docs.vmware.com/jp/VMware-NSX-for-vSphere/6.4/rn/nsx-vsphere-client-65-functionality-support.html を参照してください。

NSX 管理ガイド

VMware, Inc. 16

NSX Data Center for vSphere で必要となるポートおよびプロトコル 2NSX Data Center for vSphere では、正常に動作するため、複数のポートを開く必要があります。

n Cross-vCenter NSX 環境で vCenter Server システムが拡張リンク モードになっている場合、それぞれの

NSX Manager アプライアンスが環境内の vCenter Server システムに接続している必要があります。この

モードでは、任意の vCenter Server システムから任意の NSX Manager を管理できます。

n バージョン 6.4.x 以前の NSX からアップグレードする場合は、リモート デスクトップ セッション ホスト

(RDSH) ポリシーが正常に作成され、適用されるように、ゲスト イントロスペクションとホスト クラスタをア

ップグレードする必要があります。

NSX 6.4.0 以降でサポートされているポートとプロトコルのリストについては、https://ports.vmware.com/home/NSX-Data-Center-for-vSphere にある VMware Ports and Protocols ポータルを参照してくださ

い。このポータルでは、リストを CSV、Excel、PDF のいずれかのファイル形式でダウンロードできます。

VMware, Inc. 17

NSX Data Center for vSphere の概要 3サーバ仮想化は、IT 部門に大きなメリットももたらします。サーバ統合により、物理的な煩雑さが低減し、運用効率

が向上します。また、リソースを動的に再利用する能力が高まるため、ますます動的になりつつある業務用アプリケ

ーションの要求を迅速かつ最適な形で満たすことができます。

VMware の Software-Defined Data Center (SDDC) アーキテクチャは現在、物理的なデータセンター インフ

ラストラクチャ全体に仮想化技術を拡充しています。NSX Data Center for vSphere は、SDDC アーキテクチャ

の主要製品です。NSX Data Center for vSphere を使用すると、仮想化によりコンピューティングやストレージ

ですでに実現されているものを、ネットワークでも実現できます。サーバ仮想化では、ソフトウェア ベースの仮想マ

シンの作成、削除、リストア、およびスナップショットの作成をプログラムによって行います。NSX Data Center for vSphere のネットワーク仮想化は、ほぼ同じ方法で、ソフトウェア ベースの仮想ネットワークを作成、削除、

リストア、およびスナップショットの作成を行います。その結果、ネットワークに対するアプローチに変革がもたら

され、データセンター マネージャが桁違いに高い俊敏性と経済性を実現できるようになるだけなく、基盤となる物理

ネットワークの運用モデルを大幅に簡素化できます。NSX Data Center for vSphere は、既存の従来のネットワ

ーク モデルおよび任意のベンダーの次世代ファブリック アーキテクチャの両方を含む、あらゆる IP ネットワークに

デプロイできる無停止ソリューションです。つまり、NSX Data Center for vSphere を使用して Software-Defined Data Center (SDDC) をデプロイするのに必要なのは、すでに所有している物理ネットワーク インフラ

ストラクチャのみです。

物理コンピューティングとメモリ

アプリケーション

x86 環境

サーバ ハイパーバイザー

アプリケーション アプリケーション

仮想マシン

仮想マシン

要件：x86

分離

仮想マシン

物理ネットワーク

ワークロード

L2、L3、L4-7 ネットワーク サービス

ネットワーク仮想化プラットフォーム

ワークロード ワークロード

仮想ネットワーク

仮想ネットワーク

要件：IP アドレス トランスポート

仮想ネットワーク

VMware, Inc. 18

上記の図は、コンピューティングとネットワーク仮想化の類似性を示しています。サーバ仮想化では、ソフトウェア

抽象レイヤー（サーバ ハイパーバイザー）により、x86 物理サーバでよく使用される属性（CPU、RAM、ディス

ク、NIC など）がソフトウェアで再現されるため、それらをプログラムで任意に組み合わせて、瞬時に一意の仮想マ

シンを作成できます。

ネットワーク仮想化では、ネットワーク ハイパーバイザーと機能的に同等のものが、レイヤー 2 から レイヤー 7 までのネットワーク サービス一式（スイッチング、ルーティング、アクセス制御、ファイアウォール、QoS、ロード

バランシングなど）をソフトウェアで完全に再現します。プログラムでこれらのサービスを任意に組み合わせ、独自

の隔離された仮想ネットワークをわずか数秒で構築できます。

ネットワーク仮想化には、サーバ仮想化と同様の利点があります。たとえば、仮想マシンは基盤となる x86 プラッ

トフォームから独立しており、IT 担当者は物理ホストをコンピューティング キャパシティのプールとして扱うこと

ができるのと同様に、仮想ネットワークは基盤となる IP ネットワーク ハードウェアから独立しており、IT 担当者は

物理ネットワークを、要求に応じて利用および再利用できる転送キャパシティのプールとして扱うことができます。

従来のアーキテクチャとは異なり、仮想ネットワークは、基盤となる物理ハードウェアやトポロジを再構成しなくて

も、プログラムでプロビジョニング、変更、格納、削除、リストアできます。ネットワークへのこの斬新なアプロー

チは、扱い慣れたサーバおよびストレージ仮想化ソリューションの機能と利点を組み合わせることで、Software-Defined Data Center (SDDC) の可能性を最大限に引き出します。

NSX Data Center for vSphere は、vSphere Web Client、コマンドライン インターフェイス (CLI)、および

REST API を使用して設定できます。

この章には、次のトピックが含まれています。

n NSX Data Center for vSphere コンポーネント

n NSX Edge

n NSX Services

NSX Data Center for vSphere コンポーネント

このセクションでは、NSX Data Center for vSphere ソリューションのコンポーネントについて説明します。

NSX 管理ガイド

VMware, Inc. 19

CMP

NSXController

NSX Manager

使用プラットフォーム

NSXEdge

データ プレーン

ファイアウォール分散論理ルーター

VXLANVDSNSX

vSwitch

Hypervisor エクステンション モジュール

+

管理プレーン

制御プレーンランタイム状態

Cloud Management Platform (CMP) は NSX Data Center for vSphere のコンポーネントではありません

が、NSX Data Center for vSphere では、REST API を使用して仮想的に任意の CMP を統合したり、VMware の CMP を設定なしで統合したりできます。

データ プレーン

データ プレーンは vSphere Distributed Switch (VDS) をベースにした NSX Virtual Switch と、サービスを

有効にするためのコンポーネントで構成されています。カーネル モジュール、ユーザー領域のエージェント、設定フ

ァイル、およびインストール スクリプトが VIB にパッケージ化され、ハイパーバイザー カーネル内で実行されま

す。これにより、分散ルーティングや論理ファイアウォールなどのサービスの提供や VXLAN ブリッジ機能を有効

にすることができます。

NSX Virtual Switch（vDS ベース）は、物理ネットワークを抽象化して、ハイパーバイザー内でアクセスレベルで

のスイッチングを実現します。NSX vSwitch は、VLAN などの物理構成に依存しない論理的なネットワークを可

能にするため、ネットワーク仮想化の中核を成します。vSwitch のいくつかのメリットを次に示します。

n （VXLAN などの）プロトコルや一元化されたネットワーク設定によるオーバーレイ ネットワークのサポート。

オーバーレイ ネットワークにより、次のことが可能になります。

n 物理ネットワークにおける VLAN ID の使用を削減

n データセンター ネットワークを再設計せずに、既存の物理インフラストラクチャの既存の IP ネットワーク

上に柔軟性のある論理的なレイヤー 2 (L2) オーバーレイを作成

n テナント間の分離を維持しながら、通信（水平方向および垂直方向の通信）を提供

NSX 管理ガイド

VMware, Inc. 20

n オーバーレイ ネットワークに依存せず、物理 L2 ネットワークに接続しているように機能する、アプリケー

ション ワークロードと仮想マシン

n ハイパーバイザーの大規模な拡張を促進

n 複数の機能（ポート ミラーリング、NetFlow/IPFIX、のバックアップとリストア、ネットワークの健全性チェ

ック、QoS、LACP）により、仮想ネットワークにおけるトラフィックの管理、監視、およびトラブルシューテ

ィング用の包括的なツールキットを実現

分散論理ルーターは、論理ネットワーク領域 (VXLAN) から物理ネットワーク (VLAN) までの L2 ブリッジを提供

できます。

ゲートウェイ デバイスは、通常、NSX Edge 仮想アプライアンスです。NSX Edge は、L2、L3、境界ファイアウ

ォール、ロード バランシングやその他のサービス（SSL VPN、DHCP など）を提供します。

制御プレーン

制御プレーンは、NSX Controller クラスタで実行されます。NSX Controller は、論理スイッチングおよびルーテ

ィング機能の制御プレーンとして機能する高度な分散状態管理システムです。これは、ネットワーク内のすべての論

理スイッチの中央制御点であり、すべてのホスト、論理スイッチ (VXLAN)、および分散論理ルーターの情報を管理

します。

NSX Controller クラスタで、ハイパーバイザー内の分散スイッチング モジュールとルーティング モジュールを管

理します。コントローラを通過するデータプレーン トラフィックはありません。3 つのメンバーのクラスタにコン

トローラ ノードをデプロイして、高可用性とスケーリングを可能にします。コントローラ ノードに障害が発生して

も、データプレーン トラフィックに影響はありません。

NSX Controller は、ネットワーク情報をホスト間に分散することによって機能します。高レベルの復元性を達成す

るため、NSX Controller はクラスタ化によって、スケール アウトおよび高可用性 (HA) を実現しています。NSX Controller クラスタには 3 台のノードが含まれている必要があります。3 台の仮想アプライアンスによって、NSX ドメイン内のすべてのネットワーク機能の状態を把握、保持、および更新します。NSX Manager は NSX Controller ノードのデプロイに使用されます。

3 台の NSX Controller ノードがコントロール クラスタを形成します。コントローラ クラスタには、「スプリット

ブレイン問題」を回避するためにクォーラム（マジョリティともいう）が必要です。スプリット ブレイン問題では、

重複する 2 つの異なるデータセットのメンテナンスが原因でデータの不整合が生じます。この不整合は、エラー条件

およびデータ同期の問題により発生する可能性があります。3 台の NSX Controller ノードがあることで、いずれ

か 1 台の NSX Controller ノードで障害が発生したとしても、データの冗長性が維持されます。

コントローラ クラスタには、以下に示すいくつかのロールがあります。

n API プロバイダ

n セッション維持サーバ

n スイッチ マネージャ

n 論理マネージャ

n ディレクトリ サーバ

NSX 管理ガイド

VMware, Inc. 21

各ロールには、マスター コントローラ ノードがあります。あるロールのマスター コントローラ ノードで障害が発生

すると、クラスタはそのロールの新しいマスターを、利用可能な NSX Controller ノードから選択します。そのロ

ールの新しいマスター NSX Controller ノードは、ワークの失われた部分を残りの NSX Controller ノードに再割

り当てします。

NSX Data Center for vSphere は、マルチキャスト、ユニキャスト、ハイブリッドの 3 つの論理スイッチ制御プ

レーン モードをサポートします。コントローラ クラスタを使用して VXLAN ベースの論理スイッチを管理すると、

物理ネットワーク インフラストラクチャからのマルチキャスト サポートの必要がなくなります。マルチキャスト グループの IP アドレスをプロビジョニングする必要はありません。また、物理スイッチまたはルーターで PIM ルーテ

ィング機能や IGMP スヌーピング機能を有効にする必要もありません。このため、ユニキャストおよびハイブリッド

モードでは、NSX が物理ネットワークから分離されます。ユニキャスト制御プレーン モードの VXLAN では、論

理スイッチ内でブロードキャスト、不明なユニキャスト、およびマルチキャスト (BUM) トラフィックを処理するた

めのマルチキャストをサポートする上で、物理ネットワークが不要になります。ユニキャスト モードでは、すべての

BUM トラフィックがホストでローカルにレプリケートされ、物理ネットワーク設定が不要です。ハイブリッド モー

ドでは、パフォーマンス向上のために、一部の BUM トラフィック レプリケーションが第 1 ホップの物理スイッチ

にオフロードされます。ハイブリッド モードでは、最初のホップのスイッチでの IGMP スヌーピング、および各

VTEP サブネット内の IGMP クエリアにアクセスできることが必要です。

管理プレーン

管理プレーンは、NSX Data Center for vSphere のネットワーク集中管理コンポーネントである NSX Manager によって構築されます。統合された設定機能と REST API のエントリポイントを提供します。

NSX Manager は、vCenter Server 環境内の任意の ESXi ホスト上に仮想アプライアンスとしてインストールさ

れます。NSX Manager と vCenter Server は 1 対 1 の関係です。つまり、1 つの NSX Manager のインスタン

スに対し、vCenter Server は 1 台です。これは、Cross-vCenter NSX 環境でも同じです。

Cross-vCenter NSX 環境には、プライマリ NSX Manager と 1 つ以上のセカンダリ NSX Manager アプライア

ンスの両方があります。プライマリ NSX Manager を使用すると、ユニバーサル論理スイッチ、ユニバーサル分散

論理ルーター、ユニバーサル ファイアウォール ルールを作成できます。セカンダリ NSX Manager は、特定の

NSX Manager のローカルなネットワーク サービスの管理に使用されます。Cross-vCenter NSX 環境では、プ

ライマリ NSX Manager に最大 7 つのセカンダリ NSX Manager を関連付けることができます。

使用プラットフォーム

vSphere Web Client で提供される NSX Manager ユーザー インターフェイスから NSX Data Center for vSphere を直接利用することができます。通常、エンドユーザーはネットワークの仮想化を Cloud Management Platform に関連付けてアプリケーションをデプロイします。NSX Data Center for vSphere には豊富な統合が

用意されており、REST API を介して事実上どのような CMP とも統合できます。また、VMware vRealize Automation Center、vCloud Director、および OpenStack と Neutron プラグインによって、設定不要の簡

単な統合も可能です。

NSX Edge

NSX Edge は、Edge Services Gateway (ESG) または分散論理ルーター (DLR) としてインストールできます。

NSX 管理ガイド

VMware, Inc. 22

Edge Services Gateway

この ESG を利用することで、ファイアウォール、NAT、DHCP、VPN、ロード バランシング、高可用性などのす

べての NSX Edge サービスにアクセスできます。データセンターには、複数の ESG 仮想アプライアンスをインス

トールできます。各 ESG 仮想アプライアンスには、アップリンクと内部のネットワーク インターフェイスを合計で

10 個指定できます。トランクを使用すると、ESG には最大で 200 のサブインターフェイスを指定できます。内部

インターフェイスは保護されたポート グループに接続され、そのポート グループ内の保護された仮想マシンすべて

のゲートウェイとして機能します。内部インターフェイスに割り当てられたサブネットは、パブリックにルーティン

グされる IP 空間にも、ネットワーク アドレス変換またはルーティングされる RFC 1918 専用空間にもなります。フ

ァイアウォール ルールなどの NSX Edge サービスは、ネットワーク インターフェイス間のトラフィックに適用さ

れます。

ESG のアップリンク インターフェイスは、社内共有ネットワークや、アクセス レイヤー ネットワーキングを提供す

るサービスに対するアクセス権を持つアップリンク ポート グループに接続します。ロード バランサ、サイト間

VPN、NAT サービス用に複数の外部 IP アドレスを設定できます。

分散論理ルーター

分散論理ルーターは、テナント IP アドレス空間とデータ パス分離による水平方向の分散ルーティングを提供します。

複数のサブネットにわたっている同一ホスト上に存在する仮想マシンまたはワークロードは、従来のルーティング インターフェイスをトラバースすることなく相互に通信できます。

分散論理ルーターには、8 個のアップリンク インターフェイスと、最大 1,000 個の内部インターフェイスを割り当

てることができます。分散論理ルーター上のアップリンク インターフェイスは、分散論理ルーターと ESG 間のレイ

ヤー 2 論理中継スイッチを介して、ESG とピアを形成します。分散論理ルーターの内部インターフェイスは、仮想

マシンと分散論理ルーター間の論理スイッチを介して、ESXi ハイパーバイザーにホストされている仮想マシンとピ

アを形成します。

分散論理ルーターには、以下の 2 つの主なコンポーネントがあります。

n 分散論理ルーター制御プレーンが分散論理ルーター仮想アプライアンスから提供されます（制御仮想マシンとも

呼ばれます）。この仮想マシンは、動的なルーティング プロトコル（BGP または OSPF）をサポートし、ルー

ティングの更新情報を次のレイヤー 3 ホップ デバイス（通常、Edge Services Gateway）と交換し、NSX Manager および NSX Controller クラスタと通信します。分散論理ルーター仮想アプライアンスでは、アク

ティブ-スタンバイ構成による高可用性がサポートされます。高可用性を有効にして分散論理ルーターを作成す

ると、アクティブ-スタンバイ モードで機能する仮想マシンのペアが提供されます。

n データプレーン レベルで分散論理ルーター カーネル モジュール (VIB) が存在します。これは、NSX ドメイン

に含まれる ESXi ホストにインストールされます。このカーネル モジュールは、レイヤー 3 ルーティングをサ

ポートするモジュール型シャーシに組み込まれたライン カードに似ています。カーネル モジュールには、コン

トローラ クラスタからプッシュされるルーティング情報ベース (RIB)（ルーティング テーブルとも呼ばれる）

が含まれます。ルート参照と ARP エントリ参照のデータ プレーン機能はカーネル モジュールによって実行さ

れます。カーネル モジュールには論理インターフェイス（LIF と呼ばれる）が搭載されており、さまざまな論理

スイッチと、VLAN にバッキングされたあらゆるポート グループに接続されます。各 LIF には、接続先の論理

L2 セグメントのデフォルト IP ゲートウェイを表す IP アドレスと、vMAC アドレスが割り当てられます。IP アドレスは LIF ごとに一意ですが、定義されたすべての LIF に同じ vMAC が割り当てられます。

NSX 管理ガイド

VMware, Inc. 23

図 3-1. 論理ルーティング コンポーネント

VPN VP

NSX Manager1

25

3

4

6

NSX Edge （ネクスト ホップルーターとして機能）

192.168.100.0/24

外部ネットワーク

コントローラクラスタ

分散論理ルーターア プライアンス

vSphere Distributed Switch

OSPF、BGP

コントロール

ピアリング

Web 仮想マシン

172.16.10.11

172.16.10.1

App 仮想マシン

172.16.20.11

172.16.20.1

分散論理ルーター

コントロール192.168.10.1

192.168.10.2

データ パス

192.168.10.3

1 NSX Manager の ユーザー インターフェイス（または API 呼び出し）を使用して分散論理ルーター インスタ

ンスを作成し、ルーティングを有効にして、OSPF または BGP を利用します。

2 NSX Controller は、ESXi ホストが含まれる制御プレーンを利用して、LIF および関連付けられた IP アドレス

と vMAC アドレスを含め、新しい分散論理ルーター設定をプッシュします。

3 ネクスト ホップ デバイス（この例では NSX Edge [ESG]）でルーティング プロトコルも有効になっていると

仮定すると、ESG と分散論理ルーター制御仮想マシンとの間で OSPF または BGP のピアリングが確立されま

す。これで、ESG と分散論理ルーターはルーティング情報を交換できます。

n 接続されたすべての論理ネットワーク用の IP プリフィックスを OSPF に再配分するように分散論理ルー

ター制御仮想マシンを設定できます（この例では 172.16.10.0/24 と 172.16.20.0/24）。この結果、このル

ートのアドバタイズが NSX Edge にプッシュされます。このプリフィックスのネクスト ホップは、制御仮

想マシンに割り当てられた IP アドレス (192.168.10.3) ではなく、分散論理ルーターのデータプレーン コンポーネントを特定する IP アドレス (192.168.10.2) です。前者は分散論理ルーターの「プロトコル アド

レス」、後者は「転送アドレス」と呼ばれます。

n NSX Edge は、外部ネットワーク内の IP ネットワークに到達するためのプリフィックスを制御仮想マシン

にプッシュします。多くの環境では、NSX Edge は 1 つのデフォルト ルートを送信します。そのデフォル

ト ルートが物理ネットワーク インフラストラクチャへの単一出口点を表しているためです。

NSX 管理ガイド

VMware, Inc. 24

4 分散論理ルーター制御仮想マシンは、NSX Edge から学習した IP ルートをコントローラ クラスタにプッシュ

します。

5 コントローラ クラスタは、分散論理ルーター制御仮想マシンから学習したルートをハイパーバイザーに配布しま

す。クラスタ内の各コントローラ ノードは、特定の分散論理ルーター インスタンスに対する情報を配布します。

複数の分散論理ルーター インスタンスがデプロイされているデプロイでは、コントローラ ノード全体で負荷が

分散されます。通常、個々の分散論理ルーター インスタンスは、デプロイされた各テナントに関連付けられま

す。

6 ホスト上の分散論理ルーター ルーティング カーネル モジュールは、NSX Edge 経由で外部ネットワークと通

信するためのデータパス トラフィックを処理します。

NSX Services

NSX Data Center for vSphere コンポーネントは、相互に連携して次の VMware NSX®Services™ の機能を

提供します。

論理スイッチ

クラウド デプロイ環境や仮想データセンターでは、複数のテナント間にさまざまなアプリケーションが存在します。

セキュリティ、障害の隔離、および IP アドレス重複の回避を実現するには、アプリケーションとテナントは分離し

ている必要があります。NSX Data Center for vSphere では、それぞれが単一の論理的なブロードキャスト ドメ

インである複数の論理スイッチを作成できます。アプリケーションまたはテナントの仮想マシンは、論理スイッチに

論理的に接続できます。これにより、デプロイの柔軟性および速度が確保され、同時に、物理レイヤー 2 のスプロー

ルやスパニング ツリーといった問題が生じることなく、物理ネットワークのブロードキャスト ドメイン (VLAN) のすべての特性が引き続き提供されます。

論理スイッチは分散型であるため、vCenter Server 内のすべてのホスト（または Cross-vCenter NSX 環境内の

すべてのホスト）にまたがって設置できます。これにより、物理レイヤー 2 (VLAN) 境界の制限を受けることなく、

データセンター内での仮想マシンのモビリティ (vMotion) が確保されます。論理スイッチのソフトウェアにはブロ

ードキャスト ドメインが含まれているため、物理インフラストラクチャが MAC/FIB テーブルの制限に制約される

ことはありません。

分散論理ルーター

ルーティングは、レイヤー 2 ブロードキャスト ドメイン間の必要な転送情報を提供します。これにより、レイヤー

2 ブロードキャスト ドメインのサイズを削減し、ネットワークの効率と拡張性を向上できます。NSX Data Center for vSphere は、このインテリジェンスをワークロードが存在する場所に拡張し、East-West のルーティングを行

います。これにより、コストと時間をかけてホップを拡張することなく、より直接的に仮想マシン間の通信ができま

す。同時に、分散論理ルーターは North-South 接続も提供するため、テナントはパブリック ネットワークにアク

セスできます。

NSX 管理ガイド

VMware, Inc. 25

論理ファイアウォール

論理ファイアウォールは、動的な仮想データセンターにセキュリティ メカニズムを提供します。論理ファイアウォー

ルの分散ファイアウォール コンポーネントでは、仮想マシンの名前および属性、ユーザー ID、vCenter Server オブジェクト（データセンターなど）、ホスト、および従来のネットワーク属性（IP アドレスや VLAN など）に基づ

き、仮想マシンなどの仮想データセンター エンティティをセグメント化できます。また、Edge ファイアウォール

コンポーネントにより、IP/VLAN 構造に基づく DMZ の構築、マルチテナント仮想データセンター内のテナント分

離などの、主要な境界セキュリティのニーズに応えることができます。

フロー モニタリング機能では、アプリケーション プロトコル レベルでの仮想マシン間のネットワーク アクティビテ

ィが表示されます。この情報によって、ネットワーク トラフィックの監査、ファイアウォール ポリシーの定義と調

整、およびネットワークに対する脅威の識別が可能になります。

論理 Virtual Private Network (VPN)

SSL VPN-Plus を使用することで、リモート ユーザーがプライベートの企業アプリケーションにアクセスできます。

IPsec VPN は、NSX Data Center for vSphere またはサードパーティ ベンダーのハードウェア ルーター/VPN ゲートウェイを使用して、NSX Edge インスタンスとリモート サイトとのサイト間接続を提供します。また L2 VPN では、地理的な境界を越えて同じ IP アドレスを保持しながら、仮想マシンによるネットワーク接続を維持でき

るようにすることで、データセンターを拡張できます。

論理ロード バランサ

NSX Edge ロード バランサは、単一の仮想 IP アドレス (VIP) を対象とするクライアント接続を、ロード バランシ

ング プールのメンバーとして設定された複数のターゲットに分散します。負荷の配分がユーザーにとって透過的に

なるように、受信サービス リクエストを複数のサーバ間で均等に配分します。このように、ロード バランシングは、

最適なリソース使用率の実現、スループットの最大化、応答時間の最小化、過負荷の回避に役立ちます。

Service Composer

Service Composer では、ネットワークおよびセキュリティ サービスを仮想インフラストラクチャ内のアプリケー

ションにプロビジョニングして割り当てることができます。これらのサービスをセキュリティ グループにマップす

ると、サービスがセキュリティ ポリシーに基づいてセキュリティ グループの仮想マシンに適用されます。

NSX Data Center for vSphere の拡張性

サードパーティのソリューション プロバイダはソリューションを NSX Data Center for vSphere プラットフォ

ームに統合することができるため、お客様に VMware 製品とパートナーのソリューションを統合した環境を提供す

ることができます。データセンターのオペレータは、基盤となるネットワーク トポロジやコンポーネントに関係な

く、複雑なマルチティア仮想ネットワークを数秒でプロビジョニングできます。

NSX 管理ガイド

VMware, Inc. 26

Cross-vCenter Networking and Security の概要 4NSX Data Center for vSphere では、複数の環境を 1 つのプライマリ NSX Manager から管理できます。

この章には、次のトピックが含まれています。

n Cross-vCenter NSX のメリット

n Cross-vCenter NSX の仕組み

n Cross-vCenter NSX でのサービスのサポート マトリックス

n ユニバーサル NSX Controller クラスタ

n ユニバーサル トランスポート ゾーン

n ユニバーサル論理スイッチ

n ユニバーサル分散論理ルーター

n ユニバーサル ファイアウォール ルール

n ユニバーサル ネットワークとセキュリティ オブジェクト

n Cross-vCenter NSX トポロジ

n NSX Manager ロールの変更

Cross-vCenter NSX のメリット

2 台以上の vCenter Server システムが存在する NSX 環境を統合管理できます。

以下の例のとおり、複数の vCenter Server システムが必要となる理由はさまざまです。

n vCenter Server の拡張制限に対処するため

n 専用の vCenter Server、または複数の vCenter Server を必要とする製品（Horizon View や Site Recovery Manager など）に対応するため

n ビジネス ユニット、テナント、組織、または環境タイプなどで環境を分割するため

NSX Data Center for vSphere 6.2 以降では、プライマリ NSX Manager 上にユニバーサル オブジェクトを作

成すると、それらのオブジェクトが環境内のすべての vCenter Server システムで同期されます。

VMware, Inc. 27

Cross-vCenter NSX には以下の特長があります。

n 論理ネットワーク範囲の拡大。Cross-vCenter 環境で同じ論理ネットワークが使用できるため、任意の

vCenter Server システム上の任意のクラスタ上にある仮想マシンを同じ論理ネットワークに接続できます。

n セキュリティ ポリシーの統合管理。ファイアウォール ルールが 1 か所で集中管理され、場所または vCenter Server システムに関係なく仮想マシンに適用されます。

n Cross-vCenter や、論理スイッチをまたぐ Long Distance vMotion など、vSphere 6 でのモビリティ境

界のサポート。

n から 150ms RTT まで、マルチサイト環境のサポートの強化。これには、アクティブ/アクティブとアクティブ/パッシブの両方のデータセンターが含まれます。

Cross-vCenter NSX 環境には多くのメリットがあります。

n ユニバーサル オブジェクトの統合管理。これにより、管理作業が軽減されます。

n ワークロードのモビリティの向上。仮想マシンの再構成やファイアウォール ルールの変更を行わずに、

vMotion を使用して vCenter Server 間で仮想マシンを移行できます。

n マルチサイト機能およびディザスタ リカバリ機能の強化。

注： Cross-vCenter NSX 機能は、vSphere 6.0 以降でサポートされています。

Cross-vCenter NSX の仕組み

Cross-vCenter NSX 環境では、複数の vCenter Server を設定できます。各 vCenter Server は、それぞれの

NSX Manager とペアリングされている必要があります。1 つの NSX Manager に プライマリ NSX Manager のロールが割り当てられ、もう 1 つにセカンダリ NSX Manager のロールが割り当てられます。

プライマリ NSX Manager は、Cross-vCenter NSX 環境の制御プレーンを提供するユニバーサル コントローラ

クラスタをデプロイするために使用されます。セカンダリ NSX Manager には、各自のコントローラ クラスタはあ

りません。

プライマリ NSX Manager は、ユニバーサル論理スイッチなどのユニバーサル オブジェクトを作成できます。これ

らのオブジェクトは、NSX ユニバーサル同期サービスによってセカンダリ NSX Manager に同期されます。セカ

ンダリ NSX Manager では、これらのオブジェクトを表示できますが、編集することはできません。ユニバーサル

オブジェクトを管理するには、プライマリ NSX Manager を使用する必要があります。

プライマリ NSX Manager とセカンダリ NSX Manager のどちらでも、その特定の環境に対してローカルなオブ

ジェクト（論理スイッチや分散論理ルーターなど）を作成できます。それらのオブジェクトは、作成された環境内に

のみ存在するようになります。Cross-vCenter NSX 環境の他の NSX Manager には表示されません。

NSX 管理ガイド

VMware, Inc. 28

NSX Manager には、スタンドアローン ロールを割り当てることができます。スタンドアローン NSX Manager は、1 つの NSX Manager と 1 つの vCenter Server を使用する環境を管理します。スタンドアローン NSX Manager は、ユニバーサル オブジェクトを作成できません。

注： NSX 環境にユニバーサル オブジェクトが存在する場合に、プライマリ NSX Manager のロールをスタンド

アローンに変更すると、その NSX Manager に移行ロールが割り当てられます。ユニバーサル オブジェクトはその

まま残されますが、変更することはできません。また、他のユニバーサル オブジェクトを作成することもできませ

ん。ユニバーサル オブジェクトは、移行ロールから削除できます。移行ロールは、プライマリ NSX Manager を変

更する場合などに一時的に使用します。

ユニバーサル分散論理ルーター

ユニバーサル Distributed

Firewall

ユニバーサル オブジェクトの設定（vSphere Web Client と API）

ユニバーサル オブジェクトの同期

vCenter Server と NSX Manager（プライマリ）

ユニバーサルコントローラ

クラスタ

サイト B

ユニバーサル トランスポート ゾーン

ユニバーサル論理スイッチ

サイト A

vCenter Server と NSX Manager（セカンダリ）

サイト H

vCenter Server と NSX Manager（セカンダリ）

ローカル vCenter Server インベントリ

ローカル vCenter Server インベントリ

ローカル vCenter Server インベントリ

Cross-vCenter NSX でのサービスのサポート マトリックス

Cross-vCenter NSX でのユニバーサル同期に、NSX Data Center for vSphere サービスのサブセットを使用

できます。ユニバーサル同期で使用できないサービスを NSX Manager でローカルに使用するように設定できま

す。

NSX 管理ガイド

VMware, Inc. 29

表 4-1. Cross-vCenter NSX での NSX Data Center for vSphere サービスのサポート マトリックス

NSX Data Center for vSphere サービス 詳細 Cross-vCenter NSX 同期のサポート

論理スイッチ トランスポート ゾーン あり

論理スイッチ あり

L2 ブリッジ なし

ルーティング 分散論理ルーター あり

分散論理ルーター アプライアンス なし（仕様）個々のユニバーサル分散論理ルータ

ーに複数のアプライアンスが必要な場合は、

NSX Manager ごとにアプライアンスを作成

する必要があります。これにより、各アプライア

ンスに異なる設定をすることができます。これ

は、Local Egress（ローカル出力方向）が設定

されている環境で必要となります。

NSX Edge Services Gateway なし

論理ファイアウォール 分散ファイアウォール あり

除外リスト なし

SpoofGuard なし

集約フローのフロー モニタリング なし

ネットワーク サービス挿入 なし

Edge ファイアウォール なし

VPN なし

論理ロード バランサ なし

その他の Edge サービス なし

Service Composer なし

ネットワークの拡張性 なし

ネットワークおよびセキュリティ オブジェクト IP アドレス グループ（IP セット） あり

MAC アドレス グループ（MAC セット） あり

IP アドレス プール なし

セキュリティ グループ あり。ただし、メンバーシップの設定は、ユニバ

ーサル以外のセキ 1 ュリティ グループのメンバ

ーシップとは異なります。詳細については、

『NSX 管理ガイド』の「セキュリティ グループ

の作成」を参照してください。

サービス あり

サービス グループ あり

セキュリティ タグ あり

ハードウェア ゲートウェイ（ハードウェア

VTEP）

いいえ。詳細については、『NSX 管理ガイド』

の「ハードウェア ゲートウェイのサンプル構成」

を参照してください。

NSX 管理ガイド

VMware, Inc. 30

ユニバーサル NSX Controller クラスタ

各 Cross-vCenter NSX 環境には、プライマリ NSX Manager に関連付けられたユニバーサル コントローラ クラ

スタが 1 つあります。セカンダリ NSX Manager には、コントローラ クラスタはありません。

ユニバーサル コントローラ クラスタは、Cross-vCenter NSX 環境の唯一のコントローラ クラスタであるため、

ユニバーサル論理スイッチとユニバーサル分散論理ルーターの情報だけでなく、各 NSX Manager に対してローカ

ルな論理スイッチと分散論理ルーターの情報も保持します。

オブジェクト ID の重複を避けるため、ユニバーサル オブジェクトとローカル オブジェクトにはそれぞれ異なる ID プールが保持されます。

ユニバーサル トランスポート ゾーン

Cross-vCenter NSX 環境では、ユニバーサル トランスポート ゾーンは 1 つしか設定できません。

ユニバーサル トランスポート ゾーンはプライマリ NSX Manager 上に作成され、セカンダリ NSX Manager と同期されます。ユニバーサル論理ネットワークに参加する必要があるクラスタは、NSX Manager からユニバーサ

ル トランスポート ゾーンに追加する必要があります。

ユニバーサル論理スイッチ

ユニバーサル論理スイッチを使用すると、レイヤー 2 ネットワークを複数のサイトにまたがって設置できます。

ユニバーサル トランスポート ゾーンに論理スイッチを作成すると、ユニバーサル論理スイッチを作成することにな

ります。このスイッチは、ユニバーサル トランスポート ゾーン内のすべてのクラスタで使用できます。ユニバーサ

ル トランスポート ゾーンには、Cross-vCenter NSX 環境にある任意の vCenter Server のクラスタを含めるこ

とができます。

VNI を論理スイッチに割り当てるにはセグメント ID プールが使用され、VNI をユニバーサル論理スイッチに割り当

てるにはユニバーサル セグメント ID プールが使用されます。これらのプール間には重複がないようにしてくださ

い。

ユニバーサル論理スイッチ間でルーティングを行う場合は、ユニバーサル分散論理ルーターを使用する必要がありま

す。ユニバーサル論理スイッチと論理スイッチの間でルーティングを行う必要がある場合は、Edge Services Gateway を使用する必要があります。

ユニバーサル分散論理ルーター

ユニバーサル分散論理ルーターにより、ユニバーサル分散論理ルーター、クラスタ、またはホスト レベルでカスタマ

イズできる一元管理とルーティング構成を実現できます。

ユニバーサル分散論理ルーターを作成するときは、Local Egress（ローカル出力方向）を有効にするかどうかを選

択する必要があります。この選択は、ルーター作成後に変更できません。Local Egress（ローカル出力方向）を使

用すると、識別子であるロケール ID に基づいて、どのルートが ESXi ホストに提供されるかを制御できます。

NSX 管理ガイド

VMware, Inc. 31

各 NSX Manager には、デフォルトで NSX Manager の UUID に設定されているロケール ID が割り当てられて

います。次のレベルでロケール ID をオーバーライドできます。

n ユニバーサル分散論理ルーター

n クラスタ

n ESXi ホスト

Local Egress（ローカル出力方向）を有効にしない場合、ロケール ID は無視され、ユニバーサル分散論理ルーター

に接続されているすべての ESXi ホストは同じルートを受信します。Cross-vCenter NSX 環境で Local Egress（ローカル出力方向）を有効にするかどうかは設計上の考慮事項ですが、すべての Cross-vCenter NSX 構成で必要

というわけではありません。

ユニバーサル ファイアウォール ルール

Cross-vCenter NSX 環境の分散ファイアウォールにより、使用環境内のすべての vCenter Server に適用される

ルールを統合管理できます。Cross-vCenter vMotion がサポートされているため、ワークロードや仮想マシンを

vCenter Server 間で移動したり、ソフトウェア定義によるデータセンターのセキュリティをシームレスに拡張する

ことができます。

データセンターのスケールアウトが必要なときに、既存の vCenter Server を同じレベルにスケーリングできない

ことがあります。この場合、アプリケーション一式を、別の vCenter Server が管理する新しいホストに移動する

必要があります。あるいは、ステージング サーバが 1 台の vCenter Server に管理され、本番サーバが別の

vCenter Server に管理されている環境で、アプリケーションをステージング サーバから本番サーバに移動する必

要が出てきます。分散ファイアウォールでは、プライマリ NSX Manager に対して定義したファイアウォール ポリ

シーを最大で 7 台のセカンダリ NSX Manager にレプリケートすることにより、これらの Cross-vCenter vMotion シナリオをサポートします。

ユニバーサル同期の対象としてマークした分散ファイアウォール ルール セクションをプライマリ NSX Manager から作成できます。1 つ以上のユニバーサル L2 ルール セクションと 1 つ以上のユニバーサル L3 ルール セクショ

ンを作成できます。ユニバーサル セクションは、常にプライマリおよびセカンダリ NSX Manager の最上部に表示

されます。これらのセクションと各ルールは、環境内のすべてのセカンダリ NSX Manager に同期されます。他の

セクションのルールは、引き続き、該当する NSX Manager でローカルに使用されます。

次の分散ファイアウォール機能は、Cross-vCenter NSX 環境でサポートされていません。

n 除外リスト

n SpoofGuard

n 集約フローのフロー モニタリング

n ネットワーク サービス挿入

n Edge ファイアウォール

Service Composer はユニバーサル同期をサポートしないため、Service Composer を使用して、ユニバーサル

セクションに分散ファイアウォール ルールを作成できません。

NSX 管理ガイド

VMware, Inc. 32

ユニバーサル ネットワークとセキュリティ オブジェクト

ユニバーサル セクションの分散ファイアウォール ルールで使用する、カスタム ネットワークとセキュリティ オブジ

ェクトを作成します。

ユニバーサル セキュリティ グループ (USG) には、次のものを含めることができます。

n ユニバーサル IP セット

n ユニバーサル MAC セット

n ユニバーサル セキュリティ グループ

n ユニバーサル セキュリティ タグ

n 動的基準

ユニバーサルなネットワーク オブジェクトとセキュリティ オブジェクトは、プライマリ NSX Manager でのみ作

成、削除、更新ができます。セカンダリ NSX Manager では読み取りのみが可能です。ユニバーサル同期サービス

では、vCenter Server 全体で即座にオプジェクトを同期するだけでなく、強制同期を使用して必要なときに同期す

ることもできます。

ユニバーサル セキュリティ グループは、複数の Cross-vCenter NSX 環境と Cross-vCenter NSX アクティブ/スタンバイ環境の 2 種類の導入環境で使用できます。Cross-vCenter NSX アクティブ/スタンバイ環境では、一度

に 1 つのサイトのみが稼動し、残りのサイトはスタンバイ状態になります。動的メンバーシップが定義されたユニバ

ーサル セキュリティ グループは、アクティブ/スタンバイ環境でのみ設定できます。この動的メンバーシップは、ユ

ニバーサル セキュリティ タグに基づいた仮想マシン名の静的メンバーシップをベースとしています。一度作成され

たユニバーサル セキュリティ グループを編集して、アクティブ/スタンバイ シナリオ機能向けに有効または無効にで

きません。メンバーシップには、含まれているオブジェクトのみが定義されます。除外したオブジェクトを使用する

ことはできません。

ユニバーサル セキュリティ グループを Service Composer から作成することはできません。Service Composer から作成されたセキュリティ グループは、NSX Manager にローカルとなります。

Cross-vCenter NSX トポロジ

Cross-vCenter NSX は、単一の物理サイトか、または複数のサイトにまたがってデプロイできます。

複数サイトおよび単一サイトの Cross-vCenter NSX

Cross-vCenter NSX 環境の場合、複数の NSX Data Center for vSphere 環境で、同じ論理スイッチとその他

のネットワーク オブジェクトを使用できます。対応する vCenter Server システムは、同一サイトにも、異なるサ

イトにも配置できます。

Cross-vCenter NSX 環境が 1 つのサイト内に収まっているか、複数のサイトにまたがっているかに関係なく、同

様の構成を使用できます。次の 2 つのトポロジ例は、以下で構成されます。

n 特定のサイトまたは複数のサイトに存在するすべてのクラスタを含むユニバーサル トランスポート ゾーン。

n ユニバーサル トランスポート ゾーンに接続されたユニバーサル論理スイッチ。仮想マシンの接続には 2 つのユ

ニバーサル論理スイッチが使用され、1 つは、ルーター アップリンクの移行ネットワークとして使用されます。

NSX 管理ガイド

VMware, Inc. 33

n ユニバーサル論理スイッチに追加された仮想マシン

n 動的なルーティングを実現するための、NSX Edge アプライアンスを使用したユニバーサル分散論理ルーター

ユニバーサル分散論理ルーター アプライアンスには、仮想マシン ユニバーサル論理スイッチ上の内部インター

フェイスと、移行ネットワーク ユニバーサル論理スイッチ上のアップリンク インターフェイスがあります。

n 移行ネットワークと物理出力方向ルーター ネットワークに接続された Edge Services Gateway (ESG)

Cross-vCenter NSX トポロジの詳細については、https://communities.vmware.com/docs/DOC-32552 に

ある『Cross-vCenter NSX の設計ガイド』を参照してください。

図 4-1. 単一サイト内の Cross-vCenter NSX

VPN VP

VPN VP

vCenter Server と NSX Manager（プライマリ）

NSX EdgeServicesGateway

ユニバーサル分散論理ルーター

ユニバーサルコントローラクラスタ

OSPF、BGP

サイト A

E1 E8

ユニバーサル分散論理ルーター アプライアンス

ユニバーサル トランスポート ゾーン

ユニバーサル論理スイッチ

ピアリング x8

vCenter Server と NSX Manager（セカンダリ）

ユニバーサル論理スイッチ

移行ネットワーク

物理ルーター

NSX 管理ガイド

VMware, Inc. 34

図 4-2. 2 つのサイトにまたがる Cross-vCenter NSX

VPN VP

VPN VP

vCenter Server と NSX Manager（プライマリ）

ユニバーサル分散論理ルーター

NSX EdgeServicesGateway

ユニバーサルコントローラクラスタ

OSPF、BGP

サイト B

E1 E8

ユニバーサル分散論理ルーター アプライアンス

ユニバーサルトランスポートゾーン

ユニバーサル論理スイッチ

ピアリング

サイト A

物理ルーター

vCenter Server と NSX Manager（セカンダリ）

ユニバーサル論理スイッチ

移行ネットワーク

Local Egress（ローカル出力方向）

マルチサイト Cross-vCenter NSX 環境のすべてのサイトは、出力方向トラフィックに同じ物理ルーターを使用で

きます。ただし、出力方向ルートをカスタマイズする必要がある場合は、ユニバーサル分散論理ルーターを作成する

とき、Local Egress（ローカル出力方向）機能を有効にする必要があります。

Local Egress により、ユニバーサル分散論理ルーター、クラスタ、またはホスト レベルでルートをカスタマイズで

きます。マルチサイトにおける Cross-vCenter NSX 環境を示す次の例では、Local Egress（ローカル出力方向）

が有効になっています。各サイトの Edge Services Gateway (ESG) には、そのサイトの物理ルーター経由でト

ラフィックを送出するデフォルトのルートがあります。ユニバーサル分散論理ルーターは、各サイトに 1 つずつ、計

2 台のアプライアンスで設定されています。アプライアンスは、自サイトの ESG からルートを学習します。学習し

NSX 管理ガイド

VMware, Inc. 35

たルートはユニバーサル コントローラ クラスタに送信されます。Local Egress（ローカル出力方向）が有効になっ

ているため、サイトのロケール ID がこれらのルートに関連付けられます。ユニバーサル コントローラ クラスタは、

対応するロケール ID を持つルートをホストに送信します。サイト A のアプライアンスで学習されたルートはサイ

ト A のホストに、サイト B のアプライアンスで学習されたルートはサイト B のホストに送信されます。

Local Egress の詳細については、https://communities.vmware.com/docs/DOC-32552 にある『Cross-vCenter NSX の設計ガイド』を参照してください。

ユニバーサル分散論理ルーター

VPN VP

VPN VP

VPN VP

VPN VP

vCenter Server と NSX Manager（プライマリ）

NSX EdgeServicesGateway

ユニバーサルコントローラクラスタ

OSPF、BGP

サイト B

サイト A 物理

ルーター

ユニバーサル論理スイッチ

移行ネットワーク A

E1 E8

ユニバーサル分散論理ルーター プライマリ アプライアンス

ユニバーサル トランスポート ゾーン

ユニバーサル論理スイッチ

ピアリング

サイト A

サイト A 物理

ルーター

NSX EdgeServicesGateway

OSPF、BGP

サイト B 物理

ルーター

E1 E8

サイト B 物理

ルーター

ピアリング

vCenter Server と NSX Manager（セカンダリ）

ユニバーサル論理スイッチ移行ネットワーク B ユニバーサル

分散論理ルーター セカンダリ

アプライアンス

ロケール ID：サイト A ロケール ID：サイト B

NSX Manager ロールの変更

NSX Manager には、プライマリ、セカンダリ、スタンドアロン、または移行などのロールを割り当てることがで

きます。プライマリ NSX Manager では特殊な同期ソフトウェアが動作しており、すべてのユニバーサル オブジェ

クトがセカンダリ NSX Manager と同期されます。

NSX 管理ガイド

VMware, Inc. 36

NSX Manager のロールを変更する際には、それによって何が行われるのかを理解しておくことが重要です。

プライマリとして設定

NSX Manager のロールをプライマリに設定して、同期ソフトウェアを開始します。NSX Manager のロール

がすでにプライマリまたはセカンダリになっている場合、この操作は失敗します。

（セカンダリから）スタンドアロンとして設定

NSX Manager のロールをスタンドアロン モードまたは移行モードに設定します。この操作は、NSX Manager がすでにスタンドアロン ロールになっている場合、失敗することがあります。

（プライマリから）スタンドアロンとして設定

プライマリ NSX Manager をスタンドアロン モードまたは移行モードにリセットし、同期ソフトウェアを停止

して、すべてのセカンダリ NSX Manager の登録を解除します。この操作は、NSX Manager がすでにスタ

ンドアロンになっているか、いずれかのセカンダリ NSX Manager が到達不能の場合、失敗することがありま

す。

プライマリから接続解除

セカンダリ NSX Manager に対してこの操作を実行すると、そのセカンダリ NSX Manager は、プライマリ

NSX Manager から一方的に接続解除されます。この操作は、プライマリ NSX Manager でリカバリ不能な

障害が発生しており、セカンダリ NSX Manager を新しいプライマリに登録する必要がある場合に使用します。

元のプライマリ NSX Manager が正常な状態に復帰した場合、データベースには、このセカンダリ NSX Manager が登録されたままの状態になっています。この問題を解決するには、元のプライマリ NSX Manager からセカンダリ NSX Manager を接続解除（登録解除）する際に、[force] オプションを指定しま

す。[force] オプションを指定すると、元の NSX Manager のデータベースからセカンダリ NSX Manager が削除されます。

NSX 管理ガイド

VMware, Inc. 37

トランスポート ゾーン 5トランスポート ゾーンは、論理スイッチがアクセスできるホストを制御します。トランスポート ゾーンは 1 つ以上

の vSphere クラスタにまたがって設定できます。トランスポート ゾーンでは、特定のネットワークを使用できるク

ラスタと仮想マシンを指定します。Cross-vCenter NSX 環境では、ユニバーサル トランスポート ゾーンを作成

し、そこに環境内の任意の vCenter Server からのクラスタを含めることができます。ユニバーサル トランスポー

ト ゾーンは 1 つしか作成できません。

NSX Data Center for vSphere 環境には、要件に基づいて 1 つ以上のトランスポート ゾーンを含めることができ

ます。ホスト クラスタは、複数のトランスポート ゾーンに属することができます。論理スイッチは、1 つのトランス

ポート ゾーンのみに属することができます。

NSX Data Center for vSphere では、異なるトランスポート ゾーンに属する仮想マシン同士の接続は許可されま

せん。論理スイッチの範囲は 1 つのトランスポート ゾーンに制限されるため、異なるトランスポート ゾーンにある

仮想マシンは同じレイヤー 2 ネットワーク上に配置できません。 分散論理ルーターを、異なるトランスポート ゾー

ンに属する論理スイッチに接続することはできません。最初の論理スイッチを接続したら、それ以降の論理スイッチ

は、同じトランスポート ゾーンにある論理スイッチから選択する必要があります。

トランスポート ゾーンを設計する際には、次のガイドラインを参考にしてください。

n レイヤー 3 接続が必要なクラスタは、Edge クラスタ（レイヤー 3 Edge デバイス（分散論理ルーターや Edge Services Gateway）があるクラスタ）と同じトランスポート ゾーンに属している必要があります。

n Web サービス用とアプリケーション サービス用の 2 つのクラスタがあるとします。これらの 2 つのクラスタ

の仮想マシン間で VXLAN 接続を行うには、両方のクラスタが同じトランスポート ゾーンに属している必要が

あります。

n 同じトランスポート ゾーンに属しているすべての論理スイッチは、そのトランスポート ゾーンに属しているク

ラスタ内のすべての仮想マシンで認識され、使用することができます。セキュリティで保護された環境がクラス

タに含まれている場合、他のクラスタの仮想マシンがその環境を使用できることは望ましくありません。この場

合は、セキュリティで保護されたクラスタを隔離されたトランスポート ゾーンに配置できます。

n vSphere Distributed Switch（VDS または DVS）の範囲は、トランスポート ゾーンの範囲と一致している

必要があります。マルチクラスタ VDS 設定でトランスポート ゾーンを作成する場合、選択した VDS 内のすべ

てのクラスタがそのトランスポート ゾーンに属していることを確認します。これにより、VDS dvPortgroup が使用可能なすべてのクラスタで分散論理ルーターが使用できるようになります。

次の図では、トランスポート ゾーンが VDS 境界に正しく合わせられています。

VMware, Inc. 38

[ クラスタ：Comp A ]

VTEP:192.168.250.51

esxcomp-01a

VTEP:192.168.250.52

esxcomp-02a

VTEP:192.168.250.53

esxcomp-01b

VTEP:192.168.250.54

esxcomp-02b

VTEP:192.168150.52

esx-01a

VTEP:192.168.150.51

esx-02a

5001

5002

5003

[ DVS: Compute_DVS ]

[ クラスタ：Comp B ]

[ トランスポート ゾーン：Global-Transport-Zone ]

[ クラスタ：Mgmt/Edge ]

[ DVS: Mgmt_Edge_DVS ]

web1 app1 web2 LB

db1

このベスト プラクティスを使用しない場合に注意すべき点があります。それは、VDS が複数のホスト クラスタにま

たがっている場合に、トランスポート ゾーンにそれらのクラスタの 1 つ（またはサブセット）が含まれていると、そ

のトランスポート ゾーン内のすべての論理スイッチが、VDS の範囲に含まれるすべてのクラスタの仮想マシンにア

クセスできることです。つまり、トランスポート ゾーンによって論理スイッチの範囲をクラスタのサブセットに制限

することはできません。この論理スイッチが後で分散論理ルーターに接続される場合、レイヤー 3 の問題を回避する

ために、トランスポート ゾーンに属しているクラスタにのみルーター インスタンスが作成されていることを確認す

る必要があります。

たとえば、トランスポート ゾーンが VDS 境界と合っていないと、論理スイッチ（5001、5002、5003）とそれ

らの論理スイッチが接続される分散論理ルーター インスタンスの範囲の結合が解除されて、クラスタ Comp A 内の

仮想マシンが分散論理ルーター論理インターフェイス (LIF) にアクセスできなくなります。

NSX 管理ガイド

VMware, Inc. 39

[ クラスタ：Comp A ]

[ TZ/分散仮想スイッチが対応付けられていない ]

VTEP：192.168.250.51

esxcomp-01a

VTEP：192.168.250.52

esxcomp-02a

VTEP：192.168.250.53

esxcomp-01b

VTEP：192.168.250.54

esxcomp-02b

VTEP：192.168150.52

esx-01a

VTEP：192.168.150.51

esx-02a

5001

5002

5003

[ 分散仮想スイッチ：Compute_DVS ]

[ クラスタ：Comp B ]

[ トランスポート ゾーン：Global-Transport-Zone ]

[ クラスタ：Mgmt/Edge ]

[ 分散仮想スイッチ：Mgmt_Edge_DVS ]

web1 app1 web2 LB

db1

分散論理 ルーターがありません

分散論理 ルーターがありません

この章には、次のトピックが含まれています。

n レプリケーション モードについて

n トランスポート ゾーンの追加

n トランスポート ゾーンの編集

n トランスポート ゾーンの拡張

n トランスポート ゾーンの縮小

n Controller Disconnected Operation (CDO) モード

レプリケーション モードについて

トランスポート ゾーンまたは論理スイッチを作成するときに、レプリケーション モードを選択する必要があります。

別のモードを理解すると、環境に最適なものを選択できます。

NSX 用に準備された各 ESXi ホストには、VXLAN トンネル エンドポイント (VTEP) が構成されます。各

VXLAN トンネル エンドポイントには IP アドレスがあります。これらの IP アドレスには、同じサブネットのアド

レスを使用することも、別のサブネットのアドレスを使用することもできます。

NSX 管理ガイド

VMware, Inc. 40

別の ESXi ホスト上の 2 台の仮想マシンが直接通信を行う場合、ユニキャストでカプセル化されたトラフィックが 2 つの VTEP IP アドレス間で交換されます。フラッディングは発生しません。ただし、レイヤー 2 ネットワークと同

様に、仮想マシンからのトラフィックの一部をフラッディングするか、同じ論理スイッチに属するすべての仮想マシ

ンに送信する必要があります。レイヤー 2 ブロードキャスト、不明なユニキャスト、マルチキャスト トラフィック

は BUM トラフィックといいます。特定のホストの仮想マシンから送信された BUM トラフィックは、仮想マシンが

同じ論理スイッチに接続されている他のすべてのホストに複製する必要があります。NSX Data Center for vSphere は、次の 3 つの異なるレプリケーション モードをサポートしています。

n ユニキャスト レプリケーション モード

n マルチキャスト レプリケーション モード

n ハイブリッド レプリケーション モード

レプリケーション モードの概要

表 5-1. レプリケーション モードの概要

レプリケーション モード

同じサブネット上にある

VTEP への BUM レプリケー

ションの方法

異なるサブネット上にある VTEP への

BUM レプリケーションの方法 物理ネットワークの要件

ユニキャスト ユニキャスト ユニキャスト n VTEP サブネット間のルー

ティング

マルチキャスト レイヤー 2 マルチキャスト レイヤー 3 マルチキャスト n VTEP サブネット間のルー

ティング

n レイヤー 2 マルチキャス

ト、IGMP

n レイヤー 3 マルチキャス

ト、PIM

n 論理スイッチへのマルチキ

ャスト グループの割り当て

ハイブリッド レイヤー 2 マルチキャスト ユニキャスト n VTEP サブネット間のルー

ティング

n レイヤー 2 マルチキャス

ト、IGMP

ユニキャスト レプリケーション モード

ユニキャスト レプリケーション モードの場合、論理スイッチ内の BUM トラフィックを処理するレイヤー 2 または

レイヤー 3 マルチキャストを物理ネットワークでサポートする必要はありません。ユニキャスト モードを使用する

と、物理ネットワークから論理ネットワークが完全に分離されます。ユニキャスト モードでは、すべての BUM トラフィックが送信元のホストのローカルに複製され、ユニキャスト パケットとして BUM トラフィックがリモート

ホストに転送されます。ユニキャスト モードでは、1 つのサブネットにすべて VTEP を配置することも、複数のサ

ブネットに分散することもできます。

1 つのサブネットの場合：すべてのホストの VTEP インターフェイスが 1 つのサブネットに属している場合、送信元

の VTEP が各リモート VTEP に BUM トラフィックを転送します。これをヘッド エンド レプリケーションとい

います。ヘッドエンド レプリケーションを行うと、ホストで不要なオーバーヘッドが発生し、使用するバンド幅も大

きくなります。この影響は、サブネット内の BUM トラフィックの量、ホストの数、VTEP によって決まります。

NSX 管理ガイド

VMware, Inc. 41

複数のサブネットの場合：ホストの VTEP インターフェイスが複数の IP サブネットにグループ化されている場合

は、送信元のホストが 2 つの部分で BUM トラフィックを処理します。送信元 VTEP は、同じサブネット内の各

VTEP に BUM トラフィックを転送します。これは 1 つのサブネットの場合と同じです。リモート サブネットの

VTEP の場合、送信元 VTEP が各リモート VTEP サブネット内の 1 台のホストに BUM トラフィックを転送し、

レプリケーション ビットを設定して、このパケットがローカル レプリケーション用であることを示します。リモー

ト サブネット内のホストがこのパケットを受信し、レプリケーション ビットの設定を検出すると、このホストは、

論理スイッチが存在するサブネット内の残りのすべての VTEP にパケットを送信します。

これにより、多くの VTEP IP サブネットが存在するネットワーク アーキテクチャでも、ユニキャスト レプリケー

ション モードが拡張され、複数のホスト間で負荷が分散されます。

マルチキャスト レプリケーション モード

マルチキャスト レプリケーション モードを使用するには、物理インフラストラクチャでレイヤー 3 とレイヤー 2 のマルチキャストが有効になっている必要があります。マルチキャスト モードを設定するには、ネットワーク管理者が

各論理スイッチを IP マルチキャスト グループに関連付ける必要があります。特定の論理スイッチ上で仮想マシンを

ホストしている ESXi ホストの場合、関連する VTEP が IGMP を使用してマルチキャスト グループに参加します。

ルーターは、IGMP の参加を追跡し、マルチキャスト ルーティング プロトコルを使用してマルチキャスト配布ツリ

ーを作成します。

同じ IP サブネットの VTEP に BUM トラフィックを複製する場合、ホストはレイヤー 2 マルチキャストを使用し

ます。異なる IP サブネットの VTEP に BUM トラフィックを複製する場合は、レイヤー 3 マルチキャストを使用

します。いずれの場合も、リモート VTEP への BUM トラフィックのレプリケーションは、物理インフラストラク

チャによって処理されます。

IP マルチキャストはよく知られているテクノロジーですが、データセンターでの IP マルチキャストの導入は、技術

上、運用上または管理上の理由から、障壁と見なされることが少なくありません。ネットワーク管理者は、論理スイ

ッチとマルチキャスト グループ間で 1 対 1 のマッピングが有効になるように、物理インフラストラクチャでのマルチ

キャストの状態に注意する必要があります。仮想化のメリットの 1 つは、変更された状態を物理インフラストラクチ

ャに公開することなく、仮想インフラストラクチャを拡張できる点です。論理スイッチを物理的なマルチキャスト グループにマッピングすると、このモデルのメリットが失われます。

注： マルチキャスト レプリケーション モードの場合、NSX Controller クラスタは論理スイッチングに使用され

ません。

ハイブリッド レプリケーション モード

ハイブリッド モードでは、ユニキャストとマルチキャストのレプリケーション モードを両方を使用します。ハイブ

リッド レプリケーション モードでは、ホストの VTEP はレイヤー 2 マルチキャストを使用して、同じサブネット

のピア VTEP に BUM トラフィックを分散します。ホストの VTEP は、異なるサブネットの VTEP に BUM トラ

フィックを複製する場合、VTEP サブネットあたり 1 台のホストにユニキャスト パケットとしてトラフィックを転

送します。受信側のホストが、レイヤー 2 マルチキャストを使用して、サブネット内の他の VTEP にパケットを送

信します。

NSX 管理ガイド

VMware, Inc. 42

ユーザーのネットワークでは、レイヤー 3 マルチキャストよりもレイヤー 2 マルチキャストのほうが導入しやすい

ため、一般的です。同じサブネット内の異なる VTEP へのレプリケーションは物理ネットワークで処理されます。

同じサブネットに多くのピア VTEP がある場合、ハイブリッド レプリケーションを使用すると、BUM トラフィッ

クの送信元のホストの処理が大幅に改善されます。ハイブリッド レプリケーションでは、セグメンテーションがほと

んどない過密な環境でも拡張が可能になります。

トランスポート ゾーンの追加

トランスポート ゾーンは、論理スイッチがアクセスできるホストを制御します。1 つのトランスポート ゾーンは 1 つ以上の vSphere クラスタにまたがることができます。トランスポート ゾーンでは、特定のネットワークを使用でき

るクラスタと仮想マシンを指定します。ユニバーサル トランスポート ゾーンは、Cross-vCenter NSX 環境内の

vSphere クラスタにまたがる可能性があります。

Cross-vCenter NSX 環境に配置できるユニバーサル トランスポート ゾーンは 1 つだけです。

前提条件

変更を加える適切な NSX Manager を決定します。

n スタンドアロン環境や単一の vCenter Server NSX の環境では、NSX Manager は 1 つしか存在しないため、

NSX Manager を選択する必要はありません。

n ユニバーサル オブジェクトはプライマリ NSX Manager から管理する必要があります。

n NSX Manager に対してローカルなオブジェクトは、NSX Manager から管理する必要があります。

n 拡張リンク モードが有効になっていない Cross-vCenter NSX 環境で設定の変更を行うには、変更する NSX Manager にリンクされた vCenter Server から変更を行う必要があります。

n 拡張リンク モードの Cross-vCenter NSX 環境では、リンクされた任意の vCenter Server から、任意の

NSX Manager の設定を変更できます。NSX Manager ドロップダウン メニューから、適切な NSX Manager を選択します。

手順

1 論理ネットワークの設定に移動します。

u NSX 6.4.1 以降の場合は、[ネットワークとセキュリティ (Networking & Security)] - [インストールと

アップグレード (Installation and Upgrade)] - [論理ネットワークの設定 (Logical Network Settings)] の順に移動します。

u NSX 6.4.0 の場合は、[ネットワークとセキュリティ (Networking & Security)] - [インストールとアッ

プグレード (Installation and Upgrade)] - [論理ネットワークの準備 (Logical Network Preparation)] の順に移動します。

2 [トランスポート ゾーン (Transport Zones)] をクリックして、[追加 (Add)] をクリックします。

3 （オプション） このトランスポート ゾーンをユニバーサル トランスポート ゾーンとして設定する場合は、次の

選択を行います。

n NSX 6.4.1 以降では、[ユニバーサル同期 (Universal Synchronization)] ボタンをクリックして、設定を

有効にします。

NSX 管理ガイド

VMware, Inc. 43

n NSX 6.4.0 では、[このオブジェクトをユニバーサル同期の対象としてマーク (Mark this object for Universal Synchronization)] を選択します。

4 次のように、レプリケーション モードを選択します。

n [マルチキャスト (Multicast)]：物理ネットワーク上のマルチキャスト IP アドレスを制御プレーンに使用し

ます。このモードは、古い VXLAN デプロイからアップグレードする場合にのみ推奨されます。物理ネッ

トワークに PIM/IGMP が必要です。

n [ユニキャスト (Unicast)]：制御プレーンは、NSX Controller によって処理されます。すべてのユニキャ

スト トラフィックで、最適化されたヘッドエンド レプリケーションを利用します。マルチキャスト IP アド

レスや特別なネットワーク設定は必要ありません。

n [ハイブリッド (Hybrid)]：ローカル トラフィック レプリケーションを物理ネットワーク（L2 マルチキャ

スト）にオフロードします。最初のホップのスイッチで IGMP スヌーピング、各 VTEP サブネットで

IGMP クエリアへのアクセスが必要ですが、PIM は不要です。最初のホップ スイッチは、サブネットのト

ラフィック レプリケーションを処理します。

重要： ユニバーサル トランスポート ゾーンを作成し、レプリケーション モードとしてハイブリッドを選択す

る場合、使用するマルチキャスト アドレスが、環境内の NSX Manager 上で割り当てられた他のどのマルチキ

ャスト アドレスとも競合しないようにする必要があります。

5 トランスポート ゾーンに追加するクラスタを選択します。

結果

Transport-Zone は、このトランスポート ゾーンが作成された NSX Manager にローカルなトランスポート ゾー

ンです。

Universal-Transport-Zone は、Cross-vCenter NSX 環境内のすべての NSX Manager で使用できる、ユニ

バーサル トランスポート ゾーンです。

次のステップ

トランスポート ゾーンを追加した場合は、論理スイッチを追加できます。

ユニバーサル トランスポート ゾーンを追加した場合は、ユニバーサル論理スイッチを追加できます。

ユニバーサル トランスポート ゾーンを追加した場合は、セカンダリ NSX Manager を選択し、そのクラスタをユ

ニバーサル トランスポート ゾーンに追加できます。

トランスポート ゾーンの編集

トランスポート ゾーンの名前、説明、レプリケーション モードを編集できます。

NSX 管理ガイド

VMware, Inc. 44

手順

u トランスポート ゾーンを編集するには、次の手順に従います。

NSX バージョン 手順

NSX 6.4.1 以降 a [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグ

レード (Installation and Upgrade)] - [論理ネットワークの設定 (Logical Network Settings)] - [トランスポート ゾーン (Transport Zones)] の順に移動し

ます。

b トランスポート ゾーンを選択して、[編集 (Edit)] をクリックします。

c トランスポート ゾーンの名前、説明、レプリケーション モードを編集します。

注： トランスポート ゾーンのレプリケーション モードを変更する場合は、[既存の論理

スイッチを新しい制御プレーン モードに移行する (Migrate existing Logical Switches to the new control plane mode)] を選択し、このトランスポート ゾー

ンにリンクされている既存の論理スイッチのレプリケーション モードを変更してくださ

い。このチェック ボックスを選択しないと、編集後にこのトランスポート ゾーンにリン

クされている論理スイッチのみが新しいレプリケーション モードになります。

d [保存 (SAVE)] をクリックします。

NSX 6.4.0 a [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグ

レード (Installation and Upgrade)] - [論理ネットワークの準備 (Logical Network Preparation)] - [トランスポート ゾーン (Transport Zones)] の順に移

動します。

b トランスポート ゾーンを選択して、[アクション (Actions)] - [すべての NSX ユーザー

インターフェイス プラグイン アクション (All NSX User Interface Plugin Actions)] - [設定の編集 (Edit Settings)] の順にクリックします。

c トランスポート ゾーンの名前、説明、レプリケーション モードを編集します。

注： トランスポート ゾーンのレプリケーション モードを変更する場合は、[既存の論理

スイッチを新しい制御プレーン モードに移行する (Migrate existing Logical Switches to the new control plane mode)] を選択し、このトランスポート ゾー

ンにリンクされている既存の論理スイッチのレプリケーション モードを変更してくださ

い。このチェック ボックスを選択しないと、編集後にこのトランスポート ゾーンにリン

クされている論理スイッチのみが新しいレプリケーション モードになります。

d [OK] をクリックします。

トランスポート ゾーンの拡張

トランスポート ゾーンにクラスタを追加できます。新しく追加されたクラスタで、既存のトランスポート ゾーンす

べてが利用できるようになります。

前提条件

トランスポート ゾーンに追加するクラスタは、インストール済みのネットワーク インフラストラクチャがある、

VXLAN 用に構成されたものとします。『NSX インストール ガイド』を参照してください。

NSX 管理ガイド

VMware, Inc. 45

手順

1 トランスポート ゾーンに移動します。

u NSX 6.4.1 以降の場合は、[ネットワークとセキュリティ (Networking & Security)] - [インストールと

アップグレード (Installation and Upgrade)] - [論理ネットワークの設定 (Logical Network Settings)] - [トランスポート ゾーン (Transport Zones)] の順に移動します。

u NSX 6.4.0 の場合は、[ネットワークとセキュリティ (Networking & Security)] - [インストールとアッ

プグレード (Installation and Upgrade)] - [論理ネットワークの準備 (Logical Network Preparation)] - [トランスポート ゾーン (Transport Zones)] の順に移動します。

2 展開するトランスポート ゾーンをクリックします。

3 [クラスタの接続 (Connect Clusters)]（ または ）をクリックします。

4 トランスポート ゾーンに追加するクラスタを選択し、[OK] または [保存 (Save)] をクリックします。

トランスポート ゾーンの縮小

クラスタをトランスポート ゾーンから削除できます。既存のトランスポート ゾーンのサイズは、縮小されたスコー

プに合わせて削減されます。

手順

1 トランスポート ゾーンに移動します。

u NSX 6.4.1 以降の場合は、[ネットワークとセキュリティ (Networking & Security)] - [インストールと

アップグレード (Installation and Upgrade)] - [論理ネットワークの設定 (Logical Network Settings)] - [トランスポート ゾーン (Transport Zones)] の順に移動します。

u NSX 6.4.0 の場合は、[ネットワークとセキュリティ (Networking & Security)] - [インストールとアッ

プグレード (Installation and Upgrade)] - [論理ネットワークの準備 (Logical Network Preparation)] - [トランスポート ゾーン (Transport Zones)] の順に移動します。

2 縮小するトランスポート ゾーンをクリックします。

3 [クラスタの切断 (Disconnect Clusters)]（ または ）をクリックします。

4 削除するクラスタを選択します。

5 [OK] または [保存 (Save)] をクリックします。

Controller Disconnected Operation (CDO) モード

Controller Disconnected Operation (CDO) モードの機能が複数のサイトに展開され、NSX Manager レベル

では使用できるようになりました。

詳細については、複数サイトでのコントローラ切断モードを参照してください。

NSX 管理ガイド

VMware, Inc. 46

論理スイッチ 6クラウド デプロイ環境や仮想データセンターでは、複数のテナント間にさまざまなアプリケーションが存在します。

セキュリティ、障害分離および IP アドレス重複の問題を回避するために、これらのアプリケーションおよびテナン

トは互いに分離させる必要があります。NSX の論理スイッチにより、論理ブロードキャスト ドメインまたはセグメ

ントが作成され、アプリケーションまたはテナントの仮想マシンを論理的に接続できます。これにより、デプロイの

柔軟性および速度が確保され、同時に、物理レイヤー 2 のスプロールやスパニング ツリーといった問題が生じるこ

となく、物理ネットワークのブロードキャスト ドメイン (VLAN) のすべての特性が引き続き提供されます。

論理スイッチは分散され、大規模な計算クラスタに任意に拡張できます。これにより、物理レイヤー 2 (VLAN) 境界の制限を受けることなく、データセンター内での仮想マシンのモビリティ (vMotion) が確保されます。論理スイ

ッチのソフトウェアにはブロードキャスト ドメインが含まれているため、物理インフラストラクチャで MAC/FIB テーブルの制限に対処する必要はありません。

論理スイッチは一意の VXLAN にマッピングされますが、これにより仮想マシンのトラフィックがカプセル化され

て物理 IP ネットワークを越えて転送されます。

VMware, Inc. 47

vSphere Distributed Switch

論理スイッチ 1

NSX Manager

コントローラクラスタ

論理スイッチ 2

NSX Controller は、ネットワーク内のすべての論理スイッチの集中制御ポイントであり、すべての仮想マシン、ホ

スト、論理スイッチ、および VXLAN の情報を管理します。このコントローラは、ユニキャストとハイブリッドと

いう 2 つの新しい論理スイッチ制御プレーン モードをサポートします。これらのモードは、物理ネットワークから

NSX を切り離します。VXLAN では、論理スイッチ内でブロードキャスト、不明なユニキャスト、およびマルチキ

ャスト (BUM) トラフィックを処理するためのマルチキャストをサポートする上で、物理ネットワークが不要になり

ます。ユニキャスト モードでは、すべての BUM トラフィックがホストでローカルにレプリケートされ、物理ネッ

トワーク設定が不要です。ハイブリッド モードでは、パフォーマンス向上のために、一部の BUM トラフィック レプリケーションが第 1 ホップの物理スイッチにオフロードされます。このモードでは、最初の物理ホップ スイッチを

オンにするために IGMP スヌーピングが必要です。論理スイッチ内の仮想マシンは、IPv6 やマルチキャストなどの

任意のタイプのトラフィックを使用して送信します。

L2 ブリッジを追加することで、論理スイッチを物理デバイスにまで拡張することができます。8 章 L2 ブリッジを

参照してください。

論理スイッチを管理するには、Super Administrator または Enterprise Administrator ロールの権限が必要で

す。

この章には、次のトピックが含まれています。

n 論理スイッチの追加

NSX 管理ガイド

VMware, Inc. 48

n 論理スイッチへの仮想マシンの接続

n 論理スイッチの接続テスト

n 論理スイッチでのなりすましの防止

n 論理スイッチの編集

n 論理スイッチのシナリオ

論理スイッチの追加

前提条件

n 論理スイッチを設定および管理するための、Super Administrator または Enterprise Administrator ロー

ルの権限を所有している。

n ファイアウォール ルールで VXLAN UDP ポートが開いている（該当する場合）。VXLAN UDP ポートは API を使用して設定できます。

n 物理インフラストラクチャの MTU が、仮想マシン vNIC の MTU よりも 50 バイト以上多い。

n vCenter Server の [ランタイム設定] で、各 vCenter Server の管理対象 IP アドレスが設定されている。

『vCenter Server and Host Management』を参照してください。

n vmknic への IP 割り当てで DHCP を使用する場合は、VXLAN 転送 VLAN で DHCP を使用できる。

n 指定されたトランスポート ゾーン内で、分散仮想スイッチ タイプ（ベンダーなど）とバージョンが一貫してい

る。スイッチのタイプが一貫していないと、論理スイッチが定義したように動作しない可能性があります。

n 適切な LACP チーミング ポリシーを設定し、物理 NIC をポートに接続している。チーミング モードの詳細に

ついては、VMware vSphere のマニュアルを参照してください。

n Link Aggregation Control Protocol (LACP) に対して、5-tuple ハッシュ分散が有効になっている。

n LACP を使用するすべてのホストで、分散仮想スイッチに個別の LACP ポート チャネルがあることを確認しま

す。

n マルチキャスト モードでは、VXLAN トラフィックがルーターをトラバースしている場合に、マルチキャスト

ルーティングを有効にする。ネットワーク管理者からマルチキャスト アドレス範囲を取得する必要があります。

n ESXi ホストとコントローラとの通信用に、ファイアウォール上でポート 1234（デフォルトのコントローラ待機

ポート）を開く。

n （推奨）マルチキャストおよびハイブリッド モードでは、VXLAN 参加ホストが接続する L2 スイッチで、IGMP スヌーピングを有効にする。IGMP スヌーピングが L2 で有効になっている場合は、マルチキャスト対応のネッ

トワークと接続しているルーター または L3 スイッチ上で IGMP クエリアを有効にする必要があります。

論理スイッチの追加

NSX 論理スイッチは、基盤となるハードウェアから分離された仮想環境内で、切り替え機能（ユニキャスト、マル

チキャスト、ブロードキャスト）を再現します。論理スイッチは、仮想マシンを接続できるネットワーク接続を提供

する点で、VLAN と似ています。論理スイッチは、単一の vCenter Server NSX のデプロイに対してローカルで

NSX 管理ガイド

VMware, Inc. 49

す。Cross-vCenter NSX 環境では、すべての vCenter Server にわたって使用可能なユニバーサル論理スイッチ

を作成できます。トランスポート ゾーンのタイプによって、新しいスイッチが論理スイッチまたはユニバーサル論理

スイッチのどちらであるかが決まります。

論理スイッチを作成する際は、トランスポート ゾーンやレプリケーション モードの選択以外に、2 つのオプション

（IP アドレス検出と MAC ラーニング）を設定します。

IP アドレス検出により、個々の VXLAN セグメント内、つまり同じ論理スイッチに接続されている仮想マシン間の

ARP トラフィックのフラッディングを最小に抑えることができます。IP アドレス検出はデフォルトで有効になって

います。

注： ユニバーサル論理スイッチを作成する際に IP アドレス検出を無効にはできません。ユニバーサル論理スイッチ

を作成してから、API を使用して IP アドレス検出を無効にできます。この設定は各 NSX Manager で別々に管理

されます。『NSX API ガイド』を参照してください。

MAC ラーニングは、VLAN/MAC ペアのラーニング テーブルを各 vNIC に作成します。このテーブルは dvfilter データの一部として保管されます。vMotion の実行時に、dvfilter はこのテーブルを新しい場所に保存してリスト

アします。次に、スイッチはテーブル内のすべての VLAN/MAC エントリに対して RARP を発行します。VLAN をトランキングしている仮想 NIC を使用している場合、MAC ラーニングを有効にできます。

前提条件

表 6-1. 論理スイッチまたはユニバーサル論理スイッチ作成の前提条件

論理スイッチ ユニバーサル論理スイッチ

n vSphere Distributed Switch が設定されている

n NSX Manager がインストールされている

n コントローラがデプロイされている

n ホスト クラスタが NSX 用に準備されている

n VXLAN が設定されている

n セグメント ID プールが設定されている

n トランスポート ゾーンが作成されている

n vSphere Distributed Switch が設定されている

n NSX Manager がインストールされている

n コントローラがデプロイされている

n ホスト クラスタが NSX 用に準備されている

n VXLAN が設定されている

n プライマリ NSX Manager が割り当てられている必要があ

ります。

n ユニバーサル セグメント ID アドレス プールが設定されてい

る必要があります。

n ユニバーサル トランスポート ゾーンが作成されている必要

があります。

変更を加える適切な NSX Manager を決定します。

n スタンドアロン環境や単一の vCenter Server NSX の環境では、NSX Manager は 1 つしか存在しないため、

NSX Manager を選択する必要はありません。

n ユニバーサル オブジェクトはプライマリ NSX Manager から管理する必要があります。

n NSX Manager に対してローカルなオブジェクトは、NSX Manager から管理する必要があります。

n 拡張リンク モードが有効になっていない Cross-vCenter NSX 環境で設定の変更を行うには、変更する NSX Manager にリンクされた vCenter Server から変更を行う必要があります。

NSX 管理ガイド

VMware, Inc. 50

n 拡張リンク モードの Cross-vCenter NSX 環境では、リンクされた任意の vCenter Server から、任意の

NSX Manager の設定を変更できます。NSX Manager ドロップダウン メニューから、適切な NSX Manager を選択します。

手順

1 [ホーム (Home)] - [ネットワークとセキュリティ (Networking & Security)] - [論理スイッチ (Logical Switches)] の順に移動します。

2 論理スイッチを作成する NSX Manager を選択します。ユニバーサル論理スイッチを作成する場合は、プライ

マリ NSX Manager を選択する必要があります。

3 [追加 (Add)] または [新規論理スイッチ (New Logical Switch)]（ ）アイコンをクリックします。

4 論理スイッチの名前と説明（説明は任意）を入力します。

5 論理スイッチを作成するトランスポート ゾーンを選択します。ユニバーサル トランスポート ゾーンを選択する

と、ユニバーサル論理スイッチが作成されます。

デフォルトでは、論理スイッチはトランスポート ゾーンから制御プレーン レプリケーション モードを継承しま

す。このモードは、選択可能な他のモードに変更できます。選択可能なモードはユニキャスト、ハイブリッド、

およびマルチキャストです。

ユニバーサル論理スイッチを作成し、レプリケーション モードとしてハイブリッドを選択する場合、使用するマ

ルチキャスト アドレスが、Cross-vCenter NSX 環境内の NSX Manager で割り当てられた他のマルチキャ

スト アドレスと競合しないようにする必要があります。

6 （オプション）IP アドレス検出を有効にして ARP の抑制を有効にします。

7 （オプション）MAC ラーニングを有効にします。

例： 論理スイッチとユニバーサル論理スイッチ

App は、トランスポート ゾーンに接続された論理スイッチです。この論理スイッチは、これが作成された NSX Manager でのみ使用できます。

Universal-App は、ユニバーサル トランスポート ゾーンに接続されたユニバーサル論理スイッチです。このユニ

バーサル論理スイッチは、Cross-vCenter NSX 環境内のどの NSX Manager でも使用できます。

論理スイッチとユニバーサル論理スイッチには、異なるセグメント ID アドレス プールからのセグメント ID があり

ます。

次のステップ

論理スイッチまたはユニバーサル論理スイッチに仮想マシンを追加します。

分散論理ルーターを作成して論理スイッチに接続します。これにより、異なる論理スイッチに接続された仮想マシン

間の接続が可能になります。

NSX 管理ガイド

VMware, Inc. 51

ユニバーサル分散論理ルーターを作成してユニバーサル論理スイッチに接続します。これにより、異なるユニバーサ

ル論理スイッチに接続された仮想マシン間の接続が可能になります。

論理スイッチの NSX Edge への接続

論理スイッチを NSX Edge Services Gateway または NSX Edge 分散論理ルーターに接続すると、外部に接続

する、または高度なサービスを提供する East-West のトラフィック ルーティング（論理スイッチ間）、あるいは

North-South のトラフィック ルーティングになります。

手順

手順

1 [論理スイッチ] で、NSX Edge を接続する論理スイッチを選択します。

2 [アクション (Actions)] - [Edge の接続 (Connect Edge)] の順にクリックします。

3 論理スイッチを接続する NSX Edge を選択します。

4 論理スイッチに接続するインターフェイスを選択します。

論理ネットワークは通常、内部インターフェイスに接続されています。

5 NSX Edge のインターフェイスの詳細を指定します。

a NSX Edge インターフェイスの名前を入力します。

b このインターフェイスが内部か外部（アップリンク）かを指定するには、[内部 (Internal)] または [アップ

リンク (Uplink)] をクリックします。

c インターフェイスの接続ステータスを選択します。

d [サブネットの構成 (Configure Subnets)] で、[追加 (Add)] アイコンをクリックし、インターフェイス

のサブネットを追加します。

1 つのインターフェイスには、重複しないサブネットを複数設定できます。1 つのプライマリ IP アドレスを

入力し、複数のセカンダリ IP アドレスをカンマ区切りで入力します。NSX Edge は、プライマリ IP アド

レスをローカルで生成されたトラフィックの送信元のアドレスとして認識します。機能の設定を行う前に、

インターフェイスに IP アドレスを追加する必要があります。

論理スイッチを接続する NSX Edge に [手動高可用性の設定 (Manual HA Configuration)] が選択され

ている場合は、2 つの管理 IP アドレスを CIDR 形式で指定します。

e インターフェイスのサブネット プリフィックス長またはサブネット マスクを入力します。

f NSX 6.4.4 以降を使用している場合は、[詳細 (Advanced)] タブをクリックして、この手順の残りの操作

を行います。NSX 6.4.3 以前を使用している場合は、次の手順にすぐに移動します。

NSX 管理ガイド

VMware, Inc. 52

g 必要に応じてデフォルトの MTU を変更します。

h [オプション (Options)] で、次のオプションを指定します。

オプション 説明

プロキシ ARP 異なるインターフェイス間での重複ネットワーク転送をサポートします。

ICMP リダイレクトの送信 ルーティング情報を各ホストに伝達します。

リバース パス フィルタ 転送するパケット内にある送信元のアドレスの到達可能性を確認します。有効な場合は、

ルーターが戻りパケットの転送に使用するインターフェイスで、パケットを受信する必要

があります。Loose モードの場合、送信元アドレスがルーティング テーブルに含まれて

いる必要があります。

6 フェンス パラメータを入力します。

複数のフェンスされた環境で IP アドレスと MAC アドレスを再使用する場合は、フェンス パラメータを設定し

ます。たとえば、クラウド管理プラットフォーム (CMP) では、フェンスを設定することで、同じ IP アドレスと

MAC アドレスを完全に分離、つまり「フェンス」して、複数のクラウド インスタンスを同時に実行できるよう

になります。

7 [追加 (Add)] または [終了 (Finish)] をクリックします。

論理スイッチでのサービスのデプロイ

サード パーティのサービスを論理スイッチにデプロイできます。

前提条件

インフラストラクチャにサード パーティの仮想アプライアンスが 1 つ以上インストールされている必要があります。

手順

1 [論理スイッチ (Logical Switches)] で、サービスをデプロイする論理スイッチを選択します。

2 [サービス プロファイルの追加 (Add Service Profile)] （ ）アイコンをクリックします。

3 適用するサービスとサービス プロファイルを選択します。

4 [OK] をクリックします。

論理スイッチへの仮想マシンの接続

仮想マシンを論理スイッチまたはユニバーサル論理スイッチに接続できます。

手順

1 [論理スイッチ (Logical Switches)] で、仮想マシンを追加する論理スイッチを選択します。

2 [仮想マシンの追加 (Add Virtual Machine)]（ または ）アイコンをクリックします。

3 論理スイッチに追加する 1 台以上の仮想マシンを選択します。

4 論理スイッチに接続している各仮想マシンの vNIC を選択します。

NSX 管理ガイド

VMware, Inc. 53

5 選択した仮想マシンと vNIC を確認し、[終了 (Finish)] をクリックします。

論理スイッチの接続テスト

ping を送信して、VXLAN 転送ネットワークの 2 台のホストが相互にアクセス可能かどうかを確認します。

1 [論理スイッチ (Logical Switches)] で、接続をテストする論理スイッチをダブルクリックします。

2 [監視 (Monitor)] タブをクリックします。

3 [Ping] タブまたは [ホスト - Ping (Hosts-Ping)] タブをクリックします。

4 送信元のホスト マシンを選択します。

5 テスト パケットのサイズを選択します。

n [VXLAN 標準 (VXLAN Standard)]： 標準サイズは 1550 バイトです。このパケット サイズは、断片化

のない物理インフラストラクチャの MTU と一致します。このパケット サイズの場合、NSX は接続を確認

して、インフラストラクチャが VXLAN トラフィック用に準備されているかどうかを検証できます。

n [最小 (Minimum)]： 断片化が可能になります。最小化されたパケット サイズでは、NSX は接続可能かど

うかは確認できますが、インフラストラクチャがより大きなフレーム サイズに対応できるかどうかは確認で

きません。

6 宛先のホスト マシンを選択します。

7 [テストの開始 (Start Test)] をクリックします。

ホスト間の ping テストの結果が表示されます。

論理スイッチでのなりすましの防止

vCenter Server と同期した後、NSX Manager は各仮想マシン上の VMware Tools から、または有効になって

いれば IP アドレス検出からすべての vCenter Server ゲスト仮想マシンの IP アドレスを収集します。NSX は、

VMware Tools または IP アドレス検出で取得されるすべての IP アドレスを信頼するわけではありません。仮想

マシンのセキュリティが侵害された場合は、IP アドレスのなりすましにより、悪意のあるデータ転送がファイアウォ

ール ポリシーを通り抜ける可能性があります。

SpoofGuard では VMware Tools または IP アドレス検出から報告された IP アドレスを認証し、なりすましを防

ぐために必要に応じて変更することができます。SpoofGuard は本質的に VMX ファイルと vSphere SDK から

集められた仮想マシンの MAC アドレスを信用します。Firewall ルールと別に運用することにより、SpoofGuard を使用して、なりすましと判断されたトラフィックをブロックすることができます。

詳細については、14 章 SpoofGuard の使用を参照してください。

論理スイッチの編集

論理スイッチの名前、説明、および制御プレーン モードを編集できます。

手順

1 [論理スイッチ (Logical Switches)] で、編集する論理スイッチを選択します。

NSX 管理ガイド

VMware, Inc. 54

2 [編集 (Edit)] アイコンをクリックします。

3 必要な変更を行います。

4 [保存 (Save)] または [OK] をクリックします。

論理スイッチのシナリオ

この事例では、ACME Enterprise という会社のデータセンター ACME_Datacenter に、2 つのクラスタがあり、

複数の ESXi ホストが配置されています。エンジニアリング部門（ポート グループ PG-Engineering）と財務部門

（ポート グループ PG-Finance）は Cluster1 に属しています。マーケティング部門（PG-Marketing）は Cluster2 に属しています。クラスタは両方とも、1 台の vCenter Server によって管理されています。

図 6-1. 論理スイッチを実装する前の ACME Enterprise 社のネットワーク

エンジニアリングPG

vDS1

クラスタ 1

エンジニアリング：VLAN10：10.10.1.0/24財務：VLAN 20：10.20.1.0/24マーケティング：VLAN 30：10.30.1.0/24

財務PG

物理スイッチ

マーケティングPG

vDS2

クラスタ 2

物理スイッチ

ACME 社の環境は、Cluster2 の使用率が低いのに対し、Cluster1 のコンピューティング容量の使用率が非常に高

い状態です。ACME のネットワーク管理者は、管理者 John（ACME の仮想化管理者）に、エンジニアリング部門

を Cluster2 に拡張し、両方のクラスタのエンジニアリングに属する仮想マシンが相互に通信できる方法はないかと

尋ねました。これが実現すると ACME 社は、L2 レイヤーを拡張することによって両方のクラスタのコンピューティ

ング キャパシティを活用することができます。

これを従来の方法で実現する場合、管理者 John は異なる VLAN を特殊な方法で接続し、2 つのクラスタが同じ L2 ドメインに含まれるようにする必要があります。この場合、ACME 社は新しい物理デバイスを購入してトラフィッ

クを分離する必要があり、VLAN の過剰な設置、ネットワーク ループ、および運用管理上の負担が大きくなるなど

の問題が発生する可能性があります。

NSX 管理ガイド

VMware, Inc. 55

管理者 John は、VMworld で見た論理ネットワークのデモを思い出し、NSX を試用することにしました。その結

果、John は dvSwitch1 と dvSwitch2 間に論理スイッチを構築することによって、ACME 社の L2 レイヤーを拡

張できることが分かりました。John は NSX Controller を利用して既存の IP ネットワーク上で NSX を機能さ

せることができます。このとき、ACME 社の物理インフラストラクチャに手を加える必要がありません。

図 6-2. ACME Enterprise 社の論理スイッチの実装

エンジニアリングPG

エンジニアリングPG

vDS1

クラスタ 1

論理スイッチは複数の VLAN/サブネットにまたがる

エンジニアリング：VXLAN5000：10.10.1.0/24財務：VLAN 20：10.20.1.0/24マーケティング：VLAN 30：10.30.1.0/24

財務PG

物理スイッチ

マーケティングPG

vDS2

クラスタ 2

物理スイッチ

管理者 John が 2 つのクラスタ間に 1 つの論理スイッチを構築すると、双方のクラスタを同じ論理スイッチに接続

したままで、クラスタ間で仮想マシンの vMotion を実行できるようになりました。

NSX 管理ガイド

VMware, Inc. 56

図 6-3. 論理ネットワーク上の vMotion

エンジニアリングPG

エンジニアリングPG

vDS1

vMotion の範囲 vMotion の範囲

エンジニアリング：VXLAN5000：10.10.1.0/24財務：VLAN 20：10.20.1.0/24マーケティング：VLAN 30：10.30.1.0/24

財務PG

物理スイッチ

マーケティングPG

vDS2

物理スイッチ

管理者 John が ACME Enterprise 社で論理ネットワークを構築する手順を見ていきましょう。

管理者 John による NSX Manager へのセグメント ID プールの割り当て

管理者 John は、受信したセグメント ID プールを指定して Company ABC のネットワーク トラフィックを分離

する必要があります。

前提条件

1 管理者 John は、dvSwitch1 と dvSwitch2 が vSphere Distributed Switch であることを確認します。

2 管理者 John は、vCenter Server の管理 IP アドレスを設定します。

a [管理 (Administration)] - [vCenter Server 設定 (vCenter Server Settings)] - [ランタイム設定

(Runtime Settings)] を選択します。

b [vCenter Server の管理 IP] に 10.115.198.165 と入力します。

c [OK] をクリックします。

3 管理者 John は、Cluster1 と Cluster2 にネットワーク仮想化コンポーネントをインストールします。『NSX インストール ガイド』を参照してください。

4 管理者 John は、ACME の NSX Manager 管理者から、セグメント ID プール (5000 - 5250) を受け取り

ます。John は NSX Controller を利用しているため、物理ネットワーク内でマルチキャストを必要としませ

ん。

NSX 管理ガイド

VMware, Inc. 57

5 管理者 John は IP プールを作成して、その IP アドレス プールから VXLAN VTEP に対して固定 IP アドレス

を割り当てることができるようにします。IP アドレス プールの追加を参照してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [インストールとアッ

プグレード (Installation and Upgrade)] の順にクリックします。

2 [論理ネットワークの準備 (Logical Network Preparation)] タブをクリックし、[セグメント ID (Segment ID)] をクリックします。

3 [編集 (Edit)] をクリックします。

4 [セグメント ID アドレス プール] に 5000 - 5250 と入力します。

5 [マルチキャスト アドレス指定の有効化 (Enable multicast addressing)] は選択しないでください。

6 [OK] をクリックします。

管理者 John による VXLAN 転送パラメータの設定

管理者 John は、Cluster 1 および Cluster 2 で VXLAN を設定します。この設定では、John は各クラスタを

vSphere Distributed Switch にマッピングします。クラスタをスイッチにマッピングすると、そのクラスタ内の

各ホストが論理スイッチで使用可能になります。

手順

1 [ホストの準備 (Host Preparation)] タブをクリックします。

2 Cluster1 で、[VXLAN] 列の [設定 (Configure)] を選択します。

3 [VXLAN ネットワークの] ダイアログ ボックスで、クラスタの vSphere Distributed Switch として

dvSwitch1 を選択します。

4 ACME 転送 VLAN として使用する dvSwitch1 に対して 10 と入力します。

5 [転送属性の指定] で、dvSwitch1 の最大転送ユニット (MTU) を 1600 のままにします。

MTU は、それ以上小さなパケットに分割しなくても 1 つのパケットで伝送することができる最大データ量です。

管理者 John は、VXLAN の論理スイッチのトラフィック フレームのサイズがカプセル化のために若干大きく

なっており、そのため各スイッチの MTU を 1550 以上に設定する必要があることを認識しています。

6 [vmknic IP アドレス指定 (VMKNic IP Addressing)] で、[IP アドレス プールの使用 (Use IP Pool)] を選択

し、IP アドレス プールを選択します。

7 [VMKNic チーミング ポリシー (VMKNic Teaming Policy)] で [フェイルオーバー (Failover)] を選択しま

す。

管理者 John は、平常時でも障害時でも、論理スイッチのパフォーマンスを一定にして、ネットワークのサービ

ス品質を維持しようと考えています。このため、チーミング ポリシーとしてフェイルオーバーを選択することに

しました。

8 [追加 (Add)] をクリックします。

9 ステップ 4 ～ 8 を繰り返して、Cluster2 で VXLAN を設定します。

NSX 管理ガイド

VMware, Inc. 58

結果

管理者 John が Cluster1 と Cluster2 を適切なスイッチにマッピングした後、それらのクラスタのホストが論理ス

イッチ用に準備されます。

1 VXLAN カーネル モジュールと vmknic が Cluster1 と Cluster2 の各ホストに追加されます。

2 論理スイッチに関連付けられている vSwitch 上に特別な dvPortGroup が作成され、VMKNic がそのグルー

プに接続されます。

管理者 John によるトランスポート ゾーンの追加

論理ネットワークをバッキングする物理ネットワークは、transport zone と呼ばれます。トランスポート ゾーン

は、仮想ネットワークによってスパニングされたコンピューティング範囲です。

手順

1 [論理ネットワークの準備 (Logical Network Preparation)] をクリックして、[トランスポート ゾーン

(Transport Zones)] をクリックします。

2 [新規トランスポート ゾーン (New Transport Zone)] アイコンをクリックします。

3 [名前] に [ACME ゾーン (ACME Zone)] と入力します。

4 [説明] に [ACME のクラスタを含むゾーン (Zone containing ACME's clusters)] と入力します。

5 Cluster 1 と Cluster 2 を選択して、トランスポート ゾーンに追加します。

6 [制御プレーン モード (Control Plane Mode)] で [ユニキャスト (Unicast)] を選択します。

7 [OK] をクリックします。

管理者 John による論理スイッチの作成

VXLAN 転送パラメータの設定が完了すると、管理者 John が論理スイッチを作成する準備が整ったことになりま

す。

手順

1 [論理スイッチ (Logical Switches)] をクリックし、次に [新しい論理ネットワーク (New Logical Network)] アイコンをクリックします。

2 [名前] に ACME logical network と入力します。

3 [説明] に Logical Network for extending ACME Engineering network to Cluster2 と入力し

ます。

4 [トランスポート ゾーン (Transport Zone)] で、ACME Zone を選択します。

5 [OK] をクリックします。

NSX は、dvSwitch1 と dvSwitch2 の間の L2 接続を可能にする論理スイッチを作成します。

NSX 管理ガイド

VMware, Inc. 59

次のステップ

これで管理者 John は、ACME の本番仮想マシンを論理スイッチに接続し、その論理スイッチを NSX Edge Services Gateway または分散論理ルーターに接続できます。

NSX 管理ガイド

VMware, Inc. 60

ハードウェア ゲートウェイの設定 7ハードウェア ゲートウェイの設定で、物理ネットワークを仮想ネットワークにマッピングします。マッピングを設定

することにより、NSX が Open vSwitch Database (OVSDB) を利用できるようになります。

OVSDB データベースには、物理ハードウェアと仮想ネットワークについての情報が含まれます。ベンダーのハード

ウェアがデータベース サーバをホストします。

NSX 論理ネットワーク内のハードウェア ゲートウェイ スイッチは、VXLAN トンネルの終端となります。そのハ

ードウェア ゲートウェイは、仮想ネットワークからはハードウェア VTEP として認識されます。VTEP の詳細につ

いては、『NSX インストール ガイド』と『NSX Network Virtualization Design Guide』を参照してください。

ハードウェア ゲートウェイの最小トポロジには、次のコンポーネントが含まれます。

n 物理サーバ

n ハードウェア ゲートウェイ スイッチ（L2 ポート）

n IP ネットワーク

n 4 個以上のハイパーバイザー。仮想マシンを持つ 4 個以上のレプリケーション クラスタを含む

n 3 台以上のノードがあるコントローラ クラスタ

次に示すのは、ハードウェア ゲートウェイを利用するトポロジのサンプルで、HV1 と HV2 はそれぞれハイパーバ

イザーです。VM1 は HV1 上の仮想マシンです。VTEP1 は HV1、VTEP2 は HV2、VTEP3 はハードウェア ゲー

トウェイ上にあります。ハードウェア ゲートウェイのサブネットは 211 です。これは、2 つのハイパーバイザーのサ

ブネット 221 とは異なります。

VM1

VLAN サーバ

VLAN 160

イーサネット 18

HV1VTEP1

VTEP2

VTEP3

10.114.221.196HV2

WebService 論理スイッチ VNI 5000

10.114.221.199

NSX Controller10.114.221.132-134

ハードウェア ゲートウェイ10.114.211.204

VMware, Inc. 61

ハードウェア ゲートウェイの基盤となる構成では、次のコンポーネントのうちいずれかを利用できます。

n 1 台のスイッチ

n IP アドレスが異なる複数の物理バス スイッチ

n ハードウェア スイッチ コントローラと複数のスイッチ

NSX Controller は、NSX Controller の IP アドレスから、ポート 6640 でハードウェア ゲートウェイと通信し

ます。この接続を利用して、ハードウェア ゲートウェイの OVSDB のトランザクションを送受信します。

この章には、次のトピックが含まれています。

n シナリオ： ハードウェア ゲートウェイのサンプル構成

シナリオ： ハードウェア ゲートウェイのサンプル構成

このシナリオでは、NSX 環境でハードウェア ゲートウェイ スイッチを設定するための一般的なタスクについて説明

します。ハードウェア ゲートウェイを使用して仮想マシン VM1 を物理サーバに接続する方法と、ハードウェア ゲー

トウェイを使用して WebService 論理スイッチを VLAN-Server VLAN 160 に接続する方法を、一連のタスクを

通じて理解します。

サンプルのトポロジでは、仮想マシン VM1 と VLAN-Server にサブネット 10 の IP アドレスが設定されています。

VM1 は WebService 論理スイッチに接続されています。VLAN-Server は物理サーバ上の VLAN 160 に接続さ

れています。

VM

10.0.0.1/8 10.0.0.2/8

VLAN サーバ

VLAN 160WebService 論理スイッチ

仮想マシン 1

重要： Cross-vCenter NSX 環境では、ハードウェア ゲートウェイ スイッチの設定が、プライマリおよびセカン

ダリ NSX Manager と複数のレプリケーション クラスタでサポートされます。ただし、デフォルトのレプリケーシ

ョン クラスタを使用できるのは、プライマリ NSX Manager のハードウェア ゲートウェイのみです。セカンダリ

NSX Manager では、ハードウェア ゲートウェイに新しいレプリケーション クラスタを作成する必要があります。

ハードウェア ゲートウェイ スイッチは、論理スイッチに割り当てられている必要があります。

前提条件

n メーカーのドキュメントを参照して、物理ネットワークの要件を満たしていることを確認してください。

n ハードウェア ゲートウェイを設定する前に、NSX のシステムとハードウェアの要件を満たしていることを確認

してください。「1 章 NSX Data Center for vSphere のシステム要件」を参照してください。

n 論理ネットワークが正しく設定されていることを確認してください。『NSX インストール ガイド』を参照してく

ださい。

NSX 管理ガイド

VMware, Inc. 62

n VXLAN のトランスポート パラメータのマッピングが正しいことを確認してください。『NSX インストール ガイド』を参照してください。

n ハードウェア ゲートウェイ メーカーの証明書を取得してください。

n VXLAN ポートの値が 4789 に設定されていることを確認してください。「VXLAN ポートの変更」を参照して

ください。

手順

1 レプリケーション クラスタの設定

レプリケーション クラスタは、ハードウェア ゲートウェイから送信されたトラフィックを転送するハイパーバ

イザーのセットです。トラフィックは、ブロードキャスト、不明なユニキャストまたはマルチキャスト トラフ

ィックの場合があります。

2 ハードウェア ゲートウェイの NSX Controller への接続

ハードウェア ゲートウェイを NSX Controller に接続するには、物理スイッチ上に OVSDB 管理テーブルを

設定する必要があります。

3 ハードウェア ゲートウェイの証明書の追加

構成を機能させるには、ハードウェア ゲートウェイの証明書をハードウェア デバイスに追加する必要がありま

す。

4 論理スイッチの物理スイッチへのバインド

仮想マシン VM1 に接続された WebService 論理スイッチは、同じサブネット上にあるハードウェア ゲート

ウェイと通信する必要があります。

レプリケーション クラスタの設定

レプリケーション クラスタは、ハードウェア ゲートウェイから送信されたトラフィックを転送するハイパーバイザ

ーのセットです。トラフィックは、ブロードキャスト、不明なユニキャストまたはマルチキャスト トラフィックの場

合があります。

注： レプリケーション ノードとハードウェア ゲートウェイ スイッチを含むハイパーバイザーを同じ IP アドレスの

サブネットにすることはできません。 この制限は、ほとんどのハードウェア ゲートウェイで使用されるチップセッ

トの制限によるものです。大半のハードウェア ゲートウェイは Broadcom Trident II チップセットを使用してい

ますが、このチップセットでは、ハードウェア ゲートウェイとハイパーバイザーの間にレイヤー 3 の基盤ネットワ

ークが必要になります。

Cross-vCenter NSX 環境では、プライマリおよびセカンダリ NSX Manager と複数のレプリケーション クラス

タで、ハードウェア ゲートウェイ スイッチの設定がサポートされます。ただし、デフォルトのレプリケーション クラスタを使用できるのは、プライマリ NSX Manager のハードウェア ゲートウェイのみです。セカンダリ NSX Manager では、ハードウェア ゲートウェイに新しいレプリケーション クラスタを作成する必要があります。

重要： NSX ユーザー インターフェイスでは、デフォルトで 1 つのレプリケーション クラスタを表示できますが、

複数のレプリケーション クラスタは表示できません。複数のレプリケーション クラスタは、API を通じてサポート

しています。『NSX API ガイド』の「特定のハードウェア ゲートウェイ レプリケーション クラスタの操作」を参照

してください。

NSX 管理ガイド

VMware, Inc. 63

前提条件

レプリケーション ノードとして機能するハイパーバイザーが利用可能であることを確認してください。

手順

1 vSphere Web Client にログインします。

2 [Networking and Security (Networking & Security)] - [サービス定義 (Service Definitions)]の順に選

択します。

3 [ハードウェア デバイス (Hardware Devices)] タブをクリックします。

4 [レプリケーション クラスタ] セクションで [編集 (Edit)] をクリックして、このレプリケーション クラスタでレ

プリケーション ノードとして機能するハイパーバイザーを選択します。

5 ハイパーバイザーを選択して青い矢印をクリックします。

選択されたハイパーバイザーが [選択したオブジェクト] 列に移動します。

6 [OK] をクリックします。

結果

レプリケーション ノードがレプリケーション クラスタに追加されました。レプリケーション クラスタには、1 台以

上のホストが必要です。

ハードウェア ゲートウェイの NSX Controller への接続

ハードウェア ゲートウェイを NSX Controller に接続するには、物理スイッチ上に OVSDB 管理テーブルを設定

する必要があります。

コントローラは、物理スイッチからの接続を listen します。そのため、ハードウェア ゲートウェイは、接続を開始

するために OVSDB 管理テーブルを使用する必要があります。

NSX 管理ガイド

VMware, Inc. 64

前提条件

ハードウェア ゲートウェイ インスタンスを設定する前に、コントローラをデプロイする必要があります。コントロ

ーラを先にデプロイしない場合、「コントローラ上での操作に失敗しました」というエラー メッセージが表示されます。

手順

1 環境に適したコマンドを使用して、ハードウェア ゲートウェイを NSX Controller に接続します。

ハードウェア ゲートウェイを NSX Controller に接続するためのサンプル　コマンドは次のとおりです。

prmh-nsx-tor-7050sx-3#enable

prmh-nsx-tor-7050sx-3#configure terminal

prmh-nsx-tor-7050sx-3(config)#cvx

prmh-nsx-tor-7050sx-3(config-cvx)#service hsc

prmh-nsx-tor-7050sx-3(config-cvx-hsc)#manager 172.16.2.95 6640

prmh-nsx-tor-7050sx-3(config-cvx-hsc)#no shutdown

prmh-nsx-tor-7050sx-3(config-cvx-hsc)#end

2 ハードウェア ゲートウェイ上で OVSDB 管理テーブルを設定します。

3 OVSDB のポート番号を 6640 に設定します。

4 （オプション） ハードウェア ゲートウェイが、OVSDB　チャネル経由で NSX Controller に接続しているこ

とを確認します。

n 接続状態が [UP] であることを確認します。

n VM1 と VLAN 160 に ping を送信して、接続が成功したことを確認します。

5 （オプション） ハードウェア ゲートウェイが適切な NSX Controller に接続していることを確認します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード

(Installation and Upgrade)] - [管理 (Management)] - [NSX Controller ノード (NSX Controller nodes)] の順に選択します。

ハードウェア ゲートウェイの証明書の追加

構成を機能させるには、ハードウェア ゲートウェイの証明書をハードウェア デバイスに追加する必要があります。

前提条件

導入環境のハードウェア ゲートウェイの証明書が利用できることを確認します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [サービス定義 (Service Definitions)]の順に選

択します。

3 [ハードウェア デバイス (Hardware Devices)] タブをクリックします。

NSX 管理ガイド

VMware, Inc. 65

4 追加（ ）アイコンをクリックして、ハードウェア ゲートウェイ プロファイルの詳細を作成します。

オプション 説明

名前と説明 ハードウェア ゲートウェイの名前を指定します。

プロファイルの詳細を説明セクションに追加できます。

証明書 導入環境で利用している証明書をコピーアンドペーストします。

BFD の有効化 双方向フォワーディング検出 (BFD) プロトコルはデフォルトで有効化されています。

BFD プロトコルは、ハードウェア ゲートウェイの設定情報を同期するために使用されます。

5 [OK] をクリックします。

ハードウェア ゲートウェイを表すプロファイルが作成されました。

6 画面を更新して、ハードウェア ゲートウェイが利用可能であり、稼動していることを確認します。

接続状態は [UP] となります。

7 （オプション） ハードウェア ゲートウェイのプロファイルをクリックし、右クリックしてドロップダウン メニュ

ーから [BFD トンネル ステータスの表示 (View the BFD Tunnel Status)] を選択します。

ダイアログ ボックスには、トラブルシューティング用にトンネル ステータスの詳細が表示されます。

NSX 管理ガイド

VMware, Inc. 66

論理スイッチの物理スイッチへのバインド

仮想マシン VM1 に接続された WebService 論理スイッチは、同じサブネット上にあるハードウェア ゲートウェイ

と通信する必要があります。

注： ハードウェアのポートに複数の論理スイッチをバインドする場合、それぞれの論理スイッチに対して次の手順

を実行する必要があります。

前提条件

n WebService 論理スイッチが使用可能であることを確認します。論理スイッチの追加を参照してください。

n 物理スイッチが使用可能であることを確認します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [論理スイッチ (Logical Switches)]の順に選択

します。

3 WebService 論理スイッチを右クリックし、ドロップダウン メニューから [ハードウェア バインドの管理

(Manage Harware Bindings)] を選択します。

4 ハードウェア ゲートウェイのプロファイルを選択します。

5 追加（ ）アイコンをクリックし、ドロップダウン メニューから物理スイッチを選択します。

例：AristaGW

6 [選択 (Select)] をクリックし、[使用可能なオブジェクト] の一覧から物理ポートを 1 つ選択します。

例：Ethernet 18

7 [OK] をクリックします。

8 VLAN 名を指定します。

例：160

9 [OK] をクリックします。

結果

バインドが完了しました。

NSX 管理ガイド

VMware, Inc. 67

NSX Controller により、物理構成および論理構成の情報がハードウェア ゲートウェイと同期されます。

NSX 管理ガイド

VMware, Inc. 68

L2 ブリッジ 8論理スイッチと VLAN の間に L2 ブリッジを作成することができます。これにより IP アドレスに影響を与えずに

仮想ワークロードを物理デバイスに移行することができます。

レイヤー 2 ブリッジを使用すると、物理サーバまたはネットワークに接続する仮想マシンを有効にして、仮想ネット

ワークと物理ネットワーク間の接続を行うことができます。次のような場合に使用します。

n 物理から仮想、仮想から仮想への移行。L2 ブリッジを利用すると、IP アドレスの再設定を行わずに NSX の内

外のワークフローとの接続を維持することができます。

n 仮想化に対応していないアプライアンスの場合、NSX の導入により、そのクライアントとの L2 接続を確立す

る必要があります。これは、一部の物理データベース サーバでは一般的な手法です。

n サービス挿入。L2 ブリッジを利用すると、ルーター、ロード バランサ、ファイアウォールなどの物理アプライ

アンスに NSX を透過的に統合できます。

論理ネットワークでは、論理スイッチ ブロードキャスト ドメインと VLAN ブロードキャスト ドメインをブリッジ

することで、物理 L3 ゲートウェイを利用して既存の物理ネットワークやセキュリティ リソースにアクセスできま

す。L2 ブリッジは、NSX 分散論理ルーター制御仮想マシンが設定されたホストで動作します。L2 ブリッジ インス

タンスは、単一の VLAN にマッピングされますが、複数のブリッジ インスタンスを存在させることができます。

VLAN ポート グループとブリッジされた VXLAN 論理スイッチは、同じ vSphere Distributed Switch (VDS) 上に配置され、同じ物理 NIC を共有している必要があります。

VXLAN (VNI) ネットワークと VLAN によりバックアップされたポート グループは、同じ分散仮想スイッチ

(VDS) 上に存在する必要があります。

VMware, Inc. 69

V

コンピューティング ラック

物理ワークロード

物理ゲートウェイ

NSX Edge分散論理ルーター

仮想マシン

L2 ブリッジを使用して、論理スイッチ同士の接続、VLAN ネットワーク同士の接続、またはデータセンターの相互

接続を行わないでください。また、ユニバーサル分散論理ルーターを使用してブリッジを設定したり、ユニバーサル

論理スイッチにブリッジを追加することはできません。

この章には、次のトピックが含まれています。

n L2 ブリッジの追加

n 論理的にルーティングされた環境への L2 ブリッジの追加

n ブリッジ スループットの向上

L2 ブリッジの追加

論理スイッチから分散仮想ポート グループへのブリッジを追加できます。

NSX 管理ガイド

VMware, Inc. 70

前提条件

構成済みの論理スイッチと、VLAN でバッキングされた分散仮想ポート グループ。

VLAN でバッキングされた分散仮想ポート グループと論理スイッチをブリッジする場合、これらを同じ分散仮想ス

イッチ (VDS) 上に配置する必要があります。

論理スイッチを持つ分散仮想スイッチと、VLAN でバッキングされた分散仮想ポート グループがインスタンス化さ

れているハイパーバイザー上の分散論理ルーター制御仮想マシンを、環境にデプロイする必要があります。

ユニバーサル分散論理ルーターを使用してブリッジを設定することはできません。また、ブリッジをユニバーサル論

理スイッチに追加することはできません。

注意： ブリッジ トラフィックは、VXLAN トラフィックに使用される dvSwitch のアップリンク ポート経由で

ESXi ホストと送受信されます。VLAN の VDS チーミングまたはフェイルオーバー ポリシーは、ブリッジ トラフ

ィックに使用されません。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 分散論理ルーターをダブルクリックします。

4 [管理 (Manage)] - [ブリッジ (Bridging)] の順にクリックします。

5 [追加 (Add)] をクリックします。

6 ブリッジの名前を入力します。

注意： ブリッジの名前は 40 文字以下にする必要があります。名前が 40 文字を超えると、ブリッジの設定に

失敗します。

7 ブリッジを作成する論理スイッチを選択します。

8 論理スイッチのブリッジ先である分散仮想ポート グループを選択します。

9 [発行 (Publish)] をクリックして、変更を有効にします。

論理的にルーティングされた環境への L2 ブリッジの追加

1 つのアクティブなブリッジ インスタンスが存在する単一の VLAN に論理スイッチをブリッジできます。1 つの分

散論理ルーターに複数のブリッジ インスタンスを設定できますが、同じ VXLAN と VLAN は複数のブリッジ イン

スタンスに接続できません。

論理スイッチを使用して、分散論理ルーティングとレイヤー 2 ブリッジの両方に参加できます。したがって、ブリッ

ジされた論理スイッチからのトラフィックを中央の Edge 仮想マシン経由で送信する必要はありません。ブリッジ

された論理スイッチからのトラフィックは、L2 ブリッジ インスタンス経由で物理 VLAN に送信できます。ブリッ

ジ インスタンスは、分散論理ルーター制御仮想マシンが実行されている ESXi ホストで有効になります。

NSX 管理ガイド

VMware, Inc. 71

NSX での L2 ブリッジの詳細については、https://communities.vmware.com/docs/DOC-27683 にある

『NSX Network Virtualization Design Guide』で、NSX 分散ルーティングとレイヤー 2 ブリッジの統合に関す

るセクションを参照してください。

ヒント: 複数のレイヤー 2 ブリッジ インスタンスのセットを作成して、異なる分散論理ルーターに関連付けること

ができます。これにより、ブリッジのロードを異なる ESXi ホストに分散させることができます。

前提条件

n 環境に NSX 分散論理ルーターがデプロイされている必要があります。

n ユニバーサル分散論理ルーターを使用してブリッジを設定することはできません。また、ブリッジをユニバーサ

ル論理スイッチに追加することはできません。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 ブリッジに使用する分散論理ルーターをダブルクリックします。

注： ブリッジ インスタンスは、VXLAN が接続された同じルーティング インスタンスで作成する必要があり

ます。1 台のブリッジ インスタンスで 1 つの VXLAN と 1 つの VLAN に対応でき、VXLAN と VLAN は重

複できません。同じ VXLAN と VLAN は複数のブリッジ インスタンスに接続できません。

4 [管理 (Manage)] - [ブリッジ (Bridging)] の順にクリックします。

5 [追加 (Add)] をクリックします。

6 ブリッジの名前を入力します。

注意： ブリッジの名前は 40 文字以下にする必要があります。名前が 40 文字を超えると、ブリッジの設定に

失敗します。

7 ブリッジを作成する論理スイッチを選択します。

8 論理スイッチのブリッジ先である分散仮想ポート グループを選択します。

9 [発行 (Publish)] をクリックして、ブリッジ設定に対する変更を有効にします。

これで、[ルーティングは有効です (Routing Enabled)] を指定した状態でブリッジに使用される論理スイッチ

が表示されます。詳細は、論理スイッチの追加および論理スイッチへの仮想マシンの接続を参照してください。

ブリッジ スループットの向上

Receive Side Scaling を使用すると、ブリッジのスループットを向上できます。NSX 6.4.2 以降では、Software Receive Side Scaling でもブリッジのスループットを向上できます。

Receive Side Scaling (RSS) テクノロジーを使用すると、異なる受信記述子キューに受信トラフィックを分散でき

ます。各キューを異なる CPU コアに割り当てると、受信トラフィックのロード バランシングを行い、パフォーマン

スを向上できます。

NSX 管理ガイド

VMware, Inc. 72

ただし、不明なユニキャスト トラフィックやマルチキャスト トラフィックで RSS は機能しません。これらのパケッ

トは、最終的にデフォルトのキューに転送され、1 つの CPU コアで処理されるため、スループットが低下します。

VLAN/VXLAN ブリッジを実行している ESXi ホストで受信されるパケットの大半はこのカテゴリに該当するた

め、ブリッジのスループットが低下します。

物理 NIC ベンダーの一部は、Default Queue Receive Side Scaling (DRSS) という機能をサポートします。

DRSS を使用すると、複数のハードウェア キューを設定してデフォルトの RX キューをバックアップし、複数の

CPU コア間で VLAN/VXLAN フローを分散できます。

DRSS（ixgbe、ixgben など）をサポートしない物理 NIC の場合、Software Receive Side Scaling (SoftRSS) を使用してブリッジ ネットワークのスループットを向上できます。

SoftRSS は、個々のフロー処理を複数のカーネル ワールドの 1 つにオフロードします。これにより、NIC からパケ

ットを取得するスレッドでより多くのパケットを処理できるようになります。RSS の場合と同様に、SoftRSS 使用

時のネットワーク スループットの向上は CPU 使用率と線形相関にあります。

詳細については、Software Receive Side Scaling の有効化を参照してください。

Software Receive Side Scaling の有効化

Software Receive Side Scaling を使用すると、VLAN/VXLAN ブリッジのスループットが向上します。

前提条件

n NSX 6.4.2 以降がインストールされていることを確認します。

n SoftRSS を有効にするホストを決定します。

n アクティブ/スタンバイ ブリッジが存在する ESXi ホスト（分散論理ルーター制御仮想マシンがホストされ

ている場所）で SoftRSS を有効にします。vMotion を使用して制御仮想マシンを移行する場合は、クラ

スタ内のすべてのホストで SoftRSS を有効にします。

n ホストの物理 NIC で Default Queue Receive Side Scaling (DRSS) がサポートされている場合は、

DRSS を有効にします。SoftRSS は有効にしないでください。esxcli system module parameters

list -m [nic_module] を使用して、DRSS がサポートされているかどうか確認します。

手順

1 ホストで SoftRSS を有効にします。

10G アップリンクの ワールド数 の推奨値は 4 です。

ワールド数は 16 まで増やすことができます。より高い統合率がアップリンクでサポートされている（リンク集

約が使用されている）場合や、ワールドへのフロー分散がトラフィック パターンに対して均一でない場合は、こ

の値を増やすことができます。

net-dvs -s com.vmware.net.vdr.softrss=[number of worlds] -p hostPropList [dvs name]

2 （オプション） SoftRSS を無効にするには、次のコマンドを使用します。

net-dvs -u com.vmware.net.vdr.softrss -p hostPropList [dvs name]

NSX 管理ガイド

VMware, Inc. 73

ルーティング 9NSX Edge ごとに固定および動的ルーティングを指定できます。

動的ルーティングにより、レイヤー 2 ブロードキャスト ドメイン間の必要な転送情報が提供されるため、レイヤー

2 ブロードキャスト ドメインを削減し、ネットワークの効率と規模を改善できます。NSX は、このインテリジェン

スをワークロードが存在する場所に拡張し、水平方向のルーティングを行います。これより、余分なコストと時間を

かけてホップを拡張することなく、より直接的に仮想マシン間の通信ができます。同時に、NSX は垂直方向の接続

も提供するため、テナントはパブリック ネットワークにアクセスできます。

この章には、次のトピックが含まれています。

n 分散論理ルーターの追加

n Edge Services Gateway の追加

n グローバル設定の指定

n NSX Edge 設定

n スタティック ルートの追加

n 分散論理ルーター上での OSPF の設定

n Edge Services Gateway 上での OSPF の設定

n BGP の設定

n ルート再配分の設定

n NSX Manager ロケール ID の表示

n ユニバーサル分散論理ルーター上でのロケール ID の設定

n ホストまたはクラスタ上でのロケール ID の設定

n マルチキャスト ルーティングのサポート、制限、およびトポロジー

分散論理ルーターの追加

ホストの分散論理ルーター (DLR) カーネル モジュールは、VXLAN ネットワーク間、および仮想ネットワークと物

理ネットワーク間のルーティングを実行します。NSX Edge アプライアンス は、必要に応じて動的ルーティング機

VMware, Inc. 74

能を提供します。分散論理ルーターは、Cross-vCenter NSX 環境内のプライマリとセカンダリの NSX Manager に作成できますが、ユニバーサル分散論理ルーターはプライマリ NSX Manager にのみ作成できます。

注： vSphere Web Client では、NSX Data Center 6.4.4 から「論理ルーター」という用語が「分散論理ルー

ター」に変わりました。このドキュメントでは、両方の用語が同じ意味で使用されています。ただし、これらは同じ

オブジェクトを参照しています。

新しい分散論理ルーターをデプロイする際には、次のことに留意してください。

n NSX Data Center for vSphere 6.2 以降では、分散論理ルーターでルーティングされる論理インターフェイ

ス (LIF) を VLAN にブリッジされている VXLAN に接続できます。

n 分散論理ルーター インターフェイスおよびブリッジ インターフェイスは、VLAN ID が 0 に設定されている

dvPortgroup には接続できません。

n 特定の分散論理ルーター インスタンスは、異なるトランスポート ゾーンに存在する論理スイッチには接続でき

ません。これにより、すべての論理スイッチと分散論理ルーター インスタンスの整合性が確保されます。

n 分散論理ルーターが複数の vSphere Distributed Switch (VDS) にまたがる論理スイッチに接続されている

場合、その分散論理ルーターを VLAN がバッキングするポートグループに接続することはできません。これに

より、ホスト間で分散論理ルーター インスタンスが論理スイッチ dvPortgroup に正しく関連付けられるよう

になります。

n 2 つのネットワークが同じ vSphere Distributed Switch 内にある場合は、2 つの異なる分散ポート グループ

(dvPortgroup) 上に同じ VLAN ID の分散論理ルーター インターフェイスを作成しないでください。

n 2 つのネットワークが別々の vSphere Distributed Switch 内にあっても、それらの vSphere Distributed Switch が同じホストを共有している場合は、2 つの異なる dvPortgroup 上に同じ VLAN ID の分散論理ルー

ター インターフェイスを作成しないでください。言い換えると、2 つの dvPortgroup が 2 つの異なる

vSphere Distributed Switch 内にあっても、それらの vSphere Distributed Switch がホストを共有して

いなければ、2 つの異なるネットワーク上に同じ VLAN ID の分散論理ルーター インターフェイスを作成でき

ます。

n VXLAN が設定されている場合、分散論理ルーター インターフェイスは、VXLAN が設定されている vSphere Distributed Switch の分散ポート グループに接続されている必要があります。他の vSphere Distributed Switch のポート グループには、分散論理ルーター インターフェイスを接続しないでください。

以下のリストでは、分散論理ルーターでのインターフェイス タイプ（アップリンクおよび内部）別の機能サポートに

ついて説明します。

n 動的ルーティング プロトコル（BGP と OSPF）は、アップリンク インターフェイスでのみサポートされます。

n ファイアウォール ルールはアップリンク インターフェイスでのみ適用可能であり、対象は Edge 仮想アプライ

アンスに送信される制御トラフィックと管理トラフィックに限定されます。

NSX 管理ガイド

VMware, Inc. 75

n 分散論理ルーターの管理インターフェイスの詳細については、ナレッジベースの記事「Management Interface Guide: DLR Control VM - NSX」(http://kb.vmware.com/kb/2122060) を参照してくださ

い。

重要： Cross-vCenter NSX 環境の NSX Edge で高可用性を有効にするには、アクティブとスタンバイの両方の

NSX Edge アプライアンス が同じ vCenter Server 内に配置されている必要があります。NSX Edge 高可用性

(HA) ペアのいずれかのアプライアンスを別の vCenter Server に移行すると、高可用性の 2 台のアプライアンス

がペアとして動作しなくなり、トラフィックの中断が発生する可能性があります。

注目: vSphere Fault Tolerance は、分散論理ルーター制御仮想マシンと連携しません。

前提条件

n Enterprise Administrator または NSX Administrator のロールが割り当てられている必要があります。

n 論理スイッチを作成する予定がない場合でも、ローカル セグメント ID プールを作成する必要があります。

n 分散論理ルーターを作成または変更する前に、コントローラ クラスタが稼動していて、使用可能であることを確

認してください。分散論理ルーターは、NSX Controller を利用しないとホストにルーティング情報を配布でき

ません。分散論理ルーターは、Edge Services Gateway (ESG) とは異なり、NSX Controller がなければ機

能しません。

n 分散論理ルーターを VLAN dvPortgroup に接続する場合、分散論理ルーター アプライアンスがインストール

されているすべてのハイパーバイザー ホストが UDP ポート 6999 で相互にアクセスできることを確認しま

す。分散論理ルーターの VLAN ベース ARP プロキシを機能させるには、このポートで通信を行う必要があり

ます。

n 分散論理ルーター アプライアンスの展開先を決めます。

n 宛先のホストが、新しい分散論理ルーターのインターフェイスに接続されている論理スイッチと同じトラン

スポート ゾーンに属している必要があります。

n ECMP セットアップで ESG を使用している場合は、そのアップストリーム ESG のいずれかと同じホスト

に配置しないようにしてください。これには DRS 非アフィニティ ルールを使用できます。分散論理ルー

ター転送時のホスト障害の影響を軽減することが可能です。1 つのアップストリーム ESG を単独で使用す

る場合、またはその ESG が高可用性モードの場合は、このガイドラインは適用されません。詳細について

は、https://communities.vmware.com/docs/DOC-27683 にある『NSX Network Virtualization Design Guide 』を参照してください。

n 分散論理ルーター アプライアンスをインストールするホスト クラスタが NSX Data Center for vSphere 用に準備されていることを確認します。『NSX インストール ガイド』の「NSX 用ホスト クラスタの準備」を参照

してください。

n 変更を加える適切な NSX Manager を決定します。

n スタンドアロン環境や単一の vCenter Server NSX の環境では、NSX Manager は 1 つしか存在しない

ため、NSX Manager を選択する必要はありません。

n ユニバーサル オブジェクトはプライマリ NSX Manager から管理する必要があります。

n NSX Manager に対してローカルなオブジェクトは、NSX Manager から管理する必要があります。

NSX 管理ガイド

VMware, Inc. 76

n 拡張リンク モードが有効になっていない Cross-vCenter NSX 環境で設定の変更を行うには、変更する

NSX Manager にリンクされた vCenter Server から変更を行う必要があります。

n 拡張リンク モードの Cross-vCenter NSX 環境では、リンクされた任意の vCenter Server から、任意

の NSX Manager の設定を変更できます。NSX Manager ドロップダウン メニューから、適切な NSX Manager を選択します。

n 追加する分散論理ルーターの種類を決定します。

n 論理スイッチを接続するには、分散論理ルーターを追加します。

n ユニバーサル論理スイッチを接続するには、ユニバーサル分散論理ルーターを追加します。

n ユニバーサル分散論理ルーターを追加する場合、Local Egress（ローカル出力方向）を有効にする必要がある

かどうかを判断します。Local Egress を有効にすると、ルートをホストに選択的に送信できます。NSX デプ

ロイが複数のサイトにまたがる場合は、この機能が必要になることがあります。詳細については Cross-vCenter NSX トポロジを参照してください。ユニバーサル分散論理ルーターの作成後に Local Egress を有

効にはできません。

手順

1 vSphere Web Client で、[ホーム (Home)] - [ネットワークとセキュリティ (Networking & Security)] - [NSX Edges] の順に移動します。

2 変更を加える適切な NSX Manager を選択します。ユニバーサル分散論理ルーターを作成する場合は、プライ

マリ NSX Manager を選択する必要があります。

3 [追加 (Add)] をクリックして、追加する分散論理ルーターの種類を選択します。

n 選択した NSX Manager に対してローカルな分散論理ルーターを追加するには、[分散論理ルーター

(Logical (Distributed) Router)] を選択します。

n Cross-vCenter NSX 環境全体で利用できる分散論理ルーターを追加するには、[ユニバーサル分散論理ル

ーター (Universal Logical (Distributed) Router)] を選択します。このオプションを使用できるのは、

プライマリ NSX Manager が割り当てられており、そのプライマリ NSX Manager から変更を行う場合

のみです。[ユニバーサル分散論理ルーター (Universal Logical (Distributed) Router)] を選択する場

合は、Local Egress を有効にすることもできます。

4 分散論理ルーターの名前、説明、その他の詳細を入力します。

オプション 説明

名前 vCenter Server インベントリに表示される分散論理ルーターの名前を入力します。

1 つのテナントのすべての分散論理ルーターの中で一意の名前を使用してください。

ホスト名 任意。CLI に表示される分散論理ルーターのホスト名を入力します。

ホスト名を入力しない場合は、自動的に作成される Edge ID が CLI に表示されます。

説明 任意。分散論理ルーターの説明を入力します。

NSX 管理ガイド

VMware, Inc. 77

オプション 説明

Edge アプライアンスのデプロイ このオプションはデフォルトで選択されています。Edge アプライアンス（分散論理ルーター

の仮想アプライアンスとも呼ばれる）は、動的ルーティングおよび分散論理ルーター アプライ

アンスのファイアウォールで必要になり、分散論理ルーターの ping、SSH アクセス、および

動的ルーティング トラフィックに適用されます。

スタティック ルートのみが必要で、Edge アプライアンスをデプロイしない場合は、このオプ

ションの選択を解除します。分散論理ルーターの作成後は、Edge アプライアンスを分散論理

ルーターに追加できません。

高可用性 任意。デフォルトでは、高可用性は無効になっています。このオプションは、分散論理ルータ

ーで高可用性を有効にして設定する場合に選択します。

動的ルーティングを計画している場合、高可用性は必須です。

高可用性ログ 任意。デフォルトでは、高可用性ログは無効になっています。

ログを有効にすると、デフォルトのログ レベルが「情報」に設定されます。これは、必要に応

じて変更できます。

5 分散論理ルーターの CLI 設定と他の設定を指定します。

オプション 説明

ユーザー名 Edge CLI にログインに使用するユーザーの名前を入力します。

パスワード 12 文字以上で、次の条件を満たすパスワードを入力します。

n 255 文字以内

n 1 つ以上の大文字と 1 つ以上の小文字

n 1 つ以上の数字

n 1 文字以上の特殊文字

n ユーザー名を部分文字列として含めない

n 同じ文字を 3 つ以上続けない

パスワードの確認 確認のために、パスワードをもう一度入力します。

SSH アクセス 任意。デフォルトでは、SSH アクセスは無効になっています。SSH を有効にしない場合でも、

仮想アプライアンス コンソールを開いて分散論理ルーターにアクセスできます。

SSH を有効にすると、SSH プロセスが分散論理ルーターで実行されます。分散論理ルーター

のプロトコル アドレスへの SSH アクセスを許可するには、分散論理ルーターのファイアウォ

ール設定を手動で調整する必要があります。プロトコル アドレスの設定は、分散論理ルーター

に動的ルーティングを設定する際に行います。

FIPS モード 任意。デフォルトでは、FIPS モードは無効です。

FIPS モードを有効にすると、NSX Edge が送受信するセキュアな通信はすべて、FIPS で許

可される暗号化アルゴリズムまたはプロトコルを使用します。

Edge の制御レベル ログ 任意。デフォルトでは、ログ レベルが「情報」に設定されます。

6 NSX Edge アプライアンス のデプロイを設定します。

u [Edge アプライアンスのデプロイ (Deploy Edge Appliance)] を選択しなかった場合、アプライアンス

は追加できません。[次へ (Next)] をクリックして、設定を続行します。

u [Edge アプライアンスのデプロイ (Deploy Edge Appliance)] を選択した場合は、分散論理ルーター仮

想アプライアンスの設定を入力します。

NSX 管理ガイド

VMware, Inc. 78

次はその例です。

オプション 値

クラスタ/リソース プール 管理/Edge

データストア ds-1

ホスト esxmgt-01a.corp.local

リソースの予約 システム管理

リソースの予約の詳細については、『NSX 管理ガイド』の「NSX Edge アプライアンスのリソース予約の管理」

を参照してください。

7 高可用性インターフェイスの接続と、オプションで IP アドレスを設定します。

[Edge アプライアンスのデプロイ (Deploy Edge Appliance)] を選択した場合は、高可用性インターフェイ

スを分散ポート グループまたは論理スイッチに接続する必要があります。このインターフェイスを高可用性イ

ンターフェイスとしてのみ使用している場合は、論理スイッチを使用します。/30 サブネットは、リンク ロー

カル範囲 169.254.0.0/16 から割り当てられ、2 つの NSX Edge アプライアンスそれぞれの IP アドレスを用

意するために使用されます。

オプションで、このインターフェイスを NSX Edge への接続に使用する場合は、高可用性インターフェイス用

に追加の IP アドレスとプリフィックスを指定できます。

注： NSX Data Center for vSphere 6.2 より前のリリースでは、高可用性インターフェイスは管理インタ

ーフェイスと呼ばれていました。高可用性インターフェイスとは異なる IP サブネットから SSH を使用して高

可用性インターフェイスに接続することはできません。高可用性インターフェイスの外部をポイントするスタテ

ィック ルートは設定できません。これは、RPF で受信トラフィックがドロップされることを意味します。ただ

し、理論上は RPF を無効にできますが、高可用性には逆効果です。SSH アクセスには、分散論理ルーターのプ

ロトコル アドレスも使用できます。これは後で動的ルーティングを設定するときに設定されます。

NSX Data Center for vSphere 6.2 以降では、分散論理ルーターの高可用性 (HA) インターフェイスは、ル

ート再配分の対象から自動的に除外されます。

たとえば、次の表に示すサンプルの高可用性インターフェイスの設定では、高可用性インターフェイスが管理

dvPortgroup に接続されます。

オプション 説明

接続先 Mgmt_VDS-Mgmt

IP アドレス 192.168.110.60*

サブネットのプリフィックス長 24

NSX 管理ガイド

VMware, Inc. 79

8 NSX Edge のインターフェイスを設定します。

a 名前、種類、およびその他の基本的なインターフェイスの詳細を指定します。

オプション 説明

名前 インターフェイスの名前を入力します。

タイプ 内部またはアップリンクのいずれかを選択します。

内部インターフェイスは、仮想マシン間の通信（East-West ともいいます）を許可する

スイッチへの接続に使用されます。内部インターフェイスは、分散論理ルーターの仮想ア

プライアンスの疑似 vNIC として作成されます。アップリンク インターフェイス、

North-South の通信に使用されます。このインターフェイスは、分散論理ルーター仮想

アプライアンス上に vNIC として作成されます。

分散論理ルーター アップリンク インターフェイスは、Edge Services Gateway また

はサードパーティのルーター仮想マシンに接続する場合があります。動的ルーティングを

有効にするには、少なくとも 1 つのアップリンク インターフェイスが必要です。

接続先 このインターフェイスを接続する分散仮想ポート グループまたは論理スイッチを選択しま

す。

b インターフェイスのサブネットを設定します。

オプション 説明

プライマリ IP アドレス 分散論理ルーターでは、IPv4 アドレスのみがサポートされます。

ここで入力するインターフェイスの設定は後で変更できます。分散論理ルーターをデプロ

イした後で、インターフェイスを追加、削除、および変更できます。

サブネットのプリフィックス長 インターフェイスのサブネット マスクを入力します。

c （オプション） 必要に応じてデフォルトの MTU 値を編集します。アップリンク インターフェイスと内部イ

ンターフェイスのデフォルト値はともに 1500 です。

以下の表に、2 つの内部インターフェイス（app と web）および 1 つのアップリンク インターフェイス

(to-ESG) の例を示します。

表 9-1. 例：NSX Edge インターフェイス

名前 IP アドレス

サブネットのプリフィ

ックス長 接続先

app 172.16.20.1* 24 app

web 172.16.10.1* 24 web

to-ESG 192.168.10.2* 29 transit

NSX 管理ガイド

VMware, Inc. 80

9 デフォルト ゲートウェイの設定を行います。

次はその例です。

オプション 値

vNIC アップリンク

ゲートウェイ IP 192.168.10.1

MTU 1500

10 論理スイッチに接続されている仮想マシンのデフォルト ゲートウェイに分散論理ルーター インターフェイスの

IP アドレスが適切に設定されていることを確認します。

結果

次の例のトポロジでは、app 仮想マシンのデフォルト ゲートウェイが 172.16.20.1、web 仮想マシンのデフォルト

ゲートウェイが 172.16.10.1 となります。仮想マシンがそのデフォルト ゲートウェイに ping を送信でき、仮想マシ

ン同士でも ping を送信できることを確認します。

172.16.20.10 172.16.10.10

172.16.20.1 172.16.10.1

分散論理ルーター

App論理

スイッチ

Web論理

スイッチ

App仮想マシン

Web仮想マシン

SSH またはコンソールを使用して NSX Manager に接続し、次のコマンドを実行します。

n すべての分散論理ルーター インスタンス情報をリストします。

nsxmgr-l-01a> show logical-router list all

Edge-id Vdr Name Vdr id #Lifs

edge-1 default+edge-1 0x00001388 3

NSX 管理ガイド

VMware, Inc. 81

n コントローラ クラスタから分散論理ルーターのルーティング情報を受信したホストをリストします。

nsxmgr-l-01a> show logical-router list dlr edge-1 host

ID HostName

host-25 192.168.210.52

host-26 192.168.210.53

host-24 192.168.110.53

出力には、指定した分散論理ルーター（この例では edge-1）に接続されている論理スイッチが属するトランス

ポート ゾーンのメンバーとして設定されているすべてのホスト クラスタのホストがすべて表示されます。

n 分散論理ルーターからホストに通知されるルーティング テーブル情報をリストします。ルーティング テーブル

エントリはすべてのホストで一致している必要があります。

nsx-mgr-l-01a> show logical-router host host-25 dlr edge-1 route

VDR default+edge-1 Route Table

Legend: [U: Up], [G: Gateway], [C: Connected], [I: Interface]

Legend: [H: Host], [F: Soft Flush] [!: Reject] [E: ECMP]

Destination GenMask Gateway Flags Ref Origin UpTime Interface

----------- ------- ------- ----- --- ------ ------ ---------

0.0.0.0 0.0.0.0 192.168.10.1 UG 1 AUTO 4101 138800000002

172.16.10.0 255.255.255.0 0.0.0.0 UCI 1 MANUAL 10195 13880000000b

172.16.20.0 255.255.255.0 0.0.0.0 UCI 1 MANUAL 10196 13880000000a

192.168.10.0 255.255.255.248 0.0.0.0 UCI 1 MANUAL 10196 138800000002

192.168.100.0 255.255.255.0 192.168.10.1 UG 1 AUTO 3802 138800000002

n いずれかのホストに基づいて、ルーターに関する追加情報をリストします。この出力は、ホストと通信している

コントローラを把握するのに便利です。

nsx-mgr-l-01a> show logical-router host host-25 dlr edge-1 verbose

VDR Instance Information :

---------------------------

Vdr Name: default+edge-1

Vdr Id: 0x00001388

Number of Lifs: 3

Number of Routes: 5

State: Enabled

Controller IP: 192.168.110.203

Control Plane IP: 192.168.210.52

Control Plane Active: Yes

Num unique nexthops: 1

Generation Number: 0

Edge Active: No

show logical-router host host-25 dlr edge-1 verbose コマンドの出力で [コントローラ IP アドレ

ス] フィールドを確認します。

NSX 管理ガイド

VMware, Inc. 82

SSH を使用してコントローラに接続し、次のコマンドを実行して、コントローラが学習した VNI、VTEP、MAC、

および ARP テーブルの状態情報を表示します。

n 192.168.110.202 # show control-cluster logical-switches vni 5000

VNI Controller BUM-Replication ARP-Proxy Connections

5000 192.168.110.201 Enabled Enabled 0

VNI 5000 の出力では、接続がゼロであることが示され、VNI 5000 の所有者としてコントローラ

192.168.110.201 がリストされます。そのコントローラにログインして、VNI 5000 の詳細情報を収集します。

192.168.110.201 # show control-cluster logical-switches vni 5000

VNI Controller BUM-Replication ARP-Proxy Connections

5000 192.168.110.201 Enabled Enabled 3

192.168.110.201 の出力は、接続数が 3 つであることを示しています。他の VNI を確認します。

192.168.110.201 # show control-cluster logical-switches vni 5001

VNI Controller BUM-Replication ARP-Proxy Connections

5001 192.168.110.201 Enabled Enabled 3

192.168.110.201 # show control-cluster logical-switches vni 5002

VNI Controller BUM-Replication ARP-Proxy Connections

5002 192.168.110.201 Enabled Enabled 3

192.168.110.201 が 3 つの VNI 接続を所有しているため、もう一方のコントローラ 192.168.110.203 の接続

数はゼロであると予想されます。

192.168.110.203 # show control-cluster logical-switches vni 5000

VNI Controller BUM-Replication ARP-Proxy Connections

5000 192.168.110.201 Enabled Enabled 0

n MAC テーブルと ARP テーブルを確認する前に、一方の仮想マシンからもう一方の仮想マシンに ping を送信

します。

app 仮想マシンから Web 仮想マシン：

vmware@app-vm$ ping 172.16.10.10

PING 172.16.10.10 (172.16.10.10) 56(84) bytes of data.

64 bytes from 172.16.10.10: icmp_req=1 ttl=64 time=2.605 ms

64 bytes from 172.16.10.10: icmp_req=2 ttl=64 time=1.490 ms

64 bytes from 172.16.10.10: icmp_req=3 ttl=64 time=2.422 ms

MAC テーブルを確認します。

192.168.110.201 # show control-cluster logical-switches mac-table 5000

VNI MAC VTEP-IP Connection-ID

5000 00:50:56:a6:23:ae 192.168.250.52 7

192.168.110.201 # show control-cluster logical-switches mac-table 5001

VNI MAC VTEP-IP Connection-ID

5001 00:50:56:a6:8d:72 192.168.250.51 23

NSX 管理ガイド

VMware, Inc. 83

ARP テーブルを確認します。

192.168.110.201 # show control-cluster logical-switches arp-table 5000

VNI IP MAC Connection-ID

5000 172.16.20.10 00:50:56:a6:23:ae 7

192.168.110.201 # show control-cluster logical-switches arp-table 5001

VNI IP MAC Connection-ID

5001 172.16.10.10 00:50:56:a6:8d:72 23

分散論理ルーター情報を確認します。各分散論理ルーター インスタンスは、いずれかのコントローラ ノードによっ

て提供されます。

show control-cluster logical-routers コマンドの instance サブコマンドを実行すると、このコントロ

ーラに接続されている分散論理ルーターのリストが表示されます。

interface-summary サブコマンドでは、コントローラが NSX Manager から学習した LIF が表示されます。こ

の情報は、トランスポート ゾーンで管理されているホスト クラスタ内のホストに送信されます。

routes サブコマンドでは、分散論理ルーターの仮想アプライアンス（制御仮想マシンとも呼ばれます）からこのコ

ントローラに送信されるルーティング テーブルが表示されます。この情報は LIF 設定よって提供されるため、ESXi ホストの場合とは異なり、このルーティング テーブルには、直接接続されているサブネットは含まれません。ESXi ホスト上のルート情報には、直接接続されたサブネットが含まれます。これは、ESXi ホストのデータパスがこれを

フォワーディング テーブルとして使用するためです。

n このコントローラに接続しているすべての分散論理ルーターを一覧表示します。

controller # show control-cluster logical-routers instance all

LR-Id LR-Name Universal Service-Controller Egress-Locale

0x1388 default+edge-1 false 192.168.110.201 local

LR-Id を書き留め、次のコマンドで使用します。

n controller # show control-cluster logical-routers interface-summary 0x1388

Interface Type Id IP[]

13880000000b vxlan 0x1389 172.16.10.1/24

13880000000a vxlan 0x1388 172.16.20.1/24

138800000002 vxlan 0x138a 192.168.10.2/29

n controller # show control-cluster logical-routers routes 0x1388

Destination Next-Hop[] Preference Locale-Id Source

192.168.100.0/24 192.168.10.1 110 00000000-0000-0000-0000-000000000000 CONTROL_VM

0.0.0.0/0 192.168.10.1 0 00000000-0000-0000-0000-000000000000 CONTROL_VM

[root@comp02a:~] esxcfg-route -l

VMkernel Routes:

Network Netmask Gateway Interface

10.20.20.0 255.255.255.0 Local Subnet vmk1

192.168.210.0 255.255.255.0 Local Subnet vmk0

default 0.0.0.0 192.168.210.1 vmk0

NSX 管理ガイド

VMware, Inc. 84

n コントローラから特定の VNI への接続を表示します。

192.168.110.203 # show control-cluster logical-switches connection-table 5000

Host-IP Port ID

192.168.110.53 26167 4

192.168.210.52 27645 5

192.168.210.53 40895 6

192.168.110.202 # show control-cluster logical-switches connection-table 5001

Host-IP Port ID

192.168.110.53 26167 4

192.168.210.52 27645 5

192.168.210.53 40895 6

これらのホスト IP アドレスは vmk0 インターフェイスです。VTEP ではありません。ESXi ホストとコント

ローラの間の接続は、管理ネットワーク上で作成されます。ここに示すポート番号は、ホストがコントローラと

の接続を確立するときに ESXi ホスト IP スタックによって割り当てられる短期 TCP ポートです。

n ホスト上では、このポート番号と一致するコントローラ ネットワーク接続が表示されます。

[root@192.168.110.53:~] #esxcli network ip connection list | grep 26167

tcp 0 0 192.168.110.53:26167 192.168.110.101:1234 ESTABLISHED

96416 newreno netcpa-worker

n ホスト上のアクティブな VNI を表示します。ホスト間での出力の違いを確認してください。すべての VNI がすべてのホストでアクティブになるわけではありません。論理スイッチに接続されている仮想マシンがホストに

ある場合、そのホストの VNI がアクティブになります。

[root@192.168.210.52:~] # esxcli network vswitch dvs vmware vxlan network list --vds-name

Compute_VDS

VXLAN ID Multicast IP Control Plane Controller Connection

Port Count MAC Entry Count ARP Entry Count VTEP Count

-------- ------------------------- ----------------------------------- ---------------------

---------- --------------- --------------- ----------

5000 N/A (headend replication) Enabled (multicast proxy,ARP proxy) 192.168.110.203

(up) 1 0 0 0

5001 N/A (headend replication) Enabled (multicast proxy,ARP proxy) 192.168.110.202

(up) 1 0 0 0

注： vSphere 6.0 以降で VXLAN 名前空間を有効にするには、/etc/init.d/hostd restart コマンド

を実行します。

ハイブリッドまたはユニキャスト モードの論理スイッチの場合、esxcli network vswitch dvs vmware

vxlan network list --vds-name <vds-name> コマンドの出力は次のようになります。

n [Control Plance（制御プレーン）] が有効になっていることが示されます。

n マルチキャスト プロキシおよび ARP プロキシがリストされます。AARP プロキシは、IP アドレス検出が

無効になっていてもリストされます。

n 有効なコントローラ IP アドレスのリストと、接続可能であることが示されます。

NSX 管理ガイド

VMware, Inc. 85

n 分散論理ルーターが ESXi ホストに接続されている場合は、[Port Count（ポート カウント）] が 1 以上に

なります。これは、論理スイッチに接続されたホストに仮想マシンがない場合も同様です。この 1 つのポー

トは vdrPort で、ESXi ホストの分散論理ルーターのカーネル モジュールに接続されている特殊な

dvPort です。

n まず、仮想マシンから別のサブネット上の仮想マシンに ping を送信し、MAC テーブルを表示します。[Inner MAC（内側の MAC）] は仮想マシン エントリであり、[Outer MAC（外側の MAC）] と [Outer IP（外側の

IP）] は VTEP を指していることに注意してください。

~ # esxcli network vswitch dvs vmware vxlan network mac list --vds-name=Compute_VDS --vxlan-

id=5000

Inner MAC Outer MAC Outer IP Flags

----------------- ----------------- -------------- --------

00:50:56:a6:23:ae 00:50:56:6a:65:c2 192.168.250.52 00000111

~ # esxcli network vswitch dvs vmware vxlan network mac list --vds-name=Compute_VDS --vxlan-

id=5001

Inner MAC Outer MAC Outer IP Flags

----------------- ----------------- -------------- --------

02:50:56:56:44:52 00:50:56:6a:65:c2 192.168.250.52 00000101

00:50:56:f0:d7:e4 00:50:56:6a:65:c2 192.168.250.52 00000111

次のステップ

NSX Edge アプライアンス をインストールすると、vSphere HA がクラスタ上で無効になっている場合は、NSX がホスト上の仮想マシンの自動起動/シャットダウンを有効にします。その後、アプライアンス仮想マシンをクラスタ

内の別のホストに移行すると、新しいホストでは、仮想マシンの自動起動/シャットダウンが有効にならない場合があ

ります。そのため、vSphere HA が無効になっているクラスタに NSX Edge アプライアンスをインストールする

場合は、クラスタ内のすべてのホストをチェックして、仮想マシンの自動起動/シャットダウンが有効になっているこ

とを確認する必要があります。詳細については、『vSphere 仮想マシン管理』の「仮想マシンの起動およびシャット

ダウン設定の編集」を参照してください。

分散論理ルーターを展開した後、分散論理ルーター ID をダブルクリックして、インターフェイス、ルーティング、

ファイアウォール、ブリッジ、DHCP リレーなどを設定します。

Edge Services Gateway の追加

データセンターには、複数の NSX Edge Services Gateway 仮想アプライアンスを配置できます。各 NSX Edge アプライアンス には、アップリンクと内部のネットワーク インターフェイスを合計で 10 個指定できます。

内部インターフェイスは保護されたポート グループに接続され、そのポート グループ内の保護された仮想マシンす

べてのゲートウェイとして機能します。内部インターフェイスに割り当てられたサブネットは、パブリックにルーテ

ィングされる IP アドレス空間にも、ネットワーク アドレス変換またはルーティングされる RFC 1918 専用空間にも

なります。ファイアウォール ルールと他の NSX Edge サービスは、インターフェイス間のトラフィックに適用され

ます。

ESG のアップリンク インターフェイスは、社内共有ネットワークや、アクセス レイヤー ネットワークを提供するサ

ービスに対するアクセス権を持つアップリンク ポート グループに接続します。

NSX 管理ガイド

VMware, Inc. 86

次のリストは、ESG におけるインターフェイス タイプ（内部およびアップリンク）ごとの機能サポートについて示

したものです。

n DHCP：アップリンク インターフェイスではサポートされません。この箇条書きの後の注を参照してください。

n DNS フォワーダ：アップリンク インターフェイスではサポートされません。

n 高可用性：アップリンク インターフェイスではサポートされません。少なくとも 1 つの内部インターフェイスが

必要です。

n SSL VPN：リスナー IP アドレスがアップリンク インターフェイスに属している必要があります。

n IPsec VPN：ローカル サイトの IP アドレスがアップリンク インターフェイスに属している必要があります。

n L2 VPN：内部ネットワークのみを拡張できます。

注： 設計上、DHCP サービスは、NSX Edge の内部インターフェイスでサポートされます。ただし、場合によっ

ては、Edge のアップリンク インターフェイスで DHCP を設定して、内部インターフェイスを設定しないことも可

能です。この場合、Edge はアップリンク インターフェイスで DHCP クライアント要求を待機し、DHCP クライ

アントに IP アドレスを動的に割り当てます。その後、同じ Edge で内部インターフェイスを設定すると、Edge が内部インターフェイスで DHCP クライアント要求の待機を開始するため、DHCP サービスは動作を停止します。

次の図はサンプルのトポロジを示したものです。Edge Services Gateway アップリンク インターフェイスは、

vSphere Distributed Switch を介して物理インフラストラクチャに接続します。Edge Service Gateway 内部インターフェイスは、論理中継スイッチを介して分散論理ルーターに接続します。

NSX 管理ガイド

VMware, Inc. 87

物理アーキテクチャ

172.16.20.10 172.16.10.10

172.16.20.1リンク タイプ：内部

172.16.10.1リンク タイプ：内部

分散論理ルーター

App論理

スイッチ

Web論理

スイッチ

App仮想マシン

Web仮想マシン

192.168.10.2リンク タイプ：アップリンクプロトコル アドレス：192.168.10.3

中継論理

スイッチ

192.168.10.1リンク タイプ：内部

EdgeServicesGateway

192.168.100.3リンク タイプ：アップリンク 192.168.100.1

vSphereDistributed

Switch

ロード バランシング、サイト間 VPN、および NAT サービスに複数の外部 IP アドレスを設定できます。

重要： Cross-vCenter NSX 環境の NSX Edge で高可用性を有効にするには、アクティブとスタンバイの両方の

NSX Edge アプライアンス が同じ vCenter Server 内に配置されている必要があります。NSX Edge 高可用性

(HA) ペアのいずれかのアプライアンスを別の vCenter Server に移行すると、高可用性の 2 台のアプライアンス

がペアとして動作しなくなり、トラフィックの中断が発生する可能性があります。

前提条件

n Enterprise Administrator または NSX Administrator のロールが割り当てられている必要があります。

n Edge Services Gateway (ESG) 仮想アプライアンスの展開に十分なキャパシティがリソース プールにある

ことを確認してください。各アプライアンス サイズで必要なリソースについては、1 章 NSX Data Center for vSphere のシステム要件を参照してください。

NSX 管理ガイド

VMware, Inc. 88

n NSX Edge アプライアンス をインストールするホスト クラスタが NSX 用に準備されていることを確認しま

す。『NSX インストール ガイド』の「NSX 用ホスト クラスタの準備」を参照してください。

n DRS を有効にするかどうかを決定します。高可用性の Edge Services Gateway を作成し、DRS を有効にす

ると、同じホストへのアプライアンスの展開を防ぐために DRS の非アフィニティ ルールが作成されます。アプ

ライアンスの作成時に DRS が有効でない場合はルールが作成されないため、アプライアンスが同じホストに展

開または移動する可能性があります。

手順

1 vSphere Web Client にログインして、[ホーム (Home)] - [ネットワークとセキュリティ (Networking & Security)] - [NSX Edges] の順に移動します。

2 [追加 (Add)] をクリックし、[Edge Services Gateway] をクリックします。

3 ESG の名前、説明、その他の詳細を入力します。

オプション 説明

名前 vCenter Server インベントリに表示される ESG の名前を入力します。

この名前は、1 つのテナント内のすべての ESG で一意にする必要があります。

ホスト名 任意。CLI でこの ESG に表示されるホスト名を入力します。

ホスト名を入力しない場合は、自動的に作成される Edge ID が CLI に表示されます。

説明 任意。ESG の説明を入力します。

NSX Edge のデプロイ 任意。このオプションは、NSX Edge アプライアンス 仮想マシンを作成する場合に選択しま

す。

このオプションを選択しない場合、仮想マシンがデプロイされるまで ESG は動作しません。

高可用性 任意。このオプションは、ESG で高可用性を有効にして設定する場合に使用します。

n ESG でロード バランサ、NAT、DHCP などのステートフル サービスを実行する必要が

ある場合は、Edge で HA を有効にできます。HA を使用すると、アクティブ Edge で障害が発生したときに、スタンバイ Edge へのフェイルオーバー時間を最小限に抑えるこ

とができます。HA を有効にすると、クラスタ内の別のホストにスタンドアローン Edge が展開されます。そのため、環境内に十分なリソースが確保されている必要があります。

n ESG で実行されているステートフル サービスがなく、ESG を North-South ルーティ

ングにのみ使用している場合は、ECMP を有効にすることをおすすめします。ECMP は動的ルーティング プロトコルを使用して、最終的な宛先へのネクスト ホップを学習し、

障害発生時に収束します。

ECMP 構成では、複数のパスにトラフィックをロード バランシングし、障害が発生した

パスにフォルト トレランスを提供することで、帯域幅を大幅に増やすことができます。こ

の構成では、データ プレーンの停止はトラフィックのサブセットに限定されます。また、

各 ESG で HA を有効にすることで、vSphere HA に依存することなく、より高速にフ

ェイルオーバーを行うことができます。ECMP 構成の場合も、環境内に十分なリソースが

確保されている必要があります。

ネットワークに Edge を展開するときではなく、グローバル ルーティングの構成中に

Edge で ECMP を有効にできます。

NSX 管理ガイド

VMware, Inc. 89

4 ESG の CLI 設定と他の設定を指定します。

オプション 説明

ユーザー名 Edge CLI にログインに使用するユーザーの名前を入力します。

パスワード 12 文字以上で、次の条件を満たすパスワードを入力します。

n 255 文字以内

n 1 つ以上の大文字と 1 つ以上の小文字

n 1 つ以上の数字

n 1 文字以上の特殊文字

n ユーザー名を部分文字列として含めない

n 同じ文字を 3 つ以上続けない

パスワードの確認 確認のために、パスワードをもう一度入力します。

SSH アクセス 任意。Edge への SSH アクセスを有効にします。デフォルトでは、SSH アクセスは無効にな

っています。

SSH アクセスは、トラブルシューティング目的で使用することをおすすめします。

FIPS モード 任意。デフォルトでは、FIPS モードは無効です。

FIPS モードを有効にすると、NSX Edge が送受信するセキュアな通信はすべて、FIPS で許

可される暗号化アルゴリズムまたはプロトコルを使用します。

自動ルール生成 任意。このオプションはデフォルトで有効です。このオプションを使用すると、ファイアウォ

ール ルール、NAT、ルーティング構成が自動的に生成されます。これにより、ロード バラン

シングや VPN などの特定の NSX Edge サービスに対するトラフィックが制御されます。

自動ルール生成を無効にする場合は、これらのルールと設定を手動で追加する必要があります。

自動ルール生成では、データチャネル トラフィックのルールが作成されません。

Edge の制御レベル ログ 任意。デフォルトでは、ログ レベルが「情報」に設定されます。

NSX 管理ガイド

VMware, Inc. 90

5 NSX Edge アプライアンス のデプロイを設定します。

a 環境に合わせてアプライアンスのサイズを選択します。

アプライアンスのサイズ 説明

Compact ラボ環境または事前検証 (POC) 環境にのみ適しています。

Large Compact よりも CPU、メモリ、およびディスク容量が多く、さらに多くの同時 SSL VPN-Plus ユーザーをサポートします。

Quad Large 高いスループットと高い接続速度が必要な場合に適しています。

X-Large 百万単位の同時セッションを処理するロード バランサが実装されている環境に適していま

す。

各アプライアンス サイズで必要なリソースについては、1 章 NSX Data Center for vSphere のシステム

要件を参照してください。

b NSX Edge アプライアンス を追加して、仮想マシンの展開で使用するリソースの詳細を指定します。

次はその例です。

オプション 値

クラスタ/リソース プール 管理/Edge

データストア ds-1

ホスト esxmgt-01a.corp.local

リソースの予約 システム管理

リソースの予約の詳細については、『NSX 管理ガイド』の「NSX Edge アプライアンスのリソース予約の

管理」を参照してください。

高可用性を有効にした場合は、アプライアンスを 2 台追加できます。1 台のアプライアンスを追加する場

合、NSX Edge はスタンバイ アプライアンス用の構成を複製します。高可用性を正しく機能させるには、

両方のアプライアンスを共有データストアに展開する必要があります。

NSX 管理ガイド

VMware, Inc. 91

6 ESG のインターフェイスを設定します。

a 名前、種類、およびその他の基本的なインターフェイスの詳細を指定します。

オプション 説明

名前 インターフェイスの名前を入力します。

タイプ 内部またはアップリンクのいずれかを選択します。高可用性を機能させるには、Edge アプライアンスには 1 つ以上の内部インターフェイスが必要です。

接続先 このインターフェイスを接続するポート グループまたは論理スイッチを選択します。

b インターフェイスのサブネットを設定します。

オプション 説明

プライマリ IP アドレス ESG では、IPv4 および IPv6 アドレスの両方がサポートされます。1 つのインターフェ

イスには、1 つのプライマリ IP アドレスと複数のセカンダリ IP アドレスを設定できます。

重複していない複数のサブネットを使用することもできます。

インターフェイスに複数の IP アドレスを入力した場合は、プライマリ IP アドレスを選択

できます。

1 つのインターフェイスに使用できるプライマリ IP アドレスは 1 つだけです。Edge は、

リモートの Syslog やオペレータが開始した ping など、ローカルで生成されたトラフィ

ックの送信元アドレスとしてプライマリ IP アドレスを使用します。

セカンダリ IP アドレス セカンダリ IP アドレスを入力します。複数の IP アドレスを入力する場合は、カンマ区切

りのリストを使用します。

サブネットのプリフィックス長 インターフェイスのサブネット マスクを入力します。

c インターフェイスに次のオプションを指定します。

オプション 説明

MAC アドレス 任意。各インターフェイスの MAC アドレスを入力できます。

後で API 呼び出しで MAC アドレスを変更する場合、MAC アドレスの変更後に Edge を再度展開する必要があります。

MTU アップリンクと内部インターフェイスのデフォルト値は 1500 です。トランク インター

フェイスの場合、デフォルト値は 1600 です。必要に応じてデフォルト値を変更できます。

トランクのサブインターフェイスの場合、デフォルト値は 1500 です。トランク インター

フェイスの MTU は、サブ インターフェイスの MTU より大きい値にする必要がありま

す。

プロキシ ARP 他の仮想マシンに対する ARP 要求に ESG が応答できるようにする場合は、このオプシ

ョンを選択します。

このオプションは、WAN 接続の両側に同じサブネットがある場合などに便利です。

ICMP リダイレクトの送信 このオプションは、ESG を介してホストにルーティング情報を送信する場合に選択しま

す。

リバース パス フィルタ このオプションはデフォルトで有効に設定されています。有効にすると、転送するパケッ

ト内にある送信元アドレスにアクセス可能かを確認します。

有効な場合は、ルーターが戻りパケットの転送に使用するインターフェイスで、パケット

を受信する必要があります。

NSX 管理ガイド

VMware, Inc. 92

オプション 説明

Loose モードの場合、送信元アドレスがルーティング テーブルに含まれている必要があ

ります。

フェンス パラメータ 複数のフェンスされた環境で IP アドレスと MAC アドレスを再使用する場合は、フェン

ス パラメータを設定します。

たとえば、クラウド管理プラットフォーム (CMP) では、フェンスを設定することで、同

じ IP アドレスと MAC アドレスを完全に分離、つまり「フェンス」して、複数のクラウ

ド インスタンスを同時に実行できるようになります。

次の表に、2 つの NSX Edge インターフェイスの例を示します。アップリンク インターフェイスは、

vSphere Distributed Switch 上のアップリンク ポート グループを介して ESG を外部に接続します。

内部インターフェイスは、分散論理ルーターが接続されている論理中継スイッチに ESG を接続します。

表 9-2. 例：NSX Edge インターフェイス

vNIC 番号 名前 IP アドレス

サブネットのプリフ

ィックス長 接続先

0 アップリンク 192.168.100.30 24 Mgmt_VDS-HQ_Uplink

1 内部 192.168.10.1* 29 transit-switch

重要： NSX 6.4.4 以前では、ESG の 1 つのアップリンク インターフェイスでマルチキャストがサポート

されます。NSX 6.4.5 以降では、マルチキャストは ESG の 2 つまでのアップリンク インターフェイスで

サポートされます。マルチ vCenter Server 環境で、NSX Edge がバージョン 6.4.4 以前の場合、マル

チキャストを有効にできるアップリンク インターフェイスは 1 つだけです。2 つのアップリンク インター

フェイスでマルチキャストを有効にするには、Edge を 6.4.5 以降にアップグレードする必要があります。

7 デフォルト ゲートウェイの設定を行います。

次はその例です。

オプション 値

vNIC アップリンク

ゲートウェイ IP アドレス 192.168.100.2

MTU 1500

注： MTU 値は編集可能ですが、インターフェイスに設定されている MTU より大きくすることはできません。

8 デフォルトのファイアウォール ポリシーを設定します。

注意： ファイアウォール ポリシーを設定しない場合、すべてのトラフィックを拒否するようにデフォルトのポ

リシーが設定されます。ただし、デフォルトでは展開時に ESG でファイアウォールが有効になります。

NSX 管理ガイド

VMware, Inc. 93

9 ESG のログと高可用性パラメータを設定します。

a NSX Edge アプライアンス でのログを有効または無効にします。

すべての新しい NSX Edge アプライアンスでは、デフォルトでログが有効になっています。デフォルトの

ログ レベルは「情報」です。ESG 上でローカルにログを保存する場合、ログを有効にすると、ログが大量

に生成されて NSX Edge のパフォーマンスに影響する可能性があります。そのため、リモートの Syslog サーバを設定して、すべてのログを中央のコレクタに転送し、分析と監視を行う必要があります。

b 高可用性を有効にした場合は、次の高可用性パラメータを設定します。

オプション 説明

vNIC 高可用性パラメータを設定する内部インターフェイスを選択します。デフォルトでは、高

可用性で内部インターフェイスが自動的に選択され、リンクローカルな IP アドレスが自動

的に割り当てられます。

内部インターフェイスが設定されていない状態でインターフェイスに「任意」を選択した

場合、ユーザー インターフェイスではエラーが表示されます。2 台の Edge アプライアン

スが作成されますが、内部インターフェイスが設定されていないため、新しい NSX Edge はスタンバイのままとなり、高可用性 (HA) は無効になります。内部インターフェイスを

設定すると、NSX Edge アプライアンス上で高可用性が有効になります。

デッドタイムを宣言 バックアップ アプライアンスがプライマリ アプライアンスからハートビート信号を受信

しない場合に、プライマリ アプライアンスを非アクティブと見なし、バックアップ アプラ

イアンスで引き継ぐまでの最大期間を秒単位で入力します。

デフォルトの間隔は 15 秒です。

管理 IP アドレス オプション: 2 つの管理 IP アドレスを CIDR 形式で入力して、高可用性仮想マシンに割り

当てられたローカル リンク IP アドレスを上書きすることができます。

管理 IP アドレスが他のインターフェイスに使用されている IP アドレスと重複しておら

ず、トラフィックのルーティングを妨げていないことを確認します。ネットワーク上の他

の場所の IP アドレスを使用しないでください。これは、そのネットワークがアプライアン

スに直接接続されていない場合でも同様です。

管理 IP アドレスは、同じ L2/サブネットに存在し、相互に通信可能になっている必要があ

ります。

10 アプライアンスをデプロイする前に、ESG のすべての設定を確認します。

結果

ESG がデプロイされたら、[ホストおよびクラスタ] ビューに移動し、NSX Edge 仮想アプライアンスのコンソール

を開きます。このコンソールから、接続されたインターフェイスに ping を送信できることを確認します。

次のステップ

NSX Edge アプライアンス をインストールすると、vSphere HA がクラスタ上で無効になっている場合は、NSX がホスト上の仮想マシンの自動起動/シャットダウンを有効にします。その後、アプライアンス仮想マシンをクラスタ

内の別のホストに移行すると、新しいホストでは、仮想マシンの自動起動/シャットダウンが有効にならない場合があ

ります。そのため、vSphere HA が無効になっているクラスタに NSX Edge アプライアンスをインストールする

場合は、クラスタ内のすべてのホストをチェックして、仮想マシンの自動起動/シャットダウンが有効になっているこ

とを確認する必要があります。詳細については、『vSphere 仮想マシン管理』の「仮想マシンの起動およびシャット

ダウン設定の編集」を参照してください。

これで、外部デバイスから仮想マシンへの接続を可能にするルーティングを設定できます。

NSX 管理ガイド

VMware, Inc. 94

グローバル設定の指定

スタティック ルートに対してデフォルト ゲートウェイを設定でき、Edge Services Gateway または分散論理ル

ーターに対して動的ルーティングの詳細を指定できます。

ルーティングを設定するためには、使用できる NSX Edge インスタンスが必要です。NSX Edge のセット アップ

の詳細については、NSX Edge 設定を参照してください。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [ルーティング (Routing)] をクリックして、[グローバル設定 (Global Configuration)] をクリックします。

5 Equal-Cost Multi-Path routing (ECMP) を有効にするには、[ECMP] の横にある [開始 (Start)] をクリッ

クします。

ECMP は、単一ターゲットに複数の最適パスを介してネクスト ホップ パケットを転送するルーティング戦略で

す。最適パスは、スタティック ルートとして追加できます。また、OSPF や BGP などの動的ルーティング プロトコルによるメトリック計算の結果として追加することもできます。スタティック ルートに対して複数のパ

スを追加するには、[スタティック ルート] ダイアログ ボックスで複数のネクスト ホップをコンマで区切って指

定します。詳細については、スタティック ルートの追加を参照してください。

Edge Services Gateway は、Linux ネットワーク スタック実装である、ランダム性コンポーネントを使用す

るラウンドロビン アルゴリズムを使用します。特定の送信元と宛先の IP アドレス ペアに対してネクスト ホッ

プが選択されると、選択したネクスト ホップをルート キャッシュが格納します。そのフローに対するすべての

パケットは、選択したネクスト ホップに送られます。デフォルト IPv4 ルート キャッシュは、300 秒

(gc_timeout) でタイムアウトします。この間、アクティブでないエントリがあると、ルート キャッシュから削

除される対象になります。実際の削除は、ガベージ コレクション タイマーがアクティブになるときに

（gc_interval = 60 秒）行われます。

分散論理ルーターでは、可能な ECMP ネクスト ホップのリストからネクスト ホップを特定するために、XOR アルゴリズムが使用されます。このアルゴリズムでは、送信元および宛先 IP アドレスが、エントロピのソース

として送信パケット上で使用されます。

ロード バランシング、VPN、NAT、ESG ファイアウォールなどのステートフル サービスは ECMP で動作し

ません。ただし、NSX 6.1.3 以降では、ECMP と分散ファイアウォールを連動させることができます。

6 （UDLR の場合のみ）：[ルーティング設定 (Routing Configuration)] の横にあるユニバーサル分散論理ルータ

ーの [ロケール ID (Locale ID)] を変更するには、[編集 (Edit)] をクリックします。ロケール ID を入力し、[保存] または [OK] をクリックします。

デフォルトでは、ロケール ID は NSX Manager UUID に設定されています。ただし、ロケール ID をオーバ

ーライドするには、ユニバーサル分散論理ルーターの作成時に Local Egress を有効にします。ロケール ID は、Cross-vCenter NSX または複数サイト環境でルートを選択的に設定するために使用します。詳細につい

ては Cross-vCenter NSX トポロジを参照してください。

NSX 管理ガイド

VMware, Inc. 95

ロケール ID は UUID 形式である必要があります。例：XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX。ここで、各 X は 16 進数字（0 ～ F）で置き換えられます。

7 デフォルト ゲートウェイを指定するには、[デフォルト ゲートウェイ (Edit)] の横にある [編集 (Default Gateway)] をクリックします。

a ターゲット ネットワークに向かってネクスト ホップに到達するために経由することができるインターフェ

イスを選択します。

b ゲートウェイ IP アドレスを入力します。

c （オプション） ロケール ID を入力します。ロケール ID は、ユニバーサル分散論理ルーター上のみで使用で

きます。

d （オプション） MTU を編集します。

e 要求された場合は、[管理ディスタンス (Admin Distance)] を入力します。

1 ～ 255 の値を選択します。特定のネットワークに対して複数のルートがある場合、アドミニストレーティ

ブ ディスタンスを使用してどのルートを使用するかを選択します。アドミニストレーティブ ディスタンス

が低いほど、ルートの優先順位は高くなります。

表 9-3. デフォルトのアドミニストレーティブ ディスタンス

ルート ソース デフォルトのアドミニストレーティブ ディスタンス

接続済み 0

スタティック 1

外部 BGP 20

OSPF エリア内 30

OSPF エリア間 110

内部 BGP 200

f （オプション） デフォルト ゲートウェイの説明を入力します。

g [保存 (Save)] をクリックします。

8 動的なルーティングを設定するには、[動的ルーティング (Edit)] の横にある [編集 (Dynamic Routing Configuration)] をクリックします。

a [ルーター ID (Router ID)] に、動的なルーティングのためにカーネルにルートをプッシュする NSX Edge の最初のアップリンク IP アドレスが表示されます。

b ここではプロトコルを有効にしないでください。

c [ログの有効化 (Enable Logging)] を選択してログ情報を保存し、ログ レベルを選択します。

注： 使用する環境内に IPSec VPN が設定されている場合、動的なルーティングは使用しないでください。

9 [変更の発行 (Publish Changes)] をクリックします。

NSX 管理ガイド

VMware, Inc. 96

次のステップ

ルーティング設定を削除するには、[リセット (Reset)] をクリックします。これにより、すべてのルーティング（デ

フォルト、固定、OSPF、および BGP の各と、ルート再配分）が削除されます。

NSX Edge 設定

実際に使用できる（つまり、1 つ以上のアプライアンスおよびインターフェイスが追加されていて、デフォルト ゲー

トウェイ、ファイアウォール ポリシー、高可用性が設定されている）NSX Edge をインストールしたら、NSX Edge サービスの使用を開始できます。

証明書の操作

NSX Edge では、自己署名証明書、認証局 (CA) によって署名された証明書、および CA によって生成および署名

された証明書がサポートされます。

CA 署名証明書の設定

証明書署名リクエスト (CSR) を生成して、証明書に認証局 (CA) の署名を設定できます。グローバル レベルで証明

書署名要求を生成すると、お使いのインベントリ内のすべての NSX Edge で利用できます。

手順

1 次のいずれかを実行します。

n NSX Manager にグローバル証明書署名リクエストを生成します。

1 NSX Manager 仮想アプライアンスにログインします。

2 [アプライアンス設定の管理 (Manage Appliance Settings)] をクリックし、[SSL 証明書 (SSL Certificates)] をクリックします。

3 [CSR の生成 (Generate CSR)] をクリックします。

n NSX Edge の証明書署名リクエストを生成します。

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge (NSX Edges)] の順に移

動します。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順にクリックします。

5 [CSR (証明書署名リクエスト) のアクション (CSR Actions)] または [アクション (Actions)] をクリ

ックして、[CSR の生成 (Generate CSR)] をクリックします。

2 組織のユニットおよび名前を入力します。

3 組織の国、都道府県、市町村名などを入力します。

4 ホスト間の通信のための暗号化アルゴリズムを選択します。

注目: SSL VPN-Plus がサポートしているのは、RSA 証明書のみです。

NSX 管理ガイド

VMware, Inc. 97

5 必要に応じてデフォルトの鍵のサイズを編集します。

6 証明書の説明を入力します。

7 [OK] をクリックします。

証明書署名要求が生成され、証明書のリストに表示されます。

8 オンライン証明書機関にこの証明書署名要求に署名してもらいます。

9 次のいずれかを実行します。

n NSX Manager 仮想アプライアンスで、グローバル レベルに証明書をインポートします。

1 [アプライアンス設定の管理 (Manage Appliance Settings)] をクリックし、[SSL 証明書 (SSL Certificates)] をクリックします。

2 [インポート (Import)] をクリックします。

3 [SSL 証明書のインポート] ダイアログ ボックスで [ファイルの選択 (Choose File)] をクリックし、

署名付きの証明書ファイルを選択します。

4 [インポート (Import)] をクリックします。

n NSX Edge の証明書をインポートします。

1 認証局から受信した署名付き証明書の内容をコピーします。

2 vSphere Web Client で、NSX Edge をダブルクリックします。

3 [CSR (証明書署名リクエスト) のアクション (CSR Actions)] または [アクション (Actions)] をクリ

ックして、[証明書のインポート (Import Certificate)] をクリックします。

4 [証明書のインポート] ダイアログ ボックスで、署名付き証明書の内容を貼り付けます。

5 [OK] をクリックします。

認証局 (CA) 署名証明書が証明書リストに表示されます。

CA 証明書の追加

CA 証明書を追加することにより、会社の暫定 CA となることができます。これにより、独自の証明書に署名する権

限が得られます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順に移動します。

5 [追加 (Add)] をクリックし、[認証局 (CA) 証明書 (CA Certificate.)] をクリックします。

6 証明書の内容をコピーして、[証明書の内容 (Certificate Contents)] テキスト ボックスに貼り付けます。

7 認証局 (CA) 証明書の説明を入力します。

NSX 管理ガイド

VMware, Inc. 98

8 [追加 (Add)] または [OK] をクリックします。

これで、独自の証明書に署名できるようになります。

サーバ証明書の追加

サーバ証明書を追加するには、PEM 証明書ファイルの内容とサーバのプライベート キーの内容を貼り付けます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順に移動します。

5 [追加 (Add)] をクリックして、[証明書 (Certificate)] をクリックします。

6 [証明書のコンテンツ (Certificates Contents)] テキスト ボックスに、PEM 証明書ファイルの内容を貼り付け

ます。

入力するテキストには「-----BEGIN xxx-----」と「-----END xxx-----」を含める必要があります。次はその例

です。

-----BEGIN CERTIFICATE-----

Server cert

-----END CERTIFICATE-----

7 [プライベート キー (Private Key)] テキスト ボックスに、サーバのプライベート キーの内容を貼り付けます。

プライベート キーの内容は次のようになります。

-----BEGIN RSA PRIVATE KEY-----

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

-----END RSA PRIVATE KEY-----

8 プライベート キー ファイルのパスワードを入力します。確認のため、同じパスワードを再度入力します。

9 （オプション） サーバ証明書の説明を入力します。

10 [追加 (Add)] または [OK] をクリックします。

チェーン証明書の追加

中間認証局 (CA) 証明書とルート CA 証明書をチェーンするサーバー証明書を追加するには、サーバ証明書（PEM ファイル）、サーバのプライベート キー、中間証明書とルート証明書が必要です。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 99

4 [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順に移動します。

5 [追加 (Add)] をクリックして、[証明書 (Certificate)] をクリックします。

6 [証明書のコンテンツ (Certificates Contents)] テキスト ボックスに、サーバの cert.pem ファイルの内容を

貼り付け、中間証明書とルート証明書の内容を追加します。

証明書チェーンでは、証明書の順序を次のようにする必要があります。

n サーバ証明書

n 任意の数の中間 CA 証明書

n ルート CA 証明書

次の例のように、各証明書には -----BEGIN CERTIFICATE----- 行と -----END CERTIFICATE---- 行が含ま

れている必要があります。

-----BEGIN CERTIFICATE-----

Server cert

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

Intermediate cert

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

Root cert

-----END CERTIFICATE-----

7 [プライベート キー (Private Key)] テキスト ボックスに、サーバのプライベート キーの内容を貼り付けます。

プライベート キーの内容は次のようになります。

-----BEGIN RSA PRIVATE KEY-----

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

-----END RSA PRIVATE KEY-----

8 サーバのプライベート キーのパスワードを入力します。確認のため、同じパスワードを再度入力します。

9 （オプション） チェーン証明書の説明を入力します。

10 [追加 (Add)] または [OK] をクリックします。

結果

証明書が追加されると、中間証明書にチェーンされたサーバ証明書が証明書の詳細に表示されます。

証明書の詳細を表示するには:

n NSX 6.4.4 以降では、[証明書] テーブルの [発行先] 列にあるテキストをクリックします。証明書の詳細がポッ

プアップ ウィンドウに表示されます。

n NSX 6.4.3 以前では、グリッドから証明書を選択します。グリッドの下にある [証明書の詳細] ペインに、証明

書の詳細が表示されます。

NSX 管理ガイド

VMware, Inc. 100

自己署名証明書の設定

自己署名したサーバ証明書の作成、インストールおよび管理が可能です。

前提条件

証明書署名リクエスト (CSR) に署名できる認証局 (CA) が必要です。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順に移動します。

5 NSX Edge の証明書署名要求 (CSR) を生成します。詳細については、CA 署名証明書の設定の手順 1 ～ 7 を参照してください。

6 生成した CSR が選択されていることを確認します。

7 [CSR (証明書署名要求) のアクション (CSR Actions)] または [アクション (Actions)] をクリックして、[自己

署名証明書 (Self Sign Certificate)] をクリックします。

8 この自己署名証明書の有効期間を日数で入力します。

9 [OK] をクリックします。

クライアント証明書の使用

クライアント証明書が生成された後、この証明書をリモート ユーザーに配布できます。ユーザーは各自の Web ブラウザに証明書をインストールできます。

クライアント証明書を実装する主なメリットは、NSX Edge ロード バランサがクライアントにクライアント証明書

を要求し、バックエンド サーバに要求を転送する前に証明書を検証できる点です。クライアントが消失したか、組織

で機能しなくなったためにクライアント証明書が失効すると、NSX Edge はクライアント証明書が証明書失効リス

トにあるかどうかを確認します。

NSX Edge のクライアント証明書は、アプリケーション プロファイルで設定できます。

クライアント証明書の生成の詳細については、シナリオ：SSL クライアントとサーバ認証を参照してください。

証明書失効リストの追加

証明書失効リスト (CRL) は、Microsoft によって提供され署名されたサブスクライバとそのステータスのリストで

す。

リストには次の項目が含まれています。

n 失効した証明書と失効の理由。

n 証明書の発行日。

n 証明書を発行した機関。

n 次のリリースの予定日。

NSX 管理ガイド

VMware, Inc. 101

ある潜在的ユーザーがサーバへのアクセスを試みた場合、サーバは、その特定のユーザーに関する CRL エントリに

基づいてアクセスの許可または拒否を行います。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順に移動します。

5 [追加 (Add)] をクリックし、[CRL] をクリックします。

6 [証明書の内容 (Certificate Contents)] テキスト ボックスにリストを貼り付けます。

7 （オプション） 説明を入力します。

8 [追加 (Add)] または [OK] をクリックします。

FIPS モード

FIPS モードを有効にすると、NSX Edge が送受信するすべてのセキュアな通信は、United States Federal Information Processing Standards (FIPS) で許可された暗号化アルゴリズムまたはプロトコルを使用します。

FIPS モードでは、FIPS に準拠した暗号スイートが有効になります。

FIPS が有効になった Edge で FIPS に準拠していないコンポーネントを設定した場合、または FIPS に準拠してい

ない暗号または認証メカニズムを持つ Edge で FIPS を有効にした場合、NSX Manager の処理は失敗し、有効な

エラー メッセージが表示されます。

FIPS モードと非 FIPS モードの機能の違い

コンポーネント 機能 FIPS モード 非 FIPS モード

SSL VPN RADIUS 認証 使用不可能 使用可能

SSL VPN RSA 認証 使用不可能 使用可能

TLS プロトコル TLSv1.0 使用不可能 使用可能

ルーティング OSPF、BGP - パスワード MD5 認証 使用不可能 使用可能

IPsec VPN PSK 認証 使用不可能 使用可能

IPsec VPN DH2 および DH5 グループ 使用不可能 使用可能

IPsec VPN DH14、DH15、および DH16 グループ 使用可能 使用可能

IPsec VPN AES-GCM アルゴリズム 使用不可能 使用可能

NSX Edge での FIPS モードの変更

FIPS モードを有効にすると、FIPS に準拠した暗号スイートが有効になります。したがって、NSX Edge が送受信

するすべてのセキュアな通信には、FIPS で許可された暗号化アルゴリズムまたはプロトコルが使用されます。

注意： FIPS モードを変更すると、NSX Edge アプライアンスが再起動され、トラフィックが一時的に中断されま

す。これは、高可用性が有効になっているかどうかに関係なく適用されます。

NSX 管理ガイド

VMware, Inc. 102

要件に応じて、FIPS を一部またはすべての NSX Edge アプライアンスで有効にすることができます。FIPS が有効

な NSX Edge アプライアンスは、FIPS が有効でない NSX Edge アプライアンスと通信できます。

分散論理ルーターが NSX Edge アプライアンスなしで展開されている場合、FIPS モードを変更することはできま

せん。分散論理ルーターは、NSX Controller クラスタと同じ FIPS モードを自動的に取得します。NSX Controller クラスタが NSX 6.3.0 以降の場合、FIPS は有効となります。

プライマリおよびセカンダリ NSX Manager に複数の NSX Edge アプライアンスを展開している Cross-vCenter NSX 環境で、ユニバーサル分散論理ルーターの FIPS モードを変更するには、プライマリ NSX Manager で、ユニバーサル分散論理ルーターに関連付けられているすべての NSX Edge アプライアンスで FIPS モードを変

更する必要があります。

高可用性が有効な NSX Edge アプライアンスで FIPS モードを変更する場合、FIPS は両方のアプライアンスで有

効になり、アプライアンスは次々に再起動されます。

スタンドアローン Edge の FIPS モードを変更する場合、fips enable コマンドまたは fips disable コマン

ドを使用します。詳細については、『NSX コマンド ライン インターフェイス リファレンス』を参照してください。

前提条件

n パートナー ソリューションが FIPS モード認定であることを確認します。http://www.vmware.com/resources/compatibility/search.php?deviceCategory=security にある『VMware 互換性ガイド』を

参照してください。

n NSX の前のバージョンからアップグレードした場合、NSX 6.3.0 へのアップグレードが完了するまで FIPS モードを有効にしないでください。『NSX アップグレード ガイド』の「FIPS モードと NSX アップグレードにつ

いて」を参照してください。

n NSX Manager が NSX 6.3.0 以降であることを確認します。

n NSX Controller クラスタが NSX 6.3.0 以降であることを確認します。

n NSX ワークロードを実行しているすべてのホスト クラスタに NSX 6.3.0 以降が準備されていることを確認し

ます。

n FIPS を有効にするすべての NSX Edge アプライアンスがバージョン 6.3.0 以降であることを確認します。

n メッセージング インフラストラクチャのステータスが GREEN であることを確認します。API メソッド

GET /api/2.0/nwfabric/status?resource={resourceId} を使用します。ここでは、resourceId はホストまたはクラスタの vCenter Server 管理オブジェクト ID です。応答本文の

com.vmware.vshield.vsm.messagingInfra の featureId に対応する status を確認します。

<nwFabricFeatureStatus>

<featureId>com.vmware.vshield.vsm.messagingInfra</featureId>

<updateAvailable>false</updateAvailable>

<status>GREEN</status>

<installed>true</installed>

<enabled>true</enabled>

<allowConfiguration>false</allowConfiguration>

</nwFabricFeatureStatus>

NSX 管理ガイド

VMware, Inc. 103

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 必要な Edge またはルーターを選択して、[アクション (Actions) ( )] をクリックし、[FIPS モードの変更

(Change FIPS mode)] を選択します。

[FIPS モードの変更 (Change FIPS mode)]ダイアログ ボックスが表示されます。

4 [FIPS の有効化 (Enable FIPS)] チェック ボックスをオンまたはオフにします。[OK] をクリックします。

NSX Edge が再起動し、FIPS モードが有効になります。

次のステップ

オプションで、NSX Manager での FIPS モードと TLS 設定の変更を行います。

NSX Edge アプライアンスの管理

NSX Edge アプライアンスは、追加、編集、または削除できます。NSX Edge インスタンスは、少なくとも 1 台の

アプライアンスが追加されるまで、オフラインのままになります。

Edge アプライアンスの追加

NSX Edge をデプロイする前に、少なくとも 1 台のアプライアンスを追加する必要があります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 104

4 NSX Edge アプライアンス に移動します。

バージョン 手順

NSX 6.4.4 以降 a [管理 (Manage)] - [設定 (Settings)] - [アプライアンスの設定 (Appliance Settings)]。

b [Edge アプライアンス仮想マシン] セクションに移動します。

NSX 6.4.3 以前 a [管理 (Manage)] - [設定 (Settings)] - [設定 (Configuration)] の順にクリックしま

す。

b [NSX Edge アプライアンス (NSX Edge Appliances)] ペインに移動します。

5 [Edge アプライアンスの仮想マシンを追加 (Add Edge Appliance VM)] または [追加 (Add)]（ ）アイコ

ンをクリックします。

6 そのアプライアンスのクラスタまたはリソース プール、およびデータストアを選択します。

7 （オプション） アプライアンスを追加するインターフェイスを選択します。

8 （オプション） アプライアンスを追加する vCenter Server フォルダを選択します。

9 [追加 (Add)] をクリックします。

結果

n NSX 6.4.4 以降では、[Edge アプライアンス仮想マシン (Edge Appliance VMs)] セクションに NSX Edge アプライアンスの詳細がカード ビューで表示されます。1 つのカードに、1 台の Edge アプライアンス仮

想マシンの設定が表示されます。

n NSX 6.4.3 以前では、[NSX Edge アプライアンス] ペインに NSX Edge アプライアンスの詳細がグリッド形

式で表示されます。

Edge アプライアンスの編集

NSX Edge アプライアンスを編集できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 NSX Edge アプライアンス に移動します。

バージョン 手順

NSX 6.4.4 以降 a [管理 (Manage)] - [設定 (Settings)] - [アプライアンスの設定 (Appliance Settings)]。

b [Edge アプライアンス仮想マシン] セクションに移動します。

NSX 6.4.3 以前 a [管理 (Manage)] - [設定 (Settings)] - [設定 (Configuration)] の順にクリックしま

す。

b [NSX Edge アプライアンス (NSX Edge Appliances)] ペインに移動します。

NSX 管理ガイド

VMware, Inc. 105

5 NSX Edge アプライアンス 設定を編集します。

バージョン 手順

NSX 6.4.4 以降 a [Edge アプライアンスの仮想マシン] セクションで、編集する Edge アプライアンスの

仮想マシンに移動します。

b をクリックして、[編集 (Edit)] をクリックします。

c 必要な変更を行い、[保存 (Save)] をクリックします。

NSX 6.4.3 以前a 編集するアプライアンスを選択して、[編集 (Edit)] （ ）アイコンをクリックします。

b 必要な変更を行い、[OK] をクリックします。

Edge アプライアンスの削除

NSX Edge アプライアンスを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 NSX Edge アプライアンス に移動します。

バージョン 手順

NSX 6.4.4 以降 a [管理 (Manage)] - [設定 (Settings)] - [アプライアンスの設定 (Appliance Settings)]。

b [Edge アプライアンス仮想マシン] セクションに移動します。

NSX 6.4.3 以前 a [管理 (Manage)] - [設定 (Settings)] - [設定 (Configuration)] の順にクリックしま

す。

b [NSX Edge アプライアンス (NSX Edge Appliances)] ペインに移動します。

5 NSX Edge アプライアンスを削除します。

u NSX 6.4.4 以降では、NSX Edge アプライアンス に移動し、 をクリックして [削除 (Delete)] をクリ

ックします。

u NSX 6.4.3 以前では、グリッドから NSX Edge アプライアンス を選択して、[削除 (Delete)]（ ）ア

イコンをクリックします。

NSX Edge アプライアンスのリソース予約の管理

NSX Data Center for vSphere は、vSphere リソース割り当てを使用して、NSX Edge アプライアンスのリソ

ースを予約します。NSX Edge の CPU とメモリ リソースを予約することで、アプライアンスの正常な動作に必要

なリソースを確保できます。

NSX 管理ガイド

VMware, Inc. 106

リソースの予約方法には、[システム管理]、[カスタム]、[予約なし] の 3 つがあります。

重要： NSX 6.4.3 以前を使用している場合、NSX Edge アプライアンスの予約で [カスタム] または [予約しな

い] を選択した場合、[システム管理] に切り替えることはできません。

システム管理

[システム管理] を選択すると、新しい NSX Edge アプライアンスの CPU とメモリ リソースがシステムによって予

約されます。アプライアンス サイズのシステム要件を満たすリソースが予約され、調整設定 API を使用して指定さ

れる割合で調整されます。

NSX Edge インスタンスをインストール、アップグレードまたは再展開すると、関連付けられた NSX Edge アプ

ライアンスが展開されます。アプライアンスのリソース予約が [システム管理] に設定されている場合、アプライアン

スがパワーオンされた後にリソース プールに予約が適用されます。リソースが不足している場合は、予約に失敗しシ

ステム イベントが生成されますが、アプライアンスの展開には成功します。アップグレードまたは再展開でアプライ

アンスが次に展開されるときに予約が試行されます。

リソース予約が [システム管理] の場合、アプライアンスのサイズを変更すると、新しいアプライアンス サイズのシ

ステム要件に合わせてリソース予約が更新されます。

カスタム

[カスタム] を選択した場合は、NSX Edge アプライアンスのリソース予約を自分で決める必要があります。

NSX Edge をインストール、アップグレードまたは再展開すると、関連付けられた NSX Edge アプライアンスが

展開されます。アプライアンスのリソース予約が [カスタム] に設定されている場合、アプライアンスがパワーオンさ

れる前にリソース プールに予約が適用されます。リソースが不足している場合、アプライアンスはパワーオンに失敗

し、アプライアンスの展開が失敗します。

既存の NSX Edge アプライアンスに [カスタム] 予約を適用できます。リソース プールに十分なリソースがない場

合、設定の変更は失敗します。

リソース予約に [カスタム] を設定した場合、アプライアンスのリソース予約はシステムによって管理されません。ア

プライアンスのサイズを変更すると、アプライアンスのシステム要件は変更されますが、リソース予約は更新されま

せん。新しいアプライアンス サイズのシステム要件を反映するように、リソース予約を変更する必要があります。

予約なし

[予約なし] を選択すると、NSX Edge アプライアンスにリソースは予約されません。リソースが不足しているホス

トにも NSX Edge アプライアンスを展開できますが、リソースの競合がある場合は、アプライアンスが正しく動作

しない可能性があります。

NSX Edge アプライアンスのリソース予約の設定

リソースの予約は、NSX Edge アプライアンスの作成時に設定します。既存の NSX Edge アプライアンスの予約

を更新することもできます。これらのタスクには、vSphere Web Client または API を使用できます。API の使

用方法の詳細については、『NSX API ガイド』を参照してください。

NSX 管理ガイド

VMware, Inc. 107

操作 vSphere Web Client API

新しい NSX Edge を作成する [ネットワークとセキュリティ] - [NSX Edge] の順に移動して [追加] をクリックし

ます。ウィザードに従って、NSX Edge を作

成します。[デプロイの設定] ステップで、

NSX Edge アプライアンスを追加できます。

予約方法は、[リソース予約] ドロップダウン

メニューから選択します。

POST /api/4.0/edges を使用する

既存の NSX Edge を更新する [ネットワークとセキュリティ] - [NSX Edge] - [NSX Edge インスタンス] - [管理] - [設定] の順に移動し、アプライアンス仮

想マシンを編集して、[リソース予約] に別の値

を選択します。

PUT /api/4.0/edges/{edgeId}/

appliances を使用する

cpuReservation > reservation と memoryReservation > reservation パラメータを使用して、API を使用す

るように NSX Edge アプライアンスのリソース予約を設定します。

リソース予約方法 予約パラメータの値

[システム管理] cpuReservation > reservation と memoryReservation > reservation の値を指定しないでください。

[カスタム] cpuReservation > reservation と memoryReservation > reservation に必要な値を指定します。

[予約しない] cpuReservation > reservation と memoryReservation > reservation を 0 に設定します。

NSX Edge アプライアンスのシステム要件は、アプライアンスのサイズ（Compact、Large、Quad Large、X-Large）によって異なります。これらの値は、デフォルトの [システム管理] のリソース予約で使用されます。

アプライアンスのサイズ CPU 予約 メモリの予約

Compact 1000 MHz 512 MB

Large 2000 MHz 1 GB

Quad Large 4000 MHz 2 GB

X-Large 6000 MHz 8 GB

調整設定によるシステム管理のリソース予約の変更

リソースが不足している場合、[システム管理] のリソース予約を一時的に無効にするか、デフォルト値を小さくする

ことができます。予約の割合を変更するには、調整設定 API PUT /api/4.0/edgePublish/tuningConfiguration の edgeVCpuReservationPercentage と edgeMemoryReservationPercentage パラメータに値を設定します。両

方のパラメータのデフォルト値は 100 です。この変更は、新しい NSX Edge アプライアンスの展開に適用されます

が、既存のアプライアンスに影響しません。指定した割合により、関連する NSX Edge アプライアンス サイズにデ

フォルトで予約される CPU とメモリが変更されます。リソース予約を無効にするには、値を 0 に設定します。詳細

については、『NSX API ガイド』を参照してください。

NSX 管理ガイド

VMware, Inc. 108

リソース予約方法を [カスタム] または [予約しない] から [システム管理] に変更する

NSX 6.4.3 以前を使用している場合、NSX Edge アプライアンスの予約で [カスタム] または [予約しない] を選択

した場合、予約を [システム管理] に切り替えることはできません。

NSX 6.4.4 以降では、API POST /api/4.0/edges/{edgeId}/appliances?action=applySystemResourceReservation を使用すると、予約を [システム管理] に切り替えることができます。

詳細については、『NSX API ガイド』を参照してください。

NSX 6.4.6 以降では、vSphere Web Client を使用して、NSX Edge アプライアンス仮想マシンを編集し、予約

を [システム管理] に戻すことができます。

インターフェイスの操作

NSX Edge サービス ゲートウェイには、最大 10 個の内部インターフェイス、アップリンク インターフェイス、ま

たはトランク インターフェイスを指定できます。NSX Edge ルーターには、8 個のアップリンク インターフェイス

と、最大 1,000 個の内部インターフェイスを指定できます。

NSX Edge をデプロイできるようにするには、内部インターフェイスが少なくとも 1 つ必要です。

インターフェイスの設定

一般に、内部インターフェイスは East-West トラフィック用であり、アップリンク インターフェイスは North-South トラフィック用です。

NSX Edge サービス ゲートウェイ (ESG) には、最大 10 個の内部インターフェイス、アップリンク インターフェ

イス、またはトランク インターフェイスを指定できます。この制限は NSX Manager によって適用されます。分散

論理ルーター (DLR) を Edge Services Gateway (ESG) に接続する場合、ルーターのインターフェイスがアップ

リンク インターフェイスになり、ESG のインターフェイスが内部インターフェイスになります。NSX トランク インターフェイスは内部ネットワーク用であり、外部ネットワーク用ではありません。トランク インターフェイスを使

用すると、複数の内部ネットワーク（VLAN または VXLAN のどちらか）のトランキングができます。

NSX Data Center デプロイでは、1 台の ESXi ホスト上に最大 1,000 個の分散論理ルーター (DLR) インスタンス

を持つことができます。1 つの分散論理ルーターには、最大 8 個のアップリンク インターフェイスと最大 991 個の

内部インターフェイスを設定できます。この制限は NSX Manager によって適用されます。NSX Data Center 環境でのインターフェイスのスケーリングについては、https://communities.vmware.com/docs/DOC-27683 にある『NSX Network Virtualization Design Guide 』を参照してください。

注： NSX Data Center for vSphere 6.2.x、6.3.x および 6.4.x の NSX ESG インターフェイスでは、IPv6 マルチキャスト アドレスはサポートされていません。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [インターフェイス (Interfaces)] の順にクリックして、NSX Edge インターフェイスの設定に移動します。

NSX 管理ガイド

VMware, Inc. 109

5 インターフェイスを選択して、[編集 (Edit)]（ または ）アイコンをクリックします。

6 [Edge インターフェイスの編集] ダイアログ ボックスで、インターフェイスの名前を入力します。

7 このインターフェイスが内部か外部（アップリンク）かを指定するには、[内部 (Internal)] または [アップリン

ク (Uplink)] をクリックします。

サブ インターフェイスを作成する場合は、[トランク (Trunk)] を選択します。詳細については、サブ インター

フェイスの追加を参照してください。

8 このインターフェイスを接続するポート グループまたは論理スイッチを選択します。

a [接続先 (Connected To)] テキスト ボックスの横にある または [変更 (Change)] をクリックします。

b インターフェイスに接続する対象に応じて、[論理スイッチ (Logical Switch)]、[標準ポート グループ

(Standard Port Group)] または [分散仮想ポート グループ (Distributed Virtual Port Group)] タブ

をクリックします。

c 適切な論理スイッチまたはポート グループを選択して、[OK] をクリックします。

9 インターフェイスの接続ステータスを選択します。

10 [サブネットの構成 (Configure Subnets)] で、[追加 (Add)] アイコンをクリックし、インターフェイスのサ

ブネットを追加します。

1 つのインターフェイスには、重複しないサブネットを複数設定できます。1 つのプライマリ IP アドレスを入力

し、複数のセカンダリ IP アドレスをカンマ区切りで入力します。NSX Edge は、プライマリ IP アドレスをロ

ーカルで生成されたトラフィックの送信元のアドレスとして認識します。機能の設定を行う前に、インターフェ

イスに IP アドレスを追加する必要があります。

11 インターフェイスのサブネット プリフィックス長またはサブネット マスクを入力します。

12 NSX 6.4.4 以降を使用している場合は、[詳細 (Advanced)] タブをクリックして、この手順の残りの操作を行

います。NSX 6.4.3 以前を使用している場合は、次の手順に進みます。

13 必要に応じてデフォルトの MTU を変更します。

14 [オプション (Options)] で、次のオプションを指定します。

オプション 説明

プロキシ ARP 異なるインターフェイス間での重複ネットワーク転送をサポートします。

ICMP リダイレクトの送信 ルーティング情報を各ホストに伝達します。

リバース パス フィルタ 転送するパケット内にある送信元のアドレスの到達可能性を確認します。有効な場合は、ルー

ターが戻りパケットの転送に使用するインターフェイスで、パケットを受信する必要がありま

す。Loose モードの場合、送信元アドレスがルーティング テーブルに含まれている必要があ

ります。

15 フェンス パラメータを入力します。

複数のフェンスされた環境で IP アドレスと MAC アドレスを再使用する場合は、フェンス パラメータを設定し

ます。たとえば、クラウド管理プラットフォーム (CMP) では、フェンスを設定することで、同じ IP アドレスと

MAC アドレスを完全に分離、つまり「フェンス」して、複数のクラウド インスタンスを同時に実行できるよう

になります。

NSX 管理ガイド

VMware, Inc. 110

16 [保存 (Save)] または [OK] をクリックします。

インターフェイスの削除

NSX Edge インターフェイスを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [インターフェイス (Interfaces)] の順にクリックして、NSX Edge インターフェイスの設定に移動します。

5 削除するインターフェイスを選択します。

6 [削除 (Delete)]（ または ）アイコンをクリックします。

インターフェイスを有効にする

インターフェイス（ポート グループまたは論理スイッチ）内の仮想マシンを隔離するには、NSX Edge に対してそ

のインターフェイスを有効にするか、ステータスが接続状態になっている必要があります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [インターフェイス (Interfaces)] の順にクリックして、NSX Edge インターフェイスの設定に移動します。

5 接続するインターフェイスを選択します。

6 [接続 (Connect)]（ または ）アイコンをクリックします。

インターフェイスを無効にする

NSX Edge のインターフェイスを無効にしたり、切断することができます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [インターフェイス (Interfaces)] の順にクリックして、NSX Edge インターフェイスの設定に移動します。

5 無効または切断するインターフェイスを選択します。

NSX 管理ガイド

VMware, Inc. 111

6 [切断 (Disconnect)]（ または ）アイコンをクリックします。

トラフィック シェーピング ポリシーの変更

vSphere Distributed Switch で NSX Edge インターフェイスのトラフィック シェーピング ポリシーを変更で

きます。

注： NSX Data Center 6.4.4 以降では、ユーザー インターフェイスの一部の機能の用語が変更されました。次

の表に、変更後の用語を示します。

表 9-4. 変更後の用語

NSX 6.4.3 以前 NSX 6.4.4 以降

トラフィック シェーピング ポリシー サービス品質 (QoS)

入力シェーピング ポリシー 入力側シェーピング ポリシー

出力シェーピング ポリシー 出力側 （Egress) シェーピング ポリシー

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [インターフェイス (Interfaces)] の順にクリックして、NSX Edge インターフェイスの設定に移動します。

5 サービス品質を設定するインターフェイスを選択します。

6 次のいずれかを実行します。

n NSX 6.4.4 では、[QoS を設定 (Configure QoS)] をクリックします。

n NSX 6.4.3 以前では、[アクション (Actions)] - [トラフィック シェーピング ポリシーの設定

(Configure Traffic Shaping Policy)] の順にクリックします。

7 適切に変更します。

トラフィック シェーピング ポリシーのオプションについては、トラフィック シェーピング ポリシーを参照して

ください。

8 [保存 (Save)] または [OK] をクリックします。

サブ インターフェイスの追加

トランク vNIC にサブインターフェイスを追加し、このサブインターフェイスをさまざまな NSX Edge サービスで

使用できます。

NSX 管理ガイド

VMware, Inc. 112

サブインターフェイス

1サブインターフェイス

2

Edge

サブインターフェイス

3

vNic 0 vNic 10

トランク インターフェイスには、次のようなタイプがあります。

n VLAN トランクは標準的なタイプで、どのバージョンの ESXi でも機能します。この種類のインターフェイス

は、タグ付き VLAN トラフィックを Edge に送信するために使用されます。

n VXLAN トランクは、NSX バージョン 6.1 以降で機能します。この種類のインターフェイスは、VXLAN トラ

フィックを Edge に送信するために使用されます。

次の Edge サービスはサブ インターフェイスを使用できます。

n DHCP

n ルーティング（BGP と OSPF）

n ロード バランサ

n IPsec VPN： IPsec VPN は、アップリンク インターフェイスとしてのみ設定できます。プライベート トラフ

ィックが IPsec トンネルを経由するように設定する場合は、サブ インターフェイスを使用します。プライベー

ト トラフィックに IPsec ポリシーを設定している場合、サブ インターフェイスはプライベート ローカル サブ

ネットのゲートウェイとして機能します。

n L2 VPN

n NAT

。サブ インターフェイスは、高可用性 (HA) または論理ファイアウォールでは使用できません。ただし、Edge ファ

イアウォール ルールでサブ インターフェイスの IP アドレスを使用することはできます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [インターフェイス (Interfaces)] の順にクリックして、NSX Edge インターフェイスの設定に移動します。

5 インターフェイスを選択して、[編集 (Edit)]（ または ）アイコンをクリックします。

6 [Edge インターフェイスの編集] ダイアログ ボックスで、インターフェイスの名前を入力します。

NSX 管理ガイド

VMware, Inc. 113

7 [タイプ] で、[トランク (Trunk)] を選択します。

8 このインターフェイスを接続する標準ポート グループまたは分散ポートグループを選択します。

a [接続先 (Connected To)] テキスト ボックスの横にある または [変更 (Change)] をクリックします。

b インターフェイスに接続する対象に応じて、[標準ポート グループ (Standard Port Group)] または [分散

ポート グループ (Distributed Port Group)] タブをクリックします。

c 適切なポート グループを選択し、[OK] をクリックします。

9 インターフェイスの接続ステータスを選択します。

10 [サブ インターフェイス] で、[追加 (Add)] をクリックします。

11 サブ インターフェイスが有効になっていることを確認して、サブ インターフェイスの名前を入力します。

12 トンネル ID に 1 ～ 4094 の数字を入力します。

トンネル ID は、ストレッチ ネットワークに接続するために使用されます。この値はクライアント サイトとサー

バ サイトの両方で同じにする必要があります。

13 [バッキング タイプ] で、次のいずれかのオプションを選択して、サブ インターフェイスのネットワーク バッキ

ングを指定します。

オプション 説明

VLAN サブ インターフェイスで使用する仮想 LAN の VLAN ID を入力します。VLAN ID の範囲

は 0 ～ 4094 です。

ネットワーク 分散ポート グループまたは論理スイッチを選択します。NSX Manager が VLAN ID を抽

出し、トランクの設定に使用します。

なし このオプションは、ネットワークまたは VLAN ID を指定せずにサブ インターフェイスを作

成する場合に使用します。このサブ インターフェイスは、NSX Edge の内部にあり、ストレ

ッチ ネットワークと非ストレッチ（タグなし）ネットワーク間でパケットをルーティングする

ために使用されます。

14 [サブネットの設定] で [追加 (Add)] をクリックして、サブネットをサブ インターフェイスに追加します。

15 IP アドレスを入力します。

1 つのインターフェイスには、重複しないサブネットを複数設定できます。1 つのプライマリ IP アドレスを入力

し、複数のセカンダリ IP アドレスをカンマ区切りで入力します。NSX Edge は、プライマリ IP アドレスをロ

ーカルで生成されたトラフィックの送信元のアドレスとして認識します。機能の設定を行う前に、インターフェ

イスに IP アドレスを追加する必要があります。

16 サブネット プリフィックス長を入力します。

17 必要に応じてサブ インターフェイスのデフォルトの MTU 値を編集します。

サブ インターフェイスのデフォルトの MTU は 1500 です。サブ インターフェイスの MTU は、NSX Edge のすべてのトランク インターフェイスの中で最も小さい MTU 値以下にする必要があります。

18 [リダイレクトを送信 (Send Redirect)] オプションを有効にして、ルーティング情報をホストに伝達します。

NSX 管理ガイド

VMware, Inc. 114

19 [リバース パス フィルタ (Reverse Path Filter)] オプションを有効または無効にします。

リバース パス フィルタは、転送するパケット内にある送信元アドレスにアクセス可能かを確認します。有効な

場合は、ルーターが戻りパケットの転送に使用するインターフェイスで、パケットを受信する必要があります。

Loose モードの場合、送信元アドレスがルーティング テーブルに含まれている必要があります。

20 トランク インターフェイスの設定に戻すには、[OK] をクリックします。

21 NSX Data Center 6.4.4 以降を使用している場合は、[詳細 (Advanced)] タブをクリックして、この手順の

残りの操作を行います。

22 必要に応じて、インターフェイスの MAC アドレスを入力します。ESG で高可用性が有効になっている場合は、

2 つの MAC アドレスを入力します。

必要でない場合、MAC アドレスは自動生成されます。

23 必要に応じてトランク インターフェイスのデフォルトの MTU を編集します。

トランク インターフェイスのデフォルトの MTU は 1600 で、サブ インターフェイスのデフォルトの MTU は

1500 です。トランク インターフェイスの MTU は、サブ インターフェイスの MTU 以上の値にする必要があ

ります。

24 [保存 (Save)] または [OK] をクリックします。

結果

これで、Edge サービスにサブ インターフェイスを使用できます。

次のステップ

標準ポート グループでバッキングされているトランク vNIC にサブ インターフェイスが追加される場合、VLAN トランクを設定します。VLAN トランクの設定 を参照してください。

VLAN トランクの設定

分散ポートグループに接続されている Edge のトランク vNIC にサブインターフェイスを追加する場合は、VLAN トランクと VXLAN トランクの両方がサポートされます。標準ポートグループに接続されている Edge のトランク

vNIC にサブインターフェイスを追加する場合は、VLAN トランクのみがサポートされます。

前提条件

標準ポートグループでバッキングされているトランク vNIC のサブ インターフェイスが使用できることを確認しま

す。サブ インターフェイスの追加 を参照してください。

手順

1 vSphere Web Client にログインします。

2 [ネットワーク (Networking)] をクリックします。

3 標準ポートグループを選択して、[設定の編集 (Edit Settings)] をクリックします。

4 [VLAN] タブをクリックします。

5 [VLAN タイプ] で、[VLAN トランク] を選択し、トランキングする VLAN ID を入力します。

NSX 管理ガイド

VMware, Inc. 115

6 [OK] をクリックします。

自動ルール設定の変更

自動ルール生成が有効になっている場合、NSX Edge は、ファイアウォール、NAT、およびルーティングのルート

を追加して、これらのサービスで送信される制御トラフィックを有効にします。自動ルール生成が有効になっていな

い場合、ファイアウォール、NAT、およびルーティングの設定を手動で追加して、ロード バランシングや VPN などの NSX Edge サービスの制御チャネル トラフィックを許可する必要があります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge を選択します。

4 [アクション (Actions)] - [自動ルール設定の変更 (Change Auto Rule Configuration)] の順にクリックし

ます。

5 必要な変更を行い、[OK] をクリックします。

CLI 認証情報の変更

NSX Edge コマンド ライン インターフェイス（CLI）へのログインで使用する認証情報を編集できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge を選択します。

4 [アクション (Actions)] - [CLI 認証情報の変更 (Change CLI Credentials)] の順にクリックします。

5 新しいパスワードを入力して確認し、[OK] をクリックします。

高可用性について

高可用性 (HA) は、ハードウェアまたはソフトウェアに障害が発生して 1 台のアプライアンスが利用できなくなった

場合でも、別の NSX Edge アプライアンスでサービスを提供できるようにするものです。NSX Edge の高可用性

ではダウンタイムはゼロではありませんが、フェイルオーバーによるダウンタイムが最小に抑制されます。アプライ

アンス間でフェイルオーバーを行う場合、一部のサービスの再起動が必要になる場合があります。

たとえば、NSX Edge の高可用性 (HA) は、ステートフル ファイアウォールの接続の追跡情報、またはロード バラ

ンサが保持するステートフル情報を同期します。すべてのサービスのバックアップを起動するには、多少の時間がか

かります。たとえば、NSX Edge がルーターとして動作している場合、サービスの再起動によって動的なルーティ

ングにダウンタイムが生じます。

NSX 管理ガイド

VMware, Inc. 116

2 台の NSX Edge 高可用性アプライアンスが他方と通信できなくなった場合、それぞれが単独でアクティブになる

ことがあります。この動作は、スタンバイの NSX Edge が利用できない場合に、アクティブの NSX Edge でサー

ビスを継続して提供できるようにするものです。他方のアプライアンスが利用可能で、通信が再度確立された場合は、

2 台の NSX Edge 間でアクティブとスタンバイの状態を再度ネゴシエートします。ネゴシエートが終了せず、両方

のアプライアンスがアクティブであると宣言した場合、予期しない動作が発生します。この状態はスプリット ブレイ

ンと呼ばれ、次のような環境で発生します。

n ネットワークのパーティショニングなど、物理ネットワークの接続に問題がある

n NSX Edge で CPU またはメモリの競合が発生している

n ストレージに一時的な問題が発生し、1 台以上の NSX Edge 高可用性仮想マシンが利用できない

たとえば、オーバープロビジョニング状態のストレージから仮想マシンを移動すると、NSX Edge 高可用性の

安定性とパフォーマンスが改善します。特に、夜間の大規模バックアップでストレージの遅延が急増すると、

NSX Edge 高可用性の安定性に影響します。

n 物理または仮想ネットワーク アダプタで、パケットの交換に関する輻輳が発生している

環境の問題に加えて、高可用性構成エンジンの状態が不良になった場合や、高可用性デーモンが失敗した場合にも、

スプリット ブレイン状態になることがあります。

ステートフルな高可用性

プライマリ NSX Edge アプライアンスがアクティブの状態になり、セカンダリ アプライアンスがスタンバイの状態

になります。NSX Manager は、プライマリ アプライアンスの設定をスタンバイ アプライアンスにレプリケートし

ます。または、手動で 2 台のアプライアンスを追加することもできます。プライマリ アプライアンスとセカンダリ

アプライアンスをそれぞれ異なるリソース プールとデータストアに作成します。プライマリ アプライアンスとセカ

ンダリ アプライアンスを同じデータストアに作成する場合は、高可用性 (HA) 構成の対となる 2 台のアプライアン

スを異なる ESXi ホストに展開します。そのため、クラスタ内のすべてのホストはこのデータストアを共有しなけれ

ばなりません。データストアがローカル ストレージの場合は、両方の仮想マシンを同じホストに展開します。

すべての NSX Edge サービスは、アクティブなアプライアンス上で動作します。プライマリ アプライアンスは、ス

タンバイ アプライアンスとのハートビートを維持し、内部インターフェイスを通じてサービスのアップデートを送信

します。

一定時間内（デフォルトは 15 秒）にプライマリ アプライアンスからハートビートが受信されない場合、プライマリ

アプライアンスが応答不能になったと判断されます。スタンバイ アプライアンスがアクティブ状態となり、プライマ

リ アプライアンスのインターフェイス設定を引き継いで、プライマリ アプライアンスで実行されていた NSX Edge サービスを起動します。切り替えが行われると、設定およびレポートの [システム イベント (System Events)] タブにシステム イベントが表示されます。 ロード バランサおよび VPN サービスでは、NSX Edge との TCP 接続

を再確立する必要があるため、サービスが短時間中断されます。論理スイッチ接続とファイアウォール セッション

は、プライマリ アプライアンスとセカンダリ アプライアンス間で同期されますが、スタンバイ アプライアンスがア

クティブに切り替わり、動作が引き継がれるまでサービスは中断します。

NSX Edge アプライアンスに障害が発生して、不良な状態がレポートされると、復旧のため、高可用性によって障

害が発生したアプライアンスが強制的に同期されます。アプライアンスが復旧すると、アクティブ状態のアプライア

ンスの設定を受け継ぎ、スタンバイ状態になります。NSX Edge アプライアンスが応答不能の場合、このアプライ

アンスを削除し、新しいアプライアンスを追加する必要があります。

NSX 管理ガイド

VMware, Inc. 117

NSX Edge は、DRS および vMotion を使用した後であっても、2 台の高可用性 (HA) NSX Edge 仮想マシンを

同じ ESXi ホスト上に配置しないようにします（vMotion を使用して手動で同じホストに配置した場合を除く）。2 台の仮想マシンは、構成したアプライアンスと同じリソース プールおよびデータストアにある vCenter Server にデプロイされます。NSX Edge の高可用性で使用する高可用性仮想マシンにはローカル リンク IP アドレスが割り

当てられるため、それらの仮想マシン同士は通信できます。管理 IP アドレスを指定してローカル リンクをオーバー

ライドすることができます。

Syslog サーバが構成されている場合は、アクティブなアプライアンスのログが Syslog サーバに送信されます。

Cross-vCenter NSX 環境での高可用性

Cross-vCenter NSX 環境の NSX Edge で高可用性を有効にするには、アクティブとスタンバイの両方の NSX Edge アプライアンス が同じ vCenter Server 内に配置されている必要があります。NSX Edge 高可用性 (HA) ペアのいずれかのアプライアンスを別の vCenter Server に移行すると、高可用性の 2 台のアプライアンスがペア

として動作しなくなり、トラフィックの中断が発生する可能性があります。

vSphere High Availability

NSX Edge の高可用性は、vSphere HA と互換性があります。NSX Edge インスタンスが動作しているホストの

応答がない場合、NSX Edge がスタンバイ ホスト上で再起動され、 2 台の仮想マシンを NSX Edge 高可用性

(HA) 構成にして、以降のフェイルオーバーに対応できるようにします。

vSphere HA が有効でない場合でも、アクティブ/スタンバイの NSX Edge 高可用性構成ホストであれば、1 回の

フェイルオーバーは問題なく機能します。ただし、障害が発生した仮想マシンがリストアされる前に別のフェイルオ

ーバーが発生した場合は、NSX Edge の可用性が失われる可能性があります。

vSphere HA の詳細については、『vSphere の可用性』を参照してください。

高可用性設定の変更

NSX Edge のインストール時に指定した高可用性設定を変更できます。

注： NSX 6.2.3 以降、高可用性構成の 2 台目の Edge アプライアンス仮想マシン用に十分なリソースを予約でき

ない場合、既存の Edge で高可用性機能 (HA) を有効にすると失敗します。その場合、直近の正常な設定にロール

バックします。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 118

4 移動して、Edge 高可用性を設定します。

バージョン 手順

NSX 6.4.4 以降 a [管理 (Manage)] - [設定 (Settings)] - [高可用性 (High Availability)] の順にクリッ

クします。

b 次の操作を行います。

n 高可用性の設定を編集するには、[高可用性設定] の横にある [編集 (Edit)] をクリッ

クします。

n 分散論理ルーター アプライアンスの管理/高可用性インターフェイスの設定を編集す

るには、[管理/高可用性インターフェイス] の横にある [編集 (Edit)] をクリックしま

す。

NSX 6.4.3 以前 a [管理 (Manage)] - [設定 (Settings)] - [設定 (Configuration)] の順にクリックしま

す。

b 次の操作を行います。

n 高可用性の設定を編集するには、[高可用性設定 (HA Configuration)] ペインに移

動し、[変更 (Change)] をクリックします。

n 分散論理ルーター アプライアンスの管理/高可用性インターフェイスの設定を編集す

るには、[高可用性インターフェイスの設定 (HA Interface Configuration)] ペイ

ンに移動し、[変更 (Change)] をクリックします。

5 高可用性の設定を変更します。高可用性の設定オプションの説明については、次の表を参照してください。

表 9-5. 共通の高可用性 (HA) 設定オプション

オプション 説明

デッドタイムを宣言 バックアップ アプライアンスがプライマリ アプライアンスからハー

トビート信号を受信しない場合に、プライマリ アプライアンスを非ア

クティブと見なし、バックアップ アプライアンスで引き継ぐまでの最

大期間を秒単位で入力します。デフォルトの間隔は 15 秒です。

ログ アプライアンスでのログ作成を有効または無効にします。

ログ レベル アプライアンスで収集するログ情報のレベルを選択します。

NSX 管理ガイド

VMware, Inc. 119

表 9-6. NSX Edge Services Gateway アプライアンスの高可用性設定オプション

オプション 説明

vNIC 高可用性パラメータを設定する内部インターフェイスを選択します。

内部インターフェイスが設定されていない状態でインターフェイスに

「任意」を選択した場合、ユーザー インターフェイスではエラーが表示

されます。2 台の Edge アプライアンスが作成されますが、内部イン

ターフェイスが設定されていないため、新しい NSX Edge はスタン

バイのままとなり、高可用性 (HA) は無効になります。内部インター

フェイスを設定すると、NSX Edge アプライアンス上で高可用性

(HA) が有効になります。

管理 IP アドレス オプション: 2 つの管理 IP アドレスを CIDR 形式で入力して、高可用

性仮想マシンに割り当てられたローカル リンク IP アドレスを上書き

することができます。管理 IP アドレスが他のインターフェイスに使

用されている IP アドレスと重複しておらず、トラフィックのルーティ

ングを妨げていないことを確認します。ネットワーク上の他の場所の

IP アドレスを使用しないでください。これは、そのネットワークがア

プライアンスに直接接続されていない場合でも同様です。

表 9-7. 分散論理ルーター アプライアンスの高可用性設定オプション

オプション 説明

接続先 分散ポート グループまたは論理スイッチに高可用性インターフェイス

を接続します。このインターフェイスを高可用性インターフェイスと

してのみ使用している場合は、論理スイッチを使用します。/30 サブ

ネットは、リンク ローカル範囲 169.254.0.0/16 から割り当てられ、

2 つの NSX Edge アプライアンスそれぞれの IP アドレスを用意す

るために使用されます。

IP アドレス（NSX Data Center for vSphere 6.4.3 以前で使用可

能）

オプション: 高可用性 (HA) インターフェイスを NSX Edge への接

続に使用する場合は、高可用性 (HA) インターフェイス用に別の IP アドレスとプリフィックスを指定できます。

注： 高可用性 (HA) が有効になる前に、この Edge アプライアンスで L2 VPN が構成されている場合、少な

くとも 2 つの内部インターフェイスが設定されている必要があります。L2 VPN ですでに使用されているこの

Edge で 1 つのインターフェイスが設定されている場合、Edge アプライアンスの高可用性は無効になります。

6 [保存 (Save)] または [OK] をクリックします。

NSX Edge と NSX Manager の強制同期

NSX Manager から NSX Edge に同期要求を送信できます。

NSX Manager が認識しているエッジ構成をすべてのコンポーネントと同期する場合は、強制同期を実行します。

注： NSX Data Center 6.2 以降、強制同期では、North-South のルーティング トラフィックのデータ損失が回

避されますが、East-West のルーティングとブリッジで中断が発生する場合があります。

NSX 6.4.3 以前では、強制同期の実行中に NSX Manager が次の処理を実行します。

n Edge アプライアンスの設定を削除します。最初にインデックス 0 を削除し、次にインデックス 1 を削除しま

す。

NSX 管理ガイド

VMware, Inc. 120

n Edge アプライアンスを再起動します。インデックス 0 とインデックス 1 の両方を同時に再起動します。この

アクションにより、ダウンタイムが長くなります。

n Edge アプライアンスに最新の設定を発行または適用します。

n ホストとの接続を終了します。

n NSX Manager がプライマリまたはスタンドアローンであり、Edge が論理分散ルーターの場合、コントロー

ラ クラスタが同期されます。

n 分散ルーター インスタンスを同期するように、関連するすべてのホストにメッセージが送信されます。

NSX 6.4.4 以降では、強制同期の実行中に NSX Manager が次の処理を実行します。

n Edge アプライアンスの状態に不整合がある場合、NSX Manager は Edge の設定を削除し、問題のある

Edge アプライアンスを再起動して、Edge アプライアンスに最新の設定を発行します。

n Edge アプライアンスの状態に不整合がない場合、NSX Manager は Edge アプライアンスを再起動せずに、

最新の設定を Edge アプライアンスに直接発行します。Edge アプライアンスの不要な再起動がなくなるの

で、ダウンタイムが短くなります。

n ホストとの接続を終了します。

n NSX Manager がプライマリまたはスタンドアローンであり、Edge が論理分散ルーターの場合、コントロー

ラ クラスタが同期されます。

n 分散ルーター インスタンスを同期するように、関連するすべてのホストにメッセージが送信されます。

重要： Cross-vCenter NSX 環境では、最初にプライマリ NSX Manager の NSX Edge インスタンスで強制同

期を実行する必要があります。完了後、セカンダリ NSX Manager の NSX Edge インスタンスに強制同期を実行

します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge インスタンスを選択します。

4 [アクション (Actions)] ( ) をクリックして、[強制同期 (Force Sync)] を選択します。

NSX Edge の Syslog サーバの設定

1 台または 2 台のリモート Syslog サーバを設定できます。NSX Edge アプライアンスから流れるファイアウォー

ル イベントに関連した NSX Edge のイベントとログは、Syslog サーバに送信されます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 121

4 Syslog サーバの設定に移動して、設定を行います。

バージョン 手順

NSX 6.4.4 以降 a [管理 (Manage)] - [設定 (Settings)] - [アプライアンスの設定 (Appliance Settings)] の順にクリックします。

b [設定] の横にある をクリックして、[Syslog 設定の変更 (Change Syslog Configuration)] をクリックします。

NSX 6.4.3 以前 a [管理 (Manage)] - [設定 (Settings)] - [設定 (Configuration)] の順にクリックしま

す。

b [詳細 (Details)] ペインで、Syslog サーバの横にある [変更 (Change)] をクリックし

ます。

5 両方のリモート Syslog サーバの IP アドレスを入力します。

6 プロトコルを選択し、[OK] をクリックします。

NSX Edge サービス ステータスの表示

NSX Edge 上のすべてのサービスのステータスを 1 つの画面で表示し、いつでも更新して確認できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 移動して、すべての Edge サービスのステータスを表示します。

バージョン 手順

NSX 6.4.4 以降 [管理 (Manage)] - [設定 (Settings)] - [サービス (Services)] の順にクリックします。

NSX 6.4.3 以前 a [管理 (Manage)] - [設定 (Settings)] - [設定 (Configuration)] の順にクリックしま

す。

b [サービス (Services)] ペインを開き、すべての Edge サービスのステータスを表示しま

す。

NSX Edge の再デプロイ

強制同期の後、NSX Edge サービスが期待どおりに動作しない場合は、NSX Edge インスタンスを再デプロイでき

ます。

注： 再デプロイには、サービスの停止が必要です。まず、強制同期を適用し、問題が解決されているかどうか確認

します。Edge のテクニカル サポート バンドルをダウンロードして、問題のトラブルシューティングを行うことを

おすすめします。問題が解決しない場合は、再度デプロイを行います。

NSX Edge インスタンスの再デプロイでは、次のタスクが実行されます。

n Edge アプライアンスが削除され、最新の設定が適用され、新たにデプロイされます。

n コントローラから分散論理ルーターが削除された後、最新の設定が適用され、再作成されます。

NSX 管理ガイド

VMware, Inc. 122

n ホストの分散論理ルーター インスタンスが削除された後、最新の設定が適用され、再作成されます。

グレースフル リスタートが有効になっていない場合、OSPF の隣接関係は再デプロイ中に取り消されます。

Edge の再デプロイ時のトラフィック損失を防止するには、次の方法が役立ちます。

n OSPF または BGP タイマーの値が大きく、分散論理ルーター (DLR) と Edge サービス ゲートウェイ (ESG) の両方で高可用性 (HA) が有効になっている場合は、グレースフル リスタートを有効にします。

n HA の DLR が複数の ESG (ECMP) とピアリングされている場合は、OSPF または BGP タイマーにアグレッ

シブな値を設定し、フローティング スタティック ルートを使用します。

重要： Cross-vCenter NSX 環境では、まず、プライマリ NSX Manager に NSX Edge インスタンスを再デプ

ロイする必要があります。完了後、セカンダリ NSX Manager に NSX Edge インスタンスに再デプロイします。

プライマリとセカンダリの両方の NSX Manager に NSX Edge インスタンスを再デプロイする必要があります。

前提条件

n 再デプロイ中に NSX Edge Services Gateway アプライアンスを追加でデプロイするため、十分なリソース

がホストにあることを確認します。各サイズの NSX Edge で必要とされるリソースについては、1 章 NSX Data Center for vSphere のシステム要件を参照してください。

n 単一の NSX Edge インスタンスの場合、パワーオン状態の NSX Edge アプライアンスが、再デプロイ中

に 2 台存在することになります。

n 高可用性が有効な NSX Edge インスタンスの場合は、2 台の新しいアプライアンスをデプロイしてから、

2 台の古いアプライアンスと置き換えます。つまり、パワーオン状態のフルサイズの NSX Edge アプライ

アンスが、NSX Edge のアップグレード中に 4 台存在することになります。NSX Edge の再デプロイが

完了すると、どちらかの高可用性アプライアンスがアクティブになります。

n 設定した場所にリストされたホスト クラスタと、NSX Edge アプライアンスの再デプロイ用の配置場所が、

NSX 用に準備されていることと、メッセージング インフラストラクチャのステータスが正常であることを確認

してください。

NSX Edge アプライアンス用に設定した場所と実際の配置場所にリストされたホスト クラスタが、NSX 用に

準備されていることと、メッセージング インフラストラクチャのステータスが正常であることを確認する必要が

あります。 ステータスが緑色の場合、ホストは NSX Manager との通信に VIX ではなくメッセージング イン

フラストラクチャを使用しています。

NSX Edge アプライアンスの作成後にクラスタが削除された場合など、設定した場所が使用できない場合には、

実際の配置場所のみを確認します。

n GET https://NSX-Manager-IP-Address/api/4.0/edges/{edgeId}/appliances API 要求を

使用して、最初に設定した場所の ID (configuredResourcePool > id) と現在の場所 (resourcePoolId) を確認します。

NSX 管理ガイド

VMware, Inc. 123

n GET https://NSX-Manager-IP-Address/api/2.0/nwfabric/status?resource={resourceId} API 要求を使用して、これらのクラスタのホスト準備ステータスとメッセージング インフラストラクチャのステー

タスを検索します。resourceId は、前の手順で確認した NSX Edge アプライアンス設定場所と実際の配

置場所を表す ID です。

n 応答本文の com.vmware.vshield.vsm.nwfabric.hostPrep の featureId に対応するステータ

スを確認します。ステータスは正常である必要があります。

<nwFabricFeatureStatus>

<featureId>com.vmware.vshield.vsm.nwfabric.hostPrep</featureId>

<featureVersion>6.3.1.5124716</featureVersion>

<updateAvailable>false</updateAvailable>

<status>GREEN</status>

<installed>true</installed>

<enabled>true</enabled>

<allowConfiguration>false</allowConfiguration>

</nwFabricFeatureStatus>

n 応答本文の com.vmware.vshield.vsm.messagingInfra の featureId に対応するステータスを

確認します。ステータスは正常である必要があります。

<nwFabricFeatureStatus>

<featureId>com.vmware.vshield.vsm.messagingInfra</featureId>

<updateAvailable>false</updateAvailable

<status>GREEN</status>

<installed>true</installed>

<enabled>true</enabled>

<allowConfiguration>false</allowConfiguration>

</nwFabricFeatureStatus>

ホストが NSX 用に準備されていない場合は、次の操作を行います。

n [インストールとアップグレード (Installation and Upgrade)] - [ホストの準備 (Host Preparation)] の順に移動し、NSX 用にホストを準備します。

n メッセージング インフラストラクチャのステータスが「正常」であることを確認します。

n ホストに NSX Edge を再デプロイします。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge インスタンスを選択します。

4 [アクション (Actions)] - [再デプロイ (Redeploy)] の順にクリックします。

Edge のテクニカル サポート バンドルをダウンロードして、問題のトラブルシューティングを行うことをおす

すめします。問題が解決しない場合は、Edge を再度デプロイします。

NSX 管理ガイド

VMware, Inc. 124

結果

NSX Edge 仮想マシンが新しい仮想マシンで置き換えられ、すべてのサービスがリストアされます。再デプロイし

ても正常に動作しない場合は、NSX Edge 仮想マシンをパワーオフし、NSX Edge をもう一度再デプロイします。

注： 次の場合に、再デプロイでは問題が解決しない場合があります。

n NSX Edge をインストールしたリソース プールが vCenter Server インベントリ内に存在しないか、その

MoId（管理オブジェクト ID）が変更された。

n NSX Edge をインストールしたデータストアが破損したか、アンマウントされたか、アクセス不能になった。

n NSX Edge インターフェイスが接続されている DV ポート グループが vCenter Server インベントリ内に

存在しないか、その MoId（vCenter Server 内の識別子）が変更された。

いずれかに当てはまる場合は、REST API 呼び出しを使用して、リソース プール、データストア、または DV ポー

ト グループの MoId を更新する必要があります。NSX API ガイド を参照してください。

NSX Edge で FIPS モードが有効のときに問題が発生した場合、NSX Manager では、NSX Edge の再デプロイ

はできません。Edge を再デプロイする代わりに、インフラストラクチャで発生している通信エラーの問題を解決す

る必要があります。

NSX Edge のテクニカル サポート ログのダウンロード

テクニカル サポート ログは、NSX Edge インスタンスごとにダウンロードできます。NSX Edge インスタンスで

高可用性が有効になっている場合は、両方の NSX Edge 仮想マシンからサポート ログがダウンロードされます。

[サポート バンドル (Support Bundle)] 収集ツールを使用して、NSX Edge のサポート バンドルのデータを収集

することもできます。詳細については、『NSX 管理ガイド』を参照してください。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge インスタンスを選択します。

4 [アクション (Actions)] - [テクニカル サポート ログのダウンロード (Download Tech Support Logs)] の順にクリックします。

5 テクニカル サポート ログが生成されたら、[ダウンロード (Download)] をクリックします。

スタティック ルートの追加

ターゲット サブネットまたはホストのスタティック ルートを追加できます。

手順

1 vSphere Client で、[ネットワークとセキュリティ] - [NSX Edge] の順に移動します。

2 NSX Edge をクリックします。

3 [ルーティング] - [スタティック ルート] の順にクリックします。

NSX 管理ガイド

VMware, Inc. 125

4 [追加 (Add)] をクリックします。

5 CIDR 表記に [ネットワーク (Network)] を入力します。

6 [ネクスト ホップ (Next Hop)] の IP アドレスを入力します。

ルーターは、ネクスト ホップに直接到達できる必要があります。ECMP が有効になっている場合は、IP アドレ

スのカンマ区切りリストとして複数のネクスト ホップを入力できます。

n NSX 6.4.4 以前のバージョンでは、ネクスト ホップは必須です。NSX 6.4.5 以降では、ネクスト ホップ

は ESG のオプションです。ネクスト ホップまたはインターフェイスのいずれかを指定できます。ネクス

ト ホップを指定すると、インターフェイスは選択できなくなります。また、その逆も同様です。

n ESG の GRE トンネル インターフェイスを介してマルチキャスト トラフィックが送信される場合は、スタ

ティック ルートを設定するときに、ネクスト ホップのリモート GRE トンネル エンドポイントの IP アドレ

スを指定する必要があります。

n 分散論理ルーターとユニバーサル分散論理ルーターの場合、ネクスト ホップは必須です。

7 スタティック ルートを追加する [インターフェイス (Interface)] を選択します。

[インターフェイス] ドロップダウン メニューには GRE トンネル インターフェイスが表示されません。

8 [MTU] では、必要に応じてデータ パケット転送の最大値を編集します。

MTU は、NSX Edge インターフェイスで設定された MTU を超えることはできません。

9 要求された場合は、[管理ディスタンス (Admin Distance)] を入力します。

1 ～ 255 の値を選択します。特定のネットワークに対して複数のルートがある場合、アドミニストレーティブ

ディスタンスを使用してどのルートを使用するかを選択します。アドミニストレーティブ ディスタンスが低い

ほど、ルートの優先順位は高くなります。

表 9-8. デフォルトのアドミニストレーティブ ディスタンス

ルート ソース デフォルトのアドミニストレーティブ ディスタンス

接続済み 0

スタティック 1

外部 BGP 20

OSPF エリア内 30

OSPF エリア間 110

内部 BGP 200

管理ディスタンスを 255 にすると、スタティック ルートがルーティング テーブル (RIB) とデータ プレーンか

ら除外されるため、ルートが使用されません。

10 （オプション） [ロケール ID (Locale ID)] を入力します。

デフォルトでは、ルートのロケール ID は NSX Manager と同じです。ここで指定したロケール ID は、このロ

ケール ID を持つルートに関連付けられます。これらのルートは、ロケール ID が一致するホストにのみ送信さ

れます。詳細については Cross-vCenter NSX トポロジを参照してください。

11 （オプション） スタティック ルートの [説明 (Description)] を入力します。

NSX 管理ガイド

VMware, Inc. 126

12 [OK] をクリックします。

分散論理ルーター上での OSPF の設定

分散論理ルーター上に OSPF を設定すると、分散論理ルータ間での仮想マシンの接続や、分散論理ルーターから

Edge Services Gateway (ESG) への仮想マシンの接続が可能になります。

OSPF ルーティング ポリシーでは、コストの等しいルート間でトラフィックのロード バランシングを動的に処理で

きます。

OSPF ネットワークは、トラフィック フローを最適化し、ルーティング テーブルのサイズを制限するため、ルーテ

ィング エリアに分割されます。エリアは、同じエリア ID を持つ OSPF ネットワーク、ルーター、およびリンクの

論理コレクションです。

エリアはエリア ID で識別されます。

前提条件

ルーター ID を分散論理ルーター上で設定されている OSPF の説明に従って設定する必要があります。

ルーター ID を有効にすると、テキスト ボックスにはデフォルトで、分散論理ルーターのアップリンク インターフェ

イスが入力されます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 分散論理ルーターをダブルクリックします。

4 [管理 (Manage)] - [ルーティング (Routing)] - [OSPF] の順にクリックします。

5 OSPF を有効にします。

a [OSPF 設定 (OSPF Configuration)] の横にある [編集 (Edit)] をクリックし、[OSPF の有効化

(Enable OSPF)] をクリックします。

b データパス パケットの転送用にホスト内のルーターのデータパス モジュールで使用される IP アドレスを、

[転送アドレス (Forwarding Address)] に入力します。

c [プロトコル アドレス (Protocol Address)] に、[転送アドレス (Forwarding Address)] と同じサブネ

ット内の一意の IP アドレスを入力します。プロトコル アドレスは、ピアと隣接するために、プロトコルに

よって使用されます。

d （オプション） OSPF サービスの再起動時にパケット転送が中断されないようにするには、[グレースフル

リスタート (Graceful Restart)] を有効にします。

6 OSPF エリアを設定します。

a （オプション） デフォルトで設定されている Not-So-Stubby Area (NSSA) 51 を削除します。

b [エリア定義 (Area Definitions)] で、[追加 (Add)] をクリックします。

NSX 管理ガイド

VMware, Inc. 127

c エリア ID を入力します。NSX Edge では、10 進数形式のエリア ID を使用できます。有効な値は、0 ～

4294967295 です。

d [タイプ (Type)] で、[標準 (Normal)] または [NSSA] を選択します。

NSSA は、AS 外部の Link State Advertisement (LSA) の NSSA へのフラッディングを防止し、外部

の宛先にはデフォルトのルーティングを使用します。したがって、NSSA は OSPF ルーティング ドメイン

のエッジに配置する必要があります。NSSA は外部ルートを OSPF ルーティング ドメインにインポート

できるため、OSPF ルーティング ドメインに属さない小規模なルーティング ドメインに中継サービスを提

供できます。

7 （オプション） [認証 (Authentication)] のタイプを選択します。OSPF では、エリア レベルで認証が実行され

ます。

エリア内のすべてのルーターに、同じ認証と対応するパスワードが設定されている必要があります。MD5 認証

が機能するためには、受信ルーターと送信ルーターの両方に同じ MD5 鍵が必要です。

a [なし (None)]：認証は要求されません（デフォルト値）。

b [パスワード (Password)]：この認証方法では、パスワードは送信パケットに含まれます。

c [MD5]：この認証方法では、MD5（メッセージ ダイジェスト タイプ 5）暗号化が使用されます。MD5 チェックサムは送信パケットに含まれます。

d [パスワード (Password)] または [MD5] タイプの認証の場合、パスワードまたは MD5 鍵を入力します。

重要： n NSX Edge で高可用性 (HA) が設定され、OSPF グレースフル リスタートが有効で、認証に MD5 が

使用されている場合、OSPF はグレースフル リスタートに失敗します。OSPF ヘルパー ノードで猶予

期間が終了した後にのみ、隣接関係が形成されます。

n FIPS モードが有効な場合は、[MD5] 認証を設定できません。

n NSX Data Center for vSphere では、キー ID の値は常に 1 を使用します。MD5 認証を使用する

場合、Edge Services Gateway または分散論理ルーターとペアを形成している NSX Data Center for vSphere で管理されていないデバイスは、値が 1 のキー ID を使用するように設定する必要があり

ます。それ以外の場合、OSPF セッションを確立できません。

8 エリアにインターフェイスをマッピングします。

a [インターフェイス マッピングのエリア (Area to Interface Mapping)] で、[追加 (Add)] をクリック

し、OSPF エリアに属するインターフェイスをマッピングします。

b マッピングするインターフェイスとマッピング先の OSPF エリアを選択します。

9 （オプション） デフォルトの OSPF 設定を編集します。

通常、デフォルト OSPF 設定を維持することをお勧めします。設定を変更する場合は、OSPF ピアで同じ設定

が使用されていることを確認してください。

a [Hello 間隔 (Hello Interval)] には、インターフェイスで送信されるハロー パケット間のデフォルト間隔が

表示されます。

NSX 管理ガイド

VMware, Inc. 128

b [Dead 間隔 (Dead Interval)] には、1 つ以上のハロー パケットをネイバーから受信しないとルーターで

ネイバーの停止が宣言されるデフォルト間隔が表示されます。

c [優先順位 (Priority)] には、インターフェイスのデフォルトの優先順位が表示されます。優先順位の最も高

いインターフェイスが指定ルーターになります。

d インターフェイスの [コスト (Cost)] には、そのインターフェイスを通じてパケットを送信するのに必要な

デフォルトのオーバーヘッドが表示されます。インターフェイスのコストとバンド幅は反比例します。バン

ド幅が大きくなれば、コストは小さくなります。

10 [変更の発行 (Publish Changes)] をクリックします。

例： 分散論理ルーター上で設定されている OSPF次に示す、OSPF を使用する単純な NSX シナリオでは、分散論理ルーター と Edge Services Gateway (ESG) が OSPF のネイバー関係になっています。

NSX 管理ガイド

VMware, Inc. 129

図 9-1. NSX Data Center for vSphere トポロジ

172.16.20.10 172.16.10.10

172.16.20.1リンク タイプ：内部

172.16.10.1リンク タイプ：内部

分散論理ルーター

App論理

スイッチ

Web論理

スイッチ

App仮想マシン

Web仮想マシン

192.168.10.2リンク タイプ：アップリンクプロトコル アドレス：192.168.10.3

中継論理

スイッチ

192.168.10.1リンク タイプ：内部

EdgeServicesGateway

[グローバル設定] ページに、次のような設定が表示されます。

n [ゲートウェイ IP アドレス (Gateway IP)]：192.168.10.1。分散論理ルーターのデフォルト ゲートウェイは

ESG の内部インターフェイスの IP アドレス (192.168.10.1) です。

n [ルーター ID (Router ID)]：192.168.10.2。ルーター ID は、分散論理ルーターのアップリンク インターフェ

イスです。つまり、ESG に接する IP アドレスです。

[OSPF 設定] ページに、次のような設定が表示されます。

n [転送アドレス (Forwarding Address)]：192.168.10.2

NSX 管理ガイド

VMware, Inc. 130

n [プロトコル アドレス (Protocol Address)]：192.168.10.3。プロトコル アドレスには、同じサブネット内に

あり、他の場所では使用されない、任意の IP アドレスを指定できます。この例では、192.168.10.3 が指定され

ています。

n [エリア定義 (Area Definition)]：

n エリア ID：0

n タイプ：通常

n 認証：なし

アップリンク インターフェイス（ESG に接するインターフェイス）が次のようにエリアにマッピングされます。

n インターフェイス: To-ESG

n エリア ID：0

n Hello 間隔（秒）：10

n Dear 間隔（秒）：40

n 優先順位：128

n コスト：1

次のステップ

ルート再配分とファイアウォールの設定により、正しいルートがアドバタイズされることを確認します。

この例では、分散論理ルーターの接続ルート（172.16.10.0/24 と 172.16.20.0/24）が OSPF にアドバタイズされ

ます。再配分されるルートを確認するには、左側のナビゲーション パネルで [ルート再配分 (Route Redistribution)] をクリックし、次の設定を確認します。

n [ルート再配分ステータス (Route Redistribution Status)] に、OSPF が有効になっていることが表示されま

す。

n [ルート再配分テーブル (Route Redistribution Table)] に次の情報が表示されます。

n ラーナー：OSPF

n 開始値：接続中

n プリフィックス：すべて

n アクション：許可

分散論理ルーターを作成したときに SSH を有効にした場合は、分散論理ルーターのプロトコル アドレスへの SSH を許可するファイアウオール フィルタの設定も必要になります。たとえば、次の設定でファイアウォール フィルタ

ルールを作成できます。

n 名前：ssh

n タイプ：ユーザー

n 送信元：任意

n 宛先：192.168.10.3 のプロトコル アドレス

NSX 管理ガイド

VMware, Inc. 131

n サービス：SSH

Edge Services Gateway 上での OSPF の設定

Edge Services Gateway (ESG) 上で OSPF を設定すると、ESG がルートを学習してアドバタイズできるように

なります。ESG 上で OSPF を最も一般的に利用する場所は、ESG と分散論理ルーターとの間のリンク上です。こ

のため、ESG は、分散論理ルーターに接続している論理インターフェイス (LIFS) について学習できます。これは、

OSPF、IS-IS、BGP、または固定ルーティングを使用することで実現できます。

OSPF ルーティング ポリシーでは、コストの等しいルート間でトラフィックのロード バランシングを動的に処理で

きます。

OSPF ネットワークは、トラフィック フローを最適化し、ルーティング テーブルのサイズを制限するため、ルーテ

ィング エリアに分割されます。エリアは、同じエリア ID を持つ OSPF ネットワーク、ルーター、およびリンクの

論理コレクションです。

エリアはエリア ID で識別されます。

前提条件

ルーター ID を Edge Services Gateway 上で設定されている OSPF の説明に従って設定する必要があります。

ルーター ID を有効にすると、テキスト ボックスにはデフォルトで、ESG のアップリンク インターフェイスの IP アドレスが入力されます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 ESG をダブルクリックします。

4 [管理 (Manage)] - [ルーティング (Routing)] - [OSPF] の順にクリックします。

5 OSPF を有効にします。

a [OSPF 設定 (OSPF Configuration)] の横にある [編集 (Edit)] をクリックし、[OSPF の有効化

(Enable OSPF)] をクリックします。

b （オプション） OSPF サービスの再起動時にパケット転送が中断されないようにするには、[グレースフル

リスタートの有効化 (Enable Graceful Restart)] をクリックします。

c （オプション） ESG が自身をデフォルト ゲートウェイとしてピアにアドバタイズできるようにするには、

[デフォルトの発信元の有効化 (Enable Default Originate)] をクリックします。

6 OSPF エリアを設定します。

a （オプション） デフォルトで設定されている Not-So-Stubby Area (NSSA) 51 を削除します。

b [エリア定義 (Area Definitions)] で、[追加 (Add)] をクリックします。

NSX 管理ガイド

VMware, Inc. 132

c エリア ID を入力します。NSX Edge では、10 進数形式のエリア ID を使用できます。有効な値は、0 ～

4294967295 です。

d [タイプ (Type)] で、[標準 (Normal)] または [NSSA] を選択します。

NSSA は、AS 外部の Link State Advertisement (LSA) の NSSA へのフラッディングを防止し、外部

の宛先にはデフォルトのルーティングを使用します。したがって、NSSA は OSPF ルーティング ドメイン

のエッジに配置する必要があります。NSSA は外部ルートを OSPF ルーティング ドメインにインポート

できるため、OSPF ルーティング ドメインに属さない小規模なルーティング ドメインに中継サービスを提

供できます。

7 （オプション） NSSA エリア タイプを選択すると、[NSSA トランスレータ ロール (NSSA Translator Role)] が表示されます。[常に (Always)] チェック ボックスを選択して、Type-7 LSA を Type-5 LSA に変換しま

す。NSSA によって、すべての Type-7 LSA が Type-5 LSA に変換されます。

8 （オプション） [認証 (Authentication)] のタイプを選択します。OSPF では、エリア レベルで認証が実行され

ます。

エリア内のすべてのルーターに、同じ認証と対応するパスワードが設定されている必要があります。MD5 認証

が機能するためには、受信ルーターと送信ルーターの両方に同じ MD5 鍵が必要です。

a [なし (None)]：認証は要求されません（デフォルト値）。

b [パスワード (Password)]：この認証方法では、パスワードは送信パケットに含まれます。

c [MD5]：この認証方法では、MD5（メッセージ ダイジェスト タイプ 5）暗号化が使用されます。MD5 チェックサムは送信パケットに含まれます。

d [パスワード (Password)] または [MD5] タイプの認証の場合、パスワードまたは MD5 鍵を入力します。

重要： n NSX Edge で高可用性 (HA) が設定され、OSPF グレースフル リスタートが有効で、認証に MD5 が使

用されている場合、OSPF はグレースフル リスタートに失敗します。OSPF ヘルパー ノードで猶予期間が

終了した後にのみ、隣接関係が形成されます。

n FIPS モードが有効な場合は、[MD5] 認証を設定できません。

n NSX Data Center for vSphere では、キー ID の値は常に 1 を使用します。MD5 認証を使用する場合、

Edge Services Gateway または分散論理ルーターとペアを形成している NSX Data Center for vSphere で管理されていないデバイスは、値が 1 のキー ID を使用するように設定する必要があります。

それ以外の場合、OSPF セッションを確立できません。

9 エリアにインターフェイスをマッピングします。

a [インターフェイス マッピングのエリア (Area to Interface Mapping)] で、[追加 (Add)] をクリック

し、OSPF エリアに属するインターフェイスをマッピングします。

b マッピングするインターフェイスとマッピング先の OSPF エリアを選択します。

NSX 管理ガイド

VMware, Inc. 133

10 （オプション） デフォルトの OSPF 設定を編集します。

通常、デフォルト OSPF 設定を維持することをおすすめします。設定を変更する場合は、OSPF ピアで同じ設

定が使用されていることを確認してください。

a [Hello 間隔 (Hello Interval)] には、インターフェイスで送信されるハロー パケット間のデフォルト間隔が

表示されます。

b [Dead 間隔 (Dead Interval)] には、1 つ以上のハロー パケットをネイバーから受信しないとルーターで

ネイバーの停止が宣言されるデフォルト間隔が表示されます。

c [優先順位 (Priority)] には、インターフェイスのデフォルトの優先順位が表示されます。優先順位の最も高

いインターフェイスが指定ルーターになります。

d インターフェイスの [コスト (Cost)] には、そのインターフェイスを通じてパケットを送信するのに必要な

デフォルトのオーバーヘッドが表示されます。インターフェイスのコストとバンド幅は反比例します。バン

ド幅が大きくなれば、コストは小さくなります。

11 [変更の発行 (Publish Changes)] をクリックします。

12 ルート再配分とファイアウォールの設定により、正しいルートがアドバタイズされることを確認します。

例： Edge Services Gateway 上で設定されている OSPFOSPF を使用する単純な NSX シナリオの 1 つとして、分散論理ルーターと Edge Services Gateway が OSPF のネイバー関係になっている例をここに示します。

次の図のように、ブリッジ、物理ルーター、または vSphere Distributed Switch のアップリンク ポート グルー

プを介して ESG を外部と接続できます。

NSX 管理ガイド

VMware, Inc. 134

図 9-2. NSX Data Center for vSphere トポロジ

物理アーキテクチャ

172.16.20.10 172.16.10.10

172.16.20.1リンク タイプ：内部

172.16.10.1リンク タイプ：内部

分散論理ルーター

App論理

スイッチ

Web論理

スイッチ

App仮想マシン

Web仮想マシン

192.168.10.2リンク タイプ：アップリンクプロトコル アドレス：192.168.10.3

中継論理

スイッチ

192.168.10.1リンク タイプ：内部

EdgeServicesGateway

192.168.100.3リンク タイプ：アップリンク 192.168.100.1

vSphereDistributed

Switch

[グローバル設定] ページに、次のような設定が表示されます。

n [vNIC]：アップリンク

n [ゲートウェイ IP アドレス (Gateway IP)]：192.168.100.1。ESG のデフォルト ゲートウェイは外部ピアに対

する ESG のアップリンク インターフェイスです。

n [ルーター ID (Router ID)]：192.168.100.3。ルーター ID は、ESG のアップリンク インターフェイスです。

つまり、外部ピアに接する IP アドレスです。

NSX 管理ガイド

VMware, Inc. 135

[OSPF 設定] ページに、次のような設定が表示されます。

n [エリア定義 (Area Definition)]：

n エリア ID：0

n タイプ：通常

n 認証：なし

内部インターフェイス（分散論理ルーターに接するインターフェイス）が次のようにエリアにマッピングされます。

n vNIC：内部

n エリア ID：0

n Hello 間隔（秒）：10

n Dear 間隔（秒）：40

n 優先順位：128

n コスト：1

接続ルートは OSPF に再配分されるため、OSPF のネイバー（分散論理ルーター）は ESG のアップリンク ネット

ワークを学習できます。再配分されるルートを確認するには、左側のナビゲーション パネルで [ルート再配分

(Route Redistribution)] をクリックし、次の設定を確認します。

n [ルート再配分ステータス (Route Redistribution Status)] に、OSPF が有効になっていることが表示されま

す。

n [ルート再配分テーブル (Route Redistribution Table)] に次の情報が表示されます。

n ラーナー：OSPF

n 開始値：接続中

n プリフィックス：すべて

NSX 管理ガイド

VMware, Inc. 136

n アクション：許可

注： ESG とその外部ピア ルーター間に OSPF を設定できますが、通常このリンクは、ルートのアドバタイズに

BGP を使用します。

ESG が分散論理ルーターから OSPF 外部ルートを学習していることを確認します。

接続を検証するには、物理アーキテクチャ内の外部デバイスが仮想マシンに ping を実行できることを確認します。

次はその例です。

PS C:\Users\Administrator> ping 172.16.10.10

Pinging 172.16.10.10 with 32 bytes of data:

Reply from 172.16.10.10: bytes=32 time=5ms TTL=61

Reply from 172.16.10.10: bytes=32 time=1ms TTL=61

Ping statistics for 172.16.10.10:

Packets: Sent = 2, Received = 2, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 1ms, Maximum = 5ms, Average = 3ms

PS C:\Users\Administrator> ping 172.16.20.10

Pinging 172.16.20.10 with 32 bytes of data:

Reply from 172.16.20.10: bytes=32 time=2ms TTL=61

Reply from 172.16.20.10: bytes=32 time=1ms TTL=61

Ping statistics for 172.16.20.10:

Packets: Sent = 2, Received = 2, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 1ms, Maximum = 2ms, Average = 1ms

BGP の設定

ボーダー ゲートウェイ プロトコル (BGP) によって、主要なルーティングの決定が行われます。BGP には、複数の

自律システム間のネットワーク到達可能性を示す IP ネットワークまたはプリフィックスのテーブルがあります。

NSX 管理ガイド

VMware, Inc. 137

ルーティング情報の交換前に 2 つの BGP スピーカ間に基になる接続が確立されます。この関係を維持するために、

BGP スピーカからキープ アライブ時間メッセージが送信されます。接続が確立されると、各 BGP スピーカでルー

トを交換し、それらのテーブルを同期します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ルーティング (Routing)] - [BGP] の順にクリックします。

5 [BGP 設定 (BGP Configuration)] の横にある [編集 (Edit)] をクリックし、[BGP の有効化 (Enable BGP)] をクリックします。

6 （オプション） BGP サービスの再起動時にパケット転送が中断されないようにするには、[グレースフル リスタ

ートの有効化 (Enable Graceful Restart)] をクリックします。

7 （オプション） ESG が自身をデフォルト ゲートウェイとしてピアにアドバタイズできるようにするには、[デフ

ォルトの発信元の有効化 (Enable Default Originate)] をクリックします。

8 [ローカル AS (Local AS)] で、ルーター ID を入力します。このルートは、BGP が他の自律システム (AS) のルーターとピアを形成する場合にアドバタイズされます。ルーターがトラバースする自律システムのパスは、タ

ーゲットへの最適パスを選択するときのメトリックの 1 つとして使用されます。

9 [ネイバー (Neighbors)] で、[追加 (Add)] をクリックします。

10 BGP ネイバーの基本情報を指定します。

a ネイバーの IP アドレスを入力します。

Edge Services Gateway (ESG) と分散論理ルーター間に BGP ピアリングを設定する場合は、ESG の

BGP ネイバー アドレスとして、分散論理ルーターのプロトコル IP アドレスを使用します。

b （分散論理ルーターのみ）転送アドレスを入力します。

転送アドレスは、BGP ネイバー（アップリンク インターフェイス）に接する分散論理ルーターのインター

フェイスに割り当てた IP アドレスです。

c （分散論理ルーターのみ）プロトコル アドレスを入力します。

プロトコル アドレスは、BGP ネイバー関係を確立するために分散論理ルーターが使用する IP アドレスで

す。プロトコル アドレスには、転送アドレスと同じサブネット内の（他の場所では使用されない）IP アド

レスを指定できます。Edge Services Gateway (ESG) と分散論理ルーターの間に BGP ピアリングを

設定する場合は、ESG の BGP ネイバー IP アドレスとして、分散論理ルーターのプロトコル IP アドレス

を使用します。

d リモート AS を入力します。

e （オプション） [プライベート AS の削除] を無効にします。デフォルトでは、有効になっています。

f 必要に応じて、ネイバー接続のデフォルトの重みを編集します。デフォルトの重みは 60 です。

NSX 管理ガイド

VMware, Inc. 138

g [ホールド ダウン タイマー (Hold Down Timer)] には、デフォルト値の 180 秒が表示されます。これは、

キープ アライブ タイマーの 3 倍の値です。必要に応じて編集します。

2 つのネイバー間で BGP ピアリングが確立すると、NSX Edge はホールド ダウン タイマーを開始しま

す。ネイバーからキープ アライブ メッセージを受信するたびに、ホールド ダウン タイマーを 0 にリセッ

トします。NSX Edge が 3 回連続してキープ アライブ メッセージを受信できず、ホールド ダウン タイマ

ーが 180 秒に達した場合、NSX Edge はネイバーが停止していると判断し、このネイバーからのルートを

削除します。

注： eBGP ネイバーのデフォルトの TTL 値は 1、iBGP ネイバーは 64 です。この値は変更できません。

h [キープ アライブ タイマー (Keep Alive Timer)] には、BGP ネイバーがそのピアにキープ アライブ メッ

セージを送信するデフォルトの頻度（60 秒）が表示されます。必要に応じて編集します。

i 認証が必要な場合は、認証パスワードを入力します。

パスワードは 12 文字以上で、次の条件を満たす必要があります。

n 255 文字以内

n 1 つ以上の大文字と 1 つ以上の小文字

n 1 つ以上の数字

n 1 文字以上の特殊文字

n ユーザー名を部分文字列として含めない

n 同じ文字を 3 つ以上続けない

ネイバー間の接続で送信される各セグメントが検証されます。MD5 認証は、両方の BGP ネイバーで同じ

パスワードを使用して設定する必要があります。同じでないと、これらのネイバー間の接続が作成されませ

ん。FIPS モードが有効な場合は、パスワードを入力できません。

11 BGP フィルタを指定します。

a [追加 (Add)] をクリックします。

注意： フィルタの最後で、「すべてブロックする」ルールが適用されます。

b ネイバーからのトラフィックをフィルタリングするのか、ネイバーへのトラフィックをフィルタリングする

のかを示す方向を選択します。

c トラフィックの許可または拒否を示すアクションを選択します。

d ネイバーへのフィルタリング/ネイバーからのフィルタリングを行うネットワークを CIDR 形式で入力しま

す。

e フィルタリングする IP アドレス プリフィックスを入力し、[OK] をクリックします。

12 [変更の発行 (Publish Changes)] をクリックします。

NSX 管理ガイド

VMware, Inc. 139

例： ESG と分散論理ルーター間での BGP の設定

リンク タイプ：アップリンク192.168.10.2（転送アドレス）

中継論理スイッチ

リンク タイプ：内部192.168.10.1

ESG

分散論理ルーター

AS 64511

AS 64512

192.168.10.3（プロトコル アドレス）

このトポロジでは、ESG は AS 64511 内にあります。分散論理ルーターは AS 64512 内にあります。

分散論理ルーターの転送アドレスは 192.168.10.2 です。このアドレスは、分散論理ルーターのアップリンク インタ

ーフェイスで設定されます。分散論理ルーターのプロトコル アドレスは 192.168.10.3 です。ESG は、このアドレ

スを使用して、分散論理ルーターとの BGP ピア関係を確立します。

分散論理ルーターの [BGP 設定] ページに、次のような設定が表示されます。

n [ローカル AS (Local AS)]：64512

n [ネイバー (Neighbor)] の設定：

n 転送アドレス：192.168.10.2

n プロトコル アドレス：192.168.10.3

n IP アドレス：192.168.10.1

n リモート AS：64511

ESG の [BGP 設定] ページに、次のような設定が表示されます。

n [ローカル AS (Local AS)]：64511

n [ネイバー (Neighbor)] の設定：

n IP アドレス：192.168.10.3。この IP アドレスは、分散論理ルーターのプロトコル アドレスです。

NSX 管理ガイド

VMware, Inc. 140

n リモート AS：64512

分散論理ルーターで show ip bgp neighbors コマンドを実行して、BGP の状態が Established になっている

ことを確認します。

ESG で show ip bgp neighbors コマンドを実行して、BGP の状態が Established になっていることを確認し

ます。

ルート再配分の設定

デフォルトで、ルーターは同じプロトコルが稼動している他のルーターと経路を共有します。マルチプロトコル環境

では、プロトコル間で経路を共有するために、ルート再配分を設定する必要があります。

NSX 管理ガイド

VMware, Inc. 141

そのネットワークの拒否基準を追加することで、インターフェイスをルート再配分から除外できます。NSX 6.2 以降では、分散論理ルーターの高可用性（管理）インターフェイスは自動的にルート再配分から除外されます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ルーティング (Routing)] - [ルート再配分 (Route Redistribution)] の順にクリックし

ます。

5 [ルート再配分ステータス (Route Redistribution Status)] の横にある [編集 (Edit)] をクリックします。

6 ルート再配分を有効にするプロトコルを選択し、[OK] をクリックします。

7 IP プリフィックスを追加します。

IP プリフィックス リストのエントリは、順番に処理されます。

a [IP プリフィックス (IP Prefixes)] で、[追加 (Add)] をクリックします。

b ネットワークの名前と IP アドレスを入力します。

「以下」(le) 修飾子または「以上」(ge) 修飾子を含めている場合を除き、入力した IP プリフィックスは正

確に一致します。

c le と ge を一緒に使用すると、ルールに一致するプリフィックス長の範囲を指定できます。一致する最小プ

リフィックス長として IP プリフィックス ge を追加し、一致する最大プリフィックス長として IP プリフィ

ックス le を追加できます。

これら 2 つのオプションを個別に使用することも、組み合わせて使用することもできます。le と ge の値

は、0 より大きく、32 より小さくする必要があります。ge 値は、le 値よりも大きくすることはできませ

ん。次に例を示します。

n プリフィックスに 10.0.0.0/16 を指定し、le を 28 に設定すると、10.0.0.0/16 から 10.0.0.0/28 までのすべてのプリフィックスが再配分ルールに一致します。つまり、16 から 28 からまでのすべての

プリフィックス長に一致することになります。プリフィックス 10.0.2.0/24 が一致します。

n プリフィックスに 10.0.0.0/16 を指定し、ge を 24 に設定すると、10.0.0.0/24 から 10.0.0.0/32 までのすべてのプリフィックスが再配分ルールに一致します。プリフィックス 10.0.0.16/28 が一致

します。

n ge を 24 に、le を 28 に設定すると、10.0.0.0/24 から 10.0.0.0/28 までのすべてのプリフィック

スが再配分ルールに一致します。プリフィックス 10.0.0.32/27 が一致します。

d [追加 (Add)] または [OK] をクリックします。

8 IP プリフィックスの再配分基準を指定します。

a [ルート再配分テーブル (Route Redistribution Table)] で、[追加 (Add)] をクリックします。

b [プリフィックス名 (Prefix Name)] で、以前に追加した IP プリフィックスを選択します。

NSX 管理ガイド

VMware, Inc. 142

c [ラーナー プロトコル (Learner Protocol)] で、他のプロトコルからルートを学習するプロトコルを選択し

ます。

d [次のものからの学習を許可 (Allow Learning From)] で、ルートの学習元となるプロトコルを選択しま

す。

e [アクション (Action)] で、再配分する正確なサブネットに [許可 (Permit)] を選択するか、[拒否 (Deny)] を選択します。

f [追加 (Add)] または [OK] をクリックします。

9 [変更の発行 (Publish Changes)] をクリックします。

NSX Manager ロケール ID の表示

NSX Manager ごとにロケール ID があります。デフォルトでは、この ID は NSX Manager UUID に設定されて

います。この設定は、ユニバーサル分散論理ルーター、クラスタ、またはホスト レベルで上書きできます。

手順

1 [NSX について] または [NSX ホーム] 画面に移動します。

n NSX 6.4.6 以降の場合は、[ネットワークとセキュリティ] - [NSX について] の順にクリックします。

n NSX 6.4.5 以前の場合は、[ネットワークとセキュリティ] - [NSX ホーム] - [サマリ] の順にクリックしま

す。

2 [NSX Manager] ドロップダウンから、NSX Manager の IP アドレスを選択します。[ロケール ID (Locale ID)] または [ID] フィールドには、NSX Manager の UUID が表示されていることを確認します。

ユニバーサル分散論理ルーター上でのロケール ID の設定

ユニバーサル分散論理ルーターの作成時に Local Egress（ローカル出力方向）が有効になっている場合、ホストの

ロケール ID がルートに関連付けられたロケール ID と一致する場合に限り、ルートがホストに送信されます。ルー

ターのロケール ID を変更できます。更新したローケール ID は、このルーターのすべての静的ルートと動的ルート

に関連付けられます。ルートは、ロケール ID が一致するホストとクラスタに送信されます。

Cross-vCenter NSX 環境のルーティング設定の詳細については、 Cross-vCenter NSX トポロジを参照してくだ

さい。

前提条件

ユニバーサル分散論理ルーターは、Local Egress（ローカル出力方向）を有効にした状態で作成されている必要が

あります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 ユニバーサル分散論理ルーターをダブルクリックします。

NSX 管理ガイド

VMware, Inc. 143

4 [管理 (Manage)] - [ルーティング (Routing)] - [グローバル設定 (Global Configuration)] の順にクリック

します。

5 [ルーティング設定 (Routing Configuration)] の横にある [編集 (Edit)] をクリックします。

6 新しいロケール ID を入力します。

重要： ロケール ID は UUID 形式である必要があります。例：XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX。ここで、各 X は 16 進数字（0 ～ F）で置き換えられます。

ホストまたはクラスタ上でのロケール ID の設定

ユニバーサル分散論理ルーターの作成時に Local Egress（ローカル出力方向）が有効になっている場合、ホストの

ロケール ID がルートに関連付けられたロケール ID と一致する場合に限り、ルートがホストに送信されます。ホス

トのクラスタまたはホスト上にロケール ID を設定することで、ルートを選択的にホストに送信できます。

前提条件

ホストまたはクラスタに対してルーティングを実行するユニバーサル分散論理ルーターは、Local Egress（ローカ

ル出力方向）を有効にした状態で作成されている必要があります。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [ホストの準備 (Host Preparation)] の順に移動します。

2 設定する必要のあるホストまたはクラスタを管理する NSX Manager を選択します。

3 ロケール ID を変更するには、次の手順に従います。

NSX バージョン 手順

NSX 6.4.1 以降 a 左側のペインからクラスタをクリックします。右側のペインで、選択したクラスタ内のホ

ストがホスト テーブルに表示されます。

b クラスタのロケール ID を変更するには、[アクション (Actions)] - [ロケール ID の変更

(Change Locale ID)] の順にクリックします。

c ホストのロケール ID を変更するには、ホストの横にある 3 つのドット メニュー（ ）

をクリックし、[ロケール ID の変更 (Change Locale ID)] をクリックします。

d 新しいロケール ID を入力して、[保存 (Save)] をクリックします。

注： ロケール ID は UUID 形式である必要があります。例：XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX。ここで、各 X は 16 進数字（0 ～ F）で置き換え

られます。

NSX 6.4.0 a 変更するホストまたはクラスタを選択します。必要に応じて、クラスタを展開してホスト

を表示します。

b [アクション (Actions)] - [ロケール ID の変更 (Change Locale ID)] [] の順にクリッ

クします。

c 新しいロケール ID を入力して、[OK] をクリックします。

注： ロケール ID は UUID 形式である必要があります。例：XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX。ここで、各 X は 16 進数字（0 ～ F）で置き換え

られます。

NSX 管理ガイド

VMware, Inc. 144

結果

ユニバーサル コントローラ クラスタは、この新しいロケール ID に一致するルートのみをホストに送信します。

次のステップ

ロケール ID が指定されたスタティック ルートを設定します。

マルチキャスト ルーティングのサポート、制限、およびトポロジー

NSX Data Center 6.4.2 以降では、マルチキャスト ルーティングがサポートされます。

NSX は、Internet Group Management Protocol (IGMPv2) と Protocol Independent Multicast (PIM) の

2 つのマルチキャスト ルーティング プロトコルを使用します。PIM スパース モードがサポートされます (PIM-SM)。PIM は、ESG で使用されますが、分散論理ルーターでは使用されません。

n ESG と分散論理ルーターの間では、マルチキャスト ルーティングがサポートされます。

n 受信側のホストがローカルのマルチキャスト ルーターにグループ メンバーシップをアドバタイズし、マルチキ

ャスト グループへの参加や離脱を可能にします。

n Protocol-Independent Multicast (PIM) は、ルーター間の通信に使用されます。レシーバが開始したメンバ

ーシップの IP マルチキャスト サービス モードを維持します。

ルーティング プロトコルが初めて有効になった後（または、無効になって再度有効になった後）、プロトコルが収束

し、トラフィックに対応するルートが学習されて配置されるまで、トラフィックは転送されません。マルチキャスト

ネットワークの場合、トラフィック転送でユニキャストとマルチキャストの両方のルーティング プロトコルが収束す

る必要があります。また、PIM スパース モードの場合、マルチキャスト グループの制御トラフィックまたはデータ

トラフィックが処理される前に、マルチキャスト グループのランデブー ポイント (RP) が認識される必要がありま

す。PIM ブートストラップ メカニズムで RP 情報が配布される場合、PIM ネイバーからのブートストラップ メッセ

ージが受信された後にのみ候補の RP が学習されます。これらのメッセージでは、RFC のデフォルト周期が 60 秒に設定されています。静的 RP が設定されている場合、RP 情報はすぐに利用できるため、ブートストラップ メカニ

ズムに関連する遅延を回避できます。

サポートと制限：

n IPv4 がサポートされます。

n IGMPv2 がサポートされます。

n PIM スパース モードがサポートされます。

n ランデブー ポイント情報は、ブートストラップ メッセージを介して配信することも、静的に設定することもで

きます。

n レプリケーションのマルチキャスト範囲は、トランスポート ゾーンのマルチキャスト範囲と重複しないようにす

る必要があります。

n Edge Services Gateway (ESG) は、ブートストラップの候補ルーターにできません。

n ESG は、ランデブー ポイント (RP) にできません。

NSX 管理ガイド

VMware, Inc. 145

n マルチキャスト参加ノードのルートは、ユニキャスト ルーティング プロトコルまたはスタティック ルートを介

して明示的に学習する必要があります。NSX は、マルチキャスト リバース パス転送 (RPF) チェックにデフォ

ルト ルートを使用しません。

n マルチキャストのレシーバとなる仮想マシンを vMotion で移行中に、1 ～ 2 秒間マルチキャスト トラフィック

が失われることがあります。

n NSX 6.4.7 以降では、マルチキャスト トラフィックで分散ファイアウォール (DFW) がサポートされていま

す。ただし、IPFIX はマルチキャストでサポートされていません。

n NSX 6.4.7 以降では、マルチキャスト トラフィックで Edge ファイアウォールがサポートされています。

Edge ファイアウォールは、IP ヘッダーのプロトコルに基づく IGMP パケットのフィルタリングをサポートし

ます。このファイアウォールは、メンバーシップ レポートやグループの離脱など、IGMP パケットのタイプをフ

ィルタリングできません。

トポロジ：

n Cross-vCenter 環境では、同じユニバーサル TLS にマルチキャストの 2 つの Edge サービス ゲートウェイ

を接続することはできません。

n Edge Services Gateway の 1 つの階層がサポートされています。

n 単一の分散論理ルーター。つまり、ESG で 1 つのダウンリンクのみ。

n NSX 6.4.5 以降では、ESG ごとに 2 つまでのアップリンク インターフェイスと 1 つのダウンリンク インター

フェイスでマルチキャストがサポートされます。ただし、NSX Edge が 6.4.4 以前の場合は、ESG ごとに 1 つのアップリンク インターフェイスと １ つのダウンリンク インターフェイスでマルチキャストがサポートさ

れます。

n 分散論理ルーターでは、1 つのアップリンク インターフェイスと複数の内部インターフェイスでマルチキャスト

がサポートされます。

n NSX 6.4.7 以降では、各 ESG に対して 1 つの GRE トンネルで PIM がサポートされます。PIM は、ESG のアップリンク インターフェイス（最大 2 つまで）または 1 つの GRE トンネル インターフェイスで有効にでき

ますが、両方で同時に有効にすることはできません。NSX ネットワークの外部にある送信元、受信者、RP にア

クセスするには、スタティック ルートで、GRE トンネル エンドポイントの IP アドレスをネクスト ホップとし

て設定する必要があります。

n ESG 高可用性を有効にすると、アクティブ/スタンバイの高可用性がサポートされます。ECMP によるアクティ

ブ/アクティブの高可用性はサポートされません。

n 30 秒間の高可用性フェイルオーバー時間。

n コールド スタンバイ。mroutes または mFIB の同期はありません。

n マルチキャスト ルーティングの論理スイッチで、L2 ブリッジはサポートされません。

n マルチキャスト ルーティングの論理スイッチで、ハードウェア VTEP ゲートウェイ（ToR ゲートウェイ）はサ

ポートされません。

NSX 管理ガイド

VMware, Inc. 146

分散論理ルーターでのマルチキャストの設定

IP マルチキャスト ルーティングを使用すると、ホスト（送信元）は 1 つのマルチキャスト アドレスにデータのコピ

ーを送信できます。このデータは、IP マルチキャスト グループ アドレスという特殊な IP アドレスを使用して、受

信者のグループに配信されます。マルチキャスト環境では、グループのメンバーかどうかに関係なく、任意のホスト

がグループにデータを送信できます。ただし、グループに送信されたパケットを受信できるのは、そのグループのメ

ンバーだけです。

NSX は、Internet Group Management Protocol (IGMPv2) と Protocol Independent Multicast (PIM) の

2 つのマルチキャスト ルーティング プロトコルを使用します。PIM スパース モードがサポートされます (PIM-SM)。PIM は、ESG で使用されますが、分散論理ルーターでは使用されません。

NSX でのマルチキャスト サポートの詳細については、マルチキャスト ルーティングのサポート、制限、およびトポ

ロジーを参照してください。

注目: マルチキャストのレシーバとなる仮想マシンを vMotion で移行中に、1 ～ 2 秒間マルチキャスト トラフィ

ックが失われることがあります。

前提条件

トランスポート ゾーンには、マルチキャスト アドレス範囲を設定する必要があります。『NSX インストール ガイ

ド』で「セグメント ID プールとマルチキャスト アドレス範囲の割り当て」を参照してください。

IGMP 設定は、Edge Services Gateway と分散論理ルーター間で同じにする必要があります。

VXLAN に参加しているホストが接続している L2 スイッチで IGMP スヌーピングを有効にします。IGMP スヌー

ピングが L2 で有効になっている場合は、マルチキャスト対応のネットワークと接続しているルーター または L3 スイッチ上で IGMP クエリアを有効にする必要があります。「論理スイッチの追加」を参照してください。

手順

1 vSphere Client で、[ネットワークとセキュリティ] - [NSX Edge] の順に移動します。

2 分散論理ルーターをクリックします。

3 [ルーティング] - [マルチキャスト] の順にクリックします。

4 マルチキャストを有効にします。

バージョン 手順

NSX 6.4.2 から 6.4.4 [設定 (Configuration)] で、切り替えスイッチをクリックして、マルチキャストを有効にし

ます。

NSX 6.4.5 以降 a [設定 (Configuration)] の横にある [編集 (Edit)] をクリックします。

b [ステータス (Status)] で、切り替えスイッチをクリックして、マルチキャストを有効に

します。

NSX 管理ガイド

VMware, Inc. 147

5 レプリケーションのマルチキャスト範囲を入力します。

バージョン 手順

NSX 6.4.2 から 6.4.4 [レプリケーションのマルチキャスト範囲 (Replication Multicast Range)] で、マルチキャ

スト グループ アドレスの範囲を CIDR 形式で入力します。

NSX 6.4.5 以降 a [設定 (Configuration)] の横にある [編集 (Edit)] をクリックします。

b [レプリケーションのマルチキャスト範囲 (Replication Multicast Range)] で、マルチ

キャスト グループ アドレスの範囲を CIDR 形式で入力します。

レプリケーションのマルチキャスト範囲は、ワークロード/テナントのマルチキャスト グループのアドレス

（VXLAN 内部の宛先の IP アドレス）に使用するマルチキャスト グループのアドレス（VXLAN 外部の宛先の

IP アドレス）の範囲です。レプリケーションのマルチキャスト範囲の IP アドレスは、マルチキャスト アドレス

範囲と重ならないように設定する必要があります。設定を行うには、[ネットワークとセキュリティ

(Networking & Security)]、[インストールとアップグレード (Installation and Upgrade)]、[論理ネットワ

ークの設定 (Logical Network Settings)] の順に移動します。詳細については、『NSX インストール ガイド』

で「セグメント ID プールとマルチキャスト アドレス範囲の割り当て」を参照してください。

6 IGMP パラメータを構成します。IGMP メッセージは主にマルチキャスト ホストによって、特定のマルチキャス

ト グループへの参加を通知をしたり、グループ トラフィックの受信を開始するために使用されます。分散論理

ルーターの IGMP パラメータは、ESG で設定されているパラメータと一致し、ESG と分散論理ルーターにグロ

ーバルで設定する必要があります。

IGMP パラメータ 説明

クエリ 任意。指定したルーターが IGMP ホスト クエリ メッセージを送信す

る間隔を設定します。デフォルトは 30 秒です。最大値は 3,744 秒です。

クエリの最大応答時間（秒） 任意。クエリ実行ルーターがホスト クエリ メッセージを送信してか

らホストからの応答を受信するまでの時間に最大量を設定します。デ

フォルトは 10 秒です。最大値は 25 秒です。

ラスト メンバーのクエリ間隔（秒） 任意。ルーターが IGMP グループ固有のクエリ メッセージを送信す

る間隔を設定します。デフォルトは 1 秒です。最大値は 25 秒です。

信頼性変数 任意。デフォルト値は 2 です。最大値は 255 です。

7 [有効なインターフェイス (Enabled Interfaces)] で、[インターフェイスの設定 (Configure Interfaces)] をクリックして、アップリンク インターフェイスと内部インターフェイスでマルチキャストを有効にします。

注： n IPv4 マルチキャスト パケットを受信するすべての分散論理ルーターで、マルチキャストを有効にする必要

があります。

n 分散論理ルーターでは、1 つのアップリンク インターフェイスと複数の内部インターフェイスでマルチキャ

ストがサポートされます。

8 [発行 (Publish)] をクリックして、変更を有効にします。

NSX 管理ガイド

VMware, Inc. 148

結果

特定のホストと分散論理ルーターのマルチキャスト ルーティング構成を確認するには、CLI コマンド show logical-router host <host ID> dlr <DLR instance> mrouting-domain を実行します。

次の出力例で、ホストは host-19、分散論理ルーター インスタンスは edge-1 です。

cli>show logical-router host host-19 dlr edge-1 mrouting-domain

VDR Mcast Routing Domain configurations:

Vdr Name: edge-1

Vdr ID: 0x00002328

Multicast Routing Doman: Enabled

Replication Mcst Grp Start IP: 237.0.0.0

Replciation Mcast Grp Mask: 255.255.255.0

Control VNI: 9008

Uplink VNI: 9007

IGMP Query Interval: 30 sec

IGMP Query Response Interval: 10 sec

IGMP Robustness Variable: 2

Group membership Interval: 70 se

Edge Services Gateway でのマルチキャストの構成

マルチキャストを使用すると、送信元はデータのコピーを 1 つのマルチキャスト アドレスに送信します。その後、こ

のアドレスからグループまたは受信者にデータが配信されます。

NSX は、Internet Group Management Protocol (IGMPv2) と Protocol Independent Multicast (PIM) の

2 つのマルチキャスト ルーティング プロトコルを使用します。PIM スパース モードがサポートされます (PIM-SM)。PIM は、ESG で使用されますが、分散論理ルーターでは使用されません。

注目: マルチキャストのレシーバとなる仮想マシンを vMotion で移行中に、1 ～ 2 秒間マルチキャスト トラフィ

ックが失われることがあります。

NSX でのマルチキャスト サポートの詳細については、マルチキャスト ルーティングのサポート、制限、およびトポ

ロジーを参照してください。

ESG が 6.4.4 以前の場合は、Edge の 1 つのアップリンク インターフェイスで PIM がサポートされます。NSX Data Center 6.4.5 以降では、PIM は ESG の 2 つのアップリンク インターフェイスでサポートされます。

また、NSX 6.4.7 以降では、各 ESG に対して 1 つの GRE 仮想トンネル インターフェイス (VTI) で PIM がサポー

トされます。PIM は、ESG のアップリンク インターフェイス（最大 2 つまで）または 1 つの GRE トンネル イン

ターフェイスで有効にできます。ただし、GRE 仮想トンネル インターフェイスと Edge アップリンク インターフ

ェイスで PIM を同時に有効にすることはできません。

GRE トンネル インターフェイスで PIM を有効にするには、最初に NSX API を使用して ESG の GRE トンネルを

設定する必要があります。GRE トンネルの設定方法については、『NSX API ガイド』を参照してください。ESG で

GRE トンネルを設定した後、vSphere Client UI で GRE トンネルのリストを表示できます。

GRE 仮想トンネル インターフェイスは、IPv4 アドレス、IPv6 アドレス、またはその両方を使用して設定できま

す。ただし、GRE トンネル インターフェイスで PIM を有効にするには、トンネル インターフェイスに IPv4 アド

レスが割り当てられている必要があります。GRE 仮想トンネル インターフェイスに IPv6 アドレスのみが設定され

ている場合、この GRE トンネル インターフェイスを PIM インターフェイスとして有効にすることはできません。

NSX 管理ガイド

VMware, Inc. 149

GRE トンネル インターフェイスで PIM が有効になっている場合、ネクスト ホップの IP アドレスとして GRE 仮想

トンネル エンドポイントの IP アドレスを使用して、スタティック ルートを追加する必要があります。NSX ネット

ワークの外部にあるマルチキャストの送信元、受信者、ランデブー ポイント (RP) にアクセスするには、スタティッ

ク ルートが必要です。

手順

1 vSphere Client で、[ネットワークとセキュリティ] - [NSX Edge] の順に移動します。

2 NSX Edge をクリックします。

3 [ルーティング] - [マルチキャスト] の順にクリックします。

4 マルチキャストを有効にします。

バージョン 手順

NSX 6.4.2 から 6.4.4 [設定 (Configuration)] で、切り替えスイッチをクリックして、マルチキャストを有効にし

ます。

NSX 6.4.5 以降 a [設定 (Configuration)] の横にある [編集 (Edit)] をクリックします。

b [ステータス (Status)] で、切り替えスイッチをクリックして、マルチキャストを有効に

します。

5 IGMP パラメータを構成します。IGMP メッセージは主にマルチキャスト ホストによって、特定のマルチキャス

ト グループへの参加を通知をしたり、グループ トラフィックの受信を開始するために使用されます。分散論理

ルーターの IGMP パラメータは、ESG で設定されているパラメータと一致し、ESG と分散論理ルーターにグロ

ーバルで設定する必要があります。

IGMP パラメータ 説明

クエリ 任意。指定したルーターが IGMP ホスト クエリ メッセージを送信す

る間隔を設定します。デフォルトは 30 秒です。最大値は 3,744 秒です。

クエリの最大応答時間（秒） 任意。クエリ実行ルーターがホスト クエリ メッセージを送信してか

らホストからの応答を受信するまでの時間に最大量を設定します。デ

フォルトは 10 秒です。最大値は 25 秒です。

ラスト メンバーのクエリ間隔（秒） 任意。ルーターが IGMP グループ固有のクエリ メッセージを送信す

る間隔を設定します。デフォルトは 1 秒です。最大値は 25 秒です。

信頼性変数 任意。デフォルト値は 2 です。最大値は 255 です。

6 （オプション） [PIM スパース モード パラメータ (PIM Sparse Mode Parameters)] (PIM-SM) で、[ランデ

ブー ポイントの静的アドレス (Static Rendezvous Point Address)] を入力します。ランデブー ポイント

(RP) は、マルチキャスト ネットワーク ドメインのルーターで、マルチキャスト共有ツリーのルートとして機能

します。アップストリーム ソースからのパケットとダウンストリーム ルーターからの参加メッセージがこのコ

ア ルーターで「ランデブー」します。RP は、ブートストラップ ルーター (BR) を使用して静的または動的に設

定できます。静的ランデブー ポイントが設定されている場合、このランデブー ポイントはすべてのマルチキャ

スト グループに適用されます。

ESG は、ランデブー ポイントやブートストラップ候補ルーターにすることはできません。PIM SM 設定は、

Edge ごとの PIM グローバルレベルで行われます。

NSX 管理ガイド

VMware, Inc. 150

7 [有効なインターフェイス (Enabled Interfaces)] で、[インターフェイスの設定] をクリックして、インターフ

ェイスで PIM を有効にします。

次のインターフェイスで PIM を有効にできます。

n ESG のアップリンク インターフェイス（最大 2 つまで）と ESG の 1 つの GRE 仮想トンネル インターフ

ェイスの両方で同時に有効にすることはできません。

n ESG の 1 つの内部インターフェイス。

8 [発行 (Publish)] をクリックして、変更を有効にします。

次のステップ

GRE 仮想トンネル インターフェイスで PIM を有効にしている場合、NSX ネットワークの外部にあるマルチキャス

トの送信元、受信者、RP にアクセスするために、スタティック ルートが必要になります。ネクスト ホップの IP アドレスとして GRE 仮想トンネル エンドポイントの IP アドレスを使用して、スタティック ルートを設定する必要が

あります。

スタティック ルートの設定方法については、スタティック ルートの追加を参照してください。

マルチキャスト トポロジ

次の図は、マルチキャストを使用するトポロジの例を示したものです。

Edge Services Gateway アップリンク インターフェイスは、vSphere Distributed Switch を介して物理イン

フラストラクチャに接続します。Edge Service Gateway 内部インターフェイスは、論理中継スイッチを介して分

散論理ルーターに接続します。分散論理ルーターのデフォルト ゲートウェイは ESG の内部インターフェイスの IP アドレス (192.168.10.1) です。ルーター ID は分散論理ルーターのアップリンク インターフェイス、つまり ESG (192.168.10.2) と接する IP アドレスです。このトポロジでは、マルチキャスト トラフィックがサブネット間や、

NSX ドメインの内側または外側の送信元とレシーバ間で最適な方法で複製されます。

NSX 管理ガイド

VMware, Inc. 151

172.16.20.10 172.16.10.10

172.16.20.1リンク タイプ：内部

172.16.10.1リンク タイプ：内部

分散論理ルーター

App論理

スイッチ

Web論理

スイッチ

App仮想マシン

Web仮想マシン

192.168.10.2リンク タイプ：アップリンクプロトコル アドレス：192.168.10.3

中継論理

スイッチ

マルチキャスト送信元/レシーバホスト

192.168.10.1リンク タイプ：内部

EdgeServicesGateway

192.168.100.3リンク タイプ： アップリンク 192.168.200.10

vSphereDistributed

Switch 物理

アーキテクチャ

NSX 管理ガイド

VMware, Inc. 152

論理ファイアウォール 10論理ファイアウォールは、動的仮想データセンターにセキュリティ メカニズムを提供します。論理ファイアウォール

は、それぞれ異なる展開方法に対処する 2 つのコンポーネントから構成されます。分散ファイアウォールではテナン

トまたはデータセンターの境界における水平方向のアクセス コントロール、Edge ファイアウォールでは垂直方向の

トラフィック適用に重点が置かれています。これらのコンポーネントを共に利用することで、仮想データセンターに

おけるエンドツーエンドのファイアウォールのニーズに対応できます。この 2 つのテクノロジーは、個別にデプロイ

することも、両方をデプロイすることも可能です。

この章には、次のトピックが含まれています。

n 分散ファイアウォール

n Edge ファイアウォール

n ファイアウォール ルール セクションの操作

n ファイアウォール ルールの使用

n ファイアウォールのログ

分散ファイアウォール

NSX 用に準備されたすべての ESXi ホスト クラスタで、分散ファイアウォール (DFW) は VIB パッケージとして

カーネル内で実行されます。ホストの準備により、ESXi ホスト クラスタで分散ファイアウォールが自動的に有効に

なります。

従来の境界を中心としたセキュリティ アーキテクチャでは、その基本的な制約により、最新のデータセンターのセキ

ュリティとアプリケーションのスケーラビリティに影響を及ぼします。たとえば、ネットワークの境界にある物理フ

ァイアウォールを介してトラフィックのヘアピンが発生すると、特定のアプリケーションで余分な遅延が発生します。

分散ファイアウォールは、物理ファイアウォールによる不要なヘアピンを排除し、ネットワーク上のトラフィック量

を削減することで、物理セキュリティを補完および強化します。拒否されたトラフィックは、ESXi ホストから送信

される前にブロックされます。トラフィックがネットワークに送信されることはありません。物理ファイアウォール

の境界でブロックされます。同じホストまたは別のホスト上にある別の仮想マシン宛てのトラフィックは、ネットワ

ークを介して物理ファイアウォールを通過することなく、宛先の仮想マシンに届きます。トラフィックは ESXi レベ

ルで検査されてから、宛先の仮想マシンに配信されます。

VMware, Inc. 153

仮想 マシン

仮想 マシン

仮想 マシン

仮想 マシン

NSX 分散ファイアウォールを 使用しないセキュリティ

物理ファイア ウォール

物理ファイア ウォール

NSX 分散ファイアウォールを 使用したセキュリティ

NSX の分散ファイアウォールはステートフル ファイアウォールです。つまり、アクティブな接続の状態を監視し、

この情報を使用してファイアウォールを通過させるネットワーク パケットを特定します。分散ファイアウォールは

ハイパーバイザーに実装され、vNIC 単位で仮想マシンに適用されます。つまり、ファイアウォール ルールは各仮想

マシンの vNIC に適用されます。トラフィックが仮想マシンから仮想スイッチに送信されるときに、仮想マシンの

vNIC でトラフィックが検査されます（出力方向の検査）。また、トラフィックがスイッチから仮想マシンに送信され

る前にも vNIC で検査されます（入力方向の検査）。

NSX Manager 仮想アプライアンス、NSX Controller 仮想マシン、NSX Edge Service Gateway は、分散フ

ァイアウォールから自動的に除外されます。仮想マシンが分散ファイアウォール サービスを必要としない場合は、手

動で除外リストに追加できます。

分散ファイアウォールは、すべての ESXi ホストのカーネルに展開されるため、クラスタにホストを追加すると、フ

ァイアウォールの機能が水平方向に拡張されます。ホストを追加すると、分散ファイアウォールの能力が向上します。

インフラストラクチャが拡張された場合、仮想マシンの増加に合わせて管理サーバを増やすことで、分散ファイアウ

ォールの能力を向上させることができます。

分散ファイアウォール ポリシー ルール

分散ファイアウォール ポリシー ルールは vSphere Web Client を使用して作成されます。ルールは、NSX Manager データベースに格納されます。分散ファイアウォールでは、イーサネット ルール（L2 のルール）と一般

ルール（L3 から L7 のルール）を作成できます。ルールは、NSX Manager から ESXi クラスタに発行され、ESXi ホストから仮想マシン レベルに発行されます。同じクラスタ内のすべての ESXi ホストに同じ分散ファイアウォー

ル ポリシー ルールが適用されます。

ESXi ホストの分散ファイアウォール インスタンスには、次の 2 つのテーブルが含まれます。

n すべてのセキュリティ ポリシー ルールを保存するルール テーブル。

n 「許可」アクションを持つルールのフロー エントリを保存する接続追跡テーブル。

分散ファイアウォール ルールはトップダウンで実行されます。ファイアウォールを通過するトラフィックは、最初に

ファイアウォール ルールのリストと照合されます。各パケットがルール テーブルの一番上のルールに照らしてチェ

ックされ、順にテーブルの下位のルールに照らしてチェックされます。テーブル内のルールのうち、トラフィック パラメータと一致する最初のルールが適用されます。テーブルの最後のルールは、分散ファイアウォールのデフォルト

ルールです。デフォルト ルールより上のルールに一致しないパケットには、デフォルト ルールが適用されます。

NSX 管理ガイド

VMware, Inc. 154

各仮想マシンには、独自のファイアウォール ポリシー ルールとコンテキストがあります。vMotion の実行中に

ESXi ホスト間で仮想マシンが移動すると、分散ファイアウォール コンテキスト（ルール テーブル、接続追跡テーブ

ル）が仮想マシンとともに移動します。また、vMotion の実行中、すべてのアクティブな接続がそのまま維持され

ます。つまり、分散ファイアウォール セキュリティ ポリシーは仮想マシンの場所とは独立しています。

分散ファイアウォールを使用したマイクロセグメンテーション

マイクロセグメンテーションを使用すると、関連する仮想マシンの各グループを個別の論理ネットワーク セグメント

に隔離し、データセンターのネットワークのセキュリティを強化できます。マイクロセグメンテーションを使用する

と、管理者はデータセンターの論理セグメント間を流れるトラフィック（East-West トラフィック）をファイアウ

ォールで保護できます。East-West トラフィックをファイアウォールで保護することで、データセンター内での攻

撃者の移動を制限できます。

マイクロセグメンテーションは、NSX の分散ファイアウォール コンポーネントによって提供されます。分散ファイ

アウォールにより、ネットワーク トポロジがセキュリティの障壁でなくなります。あらゆるタイプのネットワーク

トポロジで同程度のアクセス制御を実現できます。

マイクロセグメンテーションの使用事例については、https://communities.vmware.com/docs/DOC-27683にある『NSX Network Virtualization Design Guide』で NSX 分散ファイアウォールによるマイクロセグメン

テーションの実装に関するセクションを参照してください。

ユーザー ID に基づく分散ファイアウォール ポリシー ルール

分散ファイアウォールは、ID ベースのルールの作成にも役立ちます。セキュリティ管理者は、企業の Active Directory で定義されたユーザー ID とユーザーのグループ メンバーシップに基づいてアクセスをコントロールで

きます。たとえば、ID ベースの分散ファイアウォール ルールは次のシナリオで使用できます。

n ユーザー認証に Active Directory を用いるラップトップやモバイル デバイスを使用して、ユーザーが仮想ア

プリケーションにアクセスする。

n ユーザーが、仮想マシンが Microsoft Windows オペレーティング システムを実行している VDI インフラス

トラクチャを使用して、仮想アプリケーションにアクセスする。

Active Directory ユーザー ベースの分散ファイアウォール ルールの詳細については、12 章 Identity Firewall の概要を参照してください。

コンテキスト アウェア ファイアウォール

コンテキスト アウェア ファイアウォールを使用すると、アプリケーション レベルでの視認性が強化されます。これ

は、アプリケーションの透過性の問題の解消に役立ちます。アプリケーション レイヤーの視認性を実現することによ

り、リソース、コンプライアンス、セキュリティの観点からワークロードの監視を強化できます。

ファイアウォール ルールではアプリケーション ID を使用できません。コンテキスト アウェア ファイアウォールは

アプリケーションを識別して、アプリケーションが使用するポートに関係なく、EAST-WEST トラフィックにマイ

クロ セグメンテーションを適用できます。レイヤー 7 のサービス オブジェクトを定義すると、コンテキスト アウェ

アまたはアプリケーション ベースのファイアウォール ルールを定義できます。ルールでレイヤー 7 のサービス オブジェクトを定義した後は、ルールに特定のプロトコル、ポート、アプリケーション定義を使用できます。ルールの

定義では 5-tuple 以上を使用できます。アプリケーション ルール マネージャを使用して、コンテキスト　アウェ

ア　ファイアウォール ルールを作成することもできます。

NSX 管理ガイド

VMware, Inc. 155

コンテキスト アウェア ファイアウォールは、NSX Data Center for vSphere 6.4 以降でサポートされます。

NSX Data Center for vSphere で管理されている既存のインフラストラクチャ内のホスト クラスタは、すべて

NSX Data Center for vSphere 6.4.0 以降にアップグレードする必要があります。

ファイアウォールのタイプ

データが TCP/IP モデルの各レイヤーを移動すると、L2、L3、L4、L7 パケット ヘッダーの 1 つまたは複数の組み

合わせが追加されます。ファイアウォールは、これらのヘッダーに応じてアクションを実行します。

分散ファイアウォール

+サードパーティ

NSX 分散ファイアウォール OSI モデル

アプリケーション レイヤー

プレゼンテーション レイヤー

セッション レイヤー

トランスポート レイヤー

ネットワーク レイヤー

データ リンク レイヤー

物理レイヤー

トランスポート レイヤー

インターネット レイヤー

ネットワーク アクセス

レイヤー

アプリケーション

レイヤー

TCP/IP モデル

ネイティブ

分散ファイアウォール

L7

L3/L4

L2

レイヤー 3 またはレイヤー 4 のファイアウォールの場合は、送信元/宛先 IP アドレス、ポート、プロトコルに基づ

いてアクションが実行されます。また、ネットワーク接続のアクティビティが追跡されます。このタイプのファイア

ウォールをステートフル ファイアウォールといいます。

レイヤー 7 のファイアウォール（コンテキスト アウェア ファイアウォール）では、レイヤー 3 とレイヤー 4 のフ

ァイアウォールで実行できる処理はすべて実行できます。それに加えて、パケットの内容をインテリジェントに検査

します。たとえば、特定の IP アドレスから受信した HTTP 要求をすべて拒否するように、レイヤー 7 ファイアウォ

ール ルールを作成できます。

ルールの定義とパケット キャプチャ

コンテキスト アウェア ファイアウォールには 5-tuple 以上を作成できます。正確なルールを作成するために、必要

な数のタプルを追加できます。サポートされる属性はプロトコルとユーザーのみで、ルールごとにユーザーまたはプ

ロトコルのいずれかを使用できます。これらは標準の SRC/DEST フィールドに使用することも、追加属性の最後に

追加することもできます。

次のルールは 7-tuple です。

送信元 宛先 サービス 方向 アクション 属性

location-set-1 Iport-set-1 HTTPS INOUT 許可 TLS-V10

NSX 管理ガイド

VMware, Inc. 156

図 10-1. コンテキスト アウェア ファイアウォールで処理されるパケット

DPI ユーザーワールドデーモン

インデックス 2

フローエントリ

1

2

3

フロー 1

フロー 2

フロー 3

インデックス1

ルール ID

1

2

3

ルール 1

ルール 2

ルール 3

分散ファイアウォール フィルタ

フローが見つからない

フロー テーブルを更新

5 タプル

ルールの処理と再検証

パケット

vSwitch

仮想マシンにコンテキスト アウェア ファイアウォールを設定する場合、分散　DPI　（Deep Packet Inspection) 属性が 5-tuple と一致する必要があります。これにより、ルールの処理と検証が行われ、正しいルールが検出されま

す。アクションに応じて、フローが作成またはドロップされます。

受信パケットのルールは次のように処理されます。

1 分散ファイアウォール フィルタを入力すると、フロー テーブルで 5-tuple に基づいてパケットが検索されま

す。

2 フロー/状態が見つからない場合、5-tuple に基づいてルール テーブルにフローが照合され、フロー テーブルに

エントリが作成されます。

3 フローがレイヤー 7 サービス オブジェクトのルールと一致すると、フロー テーブルの状態が「DPI 処理中」と

マークされます。

4 トラフィックが DPI エンジンにパントされます。DPI エンジンにより、APP_ID が決まります。

5 APP_ID が決まると、DPI エンジンが属性を送信し、このフローのコンテキスト テーブルに挿入されます。「DPI 処理中」フラグが削除され、トラフィックが DPI エンジンにパントされなくなります。

6 APP-ID 付きのフローが APP_ID に一致するすべてのルールで再評価され、5-tuple ベースで一致した元のル

ールから開始され、L4 ルールに一致しないフローを優先するようになります。適切なアクション（許可または

拒否）が実行され、フロー テーブルのエントリが更新されます。

L3 や L4 ルールのように、コンテキスト アウェア ファイアウォール ルールをコンテキストなしで作成することも

できます。この場合、複数の属性を持つコンテキストに適用するために、検証ステップが実行される可能性がありま

す。

NSX 管理ガイド

VMware, Inc. 157

コンテキスト アウェア ファイアウォールのワークフロー

管理プレーン

制御プレーン (vsfwd)

ユーザーワールド エージェント

ユーザー領域

カーネル領域

データパス VSIPモジュール

アプリケーション ID の GUID

レイヤー 7 アプリケーション ID は、使用するポートは問わず、特定のパケットまたはフローがどのアプリケーショ

ンで生成されたのかを識別するものです。

アプリケーション ID に基づいて適用することで、ユーザーは任意のポートを使用するアプリケーションの実行を許

可または拒否することができます。さらに、標準ポートを使用してアプリケーションを強制的に実行することもでき

ます。DPI (Deep Packet Inspection) では、定義済みのパターンとパケット ペイロードを比較できます。このパ

ターンは署名とも呼ばれています。レイヤー 7 のサービス オブジェクトにより、ポートに依存しない適用や、レイ

ヤー 7 アプリケーション ID、プロトコル、およびポートを組み合わせた新しいサービス オブジェクトの作成が可能

になります。レイヤー 7 ベースのサービス オブジェクトは、ファイアウォール ルール テーブルと Service Composer で使用できます。アプリケーションのプロファイルを作成するときに、アプリケーション ID の情報が

分散ファイアウォール ログ、フロー モニタリング、Application Rule Manager (ARM) でキャプチャされます。

表 10-1. アプリケーション ID の GUID

GUID 説明 タイプ

360ANTIV 360 Safeguard は、中国の IT 企業である Qihoo 360 が開発したプログラ

ムです。

Web サービス

ACTIVDIR Microsoft Active Directory ネットワーク

AD_BKUP Microsoft Active Directory のバックアップ サービス ネットワーク

AD_NSP Microsoft Active Directory サービス プロバイダ ネットワーク

AMQP Advanced Message Queueing Protocol。アプリケーション間または組

織間のビジネス メッセージ通信をサポートするアプリケーション層プロトコル

です。

ネットワーク

NSX 管理ガイド

VMware, Inc. 158

表 10-1. アプリケーション ID の GUID （続き）

GUID 説明 タイプ

AVAST Avast.com の公式サイト（Avast! アンチウイルスのダウンロード）の閲覧で

生成されるトラフィック

Web サービス

AVG AVG アンチウイルス/セキュリティ ソフトウェアのダウンロードとアップデ

ート

ファイル転送

AVIRA Avira アンチウイルス/セキュリティ ソフトウェアのダウンロードとアップデ

ート

ファイル転送

BLAST データセンターでデータの圧縮、暗号化、エンコードを行い、VMware Horizon デスクトップの標準 IP ネットワーク間で転送するリモート アクセス

プロトコルです。

リモート アクセス

BDEFNDER BitDefender アンチウイルス/セキュリティ ソフトウェアのダウンロードと

アップデート

ファイル転送

CA_CERT 認証局 (CA) が、メッセージ暗号化のパブリック キーの所有者を証明するデジ

タル証明書を発行します。

ネットワーク

CIFS CIFS (Common Internet File System) は、ネットワークのノード間のディ

レクトリ、ファイル、プリンタ、シリアル ポート、その他の通信に共有アクセ

スを提供するために使用します。

ファイル転送

CLRCASE ソース コードや他のソフトウェア開発資産のリビジョンを管理するソフトウェ

ア ツール。IBM の Rational ソフトウェア部門によって開発されました。

ClearCase は、多くの大企業や中堅企業で採用されているリビジョン管理ツー

ルで、数百人または数千人の開発者が携わるプロジェクトに対応しています。

ネットワーク

CTRXCGP Citrix Common Gateway Protocol リモート アクセス

CTRXGOTO Citrix GoToMeeting または GoToMeeting プラットフォーム ベースの類

似セッションをホストします。通話、ビデオ、制限付きの混雑管理機能が含まれ

ています。

コラボレーション

CTRXICA ICA (Independent Computing Architecture) は、Citrix Systems によ

って開発された、アプリケーション サーバ システムの専用プロトコルです。

リモート アクセス

DCERPC 分散コンピューティング環境/リモート プロシージャ コール。分散コンピュー

ティング環境 (DCE) 用に開発されたリモート プロシージャ コール システム

です。

ネットワーク

DIAMETER コンピュータ ネットワークの認証/承認/課金プロトコル ネットワーク

DNS TCP または UDP 経由で DNS サーバにクエリを送信します。 ネットワーク

EPIC Epic EMR は、患者の管理情報と医療情報を提供する電子医療記録アプリケー

ションです。

クライアント サーバ

ESET Eset アンチウイルス/セキュリティ ソフトウェアのダウンロードとアップデー

ト

ファイル転送

FPROT F-Prot アンチウイルス/セキュリティ ソフトウェアのダウンロードとアップデ

ート

ファイル転送

FTP FTP (File Transfer Protocol) は、ファイル サーバとローカル マシン間のフ

ァイル転送に使用されます。

ファイル転送

GITHUB Web ベースの Git またはバージョン管理リポジトリとインターネット ホステ

ィング サービス

コラボレーション

NSX 管理ガイド

VMware, Inc. 159

表 10-1. アプリケーション ID の GUID （続き）

GUID 説明 タイプ

HTTP HyperText Transfer Protocol。World Wide Web の基本的な転送プロ

トコルです。

Web サービス

HTTP2 HTTP 2.0 プロトコル対応の Web サイトを参照したときに生成されるトラ

フィック

Web サービス

IMAP IMAP (Internet Message Access Protocol) は、リモート サーバ上の E メールにアクセスするためのインターネット標準プロトコルです。

メール

KASPRSKY Kaspersky アンチウイルス/セキュリティ ソフトウェアのダウンロードとア

ップデート

ファイル転送

KERBEROS Kerberos は、秘密鍵暗号を使用してクライアント/サーバ アプリケーション

に堅牢な認証機能を提供するネットワーク認証プロトコルです。

ネットワーク

LDAP LDAP (Lightweight Directory Access Protocol) は、IP ネットワーク経

由でディレクトリの読み取りと編集を行うためのプロトコルです。

データベース

MAXDB MaxDB SQL サーバに対する SQL 接続とクエリ データベース

MCAFEE McAfee アンチウイルス/セキュリティ ソフトウェアのダウンロードとアップ

デート

ファイル転送

MSSQL Microsoft SQL Server は、リレーショナル データベースです。 データベース

NFS クライアント コンピュータのユーザーが、ローカル ストレージにアクセスする

場合と同様にネットワーク上のファイルにアクセスできます。

ファイル転送

NTBIOSNS NetBIOS ネーム サービス。アプリケーションは、セッションを開始したり、

データグラムを配布するため、ネーム サービスを使用して NetBIOS 名を登録

する必要があります。

ネットワーク

NTP NTP (Network Time Protocol) は、ネットワーク経由でコンピュータ シス

テムの時刻を同期するために使用されます。

ネットワーク

OCSP ユーザーのプライベート キーの侵害や失効を確認する OCSP レスポンダ。 ネットワーク

ORACLE Oracle Corporation のオブジェクト/リレーショナル データベース管理シス

テム (ORDBMS)データベース

PANDA Panda アンチウイルス/セキュリティ ソフトウェアのダウンロードとアップデ

ート

ファイル転送

PCOIP データセンターでデータの圧縮、暗号化、エンコードを行い、標準の IP ネット

ワーク間で転送するリモート アクセス プロトコルです。

リモート アクセス

POP2 POP (Post Office Protocol) は、ローカルのメール クライアントがリモー

ト サーバからメールを取得するためのプロトコルです。

メール

POP3 Microsoft 社が実装する NetBIOS ネーム サービス (NBNS)、ネーム サー

バ、サービスです。

メール

RADIUS コンピュータがネットワーク サービスに接続して使用できるように、認証/承認/課金 (AAA) を集中管理します。

ネットワーク

RDP RDP (Remote Desktop Protocol) は、別のコンピュータのグラフィカル

インターフェイスへのアクセスを可能にします。

リモート アクセス

RTCP RTCP (Real-Time Transport Control Protocol) は、RTP (Real-time Transport Protocol) と一緒に使用するプロトコルです。RTCP は、RTP フローにアウトオブバンドの制御情報を提供します。

メディア ストリーミング

NSX 管理ガイド

VMware, Inc. 160

表 10-1. アプリケーション ID の GUID （続き）

GUID 説明 タイプ

RTP RTP (Real-Time Transport Protocol) は主にリアルタイム オーディオ/ビデオの配信に使用されます。

メディア ストリーミング

RTSP RTSP (Real Time Streaming Protocol) は、エンドポイント間のメディア

セッションの確立と制御に使用されます。

メディア ストリーミング

RTSPS エンターテイメントや通信システムでストリーミング メディア サーバの制御

を行うために使用するセキュアなネットワーク管理プロトコル。このプロトコ

ルは、エンドポイント間のメディア セッションの確立と制御に使用されます。

メディア ストリーミング

SIP SIP (Session Initiation Protocol) は、音声通話/ビデオ通話の設定と制御を

行う一般的な制御プロトコルです。

メディア ストリーミング

SKIP SKIP (Simple Key Management for Internet Protocols) は、ハイブリ

ッド　キー配布プロトコルです。SKIP は SSL に似ていますが、長期的なキー

で接続を確立した後は、セッション単位の接続やキーの交換の際、事前に通信す

る必要はありません。ｚ＾８ｚ

ネットワーク

SMTP SMTP (Simple Mail Transfer Protocol) は、インターネット プロトコル

(IP) ネットワーク間で E メールの転送を行うインターネット標準規格です。

メール

SNMP SNMP (Simple Network Management Protocol) は、IP ネットワーク

上のデバイスを管理するインターネット標準プロトコルです。

ネットワーク監視

SQLNET プログラムと Oracle Database または複数の Oracle Database 間でリモ

ート データアクセスを可能にするネットワーク ソフトウェア。

データベース

SQLSERV SQL サービス データベース

SSH SSH (Secure Shell) は、ネットワークに接続している 2 台のデバイス間でセ

キュア チャネルを使用してデータの交換を行うためのネットワーク プロトコ

ルです。

リモート アクセス

SSL SSL (Secure Sockets Layer) は、インターネット経由で保護された通信を

可能にする暗号プロトコルです。

Web サービス

SVN Subversion サーバ上のコンテンツを管理します。 データベース

SYMUPDAT Symantec LiveUpdate のトラフィック。スパイウェアの定義、ファイアウ

ォール ルール、アンチウイルス シグネチャ ファイル、ソフトウェア　アップデ

ートなどが転送されます。

ファイル転送

SYSLOG Symantec LiveUpdate のトラフィック。スパイウェアの定義、ファイアウ

ォール ルール、アンチウイルス シグネチャ ファイル、ソフトウェア アップデ

ートなどが転送されます。

ネットワーク監視

TELNET インターネットまたはローカル エリア ネットワークで、仮想ターミナル接続に

より、双方向のインタラクティブなテキスト指向通信機能を提供するためのネッ

トワーク プロトコル。

リモート アクセス

TFTP TFTP (Trivial File Transfer Protocol) は、WinAgents TFTP クライア

ントなどのクライアントを使用して、SolarWinds TFTP サーバなどの TFTP サーバにファイルのリスト、ダウンロード、アップロードを行うために使用され

ます。

ファイル転送

VNC 仮想ネットワーク コンピューティングのトラフィック。 リモート アクセス

WINS Microsoft が実装する NetBIOS ネーム サービス (NBNS)、ネーム サーバ、

サービスです。

ネットワーク

NSX 管理ガイド

VMware, Inc. 161

例：コンテキスト アウェア ファイアウォール ルールの作成

レイヤー 7 サービス オブジェクトを定義することで、コンテキスト アウェアまたはアプリケーション ベースのファ

イアウォール ルールを設定できます。レイヤー 7 コンテキスト アウェア ファイアウォール ルールは、パケットの

内容をインテリジェントに検査します。

この例では、APP_HTTP サービス オブジェクトを使用するレイヤー 7 ファイアウォール ルールの作成方法につい

て説明します。このファイアウォール ルールでは、仮想マシンから任意の宛先への HTTP 要求を許可します。ファ

イアウォール ルールを作成したら、このファイアウォール ルールを渡す送信元の仮想マシンで HTTP セッションを

開始し、送信元の仮想マシンの特定の vNIC でフロー監視をオンにします。このファイアウォール ルールは、HTTP アプリケーション コンテキストを検出し、送信元の仮想マシンにルールを適用します。

前提条件

次の NSX ロールを持つアカウントを使用して、vSphere Web Client にログインする必要があります。

n セキュリティ管理者

n NSX 管理者

n セキュリティ エンジニア

n エンタープライズ管理者

注： NSX Data Center for vSphere 6.4 以降がインストールされていることを確認します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 （オプション） ファイアウォール ルール セクションを追加して、コンテキスト アウェア ファイアウォール ルー

ルをグループ化します。

3 [ルールの追加 (Add Rule)] をクリックします。

4 コンテキスト アウェア ファイアウォール ルールを作成します。

a このルールを識別できるように、ルール名を入力します。たとえば、L7_Rule_HTTP_Service と入力し

ます。

b [送信元] 列をクリックして、[編集 (Edit)]（ ）アイコンをクリックします。

[送信元の指定] ページが開きます。

c [オブジェクト タイプ (Object Type)] ドロップダウン メニューから、[仮想マシン (Virtual Machine)] を選択します。

d [使用可能なオブジェクト (Available Objects)] リストから仮想マシンを選択します。このオブジェクト

を [選択したオブジェクト (Selected Objects)] リストに移動し、[保存 (Save)] をクリックします。

e [宛先] 列で、デフォルト値（「任意」）を使用します。

f [サービス] 列で、[編集 (Edit)]（ ）アイコンをクリックします。

[サービスの指定] ページが開きます。

NSX 管理ガイド

VMware, Inc. 162

g [オブジェクト タイプ (Object Type)] ドロップダウン メニューから、[サービス (Services)] を選択しま

す。

h [使用可能なオブジェクト (Available Objects)] リストから [App_HTTP] サービスを選択します。この

サービスを [選択したオブジェクト (Selected Objects)] リストに移動し、[保存 (Save)] をクリックしま

す。

i ファイアウォール ルールが有効で、ルール アクションが [許可 (Allow)] に設定されていることを確認しま

す。

j [発行 (Publish)] をクリックして、ファイアウォール ルールの設定を発行します。

次の図に、作成したファイアウォール ルールを示します。

図 10-2. コンテキスト アウェア ファイアウォール ルールの定義

5 送信元の仮想マシンのコンソールにログインして wget Linux コマンドを実行し、HTTP 経由で Web からフ

ァイルをダウンロードします。

6 送信元の仮想マシンの vNIC でライブ フローの監視をオンにし、送信元の仮想マシンのトラフィック フローを

監視します。

a [ツール (Tools)] - [フロー モニタリング (Flow Monitoring)] の順に移動します。

b 送信元の仮想マシンの特定の vNIC を選択します。たとえば、l2vpn-client-vm-Network adapter 1

を選択します。

c [開始 (Start)] をクリックして、フロー監視データを表示します。

7 次の図のフロー監視データは、ファイアウォール ルールがアプリケーション (HTTP) コンテキストを検出した

ことを表しています。ルール 1005 が送信元の仮想マシン (10.161.117.238) に適用され、トラフィックの宛先

の IP アドレス 151.101.129.67 と 151.101.53.67 になっています。

図 10-3. 送信元の仮想マシンのトラフィック フロー

8 [ファイアウォール] ページに戻り、ルール アクションを [ブロック (Block)] に変更します。

NSX 管理ガイド

VMware, Inc. 163

9 送信元の仮想マシンのコンソールに移動して、再度 wget コマンドを実行します。

送信元の仮想マシンで HTTP 要求がブロックされていることを確認します。仮想マシン コンソールに、次のよ

うなエラーが表示されます。

HTTP request sent, awaiting response ... Read error (Connection reset by peer) in headers

Retrying.

次の図は、アプリケーション (HTTP) コンテキストのフローが検出され、送信元の仮想マシン (10.161.117.238) の vNIC でブロックされたことを示しています。

図 10-4. 送信元の仮想マシンのトラフィック フロー

次のステップ

コンテキスト アウェア ファイアウォール ルールを使用する場合の他のシナリオについては、コンテキスト アウェア

ファイアウォールのシナリオを参照してください。

セッション タイマー

セッション タイマーは、TCP、UDP、および ICMP セッションに設定できます。

セッション タイマーは、非アクティブ状態になったセッションをファイアウォールで保持する期間を定義します。プ

ロトコルのセッションがタイムアウトになると、そのセッションは閉じられます。

ファイアウォールで、TCP、UDP、および ICMP セッションに複数のタイムアウトを指定して、仮想マシンまたは

vNIC のユーザー定義のサブセットに適用できます。デフォルトで、ユーザー定義タイマーに含まれていないすべて

の仮想マシンまたは vNIC は、グローバル セッション タイマーに含まれます。これらのタイムアウトはすべてグロ

ーバルに適用されます。つまり、ホスト上で該当するタイプのすべてのセッションに適用されます。

デフォルトのセッションの値は、ネットワークのニーズに応じて変更できます。設定値が小さすぎるとタイムアウト

が頻繁に発生するようになり、大きすぎると障害検知が遅れる可能性があります。

セッション タイマーの作成

セッション タイマーは、セッションが非アクティブ状態になった後にファイアウォールでそのセッションが保持され

る期間を定義します。

NSX 管理ガイド

VMware, Inc. 164

ファイアウォール上で、ユーザー定義の仮想マシンまたは vNIC のセットを対象として、TCP、UDP、ICMP の各

セッションのタイムアウトを定義できます。デフォルトのタイマーはグローバルであり、ファイアウォールが保護す

るすべての仮想マシンに適用されます。

手順

1 タイムアウトの設定に移動します。

u NSX 6.4.1 以降では、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール設定 (Firewall Settings)] - [タイムアウト設定 (Timeout Settings)] の順に移動します。

u NSX 6.4.0 では、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] - [設定 (Settings)] の順に移動します。

2 使用可能な NSX Manager が複数ある場合は、ドロップダウン リストから 1 つを選択します。

3 [追加 (Add)]（ ）アイコンをクリックします。

4 セッション タイマーの [名前 (name)]（必須）と [説明 (description)]（オプション）を入力します。

5 プロトコルを選択します。デフォルト値を受け入れるか、別の値を入力します。

TCP 変数 説明

First Packet 最初のパケットが送信された後の、接続のタイムアウト値です。デフォルトは 120 秒です。

Closing 最初の FIN が送信された後の、接続のタイムアウト値です。デフォルトは 120 秒です。

Open 2 番目のパケットが転送された後の、接続のタイムアウト値です。デフォルトは 30 秒です。

Fin Wait 両方の FIN が交換され、接続が閉じられた後の、接続のタイムアウト値です。デフォルトは 45 秒です。

Established 接続が完全に確立された後の、接続のタイムアウト値です。

Closed 1 つのエンドポイントが RST を送信した後の、接続のタイムアウト値です。デフォルトは 20 秒です。

UDP 変数 説明

First Packet 最初のパケットが送信された後の、接続のタイムアウト値です。これは、新しい UDP フローの最初のタイムアウトになりま

す。デフォルトは 60 秒です。

Single 送信元ホストが複数のパケットを送信し、宛先ホストが送り返さなかった場合の、接続のタイムアウト値です。デフォルトは

30 秒です。

Multiple 両方のホストがパケットを送信した場合の、接続のタイムアウト値です。デフォルトは 60 秒です。

ICMP 変数 説明

First Packet 最初のパケットが送信された後の、接続のタイムアウト値です。これは、新しい ICMP フローの最初のタイムアウトになりま

す。デフォルトは 20 秒です。

Error reply ICMP パケットへの応答で ICMP エラーが返された後の、接続のタイムアウト値です。デフォルトは 10 秒です。

6 NSX 6.1 以降では、[次へ (Next)] をクリックします。

7 オブジェクト タイプとして [vNIC] または [仮想マシン (VM)] を選択します。

使用可能なオブジェクトのリストが自動的に設定されます。

NSX 管理ガイド

VMware, Inc. 165

8 1 個以上のオブジェクトを選択し、矢印をクリックしてそれらのオブジェクトを [選択したオブジェクト

(Selected Objects)] 列に移動します。

9 [OK] または [終了 (Finish)] をクリックします。

結果

ユーザー定義のホストのセットに適用するタイマーが作成されました。

セッション タイマーの編集

TCP、UDP、ICMP の各プロトコルのタイムアウト パラメータを設定します。

セッション タイマーの作成後、必要に応じて変更できます。デフォルトのセッション タイマーも編集できます。

手順

1 タイムアウトの設定に移動します。

u NSX 6.4.1 以降では、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール設定 (Firewall Settings)] - [タイムアウト設定 (Timeout Settings)] の順に移動します。

u NSX 6.4.0 では、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] - [設定 (Settings)] の順に移動します。

2 使用可能な NSX Manager が複数ある場合は、ドロップダウン リストから 1 つを選択します。

3 編集するタイマーを選択します。デフォルトのタイマーの値も編集できます。[鉛筆 (pencil)] アイコンをクリ

ックします。

4 セッション タイマーの [名前 (name)]（必須）と [説明 (description)]（オプション）を入力します。

5 プロトコルを選択します。変更するデフォルト値を編集します。

TCP 変数 説明

First Packet 最初のパケットが送信された後の、接続のタイムアウト値です。デフォルトは 120 秒です。

Closing 最初の FIN が送信された後の、接続のタイムアウト値です。デフォルトは 120 秒です。

Open 2 番目のパケットが転送された後の、接続のタイムアウト値です。デフォルトは 30 秒です。

Fin Wait 両方の FIN が交換され、接続が閉じられた後の、接続のタイムアウト値です。デフォルトは 45 秒です。

Established 接続が完全に確立された後の、接続のタイムアウト値です。

Closed 1 つのエンドポイントが RST を送信した後の、接続のタイムアウト値です。デフォルトは 20 秒です。

UDP 変数 説明

First Packet 最初のパケットが送信された後の、接続のタイムアウト値です。これは、新しい UDP フローの最初のタイムアウトになりま

す。デフォルトは 60 秒です。

Single 送信元ホストが複数のパケットを送信し、宛先ホストが送り返さなかった場合の、接続のタイムアウト値です。デフォルトは

30 秒です。

Multiple 両方のホストがパケットを送信した場合の、接続のタイムアウト値です。デフォルトは 60 秒です。

NSX 管理ガイド

VMware, Inc. 166

ICMP 変数 説明

First Packet 最初のパケットが送信された後の、接続のタイムアウト値です。これは、新しい ICMP フローの最初のタイムアウトになりま

す。デフォルトは 20 秒です。

Error reply ICMP パケットへの応答で ICMP エラーが返された後の、接続のタイムアウト値です。デフォルトは 10 秒です。

6 NSX 6.1 以降では、[次へ (Next)] をクリックします。

7 オブジェクト タイプとして [vNIC] または [仮想マシン (VM)] を選択します。

使用可能なオブジェクトのリストが自動的に設定されます。

8 1 個以上のオブジェクトを選択し、矢印をクリックしてそれらのオブジェクトを [選択したオブジェクト

(Selected Objects)] 列に移動します。

9 [OK] または [終了 (Finish)] をクリックします。

仮想マシンの IP アドレス検出

VMware Tools は仮想マシンで実行され、いくつかのサービスを提供します。分散ファイアウォールに欠かせない

サービスの 1 つは、仮想マシンおよびその vNIC と IP アドレスとの関連付けです。NSX 6.2 より前のバージョンで

は、VMware Tools が仮想マシンにインストールされていないと、その IP アドレスを検出できませんでした。NSX 6.2 以降では、DHCP スヌーピングか ARP スヌーピングのいずれか、またはその両方で仮想マシンの IP アドレス

を検出するようにクラスタを設定できます。これにより、NSX は VMware Tools が仮想マシンにインストールさ

れていない場合でも IP アドレスを検出できます。VMware Tools がインストールされている場合、DHCP および

ARP のスヌーピングと組み合わせて使用できます。

VMware では、VMware Tools を環境内のすべての仮想マシンにインストールすることをお勧めします。

vCenter Server に仮想マシンの IP アドレスを提供するだけでなく、次の機能があります。

n 仮想マシンとホストまたはクライアント デスクトップの間でのコピー アンド ペーストを可能にする

n ホスト OS と時刻を同期する

n vCenter Server からの仮想マシンのシャットダウンまたは再起動を可能にする

n 仮想マシンからネットワーク、ディスク、メモリの使用量を収集し、ホストに送信する

n ハートビートを送信して収集することで仮想マシンの可用性を判断する

同じネットワークで 1 台の仮想マシンに 2 つの vNIC を使用できません。トラフィックがブロックまたは許可され

ると、予期しない結果が発生する可能性があります。

VMware Tools がインストールされていない仮想マシンでは、仮想マシンのクラスタで ARP および DHCP のス

ヌーピングが有効な場合、NSX は ARP または DHCP のスヌーピングを使用して IP アドレスを検出します。

ARP スヌーピングで検出された IP アドレスは自動的に削除されません。つまり、ARP スヌーピングで検出された

vNIC IP アドレスのタイムアウトはありません。

IP アドレス検出タイプの変更

仮想マシンの IP アドレスは、仮想マシンにインストールされる VMware Tools によって、または DHCP スヌー

ピングおよび ARP スヌーピングによって検出できます。これらの IP アドレス検出方法は、同じ NSX インストール

環境で同時に使用できます。

NSX 管理ガイド

VMware, Inc. 167

IP アドレス検出タイプは、グローバル レベルまたはホスト クラスタ レベルで指定できます。通常、セキュリティ管

理者とセキュリティ エンジニア ロールを持つユーザーは、IP アドレス検出タイプをグローバル レベルで指定するこ

とをお勧めします。検出された仮想マシンの IP アドレスを使用して、SpoofGuard ポリシーと分散ファイアウォー

ル ポリシーを設定します。

通常、エンタープライズ管理者ロールを持つユーザーは仮想ネットワーク全体を管理しているため、ホスト クラスタ

レベルで設定を編集して IP アドレス検出タイプを制御したほうが良い場合があります。ホスト クラスタ レベルの

IP アドレス検出設定は、グローバル レベルで指定された設定よりも優先されます。

手順

1 [IP アドレス検出タイプの変更] 画面に移動します。

IP アドレス検出レベル 手順

グローバル IP アドレス検出 a [ネットワークとセキュリティ] - [セキュリティ] - [SpoofGuard] の順に移動します。

b [IP アドレス検出タイプ] の横にある アイコンをクリックします。

ホスト クラスタの IP アドレス検出 a [ネットワークとセキュリティ] - [インストールとアップグレード] - [ホストの準備] の順に移動します。

b IP アドレス検出を変更するクラスタをクリックして、[アクション] - [IP アドレス検出タ

イプの変更] の順にクリックします。

2 目的の IP アドレス検出タイプを選択して、[保存 (Save)] または [OK] をクリックします。

IP アドレス検出タイプ 説明

DHCP スヌーピング NSX は、DHCP スヌーピング エントリを読み取り、ネットワーク内の仮想マシンの IP アド

レスを検出します。

ARP スヌーピング NSX は、ARP スヌーピング メカニズムを使用して、仮想マシンの IP アドレスを検出しま

す。

推奨 ARP スヌーピングを使用して IP アドレスを検出する場合は、SpoofGuard を設定し

ます。SpoofGuard は、ARP ポイズニング攻撃からネットワークを保護するのに役立ちま

す。

3 ARP スヌーピングを選択した場合は、各仮想マシンについて、vNIC ごとに検出する ARP IP アドレスの最大

数を入力します。デフォルト値は 1 です。

ARP スヌーピングは、各仮想マシンの vNIC ごとに最大 128 個までの IP アドレスを検出できます。有効な値

の範囲は 1 ～ 128 です。たとえば、5 という値を指定すると、各仮想マシンで vNIC ごとに最大 5 つの IP アド

レスが検出されます。

ARP スヌーピングで検出された IP アドレスは自動的に削除されません。つまり、ARP スヌーピングで検出さ

れた vNIC IP アドレスのタイムアウトはありません。

次のステップ

n ARP スヌーピングを有効にした場合は、ARP ポイズニング攻撃からネットワークを保護するように

SpoofGuard を設定することも検討してください。

n デフォルトのファイアウォール ルールを設定します。

NSX 管理ガイド

VMware, Inc. 168

ファイアウォールによる保護からの仮想マシンの除外

分散ファイアウォール保護から一連の仮想マシンを除外することができます。

NSX Manager、NSX Controller、NSX Edge 仮想マシンは、分散ファイアウォール保護から自動的に除外され

ます。また、除外リストに以下のサービス仮想マシンを含めて、トラフィックの自由なフローを可能にします。

n vCenter Server。vCenter Server は Firewall によって保護されているクラスタに移動できますが、これを

前もって除外リストに追加しておき、接続の問題を防止する必要があります。

注： 「任意」のデフォルト ルールを許可からブロックに変更する前に、除外リストに vCenter Server を追

加することが重要です。この操作を行わないと、「すべて拒否」ルールを作成した後（または、デフォルト ルー

ルをブロック アクションに変更した後）で vCenter Server へのアクセスがブロックされます。この場合、デ

フォルトのルールを拒否から許可に変更します。たとえば、現在の設定を取得するには GET /api/4.0/firewall/globalroot-0/config を使用します。設定を変更するには PUT /api/4.0/firewall/globalroot-0/config を使用します。詳細については、『NSX API ガイド』の「分散ファイアウォール設定の

操作」を参照してください。

n パートナーのサービス仮想マシン。

n 無差別モードを必要とする仮想マシン。この仮想マシンを分散ファイアウォールで保護した場合、仮想マシンの

パフォーマンスに悪影響が及ぶ可能性があります。

n Windows ベースの vCenter Server で使用する SQL Server。

n vCenter Server Web サーバ（個別に実行している場合）。

手順

1 除外リストの設定に移動します。

u NSX 6.4.1 以降では、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール設定 (Firewall Settings)] - [除外リスト (Exclusion List)] の順に移動

します。

u NSX 6.4.0 では、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] - [除外リスト (Exclusion List)] の順に移動します。

2 [追加 (Add)] をクリックします。

3 除外する仮想マシンを [選択したオブジェクト] に移動します。

4 [OK] をクリックします。

結果

1 台の仮想マシンに複数の vNIC がある場合は、そのすべてが保護から除外されます。仮想マシンを除外リストに追

加した後に vNIC を仮想マシンに追加した場合、新しく追加した vNIC に Firewall が自動的にデプロイされます。

新しい vNIC をファイアウォール保護から除外するには、仮想マシンを除外リストから削除した後、除外リストに再

度追加する必要があります。代替の回避策は仮想マシンの電源を入れ直す（パワーオフした後にパワーオンする）こ

とですが、問題が少ないのは最初のオプションです。

NSX 管理ガイド

VMware, Inc. 169

ファイアウォール CPU イベントおよびメモリしきい値イベントの表示

クラスタがネットワークの仮想化用に準備されるときに、ファイアウォール モジュールがそのクラスタのすべてのホ

スト上にインストールされます。このモジュールが割り当てる 3 つのヒープは、モジュール パラメータ用モジュー

ル ヒープ、ルール、コンテナ、フィルタ用ルール ヒープ、およびトラフィック フロー用状態ヒープです。ヒープ サイズ割り当ては、有効なホスト物理メモリによって決まります。ルール数、コンテナ セット数、接続数に応じて、ヒ

ープ サイズは時間の経過とともに拡大または縮小される可能性があります。ハイパーバイザー上で実行されている

ファイアウォール モジュールは、パケット処理のためにホスト CPU も使用します。

指定した任意の時間のホスト リソース使用率を知ることで、サーバ使用率およびネットワーク設計をよりよく整理で

きます。

デフォルトの CPU しきい値は 100 であり、メモリしきい値は 100 です。デフォルトのしきい値は、REST API 呼び出しを使用して変更できます。メモリおよび CPU 使用率がしきい値に達すると、ファイアウォール モジュールで

システム イベントが生成されます。デフォルトのしきい値の設定の詳細については、『NSX API ガイド』の

「Memory and CPU Thresholds」を参照してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [イベント (Events)] の順に移動します。

2 [監視 (Monitor)] タブが開かれていることを確認します。

3 [システム イベント (System Events)] タブをクリックします。

分散ファイアウォールのリソース使用率

メモリは、分散ファイアウォールの内部データ構造によって使用され、CPU、RAM、1 秒あたりの接続を設定でき

ます。

各 ESXi ホストには、分散ファイアウォールのリソース使用率の次のしきい値パラメータが設定されています。

CPU 使用率、ヒープ メモリ、プロセス メモリ、1 秒あたりの接続数 (CPS)、最大接続数。200 秒の間に 20 回連

続でそれぞれのしきい値を超えた場合、アラームが表示されます。サンプルは 10 秒ごとに取得されます。

メモリは、フィルタ、ルール、コンテナ、接続状態、検出された IP、ドロップ フローを含む分散ファイアウォール

の内部データ構造によって使用されます。これらのパラメータは、次の API 呼び出しを使用して操作できます。

PUT /api/4.0/firewall/stats/thresholds 詳細については、『NSX API ガイド』を参照してください。

Edge ファイアウォール

Edge ファイアウォールは、North-South トラフィックを監視して、ファイアウォール、ネットワーク アドレス変

換 (NAT)、サイト間 IPsec VPN、SSL VPN などの境界セキュリティ機能を提供します。このソリューションは仮

想マシンで利用でき、高可用性モードでデプロイできます。

NSX 管理ガイド

VMware, Inc. 170

Edge ファイアウォールのサポートは、分散論理ルーターに制限されます。管理インターフェイスまたはアップリン

ク インターフェイスのルールのみが機能しますが、内部インターフェイスのルールは機能しません。

注： NSX-V Edge は、攻撃者が SYN パケットのフラッディングによって、ファイアウォールのステートトラッ

キング テーブルをいっぱいにする SYN フラッド攻撃に対して脆弱性があります。この DOS/DDOS 攻撃によっ

て、ユーザーへのサービスが中断されてしまいます。Edge は、ファイアウォールのステート トラッキング リソー

スを使用せずに、偽の TCP 接続を検出して終了させるロジックを実装して、SYN フラッド攻撃に対して防御する必

要があります。この機能はデフォルトで無効になっています。リスクの高い環境でこの機能を有効にするには、ファ

イアウォールのグローバル設定の中で、REST API enableSynFloodProtection の値を true に設定します。

NSX Edge で SynFloodProtection が有効な場合の動作については、VMware ナレッジベースの記事

https://kb.vmware.com/s/article/54527 を参照してください。

NSX Edge ファイアウォール ルールの使用

NSX Edge に移動し、それに適用されるファイアウォール ルールを確認できます。

分散論理ルーターに適用されるファイアウォール ルールは、分散論理ルーター制御仮想マシンで送受信される制御プ

レーン トラフィックのみを保護します。これらのルールによって、何らかのデータ プレーン保護が強制的に適用さ

れることはありません。データ プレーン トラフィックを保護するには、論理ファイアウォール ルールを作成して

East-West を保護するか、または NSX Edge Services Gateway レベルのルールを作成して North-South を保護します。

ルールは次の順序で表示および適用されます。

1 Edge に適用される事前定義の分散ファイアウォール ルール。

n これらのルールは、ファイアウォール ユーザー インターフェイスで定義されています（[ネットワークとセ

キュリティ] - [セキュリティ] - [ファイアウォール]）。

n NSX Edge ファイアウォール ユーザー インターフェイスでは、これらのルールは、読み取り専用モードで

表示されます。

2 Edge サービスの制御トラフィック フローを許可する内部ルール。たとえば、内部ルールには次のように自動配

置されるルールがあります。

a SSL VPN 自動組み込みルール：サーバの設定で SSL VPN サービスが有効になっている場合、[Edge ファイアウォール] タブに sslvpn 自動組み込みルールが表示されます。

b DNAT 自動組み込みルール：[Edge NAT] タブに、デフォルトの SSL VPN の設定の一部として DNAT 自動組み込みルールが表示されます。

3 NSX Edge ファイアウォール ユーザー インターフェイスに追加されるユーザー定義のルール。

4 デフォルト ルール。

デフォルトの NSX Edge ファイアウォール ルールの編集

デフォルトのファイアウォール設定は、どのユーザー定義ファイアウォール ルールにも一致しないトラフィックに適

用されます。デフォルトの Edge ファイアウォール ポリシーでは、すべての受信トラフィックがブロックされます。

デフォルトのアクション設定とログ設定を変更できます。

NSX 管理ガイド

VMware, Inc. 171

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [NSX Edge (NSX Edges)] の順に移動します。

2 NSX Edge をダブルクリックします。

3 [管理] - [ファイアウォール] の順にクリックします。

4 ファイアウォール テーブルで最後のルールになっている [デフォルト ルール (Default Rule)] を選択します。

ルールのアクションを編集できます。また、デフォルト ルールに一致するすべてのセッションのログを有効また

は無効にできます。ログを有効にするとパフォーマンスに影響が出る場合があります。

NSX バージョン 手順

6.4.6 以降 a 必要に応じてルールのアクションを編集します。

b [ログ] 列で切り替えスイッチをクリックして、ログを有効または無効にします。

6.4.5 以前

a デフォルト ルールの [アクション (Action)] セルをポイントし、 をクリックします。

b 必要に応じてルールのアクションを編集します。

c 必要に応じて、[ログに記録 (Log)] または [ログに記録しない] をクリックします。

5 [変更の発行 (Publish Changes)] をクリックします。

NSX Edge ファイアウォール ルールの追加

ユーザー定義の Edge ファイアウォール ルールを NSX Edge サービス ゲートウェイに追加し、特定のタイプのト

ラフィックの受け入れ、却下、または拒否を行うことができます。ただし、ユーザー定義のファイアウォール ルール

を分散論理ルーターに追加することはできません。

Edge ファイアウォール インターフェイスでは、次の方法で Edge ファイアウォールルールを追加できます。

n ファイアウォール テーブルで既存のルールの上または下にルールを追加する。

n 既存のルールをコピーしてルールを追加する。

n [追加] アイコンをクリックして、ルールを追加する。

注意: 分散ファイアウォール ルールを作成して Edge に適用している場合、これらのファイアウォール ルールは

Edge ファイアウォールのユーザー インターフェイスの 読み取り専用モードに表示されます。ただし、Edge ファ

イアウォールのユーザー インターフェイスで作成した Edge ファイアウォール ルールは、分散ファイアウォール ルールの作成に使用したファイアウォール インターフェイスには表示されません（[ネットワークとセキュリティ] - [セキュリティ] - [ファイアウォール]）。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [ファイアウォール] の順にクリックします。

NSX 管理ガイド

VMware, Inc. 172

5 Edge ファイアウォール ルールを追加するプロセスを開始するには、次の 3 つの方法があります。

方法 1：ファイアウォール テーブルで既存のルールの上または下にルールを追加する。

NSX は、新しく追加されたルールの送信元、宛先、およびサービスの列を「任意」に設定します。ファイアウ

ォール テーブルにシステム生成のデフォルトのルールしかない場合、新しいルールはデフォルトのルールの上に

追加されます。新しいルールはデフォルトで有効になっています。

NSX バージョン 手順

6.4.6 以降 a ルールを選択します。

b をクリックして、[上に追加 (Add Above)] または [下に追加 (Add Below)] を選

択します。

6.4.5 以前 a ルールを選択します。

b [番号]列で、 をクリックし、[上に追加] または [下に追加] を選択します。

方法 2：既存のルールをコピーしてルールを追加する。

NSX 6.4.5 以前では、一度に 1 つのルールをコピーしてルールを作成できます。NSX 6.4.6 以降では、複数の

ルールを選択して同時にコピーできます。コピーしたルールはデフォルトで有効になり、必要に応じてルールの

プロパティを編集できます。

注： システム生成の内部ルールまたはデフォルトのルールをコピーして貼り付ける場合、新しく作成されたル

ールには自動的に user ルール タイプが割り当てられます。

NSX バージョン 手順

6.4.6 以降 a コピーするルールの横にあるチェック ボックスを選択します。

b [詳細] - [選択したルールのコピー] の順にクリックします。

c コピーしたルールを貼り付けるルールを選択します。

d をクリックして、[ルールを上に貼り付け] または [ルールを下に貼り付け] を選択しま

す。

6.4.5 以前 a ルールを選択します。

b [コピー]（ ）アイコンまたは をクリックして、[コピー] を選択します。

c コピーしたルールを貼り付けるルールを選択します。

d [番号]列で、 をクリックし、[上に貼り付け] または [下に貼り付け] を選択します。

方法 3：[追加]（ または ）アイコンをクリックしてルールを追加する。

新しい行がファイアウォール テーブルに追加されます。NSX は、新しく追加されたルールの送信元、宛先、お

よびサービスの列を「任意」に設定します。ファイアウォール テーブルにシステム生成のデフォルトのルールし

かない場合、新しいルールはデフォルトのルールの上に追加されます。新しいルールはデフォルトで有効になっ

ています。

6 （オプション） ルール名を指定します。

n NSX 6.4.6 以降では、新しいルールの [名前] 列をクリックし、ルール名を入力します。

NSX 管理ガイド

VMware, Inc. 173

n NSX 6.4.5 以前では、新しいルールの [名前 (Name)] 列をポイントし、 をクリックします。ルール名

を入力し、[OK] をクリックします。

7 （オプション） ファイアウォール ルールの送信元を指定します。

送信元として IP アドレス、vCenter Server オブジェクト、グループ オブジェクトを追加できます。送信元が

追加されていない場合、送信元は「任意」に設定されます。複数の NSX Edge インターフェイスや IP アドレ

ス グループをファイアウォール ルールの送信元として追加できます。

NSX 管理ガイド

VMware, Inc. 174

新しい IP セットを作成するか、新しいセキュリティ グループを作成するかを選択できます。IP セットまたはセ

キュリティ グループが作成されると、ルールの [送信元] 列に自動的に追加されます。

a ファイアウォール ルールの送信元として使用する 1 つ以上のオブジェクトを選択します。

NSX バージョン 手順

6.4.6 以降 オブジェクトを選択するには：

1 ルールの [送信元] 列をポイントし、 をクリックします。

2 [オブジェクト] タブで、[オブジェクト タイプ] ドロップダウン メニューからオブジ

ェクト タイプを選択します。

3 [使用可能なオブジェクト] リストからオブジェクトを選択し、[選択したオブジェク

ト] リストに移動します。

6.4.5 以前 オブジェクトを選択するには：

1 ルールの [送信元 (Source)] 列をポイントし、 をクリックします。

2 [オブジェクト タイプ] ドロップダウン メニューからオブジェクト タイプを選択しま

す。

3 [使用可能なオブジェクト] リストからオブジェクトを選択し、[選択したオブジェク

ト] リストに移動します。

たとえば、次の 2 つの状況では、「vNIC グループ」オブジェクト タイプを送信元として使用できます。

NSX Edge によって生成されるすべてのトラフィックを選択する

この場合、[オブジェクト タイプ] ドロップダウン メニューから [vNIC グループ] を選択し、[使用可能なオブジ

ェクト] リストから [vse] を選択します。

選択した NSX Edge の内部またはアップリンク（外部）インターフェイスから送信されるすべてのトラフ

ィックを選択する

この場合、[オブジェクト タイプ] ドロップダウン メニューから [vNIC グループ] を選択し、[使用可能なオブジ

ェクト] リストから [内部] または [外部] を選択します。

ルールは、Edge で追加のインターフェイスの設定時に自動的に更新されます。

注意: 内部インターフェイスに定義したファイアウォール ルールは、分散論理ルーターでは機能しません。

b ファイアウォール ルールの送信元として使用する IP アドレスを入力します。

カンマ区切りのリストを使用して複数の IP アドレスを入力することも、IP アドレスの範囲を入力すること

もできます。IPv4 および IPv6 アドレスの両方がサポートされています。

n NSX 6.4.6 以降では、 をクリックします。[IP アドレス] タブをクリックして、[追加] をクリック

し、IP アドレスを入力します。

n NSX 6.4.5 以前の場合は、 をクリックして IP アドレスを入力します。

c （オプション） ファイアウォール ルールで定義された送信元を無効にします。

n [送信元の無効化] オプションを有効にするか選択した場合、このルールで定義されている送信元を除く

すべての送信元から受信するトラフィックにルールが適用されます。

NSX 管理ガイド

VMware, Inc. 175

n [送信元の無効化] オプションを無効にするか選択しなかった場合、このルールの送信元から受信するト

ラフィックにルールが適用されます。

8 （オプション） ファイアウォール ルールの宛先を指定します。

宛先として IP アドレス、vCenter Server オブジェクト、グループ オブジェクトを追加できます。宛先が追加

されていない場合、宛先は「任意」に設定されます。複数の NSX Edge インターフェイスや IP アドレス グル

ープをファイアウォール ルールの宛先として追加できます。

ルールの宛先にオブジェクトと IP アドレスを追加する手順は、ルールの送信元を追加する手順と同じです。

ヒント: NSX 6.4.6 以降では、[送信元] 列から [宛先] 列にオブジェクトと IP アドレスをドラッグできます

（その逆も可能）。また、1 つのルールから別のルールにオブジェクトと IP アドレスをドラッグすることもできま

す。

NSX 管理ガイド

VMware, Inc. 176

9 （オプション） ファイアウォール ルールで使用するサービスを指定します。

a ファイアウォール ルールに 1 つ以上のサービスまたはサービス グループを追加します。

ルールに事前定義されたサービスまたはサービス グループを追加することも、ルールで使用するサービスま

たはサービス グループを新しく作成することもできます。NSX Edge は、L3 プロトコルでのみ定義され

たサービスをサポートします。

NSX バージョン 手順

6.4.6 以降 1 新しいルールの [サービス] 列をポイントし、 をクリックします。

2 [サービス/サービスグループ] タブで、[オブジェクト タイプ] ドロップダウン メニュ

ーからサービスまたはサービス グループのいずれかを選択します。

3 [使用可能なオブジェクト] リストからオブジェクトを選択し、[選択したオブジェク

ト] リストに移動します。

6.4.5 以前1 新しいルールの [サービス] 列をポイントし、 をクリックします。

2 [オブジェクト タイプ] ドロップダウン メニューからサービスまたはサービス グルー

プを選択します。

3 [使用可能なオブジェクト] リストからオブジェクトを選択し、[選択したオブジェク

ト] リストに移動します。

ヒント: NSX 6.4.6 以降では、1 つのユーザー定義ルールから別のユーザー定義ルールにサービスとサー

ビス グループ オブジェクトをドラッグできます。

b ポート プロトコルの組み合わせとして 1 つ以上のサービスをファイアウォール ルールに追加します。

制限: Edge ファイアウォールでは、SCTP (Stream Control Transmission Protocol) プロトコルは

サポートされていません。

NSX バージョン 手順

6.4.6 以降 1 新しいルールの [サービス] 列をポイントし、 をクリックします。

2 [Raw ポート/プロトコル] タブをクリックして、[追加] をクリックします。

3 プロトコルを選択します。

4 [送信元ポート] 列で、ポート番号を入力します。

6.4.5 以前1 新しいルールの [サービス] 列をポイントし、 をクリックします。

2 プロトコルを選択します。

3 [詳細オプション] を展開して、送信元ポート番号を入力します。

10 ルールのアクションを指定します。

n NSX 6.4.6 以降では、ドロップダウン メニューからアクションを選択します。

n NSX 6.4.5 以前では、ルールの [アクション (Action)] 列をポイントし、 をクリックします。アクショ

ンを選択し、[OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 177

以下の表で、ルールのアクションを説明します。

アクション 説明

許可または承諾 指定した送信元、宛先、サービスで送受信されるトラフィックを許可します。デフォルトでは、

アクションはトラフィックを許可するように設定されています。

拒否またはブロック 指定した送信元、宛先、サービスで送受信されるトラフィックをブロックします。

却下 許可されないパケットに対する拒否メッセージを送信します。

n TCP 接続では、RST パケットが送信されます。

n UDP、ICMP およびその他の IP 接続では、管理上禁止されたコードが含まれる ICMP メッセージが送信されます。

11 （オプション） この新しいファイアウォール ルールに一致するセッションをログに記録する必要があるかどうか

を指定します。

デフォルトでは、ルールのログの収集は無効になっています。ログを有効にするとパフォーマンスに影響が出る

場合があります。

n NSX 6.4.6 以降でログを有効にするには、[ログ] 列の切り替えスイッチをクリックします。

n NSX 6.4.5 以前では、新しいルールの [アクション] 列をポイントし、 をクリックします。[ログに記

録] または [ログに記録しない] を選択します。

12 （オプション） ファイアウォール ルールの詳細設定を指定します。

n NSX 6.4.6 以降では、[詳細設定]（ ）アイコンをクリックします。

n NSX 6.4.5 以前では、新しいルールの [アクション] 列をポイントし、 をクリックします。[詳細] オプ

ションを展開します。

NSX 管理ガイド

VMware, Inc. 178

以下の表で、詳細オプションを説明します。

オプション 説明

方向 受信トラフィック、送信トラフィック、あるいはその両方に両方にルールを適用するかどうか

を選択します。デフォルト値は「受信/送信」で、これは、送信元と宛先の両方でルールが対称

的に適用されることを意味します。

「受信」または「送信」方向ではルールが非対称になる可能性があるため、ファイアウォール

ルールの方向を指定することは推奨しません。

たとえば、送信元 A から宛先 B へのトラフィックを「許可」するファイアウォール ルールを

作成し、ルールの方向を「送信」に設定したとします。

n A が B にパケットを送信すると、A でトラフィックの方向が「送信」に設定されている

ため、このルールに基づいて状態が作成されます。

n B でパケットが受信されると、実際のトラフィックの方向は「受信」になります。ルール

の方向が「送信トラフィック」のみを受け入れるように設定されているため、このルール

は B が受信したこのパケットに適用されません。

この例では、ルールで「送信」方向を設定すると、ルールが非対称になります。

一致条件 このオプションを使用して、ファイアウォール ルールを適用する条件を指定します。

n ネットワーク アドレス変換が実行される前に元の IP アドレスとサービスにルールを適

用するには、[元データ] を選択します。

n ネットワーク アドレス変換を実行した後で、変換後の IP アドレスとサービスにルールを

適用するには、[変換] を選択します。

13 [変更の発行 (Publish Changes)] をクリックして、新しいルールを NSX Edge に適用します。

例： サンプルのファイアウォール ルール

図 10-5. NSX Edge インターフェイスから HTTP サーバへ向かうトラフィックのためのファイアウォール ルール

図 10-6. NSX Edge のすべての内部インターフェイス（内部インターフェイスに接続されているポートグループ上

のサブネット）から HTTP サーバへ向かうトラフィックのためのファイアウォール ルール

NSX 管理ガイド

VMware, Inc. 179

図 10-7. 内部ネットワーク内のマシンへの SSH を許可するトラフィックのためのファイアウォール ルール

次のステップ

Edge ファイアウォール ルールを操作するときに、ファイアウォール テーブルに追加タスクを実行できます。次は

その例です。

n テーブルのルール リストをフィルタリングします。たとえば、システムが生成したデフォルトのルールと内部ル

ールを非表示にしたり、Edge に適用された事前定義の分散ファイアウォール ルールを非表示にできます。

n [検索] テキスト ボックスを使用して、特定の文字列に一致するルールを検索します。たとえば、文字列「133」

を含むすべてのルールを検索する場合は、[検索] テキスト ボックスに 133 と入力します。

n 発行済みルールの統計情報を表示します。

n NSX 6.4.6 以降では、[統計]（ ）アイコンをクリックします。

n NSX 6.4.5 以前では、ファイアウォール テーブルに [統計] 列が表示されていることを確認します。[統計]

列が表示されない場合は、 をクリックして、[統計] 列を選択します。ルールの統計情報を表示するに

は、 をクリックします。

n ユーザー定義ルールの順序を変更するには、[上へ移動]（ または ）または [下へ移動]（ または ）

アイコンをクリックします。NSX 6.4.6 以降では、ユーザー定義のルールをドラッグして順序を変更できます。

ドラッグするユーザー定義ルールをポイントします。ドラッグ ハンドル（ ）アイコンがルールの左側に表示さ

れます。このハンドルをクリックしてドラッグし、ファイアウォール テーブル内の有効な場所にルールを移動し

ます。

重要： 自動生成された内部ルールとデフォルト ルールの順序は変更できません。

n ルールを無効にします。

n NSX 6.4.6 以降では、ルール名の左側にある切り替えスイッチをクリックします。

n NSX 6.4.5 以前では、 （[番号 (No.)] 列）をクリックします。

n ルールが発行されるまでは、ルールの変更を取り消したり、やり直したりできます。この機能は NSX 6.4.6 以降で使用可能です。ルールの公開後は、ルールの変更履歴が失われるため、変更を取り消したり、やり直すこと

はできません。

NSX Edge ファイアウォール ルールの編集

ユーザー定義の Edge ファイアウォール ルールのみを編集できます。システムが生成するデフォルトのファイアウ

ォール ルールには、限定的な変更を行うことができます。

NSX 管理ガイド

VMware, Inc. 180

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [ファイアウォール] の順にクリックします。

5 編集するルールを選択します。

注： NSX Edge ファイアウォール ユーザー インターフェイスで、次のタイプのルールを編集することはでき

ません。

n 内部ルール（Edge サービスの制御トラフィック フローを許可する自動配置ルールなど）

n Edge に適用される事前定義の分散ファイアウォール ルール。これらのファイアウォール ルールは、ファ

イアウォール ユーザー インターフェイスで定義されています（[ネットワークとセキュリティ] - [セキュリ

ティ] - [ファイアウォール]）。

6 必要な変更を行い、[保存] または [OK] をクリックします。

7 [変更の発行 (Publish Changes)] をクリックします。

NSX Edge ファイアウォール ルールの順序の変更

[Edge ファイアウォール] タブで追加されたユーザー定義のファイアウォール ルールの順序を変更し、NSX Edge を通過するトラフィックをカスタマイズできます。たとえば、ロード バランサのトラフィックを許可するルールを設

定しているとします。ここで、特定の IP アドレス グループからのロード バランサのトラフィックを拒否するルール

を追加し、このルールをロード バランサを許可するトラフィック ルールの上に置くことができます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [ファイアウォール] の順にクリックします。

5 順序を変更するルールを選択します。

重要： 自動生成された内部ルールとデフォルト ルールの順序は変更できません。

6 [上へ移動 (Move Up)]（ または ）または [下へ移動 (Move Down)]（ または ）アイコンをクリ

ックします。

ヒント: NSX 6.4.6 以降では、ユーザー定義のルールをドラッグして順序を変更できます。ドラッグするユー

ザー定義ルールをポイントします。ドラッグ ハンドル（ ）アイコンがこのルールの左側に表示されます。この

ハンドルをクリックしてドラッグし、ファイアウォール テーブル内の有効な場所にルールを移動します。

7 [変更の発行 (Publish Changes)] をクリックします。

NSX 管理ガイド

VMware, Inc. 181

NSX Edge ファイアウォール ルールの削除

NSX Edge の [ファイアウォール] タブで追加されたユーザー定義のファイアウォール ルールを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [ファイアウォール] の順にクリックします。

5 削除するユーザー定義のルールを選択します。

制限: 次のタイプのファイアウォール ルールは削除できません。

n デフォルト ルール

n システム生成の内部（自動配置）ルール

n ファイアウォール ユーザー インターフェイスを使用して Edge に適用される事前定義の分散ファイアウ

ォール ルール（[ネットワークとセキュリティ] - [セキュリティ] - [ファイアウォール]）

6 [削除 (Delete)]（ または ）アイコンをクリックします。

7 [変更の発行] をクリックします。

Edge ファイアウォール ルールを有効に設定する

ルールで使用されているグループ オブジェクト、サービスまたはサービス グループが削除されると、Edge ファイ

アウォール ルールが無効になります。無効なファイアウォール ルールは発行できません。

次の図のように、ルールの宛先に IP セット オブジェクトが設定された Edge ファイアウォール ルールを作成した

とします。

次の手順では、Edge で FW-IPset オブジェクトを削除して、ファイアウォール テーブルに戻り、NSX Edge が無効なルールを検出していることを確認します。ルールを有効としてマークし、再発行します。

手順

1 Edge で IP セット オブジェクトを強制的に削除します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ] - [NSX Edge] の順にクリックします。

NSX 管理ガイド

VMware, Inc. 182

c Edge をダブルクリックし、[管理] - [グループ オブジェクト] の順に移動します。

d [IP セット] タブをクリックして、[FW-IPSet] オブジェクトを選択します。

e [削除]（ または ) アイコンをクリックして、[強制的に削除] チェック ボックスを選択します。

2 [ファイアウォール] タブをクリックして、Edge ファイアウォール テーブルに戻ります。

3 NSX が上のファイアウォール テーブルに次のエラー メッセージを表示していることを確認します。

NSX Edge は、位置 4 のファイアウォール ルールの宛先が無効であることを検出したため、ルールが無効にな

ります。次の図のように、ルールの宛先列の空のオブジェクトが赤色のボックスで囲まれます。

4 （必須） 空のオブジェクトを削除します。

NSX バージョン 手順

6.4.6 以降 空の sys-gen-empty-ipset-edge-fw オブジェクトをポイントし、 をクリックして、

[削除] を選択します。

6.4.5 以前 空の sys-gen-empty-ipset-edge-fw オブジェクトをポイントし、 をクリックしま

す。

5 （オプション） ルールの設定が有効になるように、ルールの宛先を編集します。

NSX バージョン 手順

6.4.6 以降 a ルールの [宛先] 列をポイントし、 をクリックして、[ルール ターゲットを編集] 選択

します。

b 必要に応じて、オブジェクトまたは IP アドレスを追加します。

6.4.5 以前a ルールの [宛先] 列をポイントし、 をクリックします。

b 必要に応じて、オブジェクトまたは IP アドレスを追加します。

6 （6.4.6 以降のみ）エラー メッセージの [ルールを有効としてマーク] リンクをクリックします。

NSX Edge に、次の警告メッセージが表示されます。

This action will mark rule as valid.

Please ensure that all elements in the rule are valid objects before performing this action.

Do you want to continue?

n [はい] をクリックして、ルールを有効とマークします。エラー メッセージが消去されます。

NSX 管理ガイド

VMware, Inc. 183

n 警告メッセージを閉じてファイアウォール テーブルに戻り、ルールの宛先を確認して編集するには、[いい

え] をクリックします。

注： NSX 6.4.5 以前の場合は、ファイアウォール テーブルの上のエラー メッセージに [ルールを有効として

マーク] リンクが表示されません。空のオブジェクトを削除し、必要に応じてルールの宛先を編集すると、NSX Edge がルールの設定が有効になったことを検出し、エラー メッセージを消去します。

7 [変更の発行] をクリックして、ルールの変更を有効にします。

Edge オブジェクト

Edge レベルのグループ オブジェクトを作成すると、オブジェクトのスコープを Edge に制限できます。ネットワ

ーク グループ オブジェクトはグローバル スコープで、Edge や他のオブジェクト間で使用できますが、Edge グル

ープ オブジェクトは異なります。

たとえば、特定の Edge に IP セット（IP アドレス グループ）を作成し、この IP セットが他のコンテキストで再利

用されないようにするには、Edge の IP セットを作成します。

NSX Edge のスコープでは、次のグループ オブジェクトを作成し、管理できます。

n IP セット

n サービス

n サービス グループ

vSphere Web Client で Edge オブジェクトを作成するには、Edge を選択し、[管理 (Manage)] - [グループ オブジェクト (Grouping Objects)] の順に移動します。

IP セット（IP アドレス グループ）、サービス、サービス グループの操作方法については、22 章 ネットワークおよ

びセキュリティ オブジェクトを参照してください。

NAT ルールの管理

NSX Edge は、ネットワーク アドレス変換 (NAT) サービスを提供して、パブリック アドレスをプライベート ネットワーク内のコンピュータ（またはコンピュータ グループ）に割り当てます。NAT テクノロジーを使用すると、

組織または企業が使用するパブリック IP アドレス数が制限されるため、コストおよびセキュリティの面で利点があ

ります。企業のプライベート ネットワーク内の仮想マシンで実行されているサービスへのアクセスを許可するには、

Edge アプライアンスで NAT ルールを設定する必要があります。

NAT サービスの設定は、送信元の NAT (SNAT) ルールと宛先の NAT (DNAT) ルールに分けられます。

SNAT ルールの追加

送信元の IP アドレスをパブリックからプライベートの IP アドレスまたはその逆に変更する送信元の NAT (SNAT) ルールを作成できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [NSX Edges] の順

に移動します。

2 NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 184

3 [管理 (Manage)] - [NAT] の順にクリックします。

4 [追加 (Add)] をクリックし、[SNAT ルールの追加 (Add SNAT Rule)] をクリックします。

5 ルールを追加するインターフェイスを選択します。

6 必要なプロトコルを選択します。

7 元の送信元（パブリック）IP アドレスを次のいずれかのフォーマットで入力します。

フォーマット Example

IP アドレス 192.0.2.0

IP アドレス範囲 192.0.2.0 ～ 192.0.2.24

IP アドレス/サブネット 192.0.2.0/24

any

8 送信元のポートまたはポート範囲を入力します。

フォーマット Example

ポート番号 80

ポート範囲 80-85

any

9 宛先 IP アドレスを次のいずれかのフォーマットで入力します。

フォーマット Example

IP アドレス 192.0.2.0

IP アドレス範囲 192.0.2.0 ～ 192.0.2.24

IP アドレス/サブネット 192.0.2.0 /24

any

10 宛先のポートまたはポート範囲を入力します。

フォーマット Example

ポート番号 80

ポート範囲 80-85

any

11 変換後の送信元 IP アドレスを次のいずれかのフォーマットで入力します。

フォーマット Example

IP アドレス 192.0.2.0

IP アドレス範囲 192.0.2.0 ～ 192.0.2.24

NSX 管理ガイド

VMware, Inc. 185

フォーマット Example

IP アドレス/サブネット 192.0.2.0/24

any

12 ルールを有効にします。

13 （オプション） ログの作成を有効にして、アドレス変換のログを記録します。

14 [追加 (Add)] または [OK] をクリックして、SNAT ルールを追加します。

15 [変更の発行 (Publish Changes)] をクリックします。

DNAT ルールの追加

宛先の IP アドレスをパブリックからプライベートの IP アドレスまたはその逆に変更する宛先 NAT (DNAT) ルー

ルを作成できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [NSX Edges] の順

に移動します。

2 NSX Edge をダブルクリックします。

3 [管理 (Manage)] - [NAT] の順にクリックします。

4 [追加 (Add)] をクリックし、[DNAT ルールの追加 (Add DNAT Rule)] をクリックします。

5 DNAT ルールを適用するインターフェイスを選択します。

6 必要なプロトコルを選択します。

7 送信元 IP アドレスを次のいずれかのフォーマットで入力します。

フォーマット 例

IP アドレス 192.0.2.0

IP アドレス範囲 192.0.2.0 ～ 192.0.2.24

IP アドレス/サブネット 192.0.2.0 /24

any

8 送信元のポートまたはポート範囲を入力します。

フォーマット 例

ポート番号 80

ポート範囲 80-85

any

NSX 管理ガイド

VMware, Inc. 186

9 オリジナル（パブリック）IP アドレスを次のいずれかのフォーマットで入力します。

フォーマット 例

IP アドレス 192.0.2.0

IP アドレス範囲 192.0.2.0 ～ 192.0.2.24

IP アドレス/サブネット 192.0.2.0 /24

any

10 オリジナルのポートまたはポート範囲を入力します。

フォーマット 例

ポート番号 80

ポート範囲 80-85

any

11 変換された IP アドレスを次のいずれかのフォーマットで入力します。

フォーマット 例

IP アドレス 192.0.2.0

IP アドレス範囲 192.0.2.0 ～ 192.0.2.24

IP アドレス/サブネット 192.0.2.0 /24

any

12 変換されたポートまたはポート範囲を入力します。

フォーマット 例

ポート番号 80

ポート範囲 80-85

any

13 ルールを有効にします。

14 （オプション） ログの作成を有効にして、アドレス変換のログを記録します。

15 [追加 (Add)] または [OK] をクリックして、DNAT ルールを追加します。

16 [変更の発行 (Publish Changes)] をクリックします。

NAT64 ルールの追加

NAT64 ルールを使用すると、NSX Edge はネットワーク アドレス変換を行い、外部 IPv6 サブネットワークから

内部 IPv4 サブネットワークへのトラフィックを許可します。

NAT64 では、IPv6 専用ノードから IPv4 専用ノードへの通信だけがサポートされます。

NSX 管理ガイド

VMware, Inc. 187

NAT64 は、次のレイヤー 4 プロトコルをサポートしています。

n TCP

n UDP

n ICMP

n ICMP Echo 要求と応答のみ。

n ICMPv4 エラーはサポートされていますが、ICMPv6 エラーはサポートされていません。

他のプロトコル タイプのパケットはすべて破棄されます。

IPv4 オプション、IPv6 ルーティング ヘッダー、ホップバイホップ拡張ヘッダー、宛先オプション ヘッダー、送信

元ルーティング ヘッダーの変換はサポートされていません。FTP はサポートされていません。断片化されたパケッ

トはサポートされていません。

NAT64 では NSX Edge 高可用性はサポートされていません。アクティブ アプライアンスとスタンバイ アプライ

アンス間で NAT64 セッションは同期されません。フェイルオーバーが発生すると、接続が中断します。

動的ルーティング プロトコルを設定している場合、IPv4 プリフィックスが再配分されます。

NAT64 トラフィックには、次のタイマーが適用されます。

表 10-3. NAT64 タイマー

プロトコル タイムアウト

TCP 受信 TCP-SYNC 6 秒

TCP-ESTABLISHED 2 時間

TCP-Trans 4 分

UDP 5 分

ICMP 1 分

前提条件

n IPv6 ネットワークのアドレスを使用して、Edge Services Gateway のアップリンク インターフェイスを設

定します。

n IPv4 ネットワークのアドレスを使用して、Edge Services Gateway の内部インターフェイスを設定します。

n これらのアドレスが環境内で重複していないことを確認します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [NSX Edges] の順

に移動します。

2 NSX Edge をダブルクリックします。

3 [管理 (Manage)] - [NAT] の順にクリックします。

4 [ビュー (View)] ドロップダウン メニューから、[NAT64] を選択します。

NSX 管理ガイド

VMware, Inc. 188

5 [追加 (Add)] をクリックして、NAT64 パラメータを入力します。

オプション 説明

IPv6 宛先プリフィックスと一致 IPv6 ネットワーク プリフィックス（ネットワーク アドレス）または特定の IPv6 アドレスを

CIDR 表記で入力します。

NAT64 を使用すると、IPv6 サブネットから IPv4 サブネットに接続できますが、ほとんど

の状況では、特定の IPv6 アドレスではなく IPv6 ネットワーク プリフィックスの入力が必要

になることがあります。

NAT64 は、このテキスト ボックスに指定された IPv6 ネットワーク プリフィックスを使用

して、IPv4 宛先アドレスを IPv6 宛先アドレスにマッピングします。プリフィックス長は、

32、40、48、56、64、または 96 のいずれかにする必要があります。

たとえば、/96 ネットワーク プリフィックスを使用すると、NAT64 は IPv4 宛先アドレス

に相当する 16 進数を IPv6 ネットワーク プリフィックスに追加します。例については、この

手順の後にある NAT64 サンプル ルールを参照してください。

注： RFC 6052 に定義されている既知の 64:ff9b::/96 プリフィックスを使用することも、

環境内でまだ使用されていない他の IPv6 プリフィックスを使用することもできます。

変換後の IPv4 送信元プリフィックス オプション：IPv4 ネットワーク プリフィックス（ネットワーク アドレス）または特定の IPv4 アドレスを CIDR 表記で入力します。

環境内で IPv4 ネットワーク プリフィックスまたは IPv4 アドレスがまだ使用されていない

ことを確認します。

NAT64 を使用すると、IPv6 サブネットから IPv4 サブネットに接続できますが、ほとんど

の状況では、特定の IPv4 アドレスではなく IPv4 ネットワーク プリフィックスの入力が必要

になることがあります。

NAT64 は、IPv4 ネットワーク プリフィックスの IP アドレスを使用して、IPv6 送信元アド

レスを IPv4 送信元アドレスに変換します。例については、この手順の後にある NAT64 サン

プル ルールを参照してください。

注：

n 100.64.0.0/16 の IPv4 共有アドレス空間は、NAT64 用に予約されています。この予

約済みのアドレス空間を使用できます。

n このテキスト ボックスを空のままにすると、ルールの発行時に NAT64 は予約済みのア

ドレス空間を自動的に使用します。

説明 ルールの説明（オプション）

[有効] または [ステータス] NAT64 ルールを有効にします。

[ログの有効化] または [ログ] NAT64 ルールのログの収集を有効にします。

6 [追加] をクリックしてルールを保存します。

7 [発行] をクリックして、ルールを有効にします。

例： NAT64 サンプル ルール

NSX Edge は、外部 IPv6 ネットワーク上の Web 1 コンピュータ (2001::20/64) から内部 IPv4 サブネット上の

仮想マシン 1 (10.10.10.2/30) へのトラフィックを許可します。

NSX 管理ガイド

VMware, Inc. 189

VP

Web1

仮想 マシン 1

仮想 マシン 2

仮想 マシン 3

仮想 マシン 4

NSX Edge

2001::20/64

IPv6 サブネット

(NAT64) IPv6 IPv4

DLR論理スイッチ 1

（IPv4 サブネット）

10.10.10.2/30

論理スイッチ 2（IPv4 サブネット）

外部ネットワーク

この例の NAT64 ルールでは、次のサンプル値を使用しています。

n 比較する IPv6 宛先プリフィックス：64:ff90::/96

n 変換後の IPv4 送信元プリフィックス：30.30.30.0/24

次の画面キャプチャは、発行後のルールを示しています。ルール ID は自動生成されるため、環境によって異なる可

能性があります。

図 10-8. NAT64 ルールの定義

NAT64 ルールは、宛先の IPv4 アドレス (10.10.10.2) に相当する 16 進数を取得し、IPv6 ネットワーク プリフィ

ックス (64: ff90::) に追加し、IPv6 宛先アドレス 64:ff90::a0a:a02 を形成します。

このルールは、変換後の IPv4 送信元プリフィックス (30.30.30.0/24) から任意の IP アドレスを取得します。こ

のルールは 30.30.30.32 を取得します。NAT64 は、この IPv4 送信元アドレスを使用して、宛先アドレス

64:ff90::a0a:a02 を実際の IPv4 宛先アドレス (10.10.10.2) に変換します。

ルールが発行されたら、次の手順を実行します。

1 Web1 コンピュータのコマンド プロンプトにログインし、IPv6 宛先アドレス 64:ff90::a0a:a02 に ping コマンドを発行します。nat64 セッションが確立されます。

NSX 管理ガイド

VMware, Inc. 190

2 NSX Edge CLI にログインし、show nat64 sessions コマンドを実行して nat64 セッションを表示します。

Protocol IPv6-SA IPv6-DA SPort DPort IPv4_SA IPv4-DA

SPort DPort

TCP 2001::20 64:ff90::a0a:a02 2055 22 30.30.30.32 10.10.10.2

2055 22

ファイアウォール ルール セクションの操作

セクションを追加して、ファイアウォール ルールを個別に管理できます。たとえば、販売部門とエンジニア部門用の

ルールを別のセクションに置くことができます。

L2 ルールおよび L3 ルール用に、複数のファイアウォール ルール セクションを作成できます。複数のユーザーが

Web クライアントにログインし、ファイアウォール ルールとセクションに同時に変更を行う可能性があるため、作

業中のセクションのルールが他のユーザーに変更されないように、そのセクションをロックできます。

Cross-vCenter NSX 環境では、複数のユニバーサル ルール セクションを設定できます。複数のユニバーサル セクションを設定することで、テナントやアプリケーションごとにルールを容易に整理できます。ユニバーサル セクシ

ョン内でルールを変更または編集する場合、そのセクションのユニバーサル分散ファイアウォール ルールのみがセカ

ンダリ NSX Manager に同期されます。ユニバーサル ルールは、プライマリ NSX Manager 上で管理する必要が

あります。また、ユニバーサル ルールを追加する前に、ユニバーサル セクションを作成しておく必要があります。

ユニバーサル セクションは、常にプライマリおよびセカンダリ NSX Manager の両方のローカル セクションより

も上位にリストされます。

ユニバーサル セクションの外部のルールは、ルールが追加されたプライマリまたはセカンダリの NSX Manager のローカル ルールになります。

ファイアウォール ルール セクションの追加

ファイアウォール テーブルにセクションを追加して、ルールを整理するほか、Cross-vCenter NSX 環境で使用す

るユニバーサル セクションを作成できます。

前提条件

変更を加える適切な NSX Manager を決定します。

n スタンドアロン環境や単一の vCenter Server NSX の環境では、NSX Manager は 1 つしか存在しないため、

NSX Manager を選択する必要はありません。

n ユニバーサル オブジェクトはプライマリ NSX Manager から管理する必要があります。

n NSX Manager に対してローカルなオブジェクトは、NSX Manager から管理する必要があります。

n 拡張リンク モードが有効になっていない Cross-vCenter NSX 環境で設定の変更を行うには、変更する NSX Manager にリンクされた vCenter Server から変更を行う必要があります。

n 拡張リンク モードの Cross-vCenter NSX 環境では、リンクされた任意の vCenter Server から、任意の

NSX Manager の設定を変更できます。NSX Manager ドロップダウン メニューから、適切な NSX Manager を選択します。

NSX 管理ガイド

VMware, Inc. 191

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 複数の NSX Manager が使用可能な場合は、いずれかの NSX Manager を選択します。ユニバーサル セクシ

ョンを追加するプライマリ NSX Manager を選択する必要があります。

3 [設定 (Configuration)] - [全般 (General)]タブの順に移動して、L3、L4、または L7 ルール用のセクション

を追加します。[イーサネット (Ethernet)] タブをクリックして、L2 ルール用のセクションを追加します。

4 [セクションの追加 (Add Section)]（ または ）をクリックします。

5 セクションの名前を入力します。セクションの名前は、NSX Manager 内で一意の名前である必要があります。

6 （オプション） Cross-vCenter NSX 環境では、セクションをユニバーサル ファイアウォール ルール セクショ

ンとして設定できます。

n NSX 6.4.1 以降では、[ユニバーサル同期 (Universal Synchronization)] ボタンをクリックします。

n NSX 6.4.0 では、[このセクションをユニバーサル同期の対象としてマーク (Mark this section for Universal Synchronization)] を選択します。

7 （オプション） 適切なチェック ボックスを選択して、ファイアウォール セクションにファイアウォール ルール

のプロパティを設定します。

ファイアウォール ルール セクションのプロパティ 説明

[送信元でユーザー ID を有効にする (Enable User Identity at Source)]

RDSH の Identity Firewall を使用する場合は、[送信元でユーザー

ID を有効にする] を選択する必要があります。この設定を行うと、コ

ンテキストを識別するために TCP 接続の状態が追跡されるため、ステ

ートレス ファイアウォールの有効化オプションが無効になります。

[TCP Strict を有効にする (Enable TCP Strict)] TCP Strict は、ファイアウォールが最初の 3 ウェイ ハンドシェイク

を確認できない場合に、確立された TCP 接続を切断するかどうかを決

定します。true に設定すると、接続を切断します。

[ステートレス ファイアウォールを有効にする (Enable Stateless Firewall)]

ファイアウォールのセクションでステートレス ファイアウォールを有

効にします。

8 [OK] をクリックして、[変更の発行 (Publish Changes)] をクリックします。

次のステップ

セクションにルールを追加します。ファイアウォール ルールの追加を参照してください。

ファイアウォール ルール セクションのマージ

セクションをマージして、そのセクション内のルールを統合できます。セクションを Service Composer セクショ

ンやデフォルト セクションとマージすることはできません。Cross-vCenter NSX 環境では、セクションをユニバ

ーサル セクションとマージすることはできません。

複雑なファイアウォールの設定をマージして統合すると、メンテナンスがしやすくなり、わかりやすくなります。

NSX 管理ガイド

VMware, Inc. 192

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 セクションをマージします。

n NSX 6.4.1 以降では、マージするファイアウォール ルール セクションのメニュー [ ()( )] をクリックし

て、[セクションのマージ (Merge Section)] を選択します。

n NSX 6.4.0 では、マージするファイアウォール ルール セクションで [セクションのマージ（ ） (Merge section)] をクリックします。

3 このセクションを上または下のセクションとマージするかどうかを選択します。

両セクションのルールがマージされます。新しいセクションには、他のセクションをマージしたセクションの名

前が維持されます。

4 [変更の発行 (Publish Changes)] をクリックします。

ファイアウォール ルール セクションの削除

ファイアウォール ルール セクションを削除できます。そのセクションのすべてのルールが削除されます。

セクションを削除して、ファイアウォール テーブルの別の場所に追加し直すことはできません。セクションを追加し

直す場合は、セクションを削除して、設定を発行する必要があります。その後、セクションをファイアウォール テー

ブルに追加して再び発行します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 L3 ルールのセクションを削除する場合は、[設定 (Configuration)] - [全般 (General)] タブの順に移動しま

す。L2 ルールのセクションを削除する場合は、[イーサネット (Ethernet)] タブをクリックします。

3 削除するセクションの [セクションを削除します (Delete section)] （ ）アイコンをクリックします。

4 [OK] をクリックして、[変更の発行 (Publish Changes)] をクリックします。

結果

そのセクションおよびそのセクションのすべてのルールが削除されます。

ファイアウォール ルール セクションのロック

複数のユーザーが同じセクションを同時に変更しないように、ファイアウォール ルール セクションをロックできま

す。

複数のユーザーが同じセクションに同時に変更しないように、ファイアウォール ルール セクションをロックできま

す。エンタープライズ管理者は、すべてのロックを参照、オーバーライドできます。

NSX 管理ガイド

VMware, Inc. 193

セキュリティ管理者、セキュリティ エンジニア、エンタープライズ管理者のユーザー ロールは、自分のセクション

のロックとロック解除を行うことができます。エンタープライズ管理者のユーザー ロールは、ロックを実行したユー

ザーやロールに関係なく、セクションのロックを解除できます。エンタープライズ管理者は、他のエンタープライズ

管理者のロックを解除できます。ユーザー ロールの詳細については、ユーザー権限の管理を参照してください。

ロックされたファイアウォール セクションでは、次の操作を実行できません。

n 別のユーザーが別のセクションをマージする。

n 別のユーザーが新しいルールを追加する。

n 別のユーザーが削除する。

n 別のユーザーがルールをドラッグ アンド ドロップする。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 セクションのロック アイコンをクリックして、[セクションのロック (Lock Section)] に名前とコメントを入力

し、[ロック (LOCK)] をクリックします。

ロックされている場合は、閉じた鍵がセクションに表示されます。

ファイアウォール ルール セクションのロック解除

複数のユーザーが同じセクションに同時に変更しないように、ファイアウォール ルール セクションをロックできま

す。

複数のユーザーが同じセクションに同時に変更しないように、ファイアウォール ルール セクションをロックできま

す。エンタープライズ管理者は、すべてのロックを参照、オーバーライドできます。

セキュリティ管理者、セキュリティ エンジニア、エンタープライズ管理者のユーザー ロールは、自分のセクション

のロックとロック解除を行うことができます。エンタープライズ管理者のユーザー ロールは、ロックを実行したユー

ザーやロールに関係なく、セクションのロックを解除できます。エンタープライズ管理者は、他のエンタープライズ

管理者のロックを解除できます。ユーザー ロールの詳細については、ユーザー権限の管理を参照してください。

ロックされたファイアウォール セクションでは、次の操作を実行できません。

n 別のユーザーが別のセクションをマージする。

n 別のユーザーが新しいルールを追加する。

n 別のユーザーが削除する。

n 別のユーザーがルールをドラッグ アンド ドロップする。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

NSX 管理ガイド

VMware, Inc. 194

2 セクションのロックを解除するには、次のいずれかを行います。

n セクションのロック アイコンをクリックして、[ロックを解除 (UNLOCK)] をクリックします。開錠された

鍵のアイコンがセクションに表示され、ロックが解除されていることを示します。

n ファイアウォール ルール テーブルの上に、ロックされたセクションの数が表示されます。ロックされてい

るすべてのセクションを表示するには、[ロック (Locked)] の横にあるハイパーリンク付きの数字をクリッ

クします。自分がロックしたセクションを確認するには、自分の名前でルールをフィルタします。ロックを

解除するルールを選択し、[ロックを解除 (UNLOCK)] をクリックします。

ファイアウォール ルールの使用

分散ファイアウォール ルールおよび Edge ファイアウォール ルールは、[ファイアウォール] タブで集中管理できま

す。マルチテナント環境で、プロバイダは統合ファイアウォール ユーザー インターフェイスを使用して高レベルの

トラフィック フロー ルールを定義できます。

各トラフィック セッションがファイアウォール テーブルの一番上のルールに照らしてチェックされ、順にテーブル

の下位のルールに照らしてチェックされます。テーブル内のルールのうち、トラフィック パラメータと一致する最初

のルールが適用されます。ルールは次の順序で表示されます。

1 ユーザーがファイアウォール ユーザー インターフェイスで定義したルールの優先順位が最も高くなり、仮想

NIC レベル単位の優先順位で上位から下位に向かって適用されます。

2 自動組み込みルール（Edge サービス用に制御トラフィック フローを有効にするルール）。

3 ユーザーが NSX Edge インターフェイスで定義したルール。

4 Service Composer ルール - ポリシーごとに別々のセクション。ファイアウォール テーブル内のこれらのル

ールは編集できませんが、セキュリティ ポリシー ファイアウォール ルール セクションの先頭にルールを追加す

ることは可能です。この操作を行う場合は、Service Composer でそれらのルールを再同期する必要がありま

す。詳細については、18 章 Service Composer を参照してください。

5 デフォルトの分散ファイアウォール ルール

ファイアウォール ルールが適用されるのは、ファイアウォールを有効にしているクラスタ上のみであることに注意し

てください。クラスタの準備の詳細については、『NSX インストール ガイド』を参照してください。

ファイアウォール ルールの追加

NSX Manager スコープでファイアウォール ルールを追加します。その後、[適用先] フィールドを使用して、ルー

ルを適用するスコープを絞り込むことができます。各ルールの送信元と宛先に複数のオブジェクトを追加すること

で、追加するファイアウォール ルールの総数を減らすことができます。

手順

1 ファイアウォール ルールの作成

NSX Manager のスコープにファイアウォール ルールを追加します。その後、[適用先] フィールドを使用し

て、ルールを適用する範囲を絞り込むことができます。各ルールの送信元と宛先に複数のオブジェクトを追加

することで、追加するファイアウォール ルールの総数を減らすことができます。

NSX 管理ガイド

VMware, Inc. 195

2 ファイアウォール ルールの送信元または宛先の追加

IP アドレス、vCenter Server オブジェクト、NSX グループ オブジェクトを送信元として使用できます。送

信元と宛先を定義し、無効にすることもできます。送信元または宛先が定義されていない場合、送信元または

宛先が「任意」に設定されます。

3 ファイアウォール ルール サービスの追加

ファイアウォール ルールでは、新しいサービス グループを作成したり、事前定義のサービス グループを使用

できます。

4 ファイアウォール ルールのアクションとログの指定

ファイアウォール ルールでは、指定された送信元、宛先またはサービスからのトラフィックに許可、ブロック

または拒否を設定できます。

5 ファイアウォール スコープの定義

[適用先] フィールドを使用して、ルールを適用するスコープを絞り込むことができます。

6 ファイアウォール ルールの発行

新しいファイアウォール ルールを作成したら、ルールを発行して変更を反映させる必要があります。

ファイアウォール ルールの作成

NSX Manager のスコープにファイアウォール ルールを追加します。その後、[適用先] フィールドを使用して、ル

ールを適用する範囲を絞り込むことができます。各ルールの送信元と宛先に複数のオブジェクトを追加することで、

追加するファイアウォール ルールの総数を減らすことができます。

前提条件

VMware vCenter オブジェクトに基づいてルールを追加する場合、VMware Tools が仮想マシンにインストール

されていることを確認します。NSX インストール ガイド を参照してください。

NSX 6.1.5 から 6.2.3 に移行した仮想マシンで TFTP ALG がサポートされません。移行後に TFTP ALG のサポ

ートを有効にするには、除外リストに仮想マシンを追加して削除するか、仮想マシンを再起動します。新しい 6.2.3 フィルタが作成され、TFTP ALG がサポートされます。

注： ID ベースのファイアウォール ルールの前提条件：

n 1 つ以上のドメインが NSX Manager に登録されている。NSX Manager は、グループ、ユーザー情報、およ

びこれらの関係を登録先の各ドメインから取得します。NSX Manager への Windows ドメインの登録を参

照してください。

n ルールの送信元または宛先として使用できる、Active Directory オブジェクト ベースのセキュリティ グルー

プが作成されている。「セキュリティ グループの作成」を参照してください。

n Active Directory サーバが NSX Manager に統合されている必要があります。

n ホストで分散ファイアウォールを有効にし、NSX 6.4.0 にアップグレードする必要があります。

n ゲスト マシンで、更新された VMware Tools が実行されている必要があります。

n ゲスト イントロスペクション サービス仮想マシンのバージョンが 6.4 以降でなければなりません。

n ファイアウォール ルールの新しいセクションにルールを作成する必要があります。

NSX 管理ガイド

VMware, Inc. 196

n ルールで [送信元でユーザー ID を有効にする] を選択する必要があります。

n リモート デスクトップ アクセスのルールでは、[適用先] フィールドを使用できません。

n RDSH の IDFW では ICMP がサポートされていません。

注： ユニバーサル ファイアウォール ルールの前提条件：

Cross-vCenter NSX 環境の場合、ユニバーサル ルールは、プライマリ NSX Manager のユニバーサル ルール セクションで定義された分散ファイアウォール ルールを参照します。これらのルールは、環境内のすべてのセカンダリ

NSX Manager でレプリケートされるため、vCenter Server の境界を越えて一貫したファイアウォール ポリシー

を維持できます。プライマリ NSX Manager には、ユニバーサル L2 ルール用のユニバーサル セクションとユニバ

ーサル L3 ルール用のユニバーサル セクションをそれぞれ複数含めることができます。ユニバーサル セクション

は、すべてのローカル セクションおよび Service Composer セクションの上部にあります。セカンダリ NSX Manager では、ユニバーサル セクションやユニバーサル ルールを表示できますが、編集はできません。ローカル

セクションに対するユニバーサル セクションの配置は、ルールの優先順位に影響しません。

複数の vCenter Server 間の vMotion では、Edge ファイアウォール ルールはサポートされていません。

表 10-4. ユニバーサル ファイアウォール ルールでサポートされるオブジェクト

送信元と宛先 適用先 サービス

n ユニバーサル MAC セット

n ユニバーサル IP セット

n ユニバーサル セキュリティ タグ、IP セッ

ト、MAC セット、またはユニバーサル セキュリティ グループを含めることができる

ユニバーサル セキュリティ グループ

n ユニバーサル セキュリティ タグ、IP セッ

ト、MAC セット、またはユニバーサル セキュリティ グループを含めることができ

るユニバーサル セキュリティ グループ

n ユニバーサル論理スイッチ

n 分散ファイアウォール： 分散ファイアウ

ォールがインストールされているすべて

のクラスタにルールを適用

n 事前に作成されたユニバーサル サービスお

よびサービス グループ

n ユーザーが作成したユニバーサル サービス

およびサービス グループ

ユニバーサル ルールでは、他の vCenter オブジェクトはサポートされていません。

NSX 分散ファイアウォールの状態が後方互換性モードになっていないことを確認してください。現在の状態を確認

するには、REST API 呼び出し GET https://<nsxmgr-ip>/api/4.0/firewall/globalroot-0/state を使用しま

す。後方互換性モードになっている場合、RES API 呼び出し PUT https://<nsxmgr-ip>/api/4.0/firewall/globalroot-0/state を使用して、前方互換性モードに変更できます。分散ファイアウォールが後方互換性モードに

なっているときに、分散ファイアウォール ルールを発行しないでください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 [設定 (Configuration)] - [全般 (General)] タブの順に移動し、L3、L4、または L7 ルールを追加します。[イーサネット (Ethernet)] タブをクリックし、L2 ルールを追加します。

ユニバーサル ファイアウォール ルールを作成する場合は、ユニバーサル ルール セクションでルールを作成しま

す。

3 新しいルールの [名前 (Name)] セルをポイントし、 をクリックします。

4 新しいルールの名前を入力します。

NSX 管理ガイド

VMware, Inc. 197

ファイアウォール ルールの送信元または宛先の追加

IP アドレス、vCenter Server オブジェクト、NSX グループ オブジェクトを送信元として使用できます。送信元

と宛先を定義し、無効にすることもできます。送信元または宛先が定義されていない場合、送信元または宛先が「任

意」に設定されます。

次の vCenter Server オブジェクトをファイアウォール ルールの送信元または宛先として指定できます。

表 10-5. ファイアウォール ルールでサポートされるオブジェクト

送信元または宛先 適用先

n クラスタ

n データセンター

n 分散ポート グループ

n IP セット

n レガシー ポート グループ

n 論理スイッチ

n リソース プール

n セキュリティ グループ

n vApp

n 仮想マシン

n vNIC

n IP アドレス（IPv4 または IPv6）

n 分散ファイアウォールがインストールされているすべてのクラスタ

（つまり、ネットワーク仮想化の準備ができているすべてのクラスタ）

n 準備ができているクラスタにインストールされているすべての

Edge Gateway

n クラスタ

n データセンター

n 分散ポート グループ

n Edge

n レガシー ポート グループ

n 論理スイッチ

n セキュリティ グループ

n 仮想マシン

n vNIC

手順

1 （オプション） ファイアウォール ルールで使用するオブジェクトを選択します。

a 送信元または宛先の列で [編集 (Edit)] をクリックします。

b [オブジェクト タイプ (Object Type)] ドロップダウン メニューからオブジェクト タイプを選択します。

新しいセキュリティ グループまたは IP セットを作成できます。新しいオブジェクトを作成すると、デフォ

ルトで送信元または宛先の列に追加されます。新しいセキュリティ グループまたは IP セットの作成につい

ては、22 章 ネットワークおよびセキュリティ オブジェクトを参照してください。

c 1 個以上のオブジェクトを選択し、矢印をクリックしてそれらのオブジェクトを [選択したオブジェクト

(Selected Objects)] 列に移動します。

NSX 管理ガイド

VMware, Inc. 198

2 （オプション） ファイアウォール ルールで使用する IP アドレスを選択します。

オプション 説明

NSX 6.4.1 a 送信元または宛先の列で [編集 (Edit)] をクリックし、[IP アドレス (IP addresses)] を選択して [追加 (Add)] をクリックします。

b IP アドレスを 1 つ入力します。IPv4 および IPv6 アドレスの両方が有効です。

c 追加の IP アドレスを入力する必要がある場合は、[追加 (Add)] をクリックします。

NSX 6.4.0 a 送信元の列で IP アドレス（ ）をクリックします。

b [IPv4] または [IPv6] を選択します。

c IP アドレスを入力します。

複数の IP アドレスをコンマ区切りのリストで入力できます。リストの長さは、最大 255 文字です。

3 （オプション） このルールに定義されている送信元または宛先を無効にします。

[送信元の無効化 (Negate Source)] を選択した場合、このルールで定義されている送信元を除くすべての送信

元から受信するトラフィックにルールが適用されます。

[送信元の無効化 (Negate Source)] を選択しない場合、このルールで定義されている送信元または宛先から受

信するトラフィックにルールが適用されます。

[送信元の無効化 (Negate Source)] は、少なくとも 1 つの送信元または宛先が定義されている場合にのみ選択

できます。

オプション 説明

NSX 6.4.1 a 送信元の列で [編集 (Edit)] をクリックします。

b [送信元の無効化 (Negate Source)] を「オン」に設定します。

NSX 6.4.0a 送信元の列で [編集]（ ）をクリックします。

b [送信元の無効化 (Negate source)] チェック ボックスを選択します。

ファイアウォール ルール サービスの追加

ファイアウォール ルールでは、新しいサービス グループを作成したり、事前定義のサービス グループを使用できま

す。

NSX 管理ガイド

VMware, Inc. 199

手順

1 ファイアウォール ルールで使用する事前定義のサービスまたはサービス グループを選択します。

オプション 説明

NSX 6.4.1 a 新しいルールの [サービス (Service)] セルをポイントし、 をクリックします。

b [オブジェクト タイプ (Object Type)] ドロップダウン メニューからオブジェクト タイ

プを選択します。新しいセキュリティ グループまたは IP セットを作成できます。新しい

オブジェクトを作成すると、デフォルトで送信元または宛先の列に追加されます。新しい

セキュリティ グループまたは IP セットの作成については、22 章 ネットワークおよびセ

キュリティ オブジェクトを参照してください。

c 1 個以上のオブジェクトを選択し、矢印をクリックしてそれらのオブジェクトを [選択した

オブジェクト (Selected Objects)] 列に移動します。

NSX 6.4.0a 新しいルールの [サービス (Service)] セルをポイントし、 をクリックします。

b 1 つ以上のオブジェクトを選択し、 をクリックします。

新しいサービスまたはサービス グループを作成できます。新しいオブジェクトを作成す

ると、デフォルトで [選択したオブジェクト] 列に追加されます。

c [OK] をクリックします。

2 ファイアウォール ルールで使用するポート/プロトコルを選択するか、新しく定義します。

オプション 説明

NSX 6.4.1 a 新しいルールの [サービス (Service)] セルをポイントし、 をクリックします。

b [Raw ポート/プロトコル (Raw Port-Protocol)] を選択し、[追加 (Add)] をクリック

します。

c リストから [プロトコル (Protocol)] を選択し、[OK] をクリックします。

NSX 6.4.0 a 新しいルールの [サービス (Service)] セルをポイントし、 をクリックします。

b サービス プロトコルを選択します。

分散ファイアウォールでは、TFTP、FTP、ORACLE TNS、MS-RPC、SUN-RPC のプロトコルの ALG（アプリケーション レベル ゲートウェイ）がサポートされています。

Edge では、FTP、TFTP、および SNMP_BASIC の ALG がサポートされています。

注：NSX 6.1.5 から 6.2.3 に移行した仮想マシンでは、TFTP ALG はサポートされま

せん。移行後に TFTP ALG のサポートを有効にするには、除外リストに仮想マシンを追

加して削除するか、仮想マシンを再起動します。新しい 6.2.3 フィルタが作成され、

TFTP ALG がサポートされます。

c ポート番号を入力し、[OK] をクリックします。

ACK または SYN フラッドからネットワークを保護するには、デフォルト ルールでサービスを TCP-all_ports または UDP-all_ports に設定し、アクションをブロックに設定します。デフォルト ルールの変更については、

デフォルトの分散ファイアウォール ルールの編集を参照してください。

ファイアウォール ルールのアクションとログの指定

ファイアウォール ルールでは、指定された送信元、宛先またはサービスからのトラフィックに許可、ブロックまたは

拒否を設定できます。

NSX 管理ガイド

VMware, Inc. 200

手順

1 新しいルールの [アクション (Action)] セルをポイントし、次の表の説明に従って適切な選択を行います。

アクション 結果

許可 指定した送信元、宛先、サービスの送受信トラフィックを許可します。

ブロック 指定した送信元、宛先、サービスの送受信トラフィックをブロックします。

却下 許可されないパケットに対する拒否メッセージを送信します。

TCP 接続では、RST パケットが送信されます。

UDP、ICMP およびその他の IP 接続では、管理上禁止されたコードが含まれる ICMP メッセ

ージが送信されます。

ログに記録 このルールと一致するすべてのセッションのログを記録します。ログを有効にするとパフォー

マンスに影響が出る場合があります。

ログに記録しない セッションのログを記録しません。

2 （オプション） ログを有効にします。

オプション 説明

NSX 6.4.1 [ログ] 列で、[ログ (Log)] ボタンをクリックして「オン」にします。

NSX 6.4.0 a 新しいルールの [アクション (Action)] セルをポイントし、 をクリックします。

b [ログに記録 (Log)] または [ログに記録しない (Do not Log)] を選択します。このル

ールに一致するすべてのセクションがログに記録されるため、パフォーマンスに影響する

場合があります。

ファイアウォール スコープの定義

[適用先] フィールドを使用して、ルールを適用するスコープを絞り込むことができます。

ルールの送信元と宛先フィールドに仮想マシンまたは vNIC が含まれる場合、ルールを正常に適用するには [適用先

(Applied To)] に送信元と宛先の両方の仮想マシンまたは vNIC を追加する必要があります。

NSX 管理ガイド

VMware, Inc. 201

手順

u [適用先 (Applied To)] で、このルールが適用可能なスコープを定義します。次の表の説明に従って適切な選択

を行い、[OK] をクリックします。リモート デスクトップ アクセスのルールを追加する場合、[適用先 (Applied To)] フィールドは使用できません。

ルールの適用先 操作

環境内の準備ができているすべてのクラスタ [分散ファイアウォールがインストールされているすべてのクラスタに

このルールを適用します (Apply this rule on all clusters on which Distributed Firewall is installed)] を選択します。[OK] をクリックすると、このルールの [適用先] 列に [分散ファイアウォー

ル (Distributed Firewall)] が表示されます。

環境内のすべての NSX Edge Gateway [すべての Edge ゲートウェイにこのルールを適用します (Apply this rule on all the Edge gateways)] を選択します。[OK] または [保存] をクリックすると、このルールの [適用先] 列に [すべての

Edge (All Edges)] が表示されます。

上記の両方のオプションが選択されている場合、[適用先] 列には [任意

(Any)] が表示されます。

1 つ以上のクラスタ、データセンター、分散仮想ポート グループ、NSX Edge、ネットワーク、仮想マシン、vNIC、または論理スイッチ

[使用可能] リストで、1 つ以上のオブジェクトを選択し、 をクリ

ックします。

ファイアウォール ルールの発行

新しいファイアウォール ルールを作成したら、ルールを発行して変更を反映させる必要があります。

手順

u [発行 (Publish)] または [変更の発行 (Publish Changes)] をクリックします。セクションの一番上に新しい

ルールが追加されます。セクションにシステム定義のルールしかない場合は、新しいルールはデフォルトのルー

ルの上に追加されます。

数秒後、発行に成功したかどうかを示すメッセージが表示されます。失敗した場合、ルールが適用されなかった

ホストがリストされます。失敗した発行の詳細を確認するには、[NSX Manager (NSX Managers)] - [NSX_Manager_IP_Address] - [監視 (Monitor)] - [システム イベント (System Events)] の順に移動し

ます。

セクション内の特定の場所にルールを追加する場合は、ルールを選択します。[番号]列で、 をクリックし、

[上に追加 (Add Above)] または [下に追加 (Add Below)] を選択します。

[変更の発行 (Publish Changes)] をクリックすると、ファイアウォール設定が自動的に保存されます。以前の

設定に戻す方法については、保存されたファイアウォール設定の読み込みを参照してください。

次のステップ

n をクリックしてルールを無効にするか、 をクリックしてルールを有効にします。

NSX 管理ガイド

VMware, Inc. 202

n ルール テーブル内の追加の列を表示するには、 をクリックし、適切な列を選択します。

カラム名 表示される情報

ルール ID システムが生成した、各ルールに一意の ID

ログに記録 このルールのトラフィックがログ記録されるかどうか

統計 をクリックし、このルールに関連するトラフィック（トラフィック パケットおよびサイズ）を表示

コメント ルールのコメント

n 検索フィールドにテキストを入力し、ルールを検索します。

n ファイアウォール テーブル内で、ルールの位置を上下に移動します。

n [セクションをマージします (Merge section)] アイコンをクリックし、[上のセクションとマージ (Merge with above section)] または [下のセクションとマージ (Merge with below section)] を選択してセクシ

ョンをマージします。

デフォルトの分散ファイアウォール ルールの編集

デフォルトのファイアウォール設定は、どのユーザー定義ファイアウォール ルールにも一致しないトラフィックに適

用されます。分散ファイアウォールのデフォルト ルールは、統合ファイアウォール ユーザー インターフェイスに表

示され、各 NSX Edge のデフォルト ルールが NSX Edge レベルで表示されます。

デフォルトの分散ファイアウォール ルールでは、すべての L3 および L2 トラフィックがインフラストラクチャの準

備済み全クラスタを通過します。デフォルト ルールは常に、ルール テーブルの下部に表示され、削除や追加はでき

ません。ただし、ルールの操作要素を [許可] から [ブロック] または [却下] に変更したり、ルールにコメントを追加

したり、そのルールのトラフィックをログ記録するかどうかを指定したりすることは可能です。

Cross-vCenter NSX 環境では、デフォルト ルールはユニバーサル ルールではありません。デフォルト ルールへ

の変更は、すべて対応する各 NSX Manager で実施する必要があります。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 デフォルト セクションを展開して、必要な変更を行います。

[操作 (Action)] および [ログ (Log)] の編集や、デフォルト ルールへのコメントの追加のみ実行できます。

分散ファイアウォール ルールの強制同期

ホストにファイアウォール ルールを発行できない場合には、強制同期を実行します。

個々のホストのファイアウォール ルールを NSX Manager と同期する必要がある場合、強制同期が実行されます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [インストールとアッ

プグレード (Installation and Upgrade)] - [ホストの準備 (Host Preparation)] の順に移動します。

NSX 管理ガイド

VMware, Inc. 203

2 強制同期を実行するクラスタを選択して、[アクション (Actions) ( )] - [サービスの強制同期 (Force Sync Services)] の順にクリックします。

3 強制同期を行うサービスから [ファイアウォール (Firewall)] を選択します。[OK] をクリックします。

同期中にファイアウォールのステータスが変わります。

カスタムのレイヤー 3 プロトコルでのファイアウォール ルール

ファイアウォール ルールは、プロトコルのドロップダウン メニューに表示されていないカスタムのプロトコル番号

を使用して作成できます。

カスタムのプロトコル番号でのファイアウォール ルールは、分散ファイアウォールまたは NSX Edge ファイアウォ

ールで作成できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 [設定 (Configuration)] - [全般 (General)] タブの順に移動し、L3 ルールを追加します。[ルールの追加

(Add rule)]（ ）アイコンをクリックします。

3 新しいルールの [名前 (Name)] セルをポイントし、 をクリックします。

4 新しいルールの名前を入力します。

5 新しいルールの [送信元 (Source)] を指定します。詳細については、ファイアウォール ルールの送信元または

宛先の追加を参照してください。

6 新しいルールの [宛先 (Destination)] を指定します。詳細については、ファイアウォール ルールの送信元また

は宛先の追加を参照してください。

7 新しいルールの [サービス (Service)] セルをポイントします。[サービスの追加 (Add Service)]（ ）アイコ

ンをクリックします。

8 [サービスの指定 (Specify Service)] ウィンドウの左下にある [新規サービス (New Service)] をクリックし

ます。

9 新しいプロトコルの [名前 (Name)] を入力します（OSPF など）。

10 プロトコルのドロップダウン メニューから [L3_OTHERS] を選択します。

ドロップダウン メニューの下に [プロトコル番号 (Protocol Number)] フィールドが表示されます。

11 [プロトコル番号 (Protocol Number)] を入力します（OSPF の 89 など）。

12 [OK] をクリックします。

13 ファイアウォール ルールを発行します。詳細については、ファイアウォール ルールの発行を参照してください。

結果

カスタム プロトコル番号を使用してファイアウォール ルールが作成されました。

NSX 管理ガイド

VMware, Inc. 204

未発行の設定の保存

ルールを追加し、そのルールを発行しないまま設定を保存できます。保存した設定は後でロードして発行できます。

手順

1 ファイアウォール ルールを追加します。ファイアウォール ルールの追加を参照してください。

2 [変更の保存 (Save Changes)] または [保存 (Save)] をクリックします。

3 名前と説明を入力して、新しい設定を作成します。

4 [設定の保持 (Preserve Configuration)] をクリックして、この変更内容を保持します。

NSX では、最大で 100 個の設定を保存できます。この制限を超えると、保存される設定（[設定の保持

(Preserve Configuration)] とマークされた設定）は保持されますが、保持されなかった古い設定は、容量を

空けるために削除されます。

5 [保存] をクリックします。

6 保存した設定を変更するには、次の手順に従います。

オプション 説明

NSX 6.4.1 以降 a 別のファイアウォール ルールを追加します。

b [保存 (Save)] をクリックします。

c [既存の設定を更新 (Update existing configuration)] を選択します。

d [保存 (Save)] をクリックします。

NSX 6.4.0 a 別のファイアウォール ルールを追加します。

b [変更の更新 (Update Changes)] をクリックします。

c [変更の保存 (Save Changes)] をクリックします。

n [変更を元に戻す (Revert Changes)] をクリックし、ルールを追加する前の設定に戻します。追加したば

かりのルールを発行する場合は、[設定のロード (Load Configuration)] アイコンをクリックし、ステップ

3 で保存したルールを選択し、[OK] をクリックします。

n [変更の更新 (Update Changes)] をクリックし、ルールの追加を続行します。

7 変更を元に戻すには、次の手順に従います。

オプション 説明

NSX 6.4.1 以降 a [取り消す (Undo)] をクリックします。

NSX 6.4.0 a [変更を元に戻す (Revert Changes)] をクリックし、ルールを追加する前の設定に戻し

ます。

保存されたファイアウォール設定の読み込み

自動保存またはインポートされたファイアウォール設定を読み込むことができます。既存の設定に Service Composer によって管理されるルールが含まれる場合、そのルールはインポート後にオーバーライドされます。

NSX 管理ガイド

VMware, Inc. 205

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [ファイアウォール (Firewall)] の順に移動します。

2 L3 ファイアウォール設定を読み込むには、[設定 (Configuration)] - [全般 (General)] タブの順に移動しま

す。L2 ファイアウォール設定を読み込むには、[イーサネット (Ethernet)] タブをクリックします。

3 保存済みの設定の読み込み

オプション 説明

NSX 6.4.1 以降 a [詳細 (More)] をクリックして、[保存済みの設定をロード (Load Saved Configuration)] を選択します。

b 読み込む設定を選択して、[ロード (LOAD)] をクリックします。

NSX 6.4.0a [設定のロード (Load configuration)] （ ）アイコンをクリックします。

b 読み込む設定を選択して、[OK] をクリックします。

現在の設定が選択された設定に置き換わります。

次のステップ

設定に含まれる Service Composer のルールが、読み込まれた設定によってオーバーライドされた場合は、

Service Composer の [セキュリティ ポリシー] タブで、[アクション (Actions)] - [ファイアウォールのルールの

同期 (Synchronize Firewall Rules)] をクリックします。

ファイアウォール ルールのフィルタ

さまざまな基準を使用してルールセットをフィルタできます。これにより、ルールの変更が簡略化されます。

送信元仮想マシン、宛先仮想マシン、送信元 IP アドレス、宛先 IP アドレス、ルール アクション、ログ、ルール名、

コメント、およびルール ID を基準にして、ルールをフィルタできます。特定のサービス、アプリケーションまたは

プロトコルに基づてルールをフィルタリングできます。

手順

1 [ファイアウォール] タブで、[フィルタの適用 (Apply Filter)]（ または ）アイコンをクリックします。

2 必要に応じてフィルタ条件を入力します。

3 [適用 (Apply)] をクリックします。

指定したフィルタ基準に一致するルールが表示されます。

次のステップ

すべてのルールを再度表示するには、フィルタをクリアします。

n NSX 6.4.1 以降では、[フィルタ] ダイアログ ボックスの [クリア (Clear)] をクリックします。

n NSX 6.4.0 では、[適用したフィルタの削除 (Remove applied filter)]（ ）アイコンをクリックします。

NSX 管理ガイド

VMware, Inc. 206

ファイアウォール ルールの順序の変更

ファイアウォール ルールは、ルール テーブルに記載されている順序で適用されます。

ルールは次の順序で表示（および適用）されます。

1 ユーザー定義の事前ルールに最も高い優先順位が与えられます。このルールは、各仮想 NIC レベルの優先順位

に沿って、上から順に適用されます。

2 自動配置されたルール。

3 NSX Edge レベルで定義されたローカル ルール。

4 Service Composer ルール - ポリシーごとに別々のセクション。ファイアウォール テーブル内のこれらのル

ールは編集できませんが、セキュリティ ポリシー ファイアウォール ルール セクションの先頭にルールを追加す

ることは可能です。この操作を行う場合は、Service Composer でそれらのルールを再同期する必要がありま

す。詳細については、18 章 Service Composer を参照してください。

5 デフォルトの分散ファイアウォール ルール

テーブル内でカスタム ルールの位置を上下に移動することができます。デフォルト ルールは常にルール テーブルの

下部に表示され、これを移動することはできません。

手順

1 [ファイアウォール (Firewall)] タブで、移動するルールを選択します。

2 [ルールを上へ移動 (Move rule up)] （ ）または [ルールを下へ移動 (Move rule down)] （ ）アイコン

をクリックします。

3 [変更の発行 (Publish Changes)] をクリックします。

セキュリティ グループでのファイアウォール ルールの動作

ファイアウォール ルールの動作は、セキュリティ グループによって異なります。

表 10-6. RDSH セクションと RDSH 以外のセクションでのファイアウォール ルールの動作

ユーザー ID のセキュリティ グループを有効に

する（RDSH セクション）

ID のセキュリティ グループ（RDSH セクシ

ョン）

任意のセキュリティ グループ（RDSH 以外のセ

クション）

送信元 - SID ベースのルールがハイパーバイザ

ーに事前にプッシュされます。最初のパケット

にルールが適用されます。

送信元 - IP アドレス ベースのルール 送信元 - IP アドレス ベースのルール

宛先 - IP アドレス ベースのルール 宛先 - IP アドレス ベースのルール 宛先 - IP アドレス ベースのルール

ID ベースのセキュリティ グループの適用先 - すべてのホストに適用 ユーザー ベースの適用先

ID ベース以外のセキュリティ グループの適用先 - ユーザー ベースの適用先 ユーザー ベースの適用先

ファイアウォール ルールのヒット数とリセット

ファイアウォール画面の上部には、ルールのサマリ パネルが表示されます。この部分は、3 つのファイアウォール タブのすべてに表示されます。

NSX 管理ガイド

VMware, Inc. 207

ルールのサマリ パネルには次の情報が表示されます。

n ルールの合計数。

n 未発行ルールの数。

n 無効になっているルールの数。

n セクションの合計数。

n ロックされたセクションの合計数。

ルールのヒット数をリセットするには、次の手順に従います。

手順

1 画面右上隅にある [詳細 (MORE)] をクリックします。

2 [ルール ヒット数をリセット (Reset Rule Hit Count)] をクリックし、[リセット (RESET)] をクリックしま

す。

3 [リセット] をクリックします。

すべてのルールの数がゼロにリセットされます。

ファイアウォールのログ

ファイアウォールは、監査ログ、ルール メッセージ ログ、システム イベント ログなどのログ ファイルを生成して

保存します。ファイアウォールが有効になっている各クラスタに対して、Syslog サーバを設定する必要があります。

Syslog サーバは Syslog.global.logHost 属性で指定します。

推奨 Syslog サーバでファイアウォール監査ログを収集するには、Syslog サーバが最新バージョンにアップグレ

ードされていることを確認します。可能であれば、ファイアウォール監査ログを収集するように、リモートの

syslog-ng サーバを設定します。

ファイアウォールは、次の表にあるログを生成します。

表 10-7. ファイアウォールのログ

ログ タイプ 説明 場所

ルール メッセージ ログ ルールでログ作成が有効な場合、各ルールで許可されるトラ

フィックや拒否されるトラフィックなどの、すべてのアクセ

スに関する決定事項が含まれます。ログ作成が有効なルー

ルの分散ファイアウォール パケットのログが含まれます。

/var/log/dfwpktlogs.log

監査ログ 管理ログと分散ファイアウォールの設定の変更が含まれま

す。

/home/secureall/secureall/logs/vsm.log

システム イベント ログ 適用された分散ファイアウォールの設定のほか、作成、削

除、または失敗したフィルタ、セキュリティ グループに追

加された仮想マシンなどの情報が含まれます。

/home/secureall/secureall/logs/vsm.log

NSX 管理ガイド

VMware, Inc. 208

表 10-7. ファイアウォールのログ （続き）

ログ タイプ 説明 場所

データ プレーン/VMkernel のロ

グ

ファイアウォール カーネル モジュール (VSIP) に関連する

アクティビティをキャプチャします。システムによって生

成されるメッセージのログ エントリが含まれます。

/var/log/vmkernel.log

メッセージ バス クライアント/VSFWD のログ

ファイアウォール エージェントのアクティビティをキャプ

チャします。

/var/log/vsfwd.log

注： vsm.log ファイルにアクセスするには、NSX Manager コマンド ライン インターフェイス (CLI) から show log manager コマンドを実行し、vsm.log をキーワードに指定して grep を実行します。このファイルにアクセ

スできるのは、root 権限を持つユーザーまたはユーザー グループのみです。

ルール メッセージ ログ

ルールのログ作成が有効な場合、許可されたトラフィックや拒否されたトラフィックなど、ルールによって決定され

たアクセスに関するすべての情報がログに含まれます。これらのログは、各ホストの /var/log/dfwpktlogs.log に保存されます。

ファイアウォールのログ メッセージの例：

# more /var/log/dfwpktlogs.log

2015-03-10T03:22:22.671Z INET match DROP domain-c7/1002 IN 242 UDP 192.168.110.10/138-

>192.168.110.255/138

# more /var/log/dfwpktlogs.log

2017-04-11T21:09:59.877Z ESXi_FQDN dfwpktlogs: 50047 INET TERM domain-c1/1001 IN TCP RST

10.1.2.3/33491->10.4.5.6/10001 22/14 7684/1070

その他の例：

2017-10-19T22:38:05.586Z 58734 INET match PASS domain-c8/1006 OUT 84 ICMP 172.18.8.121->172.18.8.119

RULE_TAG

2017-10-19T22:38:08.723Z 58734 INET match PASS domain-c8/1006 OUT 60 TCP 172.18.8.121/36485-

>172.18.8.119/22 S RULE_TAG

2017-10-19T22:38:18.785Z 58734 INET TERM domain-c8/1006 OUT ICMP 8 0 172.18.8.121->172.18.8.119 2/2

168/168 RULE_TAG

2017-10-19T22:38:20.789Z 58734 INET TERM domain-c8/1006 OUT TCP FIN 172.18.8.121/36484-

>172.18.8.119/22 44/33 4965/5009 RULE_TAG

次の例では、

n 1002 は分散ファイアウォールのルール ID です。

n domain-c7 は vCenter 管理対象オブジェクト ブラウザ (MOB) のクラスタ ID です。

n 192.168.110.10/138 は送信元 IP アドレスです。

n 192.168.110.255/138 は宛先 IP アドレスです。

NSX 管理ガイド

VMware, Inc. 209

n RULE_TAG は、ファイアウォール ルールの追加または編集で [タグ (Tag)]テキスト ボックスに追加するテキ

ストの例です。

次の例は、192.168.110.10 を 172.16.10.12 に ping した結果を示しています。

# tail -f /var/log/dfwpktlogs.log | grep 192.168.110.10

2015-03-10T03:20:31.274Z INET match DROP domain-c27/1002 IN 60 PROTO 1 192.168.110.10->172.16.10.12

2015-03-10T03:20:35.794Z INET match DROP domain-c27/1002 IN 60 PROTO 1 192.168.110.10->172.16.10.12

次の表は、ファイアウォール ログ メッセージのテキスト ボックスの説明です。

表 10-8. ログ ファイル エントリのコンポーネント

コンポーネント サンプル内の値

タイムスタンプ 2017-04-11T21:09:59

ファイアウォールに関する記述 877Z ESXi_FQDN dfwpktlogs: 50047 INET TERM domain-c1/1001 IN TCP RST 10.1.2.3/33491->10.4.5.6/10001 22/14 7684/1070

表 10-9. ログ ファイル エントリのファイアウォールに関する記述

エンティティ 利用可能な値

フィルタ ハッシュ フィルタ名およびその他の情報の取得に使用できる数値。

AF 値 INET、INET6

原因 n match：　パケットがルールと一致します。

n bad-offset：　パケットの取得中にデータパスで内部エラーが発生しました。

n fragment：　先頭のフラグメントにリアセンブルした後の先頭以外のフラグメントです。

n short：　パケットが短すぎます。たとえば、IP ヘッダーまたは TCP/UDP ヘッダーが含まれてい

ません。

n normalize：　正しいヘッダーまたはペイロードなしの不正なパケットです。

n memory：　データパスでメモリが不足しています。

n bad-timestamp：　不正な TCP タイムスタンプです。

n proto-cksum：　不正なプロトコル チェックサムです。

n state-mismatch：　TCP 状態マシン チェックを通過していない TCP パケットです。

n state-insert：　重複する接続が見つかりました。

n state-limit：状態の数が、データパスで追跡可能な最大数に達しました。

n SpoofGuard：　SpoofGuard がドロップしたパケットです。

n TERM：　接続が切断されました。

NSX 管理ガイド

VMware, Inc. 210

表 10-9. ログ ファイル エントリのファイアウォールに関する記述 （続き）

エンティティ 利用可能な値

アクション n PASS：　パケットを受け入れます。

n DROP：　パケットをドロップします。

n NAT：　SNAT ルールです。

n NONAT：SNAT ルールに一致しましたが、アドレス変換はできません。

n RDR：　DNAT ルールです。

n NORDR：　DNAT ルールに一致しましたが、アドレス変換はできません。

n PUNT：　この仮想マシンと同じハイパーバイザーで実行しているサービス仮想マシンにパケットを

送信します。

n REDIRECT：　この仮想マシンのハイパーバイザー以外で実行しているネットワーク サービスにパ

ケットを送信します。

n COPY：　パケットを受け入れ、現在の仮想マシンと同じハイパーバイザーで実行されているサービ

ス仮想マシンにコピーします。

n REJECT：　パケットを拒否します。

ルール セットとルール ID rule set/rule ID

方向 IN、OUT

パケット長 length

プロトコル TCP、UDP、ICMP または PROTO（プロトコル番号）

TCP 接続の場合、接続が終了する実際の原因が TCP キーワードの後に示されます。

TCP セッションの原因が TERM の場合、追加の説明が PROTO 行に表示されます。TCP 接続の終了で

考えられる原因は、RST（TCP RST パケット）、FIN（TCP FIN パケット）、TIMEOUT（長時間のア

イドル状態）です。

上の例では、RST になっています。これは、接続のリセットを要求する RST パケットがあることを意味

します。

TCP 以外の接続（UDP、ICMP または他のプロトコル）の場合、接続の終了原因は TIMEOUT だけで

す。

送信元の IP アドレスおよびポート IP address/port

宛先の IP アドレスおよびポート IP address/port

TCP フラグ S (SYN)、SA (SYN-ACK)、A (ACK)、P (PUSH)、U (URGENT)、F (FIN)、R (RESET)

パケット数 パケット数。

22/14： 受信パケット数/送信パケット数

バイト数 バイト数。

7684/1070：受信バイト数/送信バイト数

ルール メッセージを有効にするには、vSphere Web Client にログインします。

1 [ネットワークとセキュリティ (Networking & Security)] - [セキュリティ (Security)] - [ファイアウォール

(Firewall)] の順に移動します。

2 [全般 (General)] タブが開かれていることを確認します。

NSX 管理ガイド

VMware, Inc. 211

3 ログを有効にします。

NSX バージョン 手順

NSX 6.4.1 以降 [詳細 (More)]、[有効 (Enable)]、[ルールの有効化のログ (Enable Rule Logs)] の順にクリックし

ます。

NSX 6.4.0 1 ページで [ログ (Log)] 列を有効にします。

2 [ログ] テーブル セルにマウスを合わせて鉛筆アイコンをクリックし、ルールのログを有効にします。

注： ファイアウォールのログ メッセージに表示されるテキストをカスタマイズするには、[タグ (Tag)] 列を有効に

し、鉛筆アイコンをクリックして必要なテキストを追加します。

監査ログとシステム イベント ログ

監査ログには、管理ログと分散ファイアウォールの設定の変更が含まれています。これらのログは、/home/

secureall/secureall/logs/vsm.log に保存されます。

システム イベント ログには、適用された分散ファイアウォールの設定のほか、作成、削除、または失敗したフィル

タ、セキュリティ グループに追加された仮想マシンなどの情報が含まれます。これらのログは、/home/

secureall/secureall/logs/vsm.log に保存されます。

vSphere Web Client で監査ログとシステム イベント ログを表示するには、[ネットワークとセキュリティ

(Networking & Security)] - [システム (System)] - [イベント (Events)] の順に移動します。[監視

(Monitor)] タブで、NSX Manager の IP アドレスを選択します。

NSX 管理ガイド

VMware, Inc. 212

ファイアウォール シナリオ 11ファイアウォール シナリオを使用して、必要な End-to-End のワークフローを理解します。

この章には、次のトピックが含まれています。

n コンテキスト アウェア ファイアウォールのシナリオ

n アプリケーション ID の設定

コンテキスト アウェア ファイアウォールのシナリオ

コンテキスト アウェア ファイアウールは EAST-WEST のトラフィックに使用します。一般的な Web 閲覧の分

類を目的としたものではありません。アプリケーションは、SSH、FTP、TFTP、SQL、DNS、PCoIP など、デー

タセンターで使用されている特定のアプリケーションに限定できます。

以下では、コンテキスト アウェア ファイアウォールの使用例について説明します。

n 使用例 1: チームの IT ディレクターの Don が、特定の仮想マシンですべての HTTP トラフィックを制限するよ

うに NSX 管理者に指示しました。Don は、送信元のポートに関係なく、このトラフィックを制限したいと考え

ています。

n 使用例 2: チームの IT リードの Robert が、特定の仮想マシンで、TCP ポート 8080 以外から送信された

HTTP トラフィックを制限したいと考えています。

n 使用例 3: コンテキスト アウェア ファイアウォールは ID ベースのログインにも適用できます。たとえば、自分

の仮想デスクトップにログインする Active Directory ユーザーに、ポート 8080 からの HTTP 要求のみを許

可できます。管理者は、従業員の John が Active Directory にログインしている場合にのみ、ポート 8080 からの HTTP 要求を許可したいと考えています。

シナリオ 1：特定のポートでの Web トラフィックを許可する

ポート 80 でのみ Web トラフィックを許可するとします。

次の手順に従って、コンテキスト アウェア ファイアウォール ルールを作成します。

1 必要であれば、ファイアウォール ルール セクションの追加します。

2 ファイアウォール ルールの追加します（たとえば、HTTP から Web サーバ）。

3 [宛先 (Destination)] に、必要な Web サーバを選択します。

VMware, Inc. 213

4 次のパラメータを使用して、アプリケーション識別用のサービスの作成します。

パラメータ オプション

レイヤー レイヤー 7

アプリケーション ID HTTP

プロトコル TCP

宛先ポート 80

5 デフォルトのファイアウォール ルールを [ブロック (Block)] に変更します。

6 変更を発行します。

コンテキスト アウェア ファイアウォール ルールを使用して、ポート 80 の Web トラフィックのみを許可します。

シナリオ 2: 任意のポートで SSH トラフィックを許可する

任意のポートでの SSH トラフィックを許可するとします。

次の手順に従って、コンテキスト アウェア ファイアウォール ルールを作成します。

1 必要であれば、ファイアウォール ルール セクションの追加します。

2 ファイアウォール ルールの追加します（たとえば、SSH から SSH サーバ）。

3 [宛先 (Destination)] に、必要な SSH サーバを選択します。

4 次のパラメータを使用して、アプリケーション識別用のサービスの作成します。

パラメータ オプション

レイヤー レイヤー 7

アプリケーション ID SSH

プロトコル TCP

宛先ポート テキスト ボックスは空白のままにします。

5 デフォルトのファイアウォール ルールを [ブロック (Block)] に変更します。

6 変更を発行します。

コンテキスト アウェア ファイアウォール ルールを使用して、任意のポートの SSH トラフィックのみを許可します。

例： 例vSphere Web Client を使用して、コンテキスト アウェア ファイアウォール ルールを作成する手順については、

例：コンテキスト アウェア ファイアウォール ルールの作成を参照してください。

アプリケーション ID の設定

アプリケーションとプロトコルの ID を使用することで、多くのアプリケーションを可視化し、Active Directory、

DNS、HTTPS、MySQL などのアプリケーション層に基づく適用が可能になります。

NSX 管理ガイド

VMware, Inc. 214

レイヤー 7 アプリケーション ID は、使用するポートは問わず、特定のパケットまたはフローがどのアプリケーショ

ンで生成されたのかを識別するものです。

アプリケーション ID に基づいて適用することで、ユーザーは任意のポートを使用するアプリケーションの実行を許

可または拒否することができます。さらに、標準ポートを使用してアプリケーションを強制的に実行することもでき

ます。DPI (Deep Packet Inspection) では、定義済みのパターンとパケット ペイロードを比較できます。このパ

ターンは署名とも呼ばれています。レイヤー 7 のサービス オブジェクトにより、ポートに依存しない適用や、レイ

ヤー 7 アプリケーション ID、プロトコル、およびポートを組み合わせた新しいサービス オブジェクトの作成が可能

になります。レイヤー 7 ベースのサービス オブジェクトは、ファイアウォール ルール テーブルと Service Composer で使用できます。アプリケーションのプロファイルを作成するときに、アプリケーション ID の情報が

分散ファイアウォール ログ、フロー モニタリング、Application Rule Manager (ARM) でキャプチャされます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 サービスを作成し、レイヤー 7、アプリケーション ID、プロトコル、ポートを指定します。ポートに依存しない

適用の場合、この手順はスキップできます。アプリケーション ID の GUID とサービスの作成を参照してくださ

い。

3 新しい分散ファイアウォール ルールを作成します。サービス フィールドで、手順 2 で作成したレイヤー 7 のサ

ービスを選択します。ポートに依存しない適用の場合はアプリケーション ID を選択します。アプリケーション

ID の GUID を参照してください。詳細については、ファイアウォール ルールの追加を参照してください。

4 ファイアウォール ルールを保存して発行します。

NSX 管理ガイド

VMware, Inc. 215

Identity Firewall の概要 12Identity Firewall (IDFW) 機能を使用すると、NSX 管理者は Active Directory ユーザー ベースの分散ファイア

ウォール (DFW) ルールを作成できます。

IDFW 構成のワークフローの概要は次のとおりです。ワークフローは、インフラストラクチャの準備から始まりま

す。準備段階では、NSX が Active Directory のユーザーおよびグループを利用できるようにするため、管理者が

保護対象の各クラスタに必要なコンポーネントをインストールし、Active Directory の同期を設定します。次に、

分散ファイアウォール ルールを適用するため、Active Directory (AD) ユーザーがログインするデスクトップを

IDFW が識別できるようにする必要があります。IDFW がログインを検出する方法は、ゲスト イントロスペクショ

ン (GI) および Active Directory イベント ログ スクレイパの 2 種類です。ゲスト イントロスペクションは、

IDFW 仮想マシンを実行する ESXi クラスタに展開します。ネットワーク イベントがユーザーによって生成される

と、仮想マシンにインストールされたゲスト エージェントは、ゲスト イントロスペクションフレームワークを介し

て NSX Manager に情報を転送します。第 2 のオプションは、Active Directory イベント ログ スクレイパです。

NSX Manager で、Active Directory ドメイン コントローラのインスタンスにポイントするように Active Directory イベント ログ スクレイパを設定します。これにより、NSX Manager は Active Directory セキュリ

ティ イベント ログからイベントを取得できるようになります。これらの方法のいずれか、または両方を使用できま

す。Active Directory ログ スクレイパと ゲスト イントロスペクション の両方が使用されている場合、ゲスト イントロスペクション が優先されます。Active Directory イベント ログ スクレイパと ゲスト イントロスペクショ

ン の両方を使用する場合は、これらが排他的に動作することに注意してください。つまり、片方が動作を停止して

も、他方がバックアップとして動作を開始することはありません。

インフラストラクチャを準備したら、管理者は NSX セキュリティ グループを作成し、新しく使用可能になった

Active Directory（ディレクトリ グループと呼ばれます）を追加します。続いて管理者は、ファイアウォール ルー

ルが関連付けられたセキュリティ ポリシーを作成して、これらのポリシーを新規に作成したセキュリティ グループ

に適用します。この操作によって、ユーザーがデスクトップにログインすると、システムはイベントおよび使用され

ている IP アドレスを検出し、そのユーザーに関連付けられているファイアウォール ポリシーを検索して、これらの

ルールを適用します。これは、物理および仮想の両方のデスクトップで機能します。物理デスクトップについては、

ユーザーが物理デスクトップにログインしたことを検出する目的でも、Active Directory イベント ログ スクレイ

パが必要となります。

Identity Firewall は、リモート デスクトップ セッション (RDSH) のマイクロセグメンテーションで使用できます。

複数のユーザーが同時にログインしたり、要件に基づいてアプリケーションへのアクセスをユーザーに許可し、独立

したユーザー環境を維持できます。リモート デスクトップ セッションで Identity Firewall を使用するには、

Active Directory が必要です。

VMware, Inc. 216

サポートされる Windows オペレーティング システムについては、Identity Firewall でサポートされるテスト済

みの構成を参照してください。Linux ベースのオペレーティング システムでは、Identity Firewall はサポートされ

ません。

この章には、次のトピックが含まれています。

n Identity Firewall のワークフロー

n Identity Firewall でサポートされるテスト済みの構成

Identity Firewall のワークフロー

Identity Firewall (IDFW) によって、ユーザー ベースの分散ファイアウォール (DFW) ルールが利用できるように

なります。

ユーザー ベースの分散ファイアウォール ルールは、Active Directory (AD) グループのメンバーシップによって決

定されます。Identity Firewall (IDFW) は、Active Directory ユーザーのログイン先を監視し、分散ファイアウ

ォールがファイアウォール ルールを適用する際に使用する IP アドレスにログインをマッピングします。Identity Firewall では、ゲスト イントロスペクション フレームワークまたは Active Directory イベント ログ スクレイピ

ングのいずれかが必要です。これらの方法のいずれか、または両方を使用できます。Active Directory ログ スクレ

イパと ゲスト イントロスペクション の両方が使用されている場合、ゲスト イントロスペクション が優先されます。

Active Directory イベント ログ スクレイパと ゲスト イントロスペクション の両方を使用する場合は、これらが

排他的に動作することに注意してください。つまり、片方が動作を停止しても、他方がバックアップとして動作を開

始することはありません。

ユーザーの有効化と無効化、ユーザーの削除など、Active Directory グループ メンバーシップの変更は、RDSH の Identity Firewall ルールを使用しているログイン ユーザーにすぐに反映されません。ユーザーに変更を反映さ

せるには、ログオフして再度ログインする必要があります。グループ メンバーシップが変更されたときに、Active Directory 管理者がログオフを強制的に実行することをお勧めします。これは、Active Directory の制限が原因で

発生しています。

Identity Firewall (IDFW) の Northbound フロー：

1 ユーザーが仮想マシンにログインします。

2 NSX 管理プレーンがユーザーのログイン イベントを受信します。

3 NSX 管理プレーンがユーザーを確認し、このユーザーが属するすべての Active Directory (AD) グループを

受信します。NSX 管理プレーンが、影響を受けるすべての Active Directory グループ用のグループ変更イベ

ントを送信します。

4 各 Active Directory グループで、この Active Directory グループを含むセキュリティ グループ (SG) のす

べてにフラグが設定され、この変更を処理するためにジョブがキューに追加されます。1 つのセキュリティ グル

ープに複数の Active Directory グループが含まれている場合、1 つのユーザー ログイン イベントが同じセキ

ュリティ グループの複数の処理イベントのトリガーとなることがあります。これに対応するため、重複するセキ

ュリティ グループ処理要求が削除されます。

Identity Firewall (IDFW) の Southbound フロー：

1 セキュリティ グループ処理要求が受信されます。セキュリティ グループが変更されると、NSX は影響を受ける

すべてのエンティティを更新し、Identity Firewall (IDFW) ルールごとにアクションをトリガします。

NSX 管理ガイド

VMware, Inc. 217

2 NSX が、セキュリティ グループのすべての Active Directory グループを受信します。

3 Active Directory から、NSX は Active Directory グループに属するすべてのユーザーを受信します。

4 Active Directory ユーザーが IP アドレスに関連付けられます。

5 IP アドレスが vNIC にマッピングされ、vNIC が仮想マシンにマッピングされます。仮想マシンのリストには、

セキュリティ グループセキュリティ グループから仮想マシンへの変換の結果が表示されます。

注： RDSH の Identity Firewall は、Windows Server 2016、VMware Tools 10.2.5 以降を使用する

Windows 2012、VMware Tools 10.2.5 以降を使用する Windows 2012 R2 以降でのみサポートされます。

手順

1 NSX で Active Directory の同期を設定します。「Windows ドメインと Active Directory の同期」を参照

してください。この操作は、Service Composer で Active Directory グループを使用する際に必要です。

2 分散ファイアウォール用に ESXi クラスタを準備します。『NSX インストール ガイド』の「NSX 用ホスト クラ

スタの準備」を参照してください。

3 Identity Firewall ログイン検出オプションを設定します。これらのオプションの片方または両方を設定する必

要があります。

注： マルチ ドメイン Active Directory アーキテクチャで、セキュリティ上の制約によりログ スクラッパー

にアクセスできない場合には、ゲスト イントロスペクションを使用して、ログイン イベントとログアウト イベ

ントを生成します。

n Active Directory イベント ログ アクセスを設定します。「NSX Manager への Windows ドメインの

登録」を参照してください。

n ゲスト エージェントがインストールされている Windows ゲスト OS。これは、VMware Tools ™ の完

全なインストールに含まれます。保護されているクラスタに、ゲスト イントロスペクション サービスを展

開します。ホスト クラスタへの ゲスト イントロスペクション のインストール を参照してください。

Identity Firewall でサポートされるテスト済みの構成

Identity Firewall　でサポートされるディレクトリ サーバとログ スクレイピング サーバ。

表 12-1. ディレクトリ サーバとバージョン

サーバ/バージョン サポート対象

Windows Server 2016 はい

Windows Server 2012 はい

Windows Server 2012 R2 はい

Windows Server 2008 R2 いいえ

Windows Server 2008 いいえ

Windows Server 2003 いいえ

Microsoft Active Directory 以外の LDAP サーバ いいえ

NSX 管理ガイド

VMware, Inc. 218

表 12-2. RDSH デスクトップの Windows OS

サーバ/バージョン サポート対象

Windows 2016 はい

VMware Tools 10.2.5 以降を実装している Windows 2012 はい

VMware Tools 10.2.5 以降を実装している Windows 2012 R2 はい

Identity Firewall で RDSH をサポートする場合は、ゲスト イントロスペクション ネットワーク ドライバをインス

トールする必要があります。

表 12-3. ドメインの同期オプション

サーバ/バージョン サポート対象

LDAP のドメインの同期 はい

CIFS と WMI でのイベント ログの追加 はい

単一ルート DN とドメインの同期 はい

複数のルート DN 組織単位とドメインの同期 6.4.0 以降

レベル階層のある組織単位の単一サブツリーとドメインの同期 6.4.0 以降

組織単位の複数のサブツリーとドメインの同期 6.4.0 以降

選択した組織単位と同じドメインを削除し、再度追加 6.4.0 以降

同期された組織単位に新しいサブツリーを追加 6.4.0 以降

選択したベース DN と同期 6.4.0 以降

無効なユーザーを無視して同期 はい

Active Directory ドメイン内の変更を反映する差分同期 はい

表 12-4. ログ スクレイピングのサーバとバージョン

サーバ/バージョン サポート対象

Windows Server 2016 はい

Windows Server 2012 はい

Windows Server 2012 R2 はい

Windows Server 2008 R2 はい

Linux やその他の LDAP 実装 いいえ

ログ スクレイピングの制約

n 次の場合、仮想マシンを再起動しないと、ログイン イベントを受信できません。

n ユーザーが無効または有効

n 仮想マシンの IP アドレスの変更

n NSX Manager と同じドメインを再追加

n 受信ログイン イベントのイベント ログ キューには制限があり、ログがいっぱいになると、[] とログイン イベン

トが受信されません。

NSX 管理ガイド

VMware, Inc. 219

ドメイン同期の詳細については、Windows ドメインと Active Directory の同期 を参照してください

表 12-5. ゲスト イントロスペクションを含む OS

サーバ/バージョン サポート対象

Win 7（32 ビット、64 ビット） はい

Win 8（64 ビット） はい

Win 10（32 ビット、64 ビット） はい

Windows Server 2016 はい

Windows Server 2012 はい

Windows Server 2008 R2 はい

Linux のサポート いいえ

ゲスト イントロスペクションの制限

n ゲスト イントロスペクション フレームワークは、Identity Firewall (IDFW) 仮想マシンを実行している各クラ

スタにデプロイする必要があります。

n すべてのゲスト仮想マシンに、VMware Tools ™ をフル インストールする必要があります。

n UDP セッションはサポートされていません。ゲスト仮想マシンでは、UDP セッション用のネットワーク イベ

ントは生成されません。

n Active Directory サーバと Linux gOS との連携はサポートされていません。

サポートされている Microsoft Active Directory の設定

Identity Firewall では、Microsoft の標準規格とベスト プラクティス　デザイン ガイド (https://msdn.microsoft.com/en-us/library/bb727085.aspx) に基づいて、次の　Active Directory フォレスト、

ドメイン、ドメイン ツリー、グループ/ユーザーの設定がサポートされ、テストされます：

表 12-6. 単一のフォレスト、単一のドメイン、ネストされた Active Directory のグループとユーザー構成

シナリオ サポート対象

ドメイン内のユーザー メンバーシップの変更 はい

循環グループ メンバーシップ 〇（6.2.8 以降でサポート）

ネストされたグループのメンバーシップ はい

グループ名の追加と変更 はい

ユーザー名の追加と変更 〇

グループとユーザーの削除 はい

ユーザーの有効化と無効化 はい

表 12-7. 単一フォレスト、単一ドメイン、サブドメイン ツリー

シナリオ サポート対象

親ドメインで作成され、親ドメインのグループに参加しているユーザー はい

子ドメインで作成され、親ドメインのグループに参加しているユーザー ×

NSX 管理ガイド

VMware, Inc. 220

表 12-7. 単一フォレスト、単一ドメイン、サブドメイン ツリー （続き）

シナリオ サポート対象

子ドメイン 1 に作成され、メンバーシップが子ドメイン 2 のユーザー

2 つの異なるドメイン間でのユーザー メンバーシップの変更（ルートと

子）

はい

循環グループ メンバーシップ 〇（6.2.8 以降でサポート）

単一ドメイン内のネストされたグループ メンバーシップ（クロス ドメイ

ンはサポートされません）

はい

グループ/ユーザー名の追加と名変更 〇

グループとユーザーの削除 はい

ユーザーの有効化と無効化 はい

表 12-8. 単一フォレスト、単一ドメイン、サブドメイン ツリー

シナリオ サポート対象

同期後のドメイン パスワードの変更 はい

同期後の IP アドレスの変更 はい

ドメイン コントローラ名の変更 はい

ドメイン サーバおよびイベント ログ サーバへのネットワークを切断し

て、ドメインの同期時に再接続

はい

ドメイン サーバおよびイベント ログ サーバへのネットワークを切断し

て、ドメインの同期後に再接続

はい

注： ルール適用のフローと前提条件

n ゲスト仮想マシンから TCP セッションが開始された場合にのみ、ユーザーのログイン イベントに進みます。

n ユーザー ログアウト イベントが送信または処理されていません。適用されたルールセットは、ユーザーの最後

のネットワーク アクティビティから 8 時間が経過するか、別のユーザーが同じ仮想マシンから TCP 接続を開始

するまで、適用された状態が続きます。このイベントは、前のユーザーがログアウトして新しいユーザーがログ

インすると処理されます。

n NSX 6.4.0 以降の RDSH では、IDFW でマルチ ユーザー サポートを使用できます。

n RDSH 仮想マシンのログインは、主にコンテキスト エンジンによって処理され、ルールが適用されます。RDSH ログインは、[送信元でユーザー ID を有効にする] が選択されたファイアウォール ルールにのみ一致します。こ

のルールは、ファイアウォール ルールの新しいセクションに作成する必要があります。送信元のセキュリティ

グループでユーザー以外の ID に属しているユーザーが RDSH 仮想マシンにログインすると、送信元のセキュリ

ティ グループでユーザー以外の ID に変換されません。RDSH 仮想マシンは、送信元のセキュリティ グループ

でユーザー以外の ID に属しません。

NSX 管理ガイド

VMware, Inc. 221

Active Directory ドメインの操作 131 つ以上の Windows ドメインを NSX Manager および関連する vCenter Server に登録できます。NSX Manager は、グループ、ユーザー情報、およびこれらの関係を登録先の各ドメインから取得します。NSX Manager は、Active Directory (AD) の認証情報も取得します。

NSX Manager は、Active Directory 認証情報を取得することで、ユーザー ID に基づいたセキュリティ グルー

プや　ID ベースのファイアウォール ルールを作成したり、アクティビティ モニタリング レポートを実行できるよう

になります。

ユーザーの有効化と無効化、ユーザーの削除など、Active Directory グループ メンバーシップの変更は、RDSH の Identity Firewall ルールを使用しているログイン ユーザーにすぐに反映されません。ユーザーに変更を反映さ

せるには、ログオフして再度ログインする必要があります。グループ メンバーシップが変更されたときに、Active Directory 管理者がログオフを強制的に実行することをお勧めします。これは、Active Directory の制限が原因で

発生しています。

重要： Active Directory に加えられた変更は、差分または完全に同期するまで　NSX Manager に表示されま

せん。

この章には、次のトピックが含まれています。

n NSX Manager への Windows ドメインの登録

n Windows ドメインと Active Directory の同期

n Windows ドメインの編集

n Windows 2008 で読み取り専用セキュリティ ログ アクセスを有効にする

n ディレクトリ権限の確認

NSX Manager への Windows ドメインの登録

前提条件

ドメイン アカウントには、ドメイン ツリー内のすべてのオブジェクトでの Active Directory 読み取り権限が必要

です。イベント ログ リーダーのアカウントには、セキュリティ イベント ログに対する読み取り権限が必要です。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [ユーザーとドメイン (Users and Domains)] の順に移動します。

VMware, Inc. 222

2 [ドメイン (Domains)] タブをクリックして、[ドメインの追加 (Add domain)]（ ）アイコンをクリックし

ます。

3 [ドメインの追加 (Add Domain)] ダイアログ ボックスで、完全修飾ドメイン名（eng.vmware.com など）と

ドメインの netBIOS 名を入力します。

ドメインの netBIOS 名を取得するには、ドメインまたはドメイン コントローラに属する Windows ワークス

テーションのコマンド ウィンドウで、nbtstat -n と入力します。NetBIOS のローカル名テーブルでは、プ

リフィックスが <00> でタイプがグループのエントリが netBIOS 名です。

4 子ドメインを追加するときに、[自動マージ (Auto Merge)] を選択します。

5 同期する際に、有効なアカウントを持っていないユーザーを除外するには、[無効なユーザーを無視 (Ignore disabled users)] をクリックします。

6 [次へ (Next)] をクリックします。

7 [LDAP オプション] ページで、ドメインと同期するドメイン コントローラを指定し、プロトコルを選択します。

サポートされるドメイン同期オプションの詳細については、Identity Firewall でサポートされるテスト済みの

構成 を参照してください。

8 必要に応じてポート番号を編集します。

9 ドメイン アカウントのユーザー認証情報を入力します。このユーザーは、ディレクトリ ツリー構造にアクセス

できる必要があります。

10 [次へ (Next)] をクリックします。

11 （オプション） [セキュリティ イベント ログ アクセス] ページで、指定した Active Directory サーバのセキュ

リティ イベント ログにアクセスするための接続方法として、[CIFS] または [WMI] を選択します。必要に応じ

てポート番号を変更します。この手順は、Active Directory イベント ログ スクレイパによって使用されます。

Identity Firewall のワークフローを参照してください。

注： イベント ログ リーダーは、Active Directory のイベント ログから、「Windows 2008/2012: 4624, Windows 2003: 540」という ID を持つイベントを探します。イベント ログ サーバには 128 MB という制

限があります。この制限に到達すると、セキュリティ ログ リーダーにイベント ID 1104 が表示されます。詳細

については https://technet.microsoft.com/en-us/library/dd315518 を参照してください。

12 LDAP サーバのユーザー認証情報を使用する場合は、[ドメイン認証情報を使用 (Use Domain Credentials)] を選択します。ログ アクセス用の代替ドメイン アカウントを指定する場合は、[ドメイン認証情報を使用 (Use Domain Credentials)] の選択を解除し、ユーザー名とパスワードを指定します。

指定したアカウントには、手順 10 で指定したドメイン コントローラのセキュリティ イベント ログの読み取り

権限が必要です。

13 [次へ (Next)] をクリックします。

14 [設定の確認] ページで、入力した設定を確認します。

NSX 管理ガイド

VMware, Inc. 223

15 [終了 (Finish)] をクリックします。

注目: n ドメインの競合によって、エンティティに対するドメインの追加処理が失敗したというエラー メッセージが

表示された場合は、[自動マージ] を選択します。ドメインが作成され、ドメイン リストの下に設定が表示さ

れます。

結果

ドメインが作成され、その設定がドメイン リストの下に表示されます。

次のステップ

イベント ログ サーバのログイン イベントが有効であることを確認します。

LDAP サーバを追加、編集、削除、有効、または無効にするには、ドメイン リストの下のパネルで [LDAP サーバ

(LDAP Servers)] タブを選択します。イベント ログ サーバに対して同様のタスクを実行するには、ドメイン リス

トの下のパネルで [イベント ログ サーバ (Event Log Servers)] タブを選択します。複数の Windows サーバ

（ドメイン コントローラ、Exchange サーバ、またはファイル サーバ）をイベント ログ サーバとして追加すると、

ユーザー ID との関連付けが強化されます。

注： Identity Firewall を使用している場合、Active Directory サーバのみがサポートされます。

Windows ドメインと Active Directory の同期

デフォルトでは、登録されているすべてのドメインが Active Directory と 3 時間ごとに自動的に同期します。必

要に応じて、オンデマンドで同期することもできます。

vSphere Web Client ユーザー インターフェイスで、Active Directory ドメインの強制同期を実行できます。定

期的な同期は週に 1 回自動的に実行されます。差分同期は 3 時間ごとに実行されます。ユーザー インターフェイス

からサブツリーを選択して同期することはできません。

NSX 6.4 以降では、API を呼び出して Active Directory サブ ツリーの同期を行うことができます。ルート ドメ

インには親子関係を設定できません。有効なディレクトリの識別名が必要です。

n /api/1.0/directory/updateDomain には、ルート ドメイン下のフォルダを指定できます。強制実行（private

boolean forceUpdate ）を実行するオプションもあります。

n /api/directory/verifyRootDN。rootDN のリストに親子関係がないことを確認します。各 rootDN が有効

な Active Directory の識別名であることを確認します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [ユーザーとドメイン (Users and Domains)] の順に移動します。

2 [ドメイン (Domains)] タブをクリックして、同期するドメインを選択します。

重要： Active Directory に加えられた変更は、差分または完全に同期するまで　NSX Manager に表示さ

れません。

NSX 管理ガイド

VMware, Inc. 224

3 次のいずれかを選択します。

クリック対象 説明

最後の同期イベント以降に変更されたローカル Active Directory オブジェクトが更新され

る差分同期を実行します。

すべての Active Directory オブジェクトのローカル状態が更新される完全同期を実行しま

す。

Windows ドメインの編集

名前、netBIOS 名、プライマリ LDAP サーバ、およびドメインのアカウント認証情報を編集できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [ユーザーとドメイン (Users and Domains)] の順に移動します。

2 [ドメイン (Domains)] タブをクリックします。

3 ドメインを選択して、[ドメインの編集 (Edit domain)] アイコンをクリックします。

4 必要な変更を行い、[終了 (Finish)] をクリックします。

Windows 2008 で読み取り専用セキュリティ ログ アクセスを有効

にする

読み取り専用セキュリティ ログ アクセスは、IDFW のイベント ログ スクレイパにより使用されます。

新しいユーザー アカウントを作成した後、ユーザーに読み取り専用アクセス権限を付与するために、Windows 2008 サーバ ベースのドメイン セクションで読み取り専用セキュリティ ログ アクセスを有効にする必要がありま

す。

注： この手順は、ドメイン、ツリー、またはフォレストの 1 つのドメイン コントローラで実行する必要がありま

す。

手順

1 [スタート(Start)] > [管理ツール(Administrative Tools)] > [Active Directory Users and Computers] の順に移動します。

2 ナビゲーション ツリーで、セキュリティ ログ アクセスを有効にするドメインに対応するノードを展開します。

3 展開したノードの下で、[Builtin] ノードを選択します。

4 グループのリストで [Event Log Readers] をダブルクリックします。

5 [Event Log Readers Properties] ダイアログ ボックスで、[Members] を選択します。

NSX 管理ガイド

VMware, Inc. 225

6 [Add...] ボタンをクリックします。

[Select Users, Contacts, Computers, or Groups] ダイアログが表示されます。

7 すでに「Active Directory リーダー」ユーザーのグループを作成した場合は、[Select Users, Contacts, Computers, or Groups] ダイアログでそのグループを選択します。ユーザーだけを作成し、グループを作成

しなかった場合は、[Select Users, Contacts, Computers, or Groups] ダイアログでそのユーザーを選択

します。

8 [OK] をクリックして、[Select Users, Contacts, Computers, or Groups] ダイアログを閉じます。

9 [OK] をクリックして、[Event Log Readers Properties] ダイアログを閉じます。

10 [Active Directory Users and Computers] ウィンドウを閉じます。

次のステップ

セキュリティ ログ アクセスを有効にした後で、ディレクトリ権限の確認の手順に従ってディレクトリ権限を確認し

ます。

ディレクトリ権限の確認

ユーザー アカウントがセキュリティ ログの読み取りに必要な権限を持っていることを確認します。

新しいアカウントを作成してセキュリティ ログ アクセスを有効にした後で、セキュリティ ログを読み取り可能であ

ることを確認する必要があります。

前提条件

セキュリティ ログ アクセスを有効にします。Windows 2008 で読み取り専用セキュリティ ログ アクセスを有効

にするを参照してください。

手順

1 ドメインに属するワークステーションから、管理者としてドメインにログインします。

2 [スタート(Start)] > [管理ツール(Administrative Tools)] > [イベント ビューアー(Event Viewer)] の順に

移動します。

3 [Action] メニューから [Connect to Another Computer...] を選択します。[Select Computer] ダイア

ログが表示されます。（イベント ログを表示するマシンにすでにログインしている場合でも、この操作を実行す

る必要があります。）

4 [Another computer] ラジオ ボタンがすでに選択されていない場合は、選択します。

5 [Another computer] ラジオボタンの隣のテキスト フィールドに、ドメイン コントローラの名前を入力しま

す。または、[参照... (Browse...)] ボタンをクリックして、ドメイン コントローラを選択します。

6 [別のユーザーとして接続する (Connect as another user)] チェック ボックスを選択します。

7 [ユーザーの設定... (Set User...)] ボタンをクリックします。[イベント ビューアー] ダイアログ ボックスが表

示されます。

8 [ユーザー名 (User name)] フィールドに、作成したユーザーのユーザー名を入力します。

NSX 管理ガイド

VMware, Inc. 226

9 [パスワード (Password)] フィールドに、作成したユーザーのパスワードを入力します。

10 [OK] をクリックします。

11 もう一度 [OK] をクリックします。

12 ナビゲーション ツリーで [Windows ログ (Windows Logs)] ノードを展開します。

13 [Windows ログ (Windows Logs)] ノードの下の [セキュリティ] ノードを選択します。アカウントに必要な

権限が付与されていれば、ログ イベントが表示されます。

NSX 管理ガイド

VMware, Inc. 227

SpoofGuard の使用 14SpoofGuard は、仮想マシン名と IP アドレスの参照テーブルを維持することで、IP アドレスのなりすましを防ぎ

ます。SpoofGuard は、仮想マシンの最初の起動時に NSX Manager が VMware Tools から取得した IP アド

レスを使用して、この参照テーブルを維持します。

vCenter Server と同期した後、NSX Manager は各仮想マシン上の VMware Tools からすべての vCenter Server ゲスト仮想マシンの IP アドレスを収集します。仮想マシンのセキュリティが侵害された場合は、IP アドレ

スのなりすましにより、悪意のあるデータ転送がファイアウォール ポリシーを通り抜ける可能性があります。

SpoofGuard はデフォルトでは無効になっているため、各論理スイッチまたは VDS ポートグループで明示的に有

効にする必要があります。仮想マシンの IP アドレスの変更が検出されると、この新しい IP アドレスが承認されるま

で、この仮想マシンからのトラフィックは分散ファイアウォール (DFW) によってブロックされます。

特定のネットワークの SpoofGuard ポリシーを作成することにより、VMware Tools によって報告される IP アドレスを認証し、必要に応じて変更してなりすましを防止することができます。SpoofGuard は本質的に VMX ファイルと vSphere SDK から集められた仮想マシンの MAC アドレスを信用します。ファイアウォール ルールと

別に運用することにより、SpoofGuard を使用して、なりすましと判断されたトラフィックをブロックすることが

できます。

重要： SpoofGuard は、分散ファイアウォール (DFW) が有効になっている場合にのみ機能します。

SpoofGuard では、IPv4 アドレスと IPv6 アドレスの両方がサポートされます。VMware Tools と DHCP スヌ

ーピングを使用している場合、vNIC に割り当てられている複数の IP アドレスを SpoofGuard ポリシーで使用で

きます。ARP スヌーピングは、1 つの vNIC の仮想マシンあたり、最大 128 個までのアドレスを検出します。

SpoofGuard ポリシーは、仮想マシンから報告された IP アドレスの監視と管理を、次のいずれかのモードで行いま

す。

最初の使用時に IP アドレスの割り当てを自動的に信頼

このモードでは、仮想マシンからのトラフィックの通過をすべて許可しつつ、vNIC-to-IP アドレス割り当てテ

ーブルを作成します。必要なときにこのテーブルをレビューし、IP アドレスを変更することができます。このモ

ードは、vNIC で最初に確認されたすべての IPv4 アドレスと IPv6 アドレスを自動的に承認します。

使用前にすべての IP 割り当てを手動で検査して承認

VMware, Inc. 228

このモードでは、各 vNIC-to-IP アドレス割り当てを承認するまでは、すべてのトラフィックがブロックされま

す。このモードでは、複数の IPv4 アドレスを承認できます。

注： SpoofGuard ではモードに関わらず本質的に DHCP リクエストを許可します。しかし、手動検査モードで

は、DHCP に割り当てられた IP アドレスが承認されるまで、トラフィックは通過できません。

SpoofGuard には、システムで生成されたデフォルト ポリシーが含まれており、他の SpoofGuard ポリシーの対

象とならないポート グループと論理ネットワークに適用されます。新しく追加されたネットワークは、既存のポリシ

ーに追加するか、そのネットワーク用に新しいポリシーを作成するまで、自動的にデフォルト ポリシーに追加されま

す。

SpoofGuard は、NSX 分散ファイアウォール ポリシーが仮想マシンの IP アドレスを特定できる方法の 1 つです。

詳細については、仮想マシンの IP アドレス検出を参照してください。

この章には、次のトピックが含まれています。

n SpoofGuard ポリシーの作成

n IP アドレスの承認

n IP アドレスの変更

n IP アドレスのクリア

SpoofGuard ポリシーの作成

SpoofGuard ポリシーを作成して、特定のネットワークの操作モードを指定できます。既存の SpoofGuard ポリ

シーの対象となっていないポート グループと論理スイッチには、システム生成（デフォルト）ポリシーが適用されま

す。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [SpoofGuard] の順に移動します。

2 [追加 (Add)] をクリックします。

3 ポリシーの名前を入力します。

4 [有効 (Enable)] または [無効 (Disable)] を選択して、ポリシーを有効または無効にします。

5 [操作モード (Operation Mode)] で、次のいずれかを選択します。

オプション 説明

最初の使用時に IP アドレスの割り当てを自

動的に信頼

NSX Manager での最初の登録で IP アドレスの割り当てをすべて信頼するには、このオプシ

ョンを選択します。

使用前にすべての IP 割り当てを手動で検査

して承認

すべての IP アドレスを手動で承認するには、このオプションを選択します。承認されない IP アドレスから出入りするすべてのトラフィックはブロックされます。

NSX 管理ガイド

VMware, Inc. 229

6 セットアップでローカル IP アドレスを許可するには、[この名前空間でローカル アドレスを有効なアドレスとし

て許可する (Allow local address as valid address in this namespace)] をクリックします。

仮想マシンをパワーオンしても DHCP サーバに接続できない場合、その仮想マシンにはローカル IP アドレスが

割り当てられます。このローカル IP アドレスは、SpoofGuard モードが [この名前空間でローカル アドレスを

有効なアドレスとして許可する (Allow local address as valid address in this namespace)] に設定され

ている場合にのみ有効と見なされます。それ以外の場合、ローカル IP アドレスは無視されます。

7 [次へ (Next)] をクリックします。

8 このポリシーを適用するオブジェクト タイプを選択して、必要なオブジェクトを選択します。

u NSX 6.4.0 では、[追加 (Add)] アイコンをクリックします。このポリシーを適用するオブジェクト タイプ

を選択して、必要なオブジェクトを選択します。

ポート グループまたは論理スイッチは、1 つの SpoofGuard ポリシーのみに属することができます。

9 [OK] または [終了 (Finish)] をクリックします。

次のステップ

[編集 (Edit)] アイコンをクリックしてポリシーを編集したり、[削除 (Delete)] アイコンをクリックしてポリシーを

削除したりすることができます。

IP アドレスの承認

SpoofGuard ですべての IP アドレス割り当てに対し手動承認が行われるように設定した場合、仮想マシンからのト

ラフィックを許可するには IP アドレス割り当てを承認する必要があります。

手順

1 [SpoofGuard] でポリシーを選択します。

ポリシーの詳細はポリシー テーブルの下に表示されます。

2 NSX 6.4.1 以降では、ドロップ ダウン メニューからオプションを選択するか、[すべて (All)] を選択します。

オプション 説明

有効な vNIC 検証されたすべての IP アドレスのリスト

承認保留の vNIC トラフィックがこれらの仮想マシンに出入りできるようになる前に承認が必要な IP アドレス

の変更

無効な vNIC 発行された IP アドレスに現在の IP アドレスがマッチしていない IP アドレスのリスト

IP アドレスが重複する vNIC 選択されたデータセンター内で割り当てられた既存の IP アドレスと重複する IP アドレス

3 NSX 6.4.0 では、[表示 (View)] を選択し、いずれかのオプション リンクをクリックします。

オプション 説明

アクティブな仮想 NIC 検証されたすべての IP アドレスのリスト

最後の発行以降、アクティブな仮想 NIC ポリシーが最後に更新されて以降、承認された IP アドレスのリスト

NSX 管理ガイド

VMware, Inc. 230

オプション 説明

承認が必要な仮想 NIC IP トラフィックがこれらの仮想マシンに出入りできるようになる前に承認が必要な IP アドレス

の変更

IP が重複している仮想 NIC 選択されたデータセンター内で割り当てられた既存の IP アドレスと重複する IP アドレス

無効な仮想 NIC 発行された IP アドレスに現在の IP アドレスがマッチしていない IP アドレスのリスト

未発行の仮想 NIC IP IP アドレスの割り当てを編集後まだ発行していない仮想マシンのリスト

4 次のいずれかを実行します。

n 1 つの IP アドレスを承認するには、その IP アドレスの横にある [承認 (Approve)] をクリックします。

n 複数の IP アドレスを承認するには、該当する vNIC を選択し、[IP アドレスの承認 (Approve IPs)] をク

リックします。

IP アドレスの変更

MAC アドレスに割り当てた IP アドレスを編集し、割り当てた IP アドレスを変更できます。

注： SpoofGuard は仮想マシンから一意の IP アドレスを受け付けます。しかし、IP アドレスの割り当ては 1 度しかできません。承認された IP アドレスは NSX 全体で一意です。IP アドレスの重複承認はできません。

手順

1 [SpoofGuard] でポリシーを選択します。

2 NSX 6.4.1 以降では、ドロップ ダウン メニューからオプションを選択するか、[すべて (All)] を選択します。

オプション 説明

有効な vNIC 検証されたすべての IP アドレスのリスト

承認保留の vNIC トラフィックがこれらの仮想マシンに出入りできるようになる前に承認が必要な IP アドレス

の変更

無効な vNIC 発行された IP アドレスに現在の IP アドレスがマッチしていない IP アドレスのリスト

IP アドレスが重複する vNIC 選択されたデータセンター内で割り当てられた既存の IP アドレスと重複する IP アドレス

3 NSX 6.4.0 では、[表示 (View)] を選択し、いずれかのオプション リンクをクリックします。

オプション 説明

アクティブな仮想 NIC 検証されたすべての IP アドレスのリスト

前回の発行以降アクティブな仮想 NIC ポリシーが最後に更新されて以降、承認された IP アドレスのリスト

承認が必要な仮想 NIC IP トラフィックがこれらの仮想マシンに出入りできるようになる前に承認が必要な IP アドレス

の変更

IP アドレスが重複している仮想 NIC 選択されたデータセンター内で割り当てられた既存の IP アドレスと重複する IP アドレス

無効な仮想 NIC 発行された IP アドレスに現在の IP アドレスがマッチしていない IP アドレスのリスト

未発行の仮想 NIC IP IP アドレスの割り当てを編集後まだ発行していない仮想マシンのリスト

NSX 管理ガイド

VMware, Inc. 231

4 IP アドレスを追加します。

オプション 説明

NSX 6.4.1 [IP アドレスの追加 (Add IP)] をクリックして、IP アドレスを追加します。

NSX 6.4.0 [承認済み IP アドレス (Approved IP)] アドレスの横にある鉛筆アイコンをクリックして

[+] をクリックし、新しい IP アドレスを追加します。

5 無効な IP アドレスを削除するには、[クリア (Clear)] を選択します。

6 [OK] をクリックします。

IP アドレスのクリア

承認済み IP アドレスの割り当てを SpoofGuard ポリシーからクリアします。

手順

1 [SpoofGuard] でポリシーを選択します。

2 NSX 6.4.1 以降では、いずれかのオプションを選択するか、[すべて (All)] を選択します。

オプション 説明

有効な vNIC 検証されたすべての IP アドレスのリスト

承認保留の vNIC トラフィックがこれらの仮想マシンに出入りできるようになる前に承認が必要な IP アドレス

の変更

無効な vNIC 発行された IP アドレスに現在の IP アドレスがマッチしていない IP アドレスのリスト

IP アドレスが重複する vNIC 選択されたデータセンター内で割り当てられた既存の IP アドレスと重複する IP アドレス

3 NSX 6.4.0 では、[表示 (View)] を選択し、いずれかのオプション リンクをクリックします。

オプション 説明

アクティブな仮想 NIC 検証されたすべての IP アドレスのリスト

最後の発行以降、アクティブな仮想 NIC ポリシーが最後に更新されて以降、承認された IP アドレスのリスト

承認が必要な仮想 NIC IP トラフィックがこれらの仮想マシンに出入りできるようになる前に承認が必要な IP アドレス

の変更

IP が重複している仮想 NIC 選択されたデータセンター内で割り当てられた既存の IP アドレスと重複する IP アドレス

無効な仮想 NIC 発行された IP アドレスに現在の IP アドレスがマッチしていない IP アドレスのリスト

未発行の仮想 NIC IP IP アドレスの割り当てを編集後まだ発行していない仮想マシンのリスト

4 [クリア (Clear)] または [承認済み IP アドレスの消去 (Clear Approved IPs)] を選択して、IP アドレスをク

リアします。

NSX 管理ガイド

VMware, Inc. 232

Virtual Private Network (VPN) 15NSX Edge では複数のタイプの VPN をサポートします。SSL VPN-Plus を使用することで、リモート ユーザー

がプライベートの企業アプリケーションにアクセスできます。IPSec VPN により、NSX Edge インスタンスとリ

モート サイトとのサイト間接続が提供されます。また、L2 VPN により、地理的境界を越えた仮想マシンによるネ

ットワーク接続を維持できるようにすることで、データセンターを拡張できます。

VPN を使用する前に、作業 NSX Edge インスタンスを設定する必要があります。NSX Edge のセット アップの

詳細については、NSX Edge 設定を参照してください。

この章には、次のトピックが含まれています。

n SSL VPN-Plus の概要

n IPsec VPN の概要

n L2 VPN の概要

SSL VPN-Plus の概要

SSL VPN-Plus では、リモート ユーザーが NSX Edge ゲートウェイの後方にあるプライベート ネットワークへ安

全に接続できるようになります。リモート ユーザーは、プライベート ネットワーク内のサーバやアプリケーション

にアクセスできます。

VMware, Inc. 233

VPN VP

Web Access モードで接続する

リモート ユーザー

NSX Manager

Admin

NSX EdgeSSL VPN

外部

インターネットWindowsServer

社内 LAN

SSL クライアント経由で接続するリモート ユーザー

サポートされているクライアント オペレーティング システムは次のとおりです。

オペレーティング システム サポートされているバージョン

Windows 8、10（Windows 10 セキュア ブート オプションが有効な場合も含む）

Mac OS Sierra 10.12.6

Mac OS High Sierra 10.13.4

Mac OS Mojave 10.14.2 ～ 10.14.6（NSX 6.4.4 以降でサポート）

Mac OS Catalina 10.15、10.15.3、10.15.4（NSX 6.4.7 以降でサポート）

10.15.6、10.15.7（NSX 6.4.10 以降でサポート）

Mac OS Big Sur 11.2 以降（NSX 6.4.10 以降でサポート）

Linux Fedora 26、28

NSX 管理ガイド

VMware, Inc. 234

オペレーティング システム サポートされているバージョン

Linux CentOS 6.0、7.5

Linux Ubuntu 18.04（NSX 6.4.6 以降でサポート）

重要： n SSL VPN-Plus Client は、ARM ベースのプロセッサを使用しているコンピュータで使用できません。

n Windows の SSL VPN-Plus Client で、Npcap ループバック アダプタが有効になっていると、自動再接続

が期待どおり機能しません。このループバック アダプタは、Windows コンピュータの Npcap ドライバの機

能を妨げます。Windows コンピュータに Npcap ドライバ（0.9983 以降）の最新バージョンがインストー

ルされていることを確認します。このバージョンのドライバには、パケット キャプチャ用のループバック アダ

プタは必要ありません。

n ユーザー インターフェイス を使用するには、Linux TCL、TK、ネットワーク セキュリティ サービス (NSS) のライブラリが必要です。

ネットワーク アクセス SSL VPN-Plus の設定

ネットワーク アクセス モードで、リモート ユーザーは、SSL クライアントをダウンロードし、インストールした後

に、プライベート ネットワークにアクセスすることができます。

前提条件

SSL VPN ゲートウェイでは、ポート 443 に外部ネットワークからアクセスできるようにする必要があります。ま

た、SSL VPN クライアントでは、NSX Edge ゲートウェイ IP アドレスおよびポート 443 にクライアント システ

ムから接続できるようにする必要があります。

SSL VPN-Plus サーバ設定の追加

NSX Edge インターフェイスで SSL を有効にするには、SSL VPN サーバの設定を追加する必要があります。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [サーバ設定 (Server Settings)] を選択します。

2 [変更 (Change.)] をクリックします。

3 IPv4 または IPv6 アドレスを選択します。

4 必要に応じてポート番号を編集します。このポート番号は、インストール パッケージをするために必要です。

5 暗号化の方法または暗号を 1 つ以上選択します。

注： SSL VPN サーバで次のいずれかの GCM 暗号が設定されていると、一部のブラウザで後方互換性の問題

が発生する場合があります。

n AES128-GCM-SHA256

n ECDHE-RSA-AES128-GCM-SHA256

n ECDHE-RSA-AES256-GCM-SHA38

NSX 管理ガイド

VMware, Inc. 235

6 （オプション） [サーバ証明書] テーブルで、デフォルトのサーバ証明書を使用します。または、[デフォルト証明

書の使用 (Use Default Certificate)] チェック ボックスの選択を解除して、追加するサーバ証明書をクリック

します。

制限: n SSL VPN-Plus がサポートしているのは、RSA 証明書のみです。

n SSL VPN-Plus サービスでは、ルート認証局 (CA) の署名のみを含むサーバ証明書がサポートされます。

中間認証局 (CA) に署名されたサーバ証明書はサポートされません。

7 [OK (OK.)] をクリックします。

IP アドレス プールの追加

リモート ユーザーには、追加した IP アドレス プールから仮想 IP アドレスが割り当てられます。

手順

1 [SSL Vpn-Plus] タブで、左側のパネルから [IP アドレス プール (IP Pools)] を選択します。

2 [追加 (Add)]（ ）アイコンをクリックします。

3 IP アドレス プールの開始および終了の IP アドレスを入力します。

4 IP アドレス プールのネットマスクを入力します。

5 NSX Edge Gateway のルーティング インターフェイスに追加する IP アドレスを入力します。

6 （オプション） IP アドレス プールの説明を入力します。

7 IP アドレス プールを有効にするか無効にするかを選択します。

8 （オプション） [詳細 (Advanced)] パネルで、DNS 名を入力します。

9 （オプション） セカンダリ DNS 名を入力します。

10 ドメイン ベースのホスト名解決のための接続固有の DNS サフィックスを入力します。

11 WINS サーバ アドレスを入力します。

12 [OK] をクリックします。

プライベート ネットワークの追加

リモート ユーザーからのアクセスを許可するネットワークを追加します。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [非公開ネットワーク (Private Networks)] を選択します。

2 [追加 (Add)] （ ）アイコンをクリックします。

3 プライベート ネットワークの IP アドレスを入力します。

4 プライベート ネットワークのネットマスクを入力します。

5 （オプション） ネットワークの説明を入力します。

NSX 管理ガイド

VMware, Inc. 236

6 プライベート ネットワークとインターネット トラフィックを SSL VPN-Plus が有効な NSX Edge を介して

送信するのか、または NSX Edge を迂回することによってプライベート サーバに直接送信するのかを指定しま

す。

7 [トンネルを介してトラフィックを送信する (Send traffic over the tunnel)] を選択した場合は、[TCP 最適

化の有効化 (Enable TCP Optimization)] を選択してインターネットの速度を最適化します。

従来のフルアクセス SSL VPN トンネルは、TCP/IP データを 2 番目の TCP/IP スタックで送信し、インター

ネット上で暗号化を実現します。これにより、アプリケーション レイヤーのデータは、2 つの別々の TCP スト

リームで 2 度カプセル化されることになります。パケット ロスが発生すると（最適なインターネット環境でも

発生）、TCP-over-TCP のメルトダウンと呼ばれるパフォーマンスの低下が発生します。これは、2 つの TCP 計測ツールが 1 つの IP データ パケットを修正することにより、ネットワークのスループットが低下し、接続が

タイムアウトになる現象です。TCP の最適化によってこの TCP-over-TCP 問題を解消し、最適なパフォーマ

ンスを確保します。

8 最適化が有効になっている場合、トラフィックを最適化するポート番号を指定します。

そのネットワークの残りのポートのトラフィックは最適化されません。

注： ポート番号が指定されていない場合、すべてのポートのトラフィックが最適化されます。

TCP トラフィックが最適化されると、クライアントの代わりに SSL VPN サーバが TCP 接続を確立します。

TCP 接続が SSLVPN サーバによって開かれるため、最初に自動で生成されるルールが適用され、それによっ

て Edge から開かれたすべての接続が通過できます。最適化されないトラフィックは通常の Edge ファイアウ

ォール ルールによって評価されます。デフォルト ルールは「すべてを許可」です。

9 プライベート ネットワークを有効または無効にするかどうかを指定します。

10 [OK] をクリックします。

次のステップ

対応するファイアウォール ルールを追加して、プライベート ネットワーク トラフィックを許可します。

認証の追加

ローカル ユーザーの認証の代わりに、SSL ゲートウェイにバインドされている外部認証サーバ（Active Directory、LDAP、Radius、または RSA）を追加できます。バインドされた認証サーバにアカウントがあるすべ

てのユーザーが認証されます。

SSL VPN 経由の認証の最大時間は 3 分です。これは、認証以外のタイムアウトが 3 分で、このプロパティは設定

できないためです。そのため、設定されている Active Directory 認証のタイムアウトが 3 分を超えている場合や、

認可のチェーンに複数の認証サーバがあり、ユーザー認証の時間が 3 分を超える場合は認証されません。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [認証 (Authentication)] を選択します。

2 [追加 (Add)]（ ）アイコンをクリックします。

3 認証サーバのタイプを選択します。

NSX 管理ガイド

VMware, Inc. 237

4 選択した認証サーバのタイプに応じて、次のフィールドを指定します。

u Active Directory 認証サーバ

表 15-1. Active Directory 認証サーバのオプション

オプション 説明

[SSL の有効化

(Enable SSL)]SSL を有効にすると、Web サーバとブラウザの間に、暗号化されたリンクを確立します。

注： SSL を有効にせずに、[SSL VPN-Plus] タブを使用するか、後でクライアント マシンからパスワードの変

更を試みると、問題が発生する可能性があります。

[IP アドレス (IP Address)]

認証サーバの IP アドレス。

[ポート (Port)] デフォルト ポートの名前を表示します。必要に応じて編集します。

[タイムアウト

(Timeout)]Active Directory サーバが応答しなければならない期間（秒）です。

[ステータス

(Status)][有効 (Enabled)] あるいは [無効 (Disabled)] を選択し、サーバが有効になっているかどうかを指定します。

[検索ベース

(Search base)]検索対象とする外部のディレクトリ ツリーの一部です。検索ベースには、組織単位 (OU)、 ドメイン コントロー

ラ (DC) あるいは外部ディレクトリのドメイン名 (AD) などを指定できます。

例：

n OU=Users,DC=aslan,DC=local

n OU=VPN,DC=aslan,DC=local

[バインド DN (Bind DN)]

定義された検索ベース内で Active Directory ディレクトリを検索することを許可された外部 Active Directory サーバ上のユーザーです。たいていの場合、バインド DN は、ディレクトリ全体の検索が許可されま

す。バインド DN のロールは、Active Directory ユーザーの認証に関する DN（識別名）について、クエリ フィルタおよび検索ベースを使用してディレクトリをクエリすることです。DN が返されると、Active Directory ユーザーの認証に DN とパスワードが使用されます。

例：CN=ldap.edge,OU=users,OU=Datacenter Users,DC=aslan,DC=local

[バインド パスワー

ド (Bind Password)]

Active Directory ユーザーを認証するためのパスワードです。

[バインド パスワー

ドの再入力

(Retype Bind Password)]

パスワードを再入力します。

[ログイン属性名

(Login Attribute Name)]

リモート ユーザーが入力したユーザー ID に一致する名前です。Active Directory の場合、ログイン属性名は

sAMAccountName です。

[検索フィルタ

(Search Filter)]検索を制限するフィルタの値です。検索フィルタ フォーマットは、attribute operator value です。

検索ベースを Active Directory の特定のグループに限定し、組織単位 (OU) 全体での検索を許可しない場合

n 検索ベースにグループ名を入れず、OU と DC のみを入れてください。

n 同じ検索フィルタ文字列に objectClass と memberOf の両方を入れないでください。検索フィルタの正

しいフォーマットの例：memberOf=CN=VPN_Users,OU=Users,DC=aslan,DC=local

NSX 管理ガイド

VMware, Inc. 238

表 15-1. Active Directory 認証サーバのオプション （続き）

オプション 説明

[セカンダリ認証に

このサーバの使用

(Use this server for secondary authentication)]

選択すると、この Active Directory サーバが認証の第 2 レベルとして使用されます。

[認証に失敗した場

合はセッションを

終了 (Terminate Session if authentication fails)]

選択すると、認証に失敗した場合にセッションを終了します。

u LDAP 認証サーバ

表 15-2. LDAP 認証サーバのオプション

オプション 説明

[SSL の有効化 (Enable SSL)]

SSL を有効にすると、Web サーバとブラウザの間に、暗号化されたリンクを確立します。

[IP アドレス (IP Address)]

外部サーバの IP アドレスです。

[ポート (Port)] デフォルト ポートの名前を表示します。必要に応じて編集します。

[タイムアウト

(Timeout)]Active Directory サーバが応答しなければならない期間（秒）です。

[ステータス (Status)] [有効 (Enabled)] あるいは [無効 (Disabled)] を選択し、サーバが有効になっているかどうかを指定しま

す。

[検索ベース (Search base)]

検索対象とする外部のディレクトリ ツリーの一部です。検索ベースには、組織、グループ、あるいは外部デ

ィレクトリのドメイン名 (Active Directory) などを指定できます。

[バインド DN (Bind DN)]

定義された検索ベース内で Active Directory ディレクトリを検索することを許可された外部サーバ上の

ユーザーです。たいていの場合、バインド DN は、ディレクトリ全体の検索が許可されます。バインド DN のロールは、Active Directory ユーザーの認証に関する DN（識別名）について、クエリ フィルタおよ

び検索ベースを使用してディレクトリをクエリすることです。DN が返されると、Active Directory ユー

ザーの認証に DN とパスワードが使用されます。

[バインド パスワード

(Bind Password)]Active Directory ユーザーを認証するためのパスワードです。

[バインド パスワードの再

入力 (Retype Bind Password)]

パスワードを再入力します。

[ログイン属性名 (Login Attribute Name)]

リモート ユーザーが入力したユーザー ID に一致する名前です。Active Directory の場合、ログイン属性

名は sAMAccountName です。

[検索フィルタ (Search Filter)]

検索を制限するフィルタの値です。検索フィルタ フォーマットは、attribute operator value です。

NSX 管理ガイド

VMware, Inc. 239

表 15-2. LDAP 認証サーバのオプション （続き）

オプション 説明

[セカンダリ認証にこのサ

ーバの使用 (Use this server for secondary authentication)]

選択すると、このサーバが認証の第 2 レベルとして使用されます。

[認証に失敗した場合はセ

ッションを終了

(Terminate Session if authentication fails)]

選択すると、認証に失敗した場合にセッションを終了します。

u RADIUS 認証サーバ

RADIUS 認証は FIPS モードでは無効になります。

表 15-3. RADIUS 認証サーバのオプション

オプション 説明

[IP アドレス (IP Address)]

外部サーバの IP アドレスです。

[ポート (Port)] デフォルト ポートの名前を表示します。必要に応じて編集します。

[タイムアウト

(Timeout)]Active Directory サーバが応答しなければならない期間（秒）です。

[ステータス

(Status)][有効 (Enabled)] あるいは [無効 (Disabled)] を選択し、サーバが有効になっているかどうかを指定します。

[シークレット

(Secret)]RSA セキュリティ コンソールに認証エージェントを追加するときに指定した共有シークレットです。

[シークレットの再入

力 (Retype secret)]

共有シークレットを再入力します。

[NAS IP アドレス

(NAS IP Address)]

RADIUS 属性番号 4 として設定および使用される IP アドレス (NAS-IP-Address) です。RADIUS パケット

の IP アドレス ヘッダ内の送信元 IP アドレスは変更されません。

[再試行回数 (Retry Count)]

RADIUS サーバが応答しない場合に、認証が失敗する前に RADIUS サーバと通信する回数です。

[セカンダリ認証にこ

のサーバの使用

(Use this server for secondary authentication)]

選択すると、このサーバが認証の第 2 レベルとして使用されます。

[認証に失敗した場合

はセッションを終了

(Terminate Session if authentication fails)]

選択すると、認証に失敗した場合にセッションを終了します。

u RSA-ACE 認証サーバ

NSX 管理ガイド

VMware, Inc. 240

RSA 認証は FIPS モードでは無効になります。

表 15-4. RSA-ACE 認証サーバのオプション

オプション 説明

[タイムアウト

(Timeout)]Active Directory サーバが応答しなければならない期間（秒）です。

[構成ファイル

(Configuration File)]

[参照 (Browse)] をクリックして RSA Authentication Manager からダウンロードした sdconf.rec ファイルを選択します。

[ステータス

(Status)][有効 (Enabled)] あるいは [無効 (Disabled)] を選択し、サーバが有効になっているかどうかを指定します。

[送信元 IP アドレス

(Source IP Address)]

RSA サーバへのアクセスが可能な NSX Edge インターフェイスの IP アドレスです。

[セカンダリ認証にこ

のサーバの使用

(Use this server for secondary authentication)]

選択すると、このサーバが認証の第 2 レベルとして使用されます。

[認証に失敗した場合

はセッションを終了

(Terminate Session if authentication fails)]

選択すると、認証に失敗した場合にセッションを終了します。

u ローカル認証サーバ

表 15-5. ローカル認証サーバのオプション

オプション 説明

[パスワード ポリシ

ーの有効化 (Enable password policy)]

選択すると、パスワード ポリシーを定義します。必要な値を指定します。

[パスワード ポリシ

ーの有効化 (Enable password policy)]

選択すると、アカウント ロックアウト ポリシーを定義します。必要な値を指定します。

1 [再試行回数] には、リモート ユーザーが誤ったパスワードを入力した後、そのアカウントへのアクセスを試

みることができる回数を入力します。

2 [再試行期間] には、この期間中にログインが成功しなかった場合にリモート ユーザーのアカウントがロック

される期間を入力します。

たとえば、[再試行回数] を 5 に、[再試行期間] を 1 分間に設定すると、1 分間のうちにログインに 5 回失敗

すると、そのリモート ユーザーのアカウントがロックされることになります。

3 [ロックアウト期間] には、ユーザー アカウントがロック状態となっている期間を入力します。この期間が過

ぎると、アカウントのロックは自動的に解除されます。

[ステータス

(Status)][有効 (Enabled)] あるいは [無効 (Disabled)] を選択し、サーバが有効になっているかどうかを指定します。

NSX 管理ガイド

VMware, Inc. 241

表 15-5. ローカル認証サーバのオプション （続き）

オプション 説明

[セカンダリ認証にこ

のサーバの使用

(Use this server for secondary authentication)]

選択すると、このサーバが認証の第 2 レベルとして使用されます。

[認証に失敗した場合

はセッションを終了

(Terminate Session if authentication fails)]

選択すると、認証に失敗した場合にセッションを終了します。

5 （オプション） クライアント証明書認証の追加

a [証明書認証 (Certificate Authentication)] の横の [変更 (Change)] をクリックします。

b [クライアント証明書認証の有効化 (Enable client certificate authentication)] チェック ボックスを選

択します。

c ルート認証局 (CA) から発行されたクライアント証明書を選択して、[OK] をクリックします。

制限: n SSL VPN-Plus Web ポータルと SSL VPN-Plus Full Access Client（PHAT クライアント）で

は、、ルート認証局 (CA) によって署名されたクライアント証明書またはユーザー証明書のみがサポー

トされます。中間認証局 (CA) に署名されたクライアント証明書はサポートされません。

n クライアント証明書認証は、Windows コンピュータにインストールされている SSL VPN-Plus Client でのみサポートされます。Linux および Mac コンピュータにインストールされている SSL VPN-Plus Client では、この認証はサポートされていません。

インストール パッケージの追加

リモート ユーザーのための SSL VPN-Plus Client のインストール パッケージを作成します。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [インストール パッケージ (Installation Package)] を選択しま

す。

2 [追加 (Add)]（ ）アイコンをクリックします。

3 インストール パッケージのプロファイル名を入力します。

4 [ゲートウェイ (Gateway)] で、NSX Edge のパブリック インターフェイスの IP アドレスまたは FQDN を入力します。

この IP アドレスまたは FQDN は、SSL クライアントにバインドされます。クライアントのインストール時に、

この IP アドレスまたは FQDN が SSL クライアントに表示されます。

NSX 管理ガイド

VMware, Inc. 242

5 サーバ設定で SSL VPN-Plus に指定したポート番号を入力します。SSL VPN-Plus サーバ設定の追加を参照

してください。

6 （オプション） 追加の NSX Edge アップリンク インターフェイスを SSL クライアントにバインドするには、

a [追加 (Add)]（ ）アイコンをクリックします。

b IP アドレスとポート番号を入力します。

c [OK] をクリックします。

7 インストール パッケージは、デフォルトでは Windows オペレーティング システム用に作成されます。Linux または Mac を選択すると、Linux または Mac オペレーティング システム用のインストール パッケージも作成

できます。

8 （オプション） インストール パッケージの説明を入力します。

9 [有効化 (Enable)] を選択し、インストール パッケージ ページにインストール パッケージを表示します。

10 必要に応じて次のオプションを選択します。

オプション 説明

ログイン時にクライアントを起動 リモート ユーザーがこのシステムにログインすると、SSL VPN クライアントが起動されま

す。

パスワード記録を許可 オプションを有効にします。

サイレント モード インストールの有効化 リモート ユーザーに対してインストール コマンドを表示しません。

SSL クライアント ネットワーク アダプタを

非表示にする

VMware SSL VPN-Plus アダプタを非表示にします。これは、SSL VPN インストール パッケージと併せてリモート ユーザーのコンピュータにインストールされるものです。

クライアント システム トレイ アイコンを非

表示にする

VPN 接続がアクティブかアクティブでないかを示す SSL VPN トレイ アイコンを非表示に

します。

デスクトップ アイコンの作成 ユーザーのデスクトップに SSL クライアントを起動するアイコンを作成します。

サイレント モードの操作の有効化 インストールが完了したことを示すポップアップを非表示にします。

サーバ セキュリティ証明書の検証 SSL VPN クライアントが安全な接続を確立する前に SSL VPN サーバ証明書を検証しま

す。

証明書の検証に失敗したときにユーザーをブ

ロック

証明書の検証に失敗すると、SSL VPN ユーザーをブロックします。

11 [OK (OK.)] をクリックします。

ユーザーの追加

ローカル データベースにリモート ユーザーを追加します。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ユーザー (Users)] を選択します。

2 [追加 (Add)]（ ）アイコンをクリックします。

3 ユーザー ID を入力します。

NSX 管理ガイド

VMware, Inc. 243

4 パスワードを入力します。

5 パスワードを再入力します。

6 （オプション） ユーザーの姓名を入力します。

7 （オプション） ユーザーの説明を入力します。

8 [パスワードの詳細] で、[パスワードは無期限です (Password never expires)] を選択すると、そのユーザー

には常に同じパスワードが適用されます。

9 ユーザーにパスワードの変更を許可するには、[パスワードの変更を許可 (Allow change password)] を選択

します。

10 次回ログイン時にユーザーにパスワードの変更を求めるには、[次のログイン時にパスワードを変更 (Change password on next login)] をクリックします。

11 ユーザー ステータスを設定します。

12 [OK] をクリックします。

SSL VPN-Plus サービスを有効にする

SSL VPN-Plus サービスを設定したら、そのサービスを有効にして、リモート ユーザーがプライベート ネットワー

クへのアクセスを開始できるようにします。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ダッシュボード (Dashboard)] を選択します。

2 [開始 (Start)] をクリックします。

ダッシュボードに、サービスのステータス、アクティブな SSL VPN セッションの数、およびセッションの統計

とデータ フローの詳細が表示されます。[アクティブ セッションの数] の隣にある [詳細 (Details)] をクリック

して、NSX Edge ゲートウェイの内側にあるプライベート ネットワークへの同時接続に関する情報を表示しま

す。

次のステップ

1 SNAT ルールを追加して、NSX Edge アプライアンスの IP アドレスを VPN Edge の IP アドレスに変換し

ます。

2 Web ブラウザに https//NSXEdgeIPAddress と入力して、NSX Edge インターフェイスの IP アドレスに

移動します。

3 ユーザーの追加セクションで作成したユーザー名およびパスワードを使用してログインし、インストール パッケ

ージをダウンロードします。

4 SSL VPN-Plus サーバ設定の追加で使用したポート番号に対して、ルーターでのポート転送を有効にします。

5 VPN クライアントを起動し、VPN サーバを選択してログインします。ここで、ネットワーク上のサービスに移

動できるようになります。SSL VPN-Plus ゲートウェイのログが、NSX Edge アプライアンスで設定された

Syslog サーバに送信されます。SSL VPN-Plus Client のログは、リモート ユーザーのコンピュータの

%PROGRAMFILES%/VMWARE/SSLVPN Client/ ディレクトリに格納されます。

NSX 管理ガイド

VMware, Inc. 244

スクリプトの追加

複数のログインまたはログオフ スクリプトを追加できます。たとえば、Internet Explorer を gmail.com で開始

するようにログイン スクリプトをバインドすることができます。リモート ユーザーが SSL クライアントにログイ

ンすると、Internet Explorer が gmail.com を開きます。

手順

1 [SSL Vpn-Plus] タブで、左側のパネルから [ログイン/ログオフ スクリプト (Login/Logoff Scripts)] を選択

します。

2 [追加 (Add)]（ ）アイコンをクリックします。

3 [スクリプト (Script)] で、[参照 (Browse)] をクリックし、NSX Edge Gateway にバインドするスクリプト

を選択します。

4 スクリプトの [タイプ (Type)] を選択します。

オプション 説明

ログイン リモート ユーザーが SSL VPN にログインするときにスクリプト アクションを実行します。

ログオフ リモート ユーザーが SSL VPN からログアウトするときにスクリプト アクションを実行し

ます。

両方 リモート ユーザーが SSL VPN のログインおよびログアウトを実行するときにスクリプト

アクションを実行します。

5 スクリプトの説明を入力します。

6 [有効 (Enabled)] を選択してスクリプトを有効にします。

7 [OK] をクリックします。

SSL VPN-Plus Client のインストール

SSL VPN Full Access (PHAT) クライアントを使用して、設定済みのプライベート ネットワークにリモート ユー

ザーとして接続します。このクライアントは、Windows、Mac、Linux デスクトップでサポートされています。

次のトピックでは、さまざまなオペレーティング システムに SSL VPN-Plus Client をインストールする手順につ

いて説明します。

n リモートの Windows サイトへの SSL VPN-Plus Client のインストール

このトピックの手順に従って、リモートの Windows サイトに SSL VPN-Plus Client をインストールしま

す。

n リモートの Linux サイトへの SSL VPN-Plus Client のインストール

このトピックの手順に従って、リモートの Linux サイトに SSL VPN-Plus Client をインストールします。

n リモートの Mac サイトへの SSL VPN-Plus Client のインストール

このトピックの手順に従って、リモートの Mac コンピュータに SSL VPN-Plus Client をインストールしま

す。

NSX 管理ガイド

VMware, Inc. 245

リモートの Windows サイトへの SSL VPN-Plus Client のインストール

このトピックの手順に従って、リモートの Windows サイトに SSL VPN-Plus Client をインストールします。

手順

1 リモート クライアントのサイトでブラウザ ウィンドウを開き、

https://ExternalEdgeInterfaceIP/sslvpn-plus/ と入力します。ExternalEdgeInterfaceIP は

SSL VPN-Plus サービスが有効になっている Edge の外部インターフェイスの IP アドレスです。

2 リモート ユーザーの認証情報を使用してポータルにログインします。

3 [フル アクセス (Full Access)] タブをクリックします。

4 リストからインストーラ パッケージの名前をクリックします。

5 [ここをクリック (click here)] リンクをクリックして、インストーラ パッケージをダウンロードします。

SSL クライアントがダウンロードされます。

6 ダウンロードしたファイルを解凍し、Installer.exe ファイルを実行してクライアントをインストールしま

す。

次のステップ

[ユーザー] セクションで指定した認証情報を使って、SSL クライアントにログインします。SSL VPN-Plus Client が SSL VPN サーバ証明書を検証します。

インストール パッケージが作成されたときに [サーバ セキュリティ証明書の検証 (Server security certificate validation)] オプションがデフォルトで選択されていた場合は、Windows クライアントが認証されます。

Internet Explorer (IE) ブラウザでは、信頼された CA を証明書のトラスト ストアに追加します。サーバ証明書の

検証に失敗すると、システム管理者に連絡するように求めるメッセージが表示されます。サーバ証明書の検証が成功

した場合は、ログイン プロンプトが表示されます。

信頼できる CA のトラスト ストアへの追加は、SSL VPN ワーク フローとは独立した手順です。

リモートの Linux サイトへの SSL VPN-Plus Client のインストール

このトピックの手順に従って、リモートの Linux サイトに SSL VPN-Plus Client をインストールします。

前提条件

リモート コンピュータに Linux TCL と TK パッケージをインストールします。

SSL VPN-Plus Client をインストールするには、root 権限が必要です。

手順

1 リモート クライアントのサイトでブラウザ ウィンドウを開き、

https://ExternalEdgeInterfaceIP/sslvpn-plus/ と入力します。ExternalEdgeInterfaceIP は

SSL VPN-Plus サービスが有効になっている Edge の外部インターフェイスの IP アドレスです。

2 リモート ユーザーの認証情報を使用してポータルにログインします。

3 [フル アクセス (Full Access)] タブをクリックします。

NSX 管理ガイド

VMware, Inc. 246

4 インストーラ パッケージの名前をクリックし、リモート コンピュータに linux_phat_client.tgz 圧縮ファ

イルを保存します。

5 圧縮ファイルを解凍します。linux_phat_client ディレクトリが作成されます。

6 Linux CLI を開き、linux_phat_client ディレクトリに移動します。

7 $./install_linux_phat_client.sh コマンドを実行します。

次のステップ

[ユーザー] セクションで指定した認証情報を使って、SSL VPN GUI にログインします。

注目: n Linux オペレーティング システムで SSL VPN クライアントにログインする場合、二要素 RSA 認証は使用で

きません。

n SSL VPN Linux クライアント CLI は、サーバ証明書を検証しません。サーバ証明書の検証が必要な場合は、ゲ

ートウェイとの接続に SSL VPN GUI を使用します。

デフォルトでは、SSL VPN Linux クライアントはブラウザの証明書ストアでサーバ証明書を検証します。サーバ証

明書の検証に失敗すると、システム管理者に連絡するように求めるメッセージが表示されます。サーバ証明書の検証

に成功した場合は、ログイン プロンプトが表示されます。

信頼できる認証局 (CA) のトラスト ストア（Firefox の証明書ストアなど）への追加は、SSL VPN ワーク フロー

とは独立した手順です。

リモートの Mac サイトへの SSL VPN-Plus Client のインストール

このトピックの手順に従って、リモートの Mac コンピュータに SSL VPN-Plus Client をインストールします。

前提条件

SSL VPN-Plus Client をインストールするには、root 権限が必要です。

手順

1 リモート クライアントのサイトでブラウザ ウィンドウを開き、

https://ExternalEdgeInterfaceIP/sslvpn-plus/ と入力します。ExternalEdgeInterfaceIP は

SSL VPN-Plus サービスが有効になっている Edge の外部インターフェイスの IP アドレスです。

2 リモート ユーザーの認証情報を使用してポータルにログインします。

3 [フル アクセス (Full Access)] タブをクリックします。

4 インストーラ パッケージの名前をクリックし、リモート コンピュータに mac_phat_client.tgz 圧縮ファイ

ルを保存します。

5 圧縮ファイルを抽出します。mac_phat_client ディレクトリが作成されます。

6 SSL VPN-Plus Client をインストールするには、naclient.pkg ファイルをダブルクリックします。

ウィザードの指示に従って、インストールを完了します。

NSX 管理ガイド

VMware, Inc. 247

SSL VPN クライアントのインストールに失敗した場合は、/tmp/naclient_install.log にあるインスト

ール ログ ファイルを確認します。

Mac OS High Sierra のインストール問題のトラブルシューティングについては、『NSX トラブルシューティ

ング ガイド』を参照してください。

次のステップ

[ユーザー] セクションで指定した認証情報を使って、SSL クライアントにログインします。

注目: Mac オペレーティング システムで SSL VPN クライアントにログインするときに、二要素 RSA 認証は使

用できません。

デフォルトでは、SSL VPN Mac クライアントがキーチェーン（Mac OS で証明書が格納されているデータベース）

を使用してサーバ証明書を検証します。サーバ証明書の検証が失敗すると、システム管理者に問い合わせるように求

めるメッセージが表示されます。サーバ証明書の検証が成功した場合は、ログイン プロンプトが表示されます。

SSL VPN-Plus Client でのプロキシ サーバの設定

NSX 6.4.6 以降では、Windows、Mac、Linux コンピュータの SSL VPN-Plus Client でプロキシ サーバの設定

がサポートされます。NSX 6.4.5 以前では、プロキシ サーバの設定は、Windows コンピュータの SSL VPN-Plus Client でのみサポートされます。

注意： NSX 6.4.5 以前：

n Mac OS の SSL VPN-Plus Client にはプロキシ サーバの設定機能が用意されていますが、リモート ユーザー

はプロキシ サーバを設定しないでください。

n リモートの Linux OS ユーザーは、Linux CLI を使用して SSL VPN-Plus Client のプロキシ サーバを設定し

ないでください。

次の手順では、SSL VPN-Plus Client のプロキシ サーバを設定する手順について説明します。

前提条件

SSL VPN-Plus Client は、リモート コンピュータにインストールされます。

手順

1 リモート コンピュータで SSL VPN-Plus Client のデスクトップ アイコンをダブルクリックします。

[SSL VPN-Plus Client - ログイン] ウィンドウが開きます。

2 プロキシの設定に移動します。

n Windows および Mac コンピュータで、[設定] をクリックしてから、[プロキシ設定] タブをクリックしま

す。

n Linux コンピュータで、[プロキシ設定] をクリックします。

NSX 管理ガイド

VMware, Inc. 248

3 プロキシ サーバの設定を指定します。

a [プロキシの使用 (Use Proxy)] チェック ボックスを選択します。

b [プロキシのタイプ (Type Of Proxy)] で、プロキシ サーバのタイプを設定します。

オプション 説明

IE 設定の使用 このオプションは、Windows SSL VPN-Plus Client でのみ使用できます。

IE ブラウザで指定されているプロキシ サーバの設定を使用します。

HTTP HTTP プロキシ サーバの次の設定を指定します。

n プロキシ サーバ名またはプロキシ サーバの IP アドレス。

n プロキシ サーバのポート。デフォルト ポートは 80 です。この値は編集できます。

SOCKS バージョン 4 このオプションは、Windows SSL VPN-Plus Client でのみ使用できます。

SOCKS 4.0 プロキシ サーバの次の設定を指定します。

n プロキシ サーバ名またはプロキシ サーバの IP アドレス。

n プロキシ サーバのポート。デフォルト ポートは 1080 です。この値は編集できま

す。

SOCKS バージョン 5 SOCKS 5.0 プロキシ サーバの次の設定を指定します。

n プロキシ サーバ名またはプロキシ サーバの IP アドレス。

n プロキシ サーバのポート。デフォルト ポートは 1080 です。この値は編集できま

す。

n （オプション）SOCKS 5.0 サーバへのアクセスに使用するユーザー名とパスワード。

4 プロキシ サーバの設定を保存するには、[OK] をクリックします。

SSL VPN-Plus のログ

SSL VPN-Plus ゲートウェイのログが、NSX Edge アプライアンスで設定された Syslog サーバに送信されます。

次の表に、リモート ユーザーのコンピュータで SSL VPN-Plus Client のログが保存される場所を示します。

オペレーティング システム ログ ファイルの場所

Windows 8 C:\Users\username\AppData\Local\VMware\vpn\svp_client.log

Windows 10 C:\Users\username\AppData\Local\VMware\vpn\svp_client.log

Linux システム ログ ファイル

Mac インストール ログ ファイル： /tmp/naclient_install.logシステム ログ ファイル

SSL VPN-Plus Client ログとログ レベルの変更

1 [SSL VPN-Plus] タブで、左側のパネルから [サーバ設定 (Server Settings)] をクリックします。

2 [ログ ポリシー] セクションに移動し、セクションを展開して現在の設定を表示します。

3 [変更 (Change)] をクリックします。

4 ログを有効にするには、[ログの有効化 (Enable logging)] チェック ボックスを選択します。

また

NSX 管理ガイド

VMware, Inc. 249

ログを無効にするには、[ログの有効化 (Enable logging)] チェック ボックスを選択解除します。

5 必要なログ レベルを選択します。

注： デフォルトで、SSL VPN-Plus クライアントのログが有効になり、ログ レベルが通知に設定されます。

6 [OK] をクリックします。

クライアント設定の編集

リモート ユーザーが SSL VPN にログインしたときに SSL VPN クライアント トンネルが応答する方法を変更で

きます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [クライアント (Client Configuration)] を選択します。

2 [トンネル モード (Tunneling Mode)] を選択します。

分割トンネル モードでは、VPN のみが NSX Edge Gateway を通過します。フル トンネルの場合、NSX Edge Gateway はリモート ユーザーのデフォルト ゲートウェイとなり、すべてのトラフィック（VPN、ロー

カルおよびインターネット）がこのゲートウェイを通過します。

3 フル トンネル モードを選択した場合：

a [ローカル サブネットを除外 (Exclude local subnets)] を選択すると、VPN トンネルを通過するトラフ

ィックからローカル トラフィックが除外されます。

b リモート ユーザーのシステムのデフォルト ゲートウェイの IP アドレスを入力します。

4 リモート ユーザーが切断後に自動的に SSL VPN クライアントに再接続するようにするには、[自動再接続の有

効化 (Enable auto reconnect)] を選択します。

5 [クライアントのアップグレードを通知 (Client upgrade notification)] を選択すると、クライアントのアップ

グレードが使用可能になったときに、リモート ユーザーに通知が送信されます。リモート ユーザーはそのとき

に、アップグレードのインストールを選択できます。

6 [OK] をクリックします。

全般設定の編集

デフォルトの VPN 設定を編集することができます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [全般設定 (General Settings)] を選択します。

2 必要な選択を行います。

選択 宛先

複数のログインが同じユーザー名を使用する

ことを防ぐ

リモート ユーザーが 1 つのユーザー名で 1 度だけログインすることを許可します。

圧縮の有効化 TCP ベースのインテリジェント データ圧縮を有効にし、データ転送速度を改善します。

NSX 管理ガイド

VMware, Inc. 250

選択 宛先

ログの有効化 SSL VPN ゲートウェイを通過するトラフィックのログを保持します。

強制仮想キーボード リモート ユーザーによる Web またはクライアントのログイン情報の入力を、仮想キーボード

からの入力のみに限定します。

仮想キーボードのキーのランダム化 仮想キーボードのキーをランダムに配置します。

強制タイムアウトの有効化 指定したタイムアウト時間の経過後、リモート ユーザーを切断します。タイムアウト時間を分

単位で入力します。

セッション アイドル タイムアウト 一定期間ユーザー セッションにアクティビティがない場合、その期間の経過後にユーザー セッションを終了します。

SSLVPN アイドル タイムアウトでは、アプリケーションおよびユーザー データによって送信

された制御パケットを含むすべてのパケットが検討され、タイムアウトが検出されます。この

ため、ユーザー データがない場合でも、MDNS などの制御パケットを定期的に転送するアプ

リケーションがある場合、セッションはタイムアウトしません。

ユーザー通知 ログイン後にリモート ユーザーに表示されるメッセージを入力します。

3 [OK] をクリックします。

Web ポータル デザインの編集

SSL VPN クライアントにバインドされたクライアント バナーを編集できます。

手順

1 [NSX Edge (NSX Edges)] タブで、NSX Edge をダブルクリックします。

2 [管理 (Manage)] タブをクリックして、[SSL VPN-Plus] タブをクリックします。

3 左側のパネルから [ポータルのカスタマイズ (Portal Customization)] を選択します。

4 ポータル タイトルを入力します。

5 リモート ユーザーの会社名を入力します。

6 [ロゴ (Logo)] で、[変更 (Change)] をクリックします。可能であれば、会社のロゴの JPEG イメージを選択

します。

ロゴの優先サイズはありません。

7 [色 (Colors)] で、色を変更する対象の番号付き項目の横にある色ボックスをクリックし、好みの色を選択しま

す。

8 必要に応じてクライアント バナーを変更します。バナーの BMP イメージを選択します。

クライアント バナーの優先サイズは 390 x 75 ピクセルです。

9 [OK] をクリックします。

SSL VPN での IP アドレス プールの使用

IP アドレス プールを編集または削除できます。

IP アドレス プール追加の詳細については、ネットワーク アクセス SSL VPN-Plus の設定を参照してください。

NSX 管理ガイド

VMware, Inc. 251

IP アドレス プールの編集

IP アドレス プールを編集できます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [IP アドレス プール (IP Pool)] をクリックします。

2 編集する IP アドレス プールを選択します。

3 [編集 (Edit)]（ ）アイコンをクリックします。

[IP アドレス プールの編集] ダイアログ ボックスが開きます。

4 必要に応じて編集します。

5 [OK] をクリックします。

IP アドレス プールの削除

IP アドレス プールを削除できます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [IP アドレス プール (IP Pool)] をクリックします。

2 削除する IP アドレス プールを選択します。

3 [削除 (Delete)] （ ）アイコンをクリックします。

選択した IP アドレス プールが削除されます。

IP アドレス プールを有効にする

IP アドレス プールの IP アドレスがリモート ユーザーに割り当てられるようにする場合は、その IP アドレス プー

ルを有効にする必要があります。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [IP アドレス プール (IP Pool)] をクリックします。

2 有効にする IP アドレス プールを選択します。

3 [有効化 (Enable)] （ ）アイコンをクリックします。

IP アドレス プールを無効にする

リモート ユーザーに IP プールから IP アドレスを割り当てない場合は、その IP アドレス プールを無効にすること

ができます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [IP アドレス プール (IP Pool)] を選択します。

2 無効にする IP アドレス プールを選択します。

3 [無効化 (Disable)] （ ）アイコンをクリックします。

NSX 管理ガイド

VMware, Inc. 252

IP アドレス プールの順序の変更

SSL VPN は、IP アドレス プール テーブルの順序に基づいてリモート ユーザーに IP アドレス プールから IP アド

レスを割り当てます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [IP アドレス プール (IP Pool)] をクリックします。

2 順序を変更する IP アドレス プールを選択します。

3 [上へ移動 (Move Up)]（ ）または [下へ移動]（ ）アイコンをクリックします。

プライベート ネットワークの操作

リモート ユーザーがアクセスできるプライベート ネットワークを編集または削除できます。

プライベート ネットワークの追加の詳細については、ネットワーク アクセス SSL VPN-Plus の設定を参照してく

ださい。

プライベート ネットワークの削除

プライベート ネットワークを削除できます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [非公開ネットワーク (Private Networks)] をクリックします。

2 削除するネットワークを選択し、[削除 (Delete)] （ ）アイコンをクリックします。

プライベート ネットワークを有効にする

プライベート ネットワークを有効にすると、リモート ユーザーは SSL VPN-Plus を介してそのネットワークにア

クセスできます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [非公開ネットワーク (Private Networks)] をクリックします。

2 有効にするネットワークをクリックします。

3 [有効化 (Enable)] アイコン （ ）をクリックします。

選択したネットワークが有効になります。

プライベート ネットワークを無効にする

プライベート ネットワークを無効にすると、リモート ユーザーは SSL VPN-Plus を介してそのネットワークにア

クセスできなくなります。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [非公開ネットワーク (Private Networks)] をクリックします。

2 無効にするネットワークをクリックします。

NSX 管理ガイド

VMware, Inc. 253

3 [無効化 (Disable)] （ ）アイコンをクリックします。

選択したネットワークが無効になります。

プライベート ネットワークの順序の変更

SSL VPN-Plus では、リモート ユーザーがプライベート ネットワーク パネルに表示されている順番でプライベー

ト ネットワークにアクセスすることを許可します。

プライベート ネットワークに [TCP 最適化の有効化 (Enable TCP Optimization)] を選択すると、アクティブ モードの FTP など、一部のアプリケーションがサブネット内で機能しない場合があります。アクティブ モードで設定

されている FTP サーバを追加するには、その FTP サーバに、TCP 最適化を無効にして別のプライベート ネットワ

ークを追加する必要があります。また、アクティブな TCP プライベート ネットワークを有効にし、サブネット プラ

イベート ネットワークに配置する必要もあります。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [非公開ネットワーク (Private Networks)] をクリックします。

2 [順序の変更 (Change Order)]（ ）アイコンをクリックします。

3 順序を変更するネットワークを選択します。

4 [上へ移動 (Move Up)]（ ）または [下へ移動 (Move Down)]（ ）アイコンをクリックします。

5 [OK] をクリックします。

次のステップ

アクティブ モードに設定されている FTP サーバを追加するには、アクティブな FTP サーバでのプライベート ネッ

トワークの設定を参照してください。

アクティブな FTP サーバでのプライベート ネットワークの設定

アクティブ モードに設定されている FTP サーバをプライベート ネットワークに追加できます。アクティブな FTP の場合、バックエンドの FTP サーバが TCP の最適化に対応していないクライアント マシン用に、コントロール コネクションを開始します。

前提条件

FTP サーバがアクティブ モードに設定されていること。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [非公開ネットワーク (Private Networks)] をクリックします。

2 アクティブ FTP に設定するプライベート ネットワークを追加します。詳細については、プライベート ネットワ

ークの追加 を参照してください。

3 [TCP 最適化の有効化 (Enable TCP Optimization)] チェック ボックスをオフにします。

4 [ポート (Ports)] フィールドに、プライベート ネットワークのポート番号を追加します。

5 ステータスを [有効 (Enabled)] に設定し、プライベート ネットワークを有効にします。

NSX 管理ガイド

VMware, Inc. 254

6 設定済みの他のプライベート ネットワークよりも上位に、アクティブな FTP に設定するプライベート ネットワ

ークを配置します。詳細については、プライベート ネットワークの順序の変更を参照してください。

次のステップ

対応するファイアウォール ルールを追加して、プライベート ネットワーク トラフィックを許可します。

インストール パッケージの操作

SSL クライアントのインストール パッケージを削除または編集できます。

インストール パッケージの作成の詳細については、ネットワーク アクセス SSL VPN-Plus の設定を参照してくだ

さい。

インストール パッケージの編集

インストール パッケージを編集できます。

手順

1 [SSL VPN-Plus] タブの左側のパネルで、[インストール パッケージ (Installation Package)] をクリックし

ます。

2 編集するインストール パッケージを選択します。

3 [編集] （ ）アイコンをクリックします。

[インストール パッケージの編集] ダイアログ ボックスが開きます。

4 必要に応じて編集します。

5 [OK] をクリックします。

インストール パッケージの削除

インストール パッケージを削除できます。

手順

1 [SSL VPN-Plus] タブの左側のパネルで、[インストール パッケージ (Installation Package)] をクリックし

ます。

2 削除するインストール パッケージを選択します。

3 [削除 (Delete)] （ ）アイコンをクリックします。

ユーザーの操作

ローカル データベースのユーザーを編集、または削除できます。

ユーザーの追加の詳細については、ネットワーク アクセス SSL VPN-Plus の設定を参照してください。

ユーザーの編集

ユーザー ID を除くユーザーの詳細を編集できます。

NSX 管理ガイド

VMware, Inc. 255

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ユーザー (Users)] をクリックします。

2 [編集 (Edit)]（ ）アイコンをクリックします。

3 必要に応じて編集します。

4 [OK] をクリックします。

ユーザーの削除

ユーザーを削除できます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ユーザー (Users)] をクリックします。

2 [構成 (Configure)] パネルの[ユーザー (Users)]で、[ユーザー (Users)] をクリックします。

3 削除するユーザーを選択し、[削除 (Delete)] （ ）アイコンをクリックします。

ユーザーのパスワードの変更

ユーザーのパスワードを変更できます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ユーザー (Users)] をクリックします。

2 [パスワードの変更 (Change Password)] アイコンをクリックします。

3 新しいパスワードを入力してから再入力します。

4 ユーザーが次にシステムにログインするときにパスワードを変更するには、[次のログイン時にパスワードを変

更] をクリックします。

5 [OK] をクリックします。

ログインおよびログオフ スクリプトの操作

ログインまたはログオフ スクリプトを NSX Edge Gateway にバインドできます。

スクリプトの編集

NSX Edge Gateway にバインドされたログインまたはログオフ スクリプトのタイプ、説明、およびステータス

は、編集することができます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ログイン/ログオフ スクリプト (Login/Logoff Scripts)] をク

リックします。

2 スクリプトを選択して、[編集 (Edit)] （ ）アイコンをクリックします。

NSX 管理ガイド

VMware, Inc. 256

3 適切に変更します。

4 [OK] をクリックします。

スクリプトの削除

ログインまたはログオフ スクリプトを削除できます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ログイン/ログオフ スクリプト (Login/Logoff Scripts)] をク

リックします。

2 スクリプトを選択して、[削除 (Delete)] （ ）アイコンをクリックします。

スクリプトを有効にする

スクリプトを実行するには、有効にする必要があります

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ログイン/ログオフ スクリプト (Login/Logoff Scripts)] をク

リックします。

2 スクリプトを選択して、[有効化 (Enable)] （ ）アイコンをクリックします。

スクリプトを無効にする

ログイン/ログオフ スクリプトを無効にすることができます。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ログイン/ログオフ スクリプト (Login/Logoff Scripts)] をク

リックします。

2 スクリプトを選択して、[無効化 (Disable)] （ ）アイコンをクリックします。

スクリプトの順序の変更

スクリプトの順序を変更できます。たとえば、Internet Explorer で gmail.com を開くログイン スクリプトを、

yahoo.com を開くログイン スクリプトの上に配置してあるとします。リモート ユーザーが SSL VPN にログイ

ンすると、yahoo.com の前に gmail.com が表示されます。ログイン スクリプトの順序を逆にすると、

gmail.com の前に yahoo.com が表示されるようになります。

手順

1 [SSL VPN-Plus] タブで、左側のパネルから [ログイン/ログオフ スクリプト (Login/Logoff Scripts)] をク

リックします。

2 順序を変更するスクリプトを選択し、[上へ移動 (Move Up)]（ ）または [下へ移動 (Move Down)]（ ）

アイコンをクリックします。

3 [OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 257

IPsec VPN の概要

NSX Edge は NSX Edge インスタンスとリモート サイトとのサイト間 IPsec VPN をサポートします。証明書

認証、プリシェアード キー モード、IP ユニキャスト トラフィックは、NSX Edge インスタンスとリモート VPN サイト間でサポートされています。

NSX Data Center 6.4.2 以降では、ポリシー ベースの IPsec VPN サービスとルート ベースの IPsec VPN サー

ビスの両方を構成できます。ただし、ルート ベースの IPsec VPN パラメータの構成、管理、編集を行うには、REST API を使用する必要があります。vSphere Web Client では、ルート ベースの IPsec VPN パラメータを設定ま

たは編集できません。API を使用してルート ベースの IPsec VPN を設定する方法については、『NSX API ガイド』

を参照してください。

NSX 6.4.1 以前の場合は、ポリシー ベースの IPsec VPN サービスのみを設定できます。

ポリシー ベースの IPsec VPN

ポリシーベースの IPsec VPN では、ローカル サイトの NSX Edge の背後にあるサブネットを明示的に構成しま

す。ピア サイトのリモート サブネットとの通信は、暗号化で保護されている必要があります。

ローカル IPsec VPN サイトが、ピアサイトの保護されたリモート サブネット宛てのトラフィックを保護されていな

いローカル サブネットから送信した場合、このトラフィックはドロップされます。

NSX Edge の背後にあるローカル サブネットには、ピア VPN サイトの IP アドレスと重複しないアドレス範囲が

必要です。IPsec VPN トンネル間のローカルとリモートの ピアで IP アドレスが重複している場合、トンネル経由

でのトラフィック転送が一貫しなくなる可能性があります。

NAT デバイスの背後に NSX Edge エージェントを展開できます。この展開で NAT デバイスは、NSX Edge インスタンスの VPN アドレスを、インターネットに接するパブリックにアクセス可能なアドレスに変換します。リモ

ート VPN サイトはこのパブリック アドレスを使用して NSX Edge インスタンスにアクセスします。

リモート VPN サイトを NAT デバイスの背後に設置することもできます。トンネルをセットアップするには、リモ

ート VPN サイトのパブリック IP アドレスとその ID（FQDN または IP アドレス）を指定する必要があります。両

端では、VPN アドレス用に静的な一対一の NAT が要求されます。

次の表に示すように、サポートされるトンネルの最大数は ESG のサイズで決まります。

表 15-6. サポートされる IPsec トンネルの数

ESG のサイ

ズ IPsec トンネルの数

Compact 512

Large 1600

Quad-Large

4096

X-Large 6000

制限: ポリシー ベースの IPsec VPN のアーキテクチャでは、VPN トンネルの冗長性の設定に制限があります。

NSX Edge とリモート VPN ゲートウェイ間でポリシー ベースの IPsec トンネルを設定する場合の例について

は、ポリシー ベースの IPsec VPN サイトの構成例を参照してください。

NSX 管理ガイド

VMware, Inc. 258

ルートベースの IPsec VPN

ルートベースの IPsec VPN は、IPsec 経由の GRE (Generic Routing Encapsulation) に似ていますが、IPsec 処理を適用する前にパケットに追加のカプセル化が行われない点が異なります。

この VPN トンネリング アプローチでは、仮想トンネル インターフェイス (VTI) が ESG アプライアンスに作成さ

れます。各 VTI は IPsec トンネルに関連付けられます。暗号化されたトラフィックは、VTI インターフェイスを経

由してサイト間をルーティングされます。IPsec の処理は VTI インターフェイスでのみ発生します。

VPN トンネルの冗長性

ルートベースの IPsec VPN サービスを使用すると、VPN トンネルの冗長性を設定できます。トンネルの冗長性を

設定すると、ISP リンクでエラーが発生したり、リモート VPN ゲートウェイで障害が起きた場合でも、2 つのサイ

ト間のデータ パスを維持することができます。

重要： n NSX Data Center 6.4.2 以降では、BGP を使用している場合にのみ、IPsec VPN トンネルの冗長性がサポ

ートされます。OSPF 動的ルーティングでは、IPsec VPN トンネル経由でルーティングを実行できません。

n VPN トンネルの冗長性を実現する場合は、ルートベースの IPsec VPN トンネルに静的ルーティングを使用し

ないでください。

次の図では、2 つのサイト間の IPsec VPN トンネルの冗長性を論理的に表現しています。この図で、サイト A とサイト B はそれぞれのデータセンターを表します。この例では、サイト A に NSX が管理していない Edge VPN ゲートウェイが存在し、サイト B には NSX が管理している Edge ゲートウェイ仮想アプライアンスが存在するこ

とを前提としています。

NSX 管理ガイド

VMware, Inc. 259

図 15-1. ルートベースの IPsec VPN トンネルの冗長性

サイト A

VPNトンネル

VPNトンネル

ルーター

BGPVTI

BGPVTI

アップリンク

アップリンク

アップリンクVTIBGP

VTIBGP

サブネット サブネット

サイト B

図のように、VTI を使用すると、2 つの独立した IPsec VPN トンネルを設定できます。トンネルの冗長性を実現す

るため、動的ルーティングは BGP プロトコルを使用するように設定されています。両方の IPsec VPN トンネルが

使用可能な場合、引き続きサービスを提供します。サイト A から ESG 経由でサイト B に送信されるトラフィック

はすべて、VTI 経由でルーティングされます。データ トラフィックが IPsec の処理に進み、関連する ESG のアッ

プリンク インターフェイスから送信されます。ESG のアップリンク インターフェイスでサイト B の VPN ゲート

ウェイから受信したすべての IPsec トラフィックは、復号化されてから VTI に転送され、通常ルーティングが行わ

れます。

必要なフェイル オーバー時間内にピアとの切断を検出できるように、BGP HoldDown タイマーと KeepAlive タイマーの値を構成する必要があります。

ルートベースの IPsec VPN サービスで注意が必要なポイントは次のとおりです。

n ESG の同じアプライアンスに、ポリシー ベースの IPsec VPN トンネルとルートベースの IPsec トンネルを設

定できます。ただし、同じ VPN ピア サイトでは、ポリシーベースのトンネルとルートベースのトンネルを併用

できません。

n NSX では、1 つの ESG アプライアンスに対して最大 32 個の VTI をサポートしています。つまり、最大 32 個までのルート ベース VPN ピア サイトを設定できます。

n NSX は、既存のポリシーベースの IPsec VPN トンネルからルートベースのトンネルに移行できません。また、

その逆も同様です。

ルートベースの IPsec VPN サイトの構成方法については、ルート ベースの IPsec VPN サイトの構成を参照して

ください。

ローカルの NSX Edge とリモートの Cisco CSR 1000V VPN ゲートウェイ間でルート ベースの IPsec VPN トンネルを設定する詳細な例については、「Cisco CSR 1000V アプライアンスの使用」を参照してください。

NSX 管理ガイド

VMware, Inc. 260

ポリシー ベースの IPsec VPN サイトの構成

ローカル サブネットとピア サブネット間にポリシー ベースの IPsec VPN トンネルをセットアップできます。

注： IPsec VPN トンネルを使用してリモート サイトに接続する場合、Edge アップリンクの動的ルーティング

は、このサイトの IP アドレスを学習できません。

このセクションでタスク トピックでは、ポリシー ベースの IPsec VPN サイトを構成する手順について説明します。

IPsec VPN サービスを有効にする

ローカル サブネットからピア サブネットにトラフィックが流れるようにするには、IPsec VPN サービスを有効にす

る必要があります。

前提条件

IPsec VPN サービスを有効にする前に、NSX Edge で少なくとも 1 つの IPsec VPN サイトを構成する必要があ

ります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [IPsec VPN] の順にクリックします。

5 [IPsec VPN サービス ステータス] の横にある [開始 (Start)] をクリックします。

OpenSSL を使用した IPSec VPN 用の CA 署名証明書の生成

IPSec 用の証明書認証を有効にするには、サーバ証明書と対応する CA 署名証明書をインポートする必要がありま

す。または、OpenSSL などのオープンソースのコマンドライン ツールを使用して CA 署名証明書を生成すること

もできます。

前提条件

OpenSSL がインストールされている必要があります。

手順

1 OpenSSL がインストールされた Linux または Mac マシンで、/opt/local/etc/openssl/openssl.cnf

ファイルまたは /System/Library/OpenSSL/openssl.cnf ファイルを開きます。

2 dir = . であることを確認します。

3 次のコマンドを実行します。

mkdir newcerts

mkdir certs

NSX 管理ガイド

VMware, Inc. 261

mkdir req

mkdir private

echo "01" > serial

touch index.txt

4 次のコマンドを実行して CA 署名証明書を生成します。

openssl req -new -x509 -newkey rsa:2048 -keyout private/cakey.pem -out cacert.pem -days 3650

5 NSX Edge1 で、次の操作を行います。

a 証明書署名リクエスト (CSR) を生成します。

詳細な手順については、CA 署名証明書の設定を参照してください。

b Privacy Enhanced Mail (PEM) ファイルの内容をコピーし、req/edge1.req ファイルとして保存しま

す。

6 次のコマンドを実行して CSR に署名します。

sudo openssl ca -policy policy_anything -out certs/edge1.pem -in req/edge1.req

7 NSX Edge2 で CSR を生成し、PEM ファイルの内容をコピーし、req/edge2.req ファイルとして保存しま

す。

8 次のコマンドを実行して CSR に署名します。

sudo openssl ca -policy policy_anything -out certs/edge2.pem -in req/edge2.req

9 certs/edge1.pem ファイルの最後にある PEM 証明書を Edge1 にアップロードします。

10 certs/edge2.pem ファイルの最後にある PEM 証明書を Edge2 にアップロードします。

11 署名付き証明書 (cacert.pem) を CA 署名証明書として Edge1 と Edge2 にインポートします。

12 Edge1 および Edge2 の IPsec グローバル設定で、アップロードした PEM 証明書と CA 証明書を選択し、設

定を保存します。

13 [管理] - [設定] - [証明書] の順に移動します。インポートした署名付き証明書を選択し、DN 文字列を記録しま

す。

14 DN 文字列を C=IN,ST=ka,L=blr,O=bmware,OU=vmware,CN=edge2.eng.vmware.com の形式に戻し、

Edge1 および Edge2 用に保存します。

15 ローカル ID とピア ID を指定形式の識別名 (DN) 文字列として使用して、Edge1 および Edge2 で IPsec VPN サイトを作成します。

結果

状態を確認するには、[統計の表示] または [IPsec 統計の表示 (Show IPSec Statistics)] をクリックします。チャ

ンネルをクリックしてトンネル ステータスを表示します。チャネルのステータスが「有効」で、トンネルのステータ

スが「稼動中」になっているはずです。

NSX 管理ガイド

VMware, Inc. 262

グローバル IPsec VPN 設定の指定

このトピックの手順に従って、NSX Edge インスタンスで IPsec VPN を有効にします。

前提条件

証明書認証を有効にするには、サーバ証明書および対応する CA 署名の証明書をインポートする必要があります。ま

たは、OpenSSL などのオープンソースのコマンドライン ツールを使用して CA 署名証明書を生成することもでき

ます。

自己署名証明書は IPsec VPN に使用できません。これらは、ロード バランシングと SSL VPN にしか使用できま

せん。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [IPsec VPN] の順にクリックします。

5 [グローバル設定] の横にある [編集] または [変更 (Change)] をクリックします。

6 ピア エンドポイントが「任意」に設定されているサイトのグローバル プリシェアード キーを入力します。

プリシェアード キーを表示するには、[プリシェアード キーを表示]（ ）アイコンをクリックするか、[プリシ

ェアード キーの表示 (Display shared key)] チェック ボックスを選択します。

NSX 管理ガイド

VMware, Inc. 263

7 グローバルの拡張機能を設定します。

次の表は、グローバルの拡張機能です。

拡張機能 説明

add_spd 使用できる値は、on と off です。デフォルト値は on です。この拡張機能が設定されていな

い場合でも、この値がデフォルトとなります。

add_spd=off の場合:

n セキュリティ ポリシーは、トンネルが動作している場合にのみインストールされます。

n トンネルが動作している場合、パケットが暗号化され、トンネル経由で送信されます。

n トンネルが停止している場合、ルートが利用可能であれば、パケットは暗号化されずに送

信されます。

add_spd=on の場合:

n セキュリティ ポリシーは、トンネルが確立されているかどうかに関係なく配置されます。

n トンネルが動作している場合、パケットが暗号化され、トンネル経由で送信されます。

n トンネルが停止している場合、パケットはドロップされます。

ike_fragment_size 最大転送ユニット (MTU) が小さい場合、IKE ネゴシエーションの失敗を回避するために、こ

の拡張機能を使用して IKE フラグメント サイズを設定できます。たとえば、

ike_fragment_size=900 を実行します。

ignore_df 使用できる値は、on と off です。デフォルト値は off です。

n ignore_df=off にすると、NSX Edge は、クリア テキスト パケットから暗号化された

パケットに DF (don't fragment) ビットの値をコピーします。この場合、暗号化の後で

クリア テキスト パケットに DF ビットが設定されると、暗号化パケットにも DF ビット

が設定されます。

n ignore_df=on にすると、NSX Edge はクリア テキスト パケットの DF ビット値を無

視します。暗号化パケットでは、DF ビットが常に 0 になります。

n クリア テキスト パケットに DF ビットが設定され、暗号化後のパケット サイズが TCP パケットの MTU を超える場合は、このフラグを on に設定します。DF ビットを設定す

るとパケットがドロップされますが、ビットをクリアするとパケットが断片化されます。

8 証明書認証を有効にして、適切なサービスの証明書、認証局 (CA) 証明書、証明書失効リスト (CRL) を選択し

ます。

9 [保存] または [OK] をクリックして、[変更の発行 (Publish Changes)] をクリックします。

IPsec VPN のログの有効化

すべての IPsec VPN トラフィックのログを有効にできます。

デフォルトでは、ログが有効になり、「警告」レベルに設定されます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [IPsec VPN] の順にクリックします。

NSX 管理ガイド

VMware, Inc. 264

5 ローカル サブネットとピア サブネットの間のトラフィック フローをログに記録するように、ログを有効にしま

す。

NSX バージョン 手順

6.4.6 以降 a [ログの設定] の横にある [編集] をクリックします。

b 切り替えスイッチをクリックしてログを有効にし、ログ レベルを選択します。

c [保存] をクリックします。

6.4.5 以前 a [ログ ポリシー (Logging Policy)] の横にある をクリックします。

b [ログの有効化 (Enable logging)] チェック ボックスを選択して、ログ レベルを選択し

ます。

6 [変更の発行 (Publish Changes)] をクリックします。

IPsec VPN パラメータの設定

IPsec VPN サービスを提供するには、NSX Edge で少なくとも 1 つの外部 IP アドレスを設定する必要がありま

す。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [IPsec VPN] の順にクリックします。

5 [追加 (Add)] をクリックします。

6 IPsec VPN サイトの名前を入力します。

7 IPsec VPN サイトのエンドポイント パラメータを設定します。

a ローカルの NSX Edge インスタンスを特定するローカル ID を入力します。このローカル ID がリモート

サイトのピア ID になります。

ローカル ID には任意の文字列を使用できます。可能であれば、ローカル ID として VPN のパブリック IP アドレスまたは VPN サービスの完全修飾ドメイン名 (FQDN) を使用します。

b ローカル エンドポイントの IP アドレスまたは FQDN を入力します。

プリシェアード キーを使用して IP トンネルに IP アドレスを追加する場合は、ローカル ID とローカル エンドポイント IP アドレスが同じになる可能性があります。

c IPsec VPN サイト間で共有するサブネットを CIDR 形式で入力します。複数のサブネットを入力する場

合は、コンマ区切りで入力します。

NSX 管理ガイド

VMware, Inc. 265

d ピア サイトを識別するため、ピア ID を入力します。

n 証明書認証を使用するピアの場合、この ID はピアの証明書の識別名 (DN) にする必要があります。カ

ンマ区切りの文字列として、スペースを入れずに証明書の識別名 (DN) を次の順序で入力します。

C=xxx,ST=xxx,L=xxx,O=xxx,OU=xxx,CN=xxx,E=xxx

n PSK ピアの場合、ピア ID に任意の文字列を指定できます。可能であれば、VPN のパブリック IP アドレス、または VPN サービスの FQDN をピア ID として使用します。

注： Edge にリモート IPsec ピアに到達可能なアップリンク インターフェイスが複数ある場合、ローカ

ル ピア IP で構成された Edge インターフェイスから IPsec トラフィックが送信されるようにルーティン

グを行う必要があります。

e ピア エンドポイントの IP アドレスまたは FQDN を入力します。デフォルト値は any です。デフォルト

値を維持する場合は、グローバル PSK を設定する必要があります。

f ピア サブネットの内部 IP アドレスを CIDR 形式で入力します。複数のサブネットは、コンマ区切りで入力

します。

8 トンネル パラメータを設定します。

a （オプション） セキュリティ コンプライアンス スイートを選択して、スイートで事前に定義された値を持つ

IPsec VPN サイトのセキュリティ プロファイルを設定します。

デフォルトの選択は「なし」です。この場合、認証方法、IKE プロファイル、トンネル プロファイルの設定

値を手動で指定する必要があります。コンプライアンス スイートを選択すると、標準コンプライアンス スイートの事前定義値が自動的に割り当てられます。これらの値は編集できません。コンプライアンス スイ

ートの詳細については、サポートされているコンプライアンス スイートを参照してください。

注： n コンプライアンス スイートは、NSX Data Center 6.4.5 以降でサポートされています。

n Edge で FIPS モードが有効になっている場合、コンプライアンス スイートは指定できません。

b 以下のいずれかの (IKE) プロトコルを使用して、IPsec プロトコル スイートで Security Association (SA) を設定します。

オプション 説明

IKEv1 このオプションを選択すると、IPsec VPN が開始し、IKEv1 プロトコルのみに応答しま

す。

IKEv2 このオプションを選択すると、IPsec VPN が開始し、IKEv2 プロトコルのみに応答しま

す。

IKE-Flex このオプションを選択すると、IKEv2 プロトコルでトンネルの確立に失敗した場合に、送

信元サイトにフォールバックされず、IKEv1 プロトコルで接続が開始されます。リモート

サイトから IKEv1 プロトコルで接続を開始した場合、接続は許可されます。

重要： 同じローカル エンドポイントとリモート エンドポイントを持つ複数のサイトを設定する場合は、

すべての IPsec VPN サイトで同じ IKE バージョンと PSK を使用する必要があります。

NSX 管理ガイド

VMware, Inc. 266

c [ダイジェスト アルゴリズム (Digest Algorithm)] ドロップダウン メニューから、次のセキュア ハッシュ

アルゴリズムのいずれかを選択します。

n SHA1

n SHA_256

d [暗号化アルゴリズム (Encryption Algorithm)] ドロップダウン メニューから、サポートされる次の暗号

化アルゴリズムのいずれかを選択します。

n AES (AES128-CBC)

n AES256 (AES256-CBC)

n Triple DES (3DES192-CBC)

n AES-GCM (AES128-GCM)

注： n AES-GCM 暗号化アルゴリズムは FIPS に準拠していません。

n NSX 6.4.5 以降では、IPsec VPN サービスで Triple DES 暗号化アルゴリズムが廃止されています。

次の表は、ピア VPN ゲートウェイで使用される暗号化設定とローカルの NSX Edge で選択する暗号化設

定を示したものです。

表 15-7. 暗号化設定

NSX Edge の暗号化

設定

ピア VPN ゲートウェイでの

IKE の設定 ピア VPN ゲートウェイでの IPsec の設定

AES-256 AES-256 AES-256

AES-128 AES-128 AES-128

3DES 3DES 3DES

AES-GCM、IKEv1 AES-128 AES-GCM

AES-GCM、IKEv2 AES-128 または AES-GCM AES-GCM

e [認証方法] で、次のいずれかのオプションを選択します。

オプション 説明

PSK (Pre Shared Key) このオプションを選択すると、NSX Edge とピア サイトが共有するシークレット キーが

認証に使用されます。シークレット キーは、最大長が 128 バイトの文字列です。

PSK 認証は FIPS モードでは無効になります。

証明書 このオプションを選択すると、グローバル レベルで定義された証明書が認証に使用されま

す。

f （オプション） ピア IPsec VPN サイトの事前共有キーを入力します。

NSX 管理ガイド

VMware, Inc. 267

g ピア サイトのキーを表示するには、[プリシェアード キーを表示]（ ）アイコンをクリックするか、[プリ

シェアード キーの表示 (Display Shared Key)] チェック ボックスを選択します。

h 安全でない通信チャネル経由でもピア サイトと NSX Edge が共有シークレット キーを発行できるよう

に、[Diffie-Hellman (DH) グループ (Diffie-Hellman (DH) Group)] ドロップダウン メニューから次の

いずれかの暗号化スキームを選択します。

n DH-2

n DH-5

n DH-14

n DH-15

n DH-16

FIPS モードおよび非 FIPS モードでは、DH14 がデフォルトで選択されます。FIPS モードが有効な場合

は、DH2 と DH5 を使用できません。

9 詳細パラメータを設定します。

a リモート IPsec VPN サイトで PFS がサポートされていない場合は、[PFS (Perfect Forward Secrecy) (Perfect forward secrecy (PFS))] オプションを無効にします。デフォルトでは、PFS は有

効になっています。

b （オプション） レスポンダのみのモードで IPsec VPN を稼動させるには、[レスポンダのみ (Responder only)] チェック ボックスを選択します。

このモードでは IPsec VPN は接続を開始しません。

c （オプション） [エクステンション (Extension)] テキスト ボックスに、次のいずれかを入力します。

n securelocaltrafficbyip=IPAddress： Edge のローカル トラフィックを IPsec VPN トンネル経由

でリダイレクトします。デフォルト値は IP アドレスです。詳細については、http://kb.vmware.com/kb/20080007 を参照してください。

n passthroughSubnets=PeerSubnetIPAddress：サブネットの重複をサポートします。

10 [追加] または [OK] をクリックして、[変更の発行 (Publish Changes)] をクリックします。

IPsec VPN の構成が NSX Edge に保存されます。

NSX 管理ガイド

VMware, Inc. 268

次のステップ

IPsec VPN サービスを有効にします。

ヒント: vSphere Web Client の [IPsec VPN] ページで次の手順を行うと、ピア VPN ゲートウェイの構成スク

リプトを生成できます。

n NSX 6.4.6 以降では、IPsec VPN サイトを選択して [アクション] - [ピア構成の生成] の順にクリックします。

n NSX 6.4.5 以前では、IPsec VPN サイトを選択し、[ピア構成の生成] アイコンをクリックします。表示され

たダイアログ ボックスで、[ピア構成の生成] をクリックします。

構成スクリプトが生成されます。このスクリプトをリファレンスとして使用し、ピア VPN ゲートウェイに

IPsec VPN パラメータを設定できます。

サポートされているコンプライアンス スイート

NSX Data Center 6.4.5 以降では、コンプライアンス スイートを指定して、IPsec VPN サイトのセキュリティ

プロファイルにさまざまなパラメータを設定できます。

セキュリティ コンプライアンス スイートでは、さまざまなセキュリティ パラメータに一連の値が事前に定義されて

います。コンプライアンス スイートを事前定義のテンプレートとして使用できます。これにより、定義された標準に

従って IPsec VPN セッションのセキュリティ プロファイルを自動的に設定できます。たとえば、米国の国家安全保

障局から公開されている CNSA スイートは、国家安全保障の用途で使用されています。コンプライアンス スイート

を選択すると、IPsec VPN サイトのセキュリティ プロファイルが事前定義の値で自動的に設定されます。これらの

値は編集できません。コンプライアンス スイートを指定すると、セキュリティ プロファイルのパラメータを個別に

設定する必要がなくなります。

NSX は、7 つのセキュリティ コンプライアンス スイートをサポートしています。次の表に、サポートされているコ

ンプライアンス スイートのさまざまな構成パラメータに事前に定義されている値を示します。

表 15-8. コンプライアンス スイート：事前定義の構成パラメータの値

構成パラメータ コンプライアンス スイート

[CNSA] [Suite-B-GCM-128]

[Suite-B-GCM-256 ]

[Suite-B-GMAC-128 ]

[Suite-B-GMAC-256 ]

[Prime] [Foundation]

IKE バージョン IKEv2 IKEv2 IKEv2 IKEv2 IKEv2 IKEv2 IKEv1

ダイジェスト アルゴリズム

SHA 384 SHA 256 SHA 384 SHA 256 SHA 384 SHA 256 SHA 256

暗号化アルゴリ

ズム

AES 256 AES 128 AES 256 AES 128 AES 256 AES GCM 128

AES 128

トンネル暗号化 AES 256 AES GCM 128

AES GCM 256

AES GMAC 128

AES GMAC 256

AES GCM 128

AES 128

トンネル ダイジ

ェスト アルゴリ

ズム

SHA 384 NULL NULL NULL NULL NULL SHA 256

NSX 管理ガイド

VMware, Inc. 269

表 15-8. コンプライアンス スイート：事前定義の構成パラメータの値 （続き）

構成パラメータ コンプライアンス スイート

認証 n RSA 証明書

（3072 ビット キー）

n ECDSA 証明書

（P-384 曲線）

ECDSA 証明書

（P-256 曲線）

ECDSA 証明

書（P-384 曲線）

ECDSA 証明書（P-256 曲線）

ECDSA 証明書（P-384 曲線）

ECDSA 証明書

（P-256 曲線）

RSA 証明書（2048 ビット

キーと SHA-256）

DH グループ DH15 と

ECDH20ECDH19 ECDH20 ECDH19 ECDH20 ECDH19 DH14

注意： NSX 6.4.6 以降で、「Suite-B-GMAC-128」と「Suite-B-GMAC-256」のコンプライアンス スイートは

廃止されます。NSX 6.4.5 で、廃止されるこれらのコンプライアンス スイートを使用して IPsec VPN サイトを構

成した場合でも、Edge を 6.4.6 にアップグレードできます。ただし、IPsec VPN サイトが脆弱なコンプライアン

ス スイートを使用していることを通知する警告メッセージが表示されます。

注目: Prime または Foundation コンプライアンス スイートを使用して IPsec VPN サイトを設定する場合、

ikelifetime と salifetime サイトのエクステンションは設定できません。これらのサイトのエクステンション

は、標準に基づいて事前に設定されています。

「CNSA」コンプライアンス スイートを選択すると、DH15 と ECDH20 の両方の DH グループが NSX Edge の内

部で設定されます。このコンプライアンス スイートを選択する場合には、次の点に注意してください。

n NSX Edge の IPsec VPN サービスがイニシエータとして設定されている場合、NSX は ECDH20 のみを送

信し、リモートの IPsec VPN サイトと IKE Security Association を確立します。DH15 より安全であるた

め、NSX はデフォルトで ECDH20 を使用します。サードパーティ レスポンダの IPsec VPN サイトが DH15 のみで設定されている場合、レスポンダは「無効な IKE ペイロード」エラー メッセージを送信し、イニシエー

タに DH15 グループの使用を要求します。イニシエータが DH15 グループで IKE SA を再開し、両方の IPsec VPN サイト間でトンネルが確立します。サードパーティの IPsec VPN ソリューションが「無効な IKE ペイロ

ード」エラーをサポートしていない場合、両方のサイト間でトンネルが確立されません。

n NSX Edge の IPsec VPN サービスがレスポンダとして設定されている場合は、イニシエータの IPsec VPN サイトで共有される DH グループに応じてトンネルが確立されます。

n イニシエータとレスポンダの両方の IPsec VPN サイトが NSX Edge を使用する場合、トンネルは常に

ECDH20 で確立されます。

ルート ベースの IPsec VPN サイトの構成

ローカル サイトの NSX Edge とピア サイトのリモート VPN ゲートウェイ間で、ルート ベースの IPsec トンネ

ルを構成します。

NSX 管理ガイド

VMware, Inc. 270

ローカル サブネットとリモート サブネットを構成するポリシー ベースの IPsec トンネルの構成と異なり、ルートベ

ースの IPsec トンネル構成の場合は、相互に通信を行うローカル サブネットとピア サブネットを定義する必要はあ

りません。ルート ベースの IPsec トンネル構成の場合、ローカル サイトとピア サイトの両方で、プライベート IP アドレスを使用して VTI を定義する必要があります。ローカル サブネットからのトラフィックは、VTI を介してピ

ア サブネットにルーティングされます。BGP などの動的ルーティング プロトコルを使用して、IPsec トンネル経由

でトラフィックをルーティングします。動的ルーティング プロトコルは、ローカル サブネットから IPsec トンネル

経由でピア サブネットに転送するトラフィックを決定します。

次の手順では、2 つのサイト間にルートベースの IPsec トンネルを構成します。

1 ローカルの NSX Edge で IPsec VPN パラメータを構成します。NSX Data Center 6.4.2 以降でルートベ

ースの IPsec VPN パラメータを設定するには、REST API を使用する必要があります。詳細については、

『NSX API ガイド』を参照してください。

n ローカルの NSX Edge ゲートウェイを識別するローカル エンドポイントの IP アドレスとローカル ID。

n ピア VPN ゲートウェイを識別するピア エンドポイントの IP アドレスとピア ID。

n IKE バージョン両方のサイト間で Security Association を設定する IKE バージョン。

n ダイジェスト アルゴリズム。

n 暗号化アルゴリズム。

n 認証メカニズム（事前共有キーまたは証明書）。

n Diffie-hellman (DH) グループのパブリック キーの暗号化スキーム。

n Perfect Forward Secrecy を有効または無効にします。

n レスポンダのみのモードを有効または無効にします。

n NSX Edge 上の仮想トンネル インターフェイス (VTI)。VTI の静的プライベート IP アドレスを提供しま

す。

注： 構成する VTI は静的 VTI です。したがって、複数の IP アドレスは使用できません。ローカルとピアの両

方のサイトにある VTI の IP アドレスを同じサブネット上に配置するのがベスト プラクティスです。

2 IPsec 構成のダウンロード API を使用して、参照用のピア設定を取得し、ピア VPN ゲートウェイを構成しま

す。

3 両方のサイトの VTI 間に BGP ピアリングを構成します。ピアリングにより、ローカル サイトの BGP がロー

カル サブネットをピア VPN ゲートウェイにアドバタイズします。同様に、ピア サイトの BGP がリモート サブネットをローカルの VPN ゲートウェイにアドバタイズします。BGP の構成の詳細については、『 NSX 管理

ガイド』の「ルーティング」をご覧ください。

重要： NSX 6.4.2 以降では、IPsec トンネル経由の静的ルーティングと OSPF 動的ルーティングはサポート

されません。

4 1 つ以上のトンネルを経由してトンネルの冗長性を維持するには、BGP の [ホールド ダウン (Hold Down)] タイマーと [キープ アライブ (Keep Alive)] タイマーの値を構成します。タイマーの値により、必要なフェイル

オーバー時間内でリモート VPN ゲートウェイとの切断を検出できます。

NSX 管理ガイド

VMware, Inc. 271

ローカルの NSX Edge とリモートの Cisco CSR 1000V VPN ゲートウェイの間でルート ベースの IPsec トン

ネルを構成する詳細な例については、Cisco CSR 1000V アプライアンスの使用を参照してください。

IPsec VPN サイトの編集

IPsec VPN サイトを編集できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [IPsec VPN] の順にクリックします。

5 編集する IPsec VPN サイトを選択します。

6 [編集 (Edit)]（ または ）アイコンをクリックします。

7 適切に編集します。

8 [保存] または [OK] をクリックして、[変更の発行 (Publish Changes)] をクリックします。

IPsec VPN サイトの無効化

IPsec VPN サイトを無効にできます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [IPsec VPN] の順にクリックします。

5 無効にする IPsec VPN サイトを選択します。

6 サイトを無効にします。

n NSX 6.4.6 以降では、[アクション] - [無効] の順にクリックします。

n NSX 6.4.5 以前では、[無効化 (Disable)]（ ）アイコンをクリックします。

IPsec VPN サイトの削除

IPsec VPN サイトを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

NSX 管理ガイド

VMware, Inc. 272

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [IPsec VPN] の順にクリックします。

5 削除する IPsec VPN サイトを選択します。

6 [削除 (Delete)]（ または ）アイコンをクリックします。

IPSec の用語集

IPSec はオープン標準のフレームワークです。IPSEC VPN のトラブルシューティングに使える NSX Edge やそ

の他の VPN アプライアンスのログには、多くの専門用語があります。

よく見かける用語の一部を説明します。

n ISAKMP (Internet Security Association and Key Management Protocol) は、Security Associations (SA) とインターネット環境の暗号化のために RFC 2408 によって策定されたプロトコルで

す。ISAKMP は認証のためのフレームワークと鍵交換のみを提供し、鍵交換からは独立しています。

n Oakley は鍵同意プロトコルの 1 つで、Diffie-Hellman 鍵交換アルゴリズムを使用することにより、安全でな

い接続においても認証された機関同士で鍵材料の交換ができるようになっています。

n IKE (Internet Key Exchange) は ISAKMP フレームワークと Oakley の組み合わせです。NSX Edge は、

IKEv1、IKEv2、IKE Flex を提供します。

n Diffie-Hellman (DH) 鍵交換は、安全でない通信チャネル経由でも、お互い認識のない 2 つの機関が共同で共

有秘密鍵を発行できる暗号プロトコルです。VSE は DH グループ 2（1024 ビット）とグループ 5（1536 ビッ

ト）をサポートしています。

IKEv1 フェーズ 1 とフェーズ 2

IKEv1 は安全で認証された通信に用いられる標準的な手法です。

フェーズ 1 のパラメータ

フェーズ 1 では手動でのピアの認証、暗号パラメータのネゴシエーション、およびセッションキーの生成を設定しま

す。NSX Edge で使用されるフェーズ 1 パラメータ

n メイン モード。

n Triple DES、AES-128、AES-256（設定可能）。AES-128 は内部的に使用されるため、フェーズ 1 では AES-GCM はサポートされません。

n SHA1、SHA_256。

n MODP グループ 2、5、14、15、16。

n 事前共有シークレット キーと証明書（設定可能）。

n 28,800 秒間（8 時間）有効、lifebytes の再キー化不可の SA

NSX 管理ガイド

VMware, Inc. 273

n ISAKMP アグレッシブ モードを無効にする

重要： n IPsec VPN は、時間ベースの再キー化のみをサポートします。lifebytes の再キー化を無効にする必要があり

ます。

n NSX 6.4.5 以降 では、IPsec VPN サービスで Triple DES 暗号化アルゴリズムが廃止されています。

フェーズ 2 のパラメータ

IKE フェーズ 2 では IPsec トンネル用のキー マテリアルを生成することで、IPsec トンネルをネゴシエーションし

ます（IKE フェーズ 1 キーをベースとして使用するか、新しいキーに交換）。NSX Edge でサポートする IKE フェ

ーズ 2 パラメータ

n Triple DES、AES-128、AES-256、AES-GCM（フェーズ 1 の設定に一致）。

n SHA1、SHA_256。

n ESP トンネル モード。

n MODP グループ 2、5、14、15、16。

n 再キー化のための Perfect Forward Secrecy。

n 3,600 秒間（1 時間）有効、lifebytes の再キー化不可の SA

n IPv4 サブネットを用いたすべての IP プロトコル、すべてのポート、2 ネットワーク間のセレクタ

重要： n IPsec VPN は、時間ベースの再キー化のみをサポートします。lifebytes の再キー化を無効にする必要があり

ます。

n NSX 6.4.5 以降 では、IPsec VPN サービスで Triple DES 暗号化アルゴリズムが廃止されています。

トランザクション モードのサンプル

NSX Edge はフェーズ 1 でメイン モードを、フェーズ 2 でクイック モードをサポートしています。

NSX Edge は、PSK/証明書、3DES/AES128/AES256/AES-GCM、SHA1/SHA256、DH グループ

2/5/14/15/16 を必要とするポリシーを処理します。ピアがこのポリシーを受け入れる必要があります。そうでない

場合、ネゴシエーション フェーズで失敗します。

フェーズ 1： メイン モード トランザクション

この例では NSX Edge から開始した Cisco デバイスへのフェーズ 1 のネゴシエーションの交換を示しています。

メイン モードでの NSX Edge と Cisco VPN デバイス間の一連のトランザクションを以下に示します。

1 NSX Edge から Cisco へ

n プロポーザル：encrypt 3des-cbc、sha、psk、group5(group2)

n DPD 有効

NSX 管理ガイド

VMware, Inc. 274

2 Cisco から NSX Edge へ

n Cisco の選択によるプロポーザルを含む

n Cisco デバイスが、ステップ 1 で NSX Edge が送信したパラメータをすべて受け付けなかった場合、

Cisco デバイスは NO_PROPOSAL_CHOSEN というフラグでメッセージを送信し、ネゴシエーション

を終了します。

3 NSX Edge から Cisco へ

n DH キーとナンス

4 Cisco から NSX Edge へ

n DH キーとナンス

5 NSX Edge から Cisco へ（暗号化）

n ID (PSK) を含む。

6 Cisco から NSX Edge へ（暗号化）

n ID (PSK) を含む。

n Cisco デバイスが PSK と一致しないと判断すると、Cisco デバイスは INVALID_ID_INFORMATION というフラグでメッセージを送信し、フェーズ 1 は失敗します。

フェーズ 2： クイック モード トランザクション

クイック モードでの NSX Edge と Cisco VPN デバイスとの間の一連のトランザクションは以下のとおりです。

1 NSX Edge から Cisco へ

NSX Edge はピアにフェーズ 2 ポリシーを提示します。次はその例です。

Aug 26 12:16:09 weiqing-desktop

ipsec[5789]:

"s1-c1" #2: initiating Quick Mode

PSK+ENCRYPT+TUNNEL+PFS+UP+SAREFTRACK

{using isakmp#1 msgid:d20849ac

proposal=3DES(3)_192-SHA1(2)_160

pfsgroup=OAKLEY_GROUP_MODP1024}

2 Cisco から NSX Edge へ

Cisco デバイスがこのプロポーザルに対しマッチするポリシーが見つけられない場合は、

NO_PROPOSAL_CHOSEN を送信します。それ以外では、Cisco デバイスは選択した一連のパラメータを送

信します。

3 NSX Edge から Cisco へ

デバッグを行うには、NSX Edge の IPSec ログ設定をオンにし、Cisco の暗号デバッグを有効にします

(debug crypto isakmp <level>)。

NSX 管理ガイド

VMware, Inc. 275

ポリシー ベースの IPsec VPN サイトの構成例

この例では、NSX Edge と相手側の Cisco または WatchGuard VPN の間の基本的なポイントツーポイントの

IPsec VPN 接続を構成する事例について説明します。

この事例では、NSX Edge が内部ネットワーク 192.168.5.0/24 をインターネットに接続します。NSX Edge インターフェイスは次のように設定されています。

n アップリンク インターフェイス：10.115.199.103

n 内部インターフェイス：192.168.5.1

リモート サイトの VPN ゲートウェイが、172.15.0.0/16 内部ネットワークをインターネットに接続します。リモー

ト ゲートウェイ インターフェイスは以下のように設定されています。

n アップリンク インターフェイス：10.24.120.90

n 内部インターフェイス：172.16.0.1

図 15-2. リモート VPN ゲートウェイに接続する NSX Edge

V

NSX Edge

192.168.5.1

10.115.199.103 10.24.120.90

インターネット

192.168.5.0/24

172.16.0.1

172.15.0.0/16

注： NSX Edge から NSX Edge IPsec へのトンネルでは、2 番目の NSX Edge をリモート ゲートウェイとし

てセットアップすることにより、同じシナリオを使用できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [IPsec VPN] の順にクリックします。

5 [追加 (Add)] をクリックします。

6 [名前 (Name)]テキスト ボックスに IPsec VPN サイトの名前を入力します。

7 [ローカル ID (Local Id)] テキスト ボックスに、NSX Edge インスタンスの IP アドレスとして

10.115.199.103 を入力します。このローカル ID がリモート サイトのピア ID になります。

NSX 管理ガイド

VMware, Inc. 276

8 [ローカル エンドポイント (Local Endpoint)] テキスト ボックスで、10.115.199.103 を入力します。

プリシェアード キーを使用して IP トンネルに IP アドレスを追加する場合は、ローカル ID とローカル エンド

ポイント IP アドレスが同じになる可能性があります。

9 [ローカル サブネット (Local Subnets)] テキスト ボックスで、192.168.5.0/24 を入力します。

10 [ピア ID (Peer Id)] で、ピア サイトを一意に識別する 10.24.120.90 を入力します。

11 [ピア エンドポイント (Peer Endpoint)] テキスト ボックスで、10.24.120.90 を入力します。

12 [ピア サブネット (Peer Subnets)] テキスト ボックスで、172.15.0.0/16 を入力します。

13 [IKE バージョン (IKE Version)] で、IKE のバージョンを選択します。たとえば、[IKEv2] を選択します。

14 [ダイジェスト アルゴリズム (Digest Algorithm)] を選択します。たとえば、[SHA_256] を選択します。

15 [暗号化アルゴリズム (Encryption Algorithm)] を選択します。たとえば、[AES] を選択します。

16 [認証方法 (Authentication Method)] を選択します。たとえば、[PSK] を選択します。

17 [プリシェアード キー (Pre-shared Key)] を入力します。

18 ピア サイトのプリシェアード キーを表示するには、[プリシェアード キーを表示]（ ）アイコンをクリックす

るか、[プリシェアード キーの表示 (Display Shared Key)] チェック ボックスを選択します。

19 暗号化スキームに [Diffie-hellman (DH) グループ (Diffie-Hellman (DH) Group)] を選択します。たとえ

ば、[DH14] を選択します。

20 [追加] または [OK] をクリックします。

IPsec VPN のサイトの設定が NSX Edge に保存されます。

次のステップ

IPsec VPN サービスを有効にします。

Cisco 2821 を統合したサービス ルーターの使用

ここでは、Cisco IOS を使用して実行された構成について説明します。

手順

1 インターフェイスとデフォルト ルートの設定

interface GigabitEthernet0/0

ip address 10.24.120.90 255.255.252.0

duplex auto

speed auto

crypto map MYVPN

!

interface GigabitEthernet0/1

ip address 172.16.0.1 255.255.0.0

duplex auto

speed auto

!

ip route 0.0.0.0 0.0.0.0 10.24.123.253

NSX 管理ガイド

VMware, Inc. 277

2 IKE ポリシーの設定

Router# config term

Router(config)# crypto isakmp policy 1

Router(config-isakmp)# encryption 3des

Router(config-isakmp)# group 2

Router(config-isakmp)# hash sha

Router(config-isakmp)# lifetime 28800

Router(config-isakmp)# authentication

pre-share

Router(config-isakmp)# exit

3 プリシェアード シークレットで各ピアをマッチする

Router# config term

Router(config)# crypto isakmp key vshield

address 10.115.199.103

Router(config-isakmp)# exit

4 IPSEC 変換の定義

Router# config term

Router(config)# crypto ipsec transform-set

myset esp-3des esp-sha-hmac

Router(config-isakmp)# exit

5 IPSEC アクセス リストの作成

Router# config term

Enter configuration commands, one per line.

End with CNTL/Z.

Router(config)# access-list 101 permit ip

172.16.0.0 0.0.255.255 192.168.5.0 0.0.0.255

Router(config)# exit

6 ポリシーのクリプト マップとの紐付けとラベル付け

以下の例では、クリプト マップが MYVPN としてラベル付けされています。

Router# config term

Router(config)# crypto map MYVPN 1

ipsec-isakmp

% NOTE: This new crypto map will remain

disabled until a peer and a valid

access list have been configured.

Router(config-crypto-map)# set transform-set

myset

Router(config-crypto-map)# set pfs group1

Router(config-crypto-map)# set peer

10.115.199.103

Router(config-crypto-map)# match address 101

Router(config-crypto-map)# exit

NSX 管理ガイド

VMware, Inc. 278

例： 設定

router2821#show running-config output

Building configuration...

Current configuration : 1263 bytes

!

version 12.4

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname router2821

!

boot-start-marker

boot-end-marker

!

! card type command needed for slot 0

! card type command needed for slot 1

enable password cisco

!

no aaa new-model

!

resource policy

!

ip subnet-zero

!

ip cef

!no ip dhcp use vrf connected

!

!

no ip ips deny-action ips-interface

!

crypto isakmp policy 1

encr 3des

authentication pre-share

group 2

crypto isakmp key vshield address 10.115.199.103

!

crypto ipsec transform-set myset esp-3des

esp-sha-hmac

!

crypto map MYVPN 1 ipsec-isakmp

set peer 10.115.199.103

set transform-set myset

set pfs group1

match address 101

!

interface GigabitEthernet0/0

ip address 10.24.120.90 255.255.252.0

duplex auto

speed auto

crypto map MYVPN

!

interface GigabitEthernet0/1

NSX 管理ガイド

VMware, Inc. 279

ip address 172.16.0.1 255.255.0.0

duplex auto

speed auto

!

ip classless

ip route 0.0.0.0 0.0.0.0 10.24.123.253

!

ip http server

no ip http secure-server

!

access-list 101 permit ip 172.16.0.0

0.0.255.255 192.168.5.0 0.0.0.255

!

control-plane

!

line con 0

line aux 0

line vty 0 4

password cisco

login

line vty 5 15

password cisco

login

!

scheduler allocate 20000 1000

!

end

Cisco ASA 5510 の使用

以下の出力を使用して Cisco ASA 5510 を設定します。

ciscoasa# show running-config output

: Saved

:

ASA Version 8.2(1)18

!

hostname ciscoasa

enable password 2KFQnbNIdI.2KYOU encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

names

!

interface Ethernet0/0

nameif untrusted

security-level 100

ip address 10.24.120.90 255.255.252.0

!

interface Ethernet0/1

nameif trusted

security-level 90

ip address 172.16.0.1 255.255.0.0

!

interface Ethernet0/2

shutdown

NSX 管理ガイド

VMware, Inc. 280

no nameif

no security-level

no ip address

!

interface Ethernet0/3

shutdown

no nameif

no security-level

no ip address

!

interface Management0/0

shutdown

no nameif

no security-level

no ip address

!

boot system disk0:/asa821-18-k8.bin

ftp mode passive

access-list ACL1 extended permit ip 172.16.0.0 255.255.0.0

192.168.5.0 255.255.255.0

access-list ACL1 extended permit ip 192.168.5.0 255.255.255.0

172.16.0.0 255.255.0.0

access-list 101 extended permit icmp any any

pager lines 24

mtu untrusted 1500

mtu trusted 1500

no failover

icmp unreachable rate-limit 1 burst-size 1

icmp permit any untrusted

icmp permit any trusted

no asdm history enable

arp timeout 14400

access-group 101 in interface untrusted

access-group 101 out interface untrusted

access-group 101 in interface trusted

access-group 101 out interface trusted

route untrusted 10.115.0.0 255.255.0.0 10.24.123.253 1

route untrusted 192.168.5.0 255.255.255.0 10.115.199.103 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00

udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00

mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00

sip-disconnect 0:02:00

timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:01:00

dynamic-access-policy-record DfltAccessPolicy

no snmp-server location

no snmp-server contact

crypto ipsec transform-set MYSET esp-3des esp-sha-hmac

crypto ipsec security-association lifetime seconds 28800

crypto ipsec security-association lifetime kilobytes 4608000

crypto map MYVPN 1 match address ACL1

crypto map MYVPN 1 set pfs

NSX 管理ガイド

VMware, Inc. 281

crypto map MYVPN 1 set peer 10.115.199.103

crypto map MYVPN 1 set transform-set MYSET

crypto map MYVPN interface untrusted

crypto isakmp enable untrusted

crypto isakmp policy 1

authentication pre-share

encryption 3des

hash sha

group 2

lifetime 86400

telnet 10.0.0.0 255.0.0.0 untrusted

telnet timeout 5

ssh timeout 5

console timeout 0

no threat-detection basic-threat

no threat-detection statistics access-list

no threat-detection statistics tcp-intercept

username admin password f3UhLvUj1QsXsuK7 encrypted

tunnel-group 10.115.199.103 type ipsec-l2l

tunnel-group 10.115.199.103 ipsec-attributes

pre-shared-key *

!

!

prompt hostname context

Cryptochecksum:29c3cc49460831ff6c070671098085a9

: end

Cisco CSR 1000V アプライアンスの使用

NSX Edge と Cisco CSR 1000V 仮想アプライアンス間に、ルートベースの IPsec VPN トンネルを構成します。

NSX Edge 設定

次の CLI 出力は、NSX Edge でのルート ベースの IPsec VPN 設定を示しています。

Edge IPsec VPN Config:

{

"ipsec" : {

"global" : {

"extension" : null,

"crlCertificates" : [],

"pskForDynamicIp" : null,

"id" : null,

"caCertificates" : [],

"serviceCertificate" : null

},

"logging" : {

"logLevel" : "debug",

"enable" : true

},

"disableEvent" : null,

"enable" : true,

NSX 管理ガイド

VMware, Inc. 282

"sites" : [

{

"name" : "VPN2 to edge-ext tun 2 192.168.14.2",

"encryptionAlgorithm" : "3des",

"psk" : "****",

"tunnelInterfaceId" : 1,

"authenticationMode" : "psk",

"peerIp" : "111.111.111.5",

"ipsecSessionType" : "routebasedsession",

"pskEncryption" : null,

"digestAlgorithm" : "sha1",

"enabled" : true,

"localSubnets" : [

"0.0.0.0/0"

],

"description" : "VPN to edge subnet2",

"mtu" : null,

"peerId" : "111.111.111.5",

"extension" : null,

"ikeOption" : "ikev2",

"localIp" : "51.51.51.1",

"peerSubnets" : [

"0.0.0.0/0"

],

"responderOnly" : false,

"certificate" : null,

"dhGroup" : "dh2",

"siteId" : "ipsecsite-53",

"localId" : "51.51.51.1",

"tunnelInterfaceLabel" : "vti-1",

"enablePfs" : true

},

{

"peerIp" : "71.71.71.5",

"authenticationMode" : "psk",

"ipsecSessionType" : "routebasedsession",

"tunnelInterfaceId" : 2,

"psk" : "****",

"name" : "VPN to edge-ext tun 1 192.168.13.2",

"encryptionAlgorithm" : "3des",

"description" : "VPN to edge subnet1",

"localSubnets" : [

"0.0.0.0/0"

],

"enabled" : true,

"pskEncryption" : null,

"digestAlgorithm" : "sha1",

"ikeOption" : "ikev2",

"extension" : null,

"peerSubnets" : [

"0.0.0.0/0"

],

"localIp" : "61.61.61.1",

"peerId" : "71.71.71.5",

"mtu" : null,

NSX 管理ガイド

VMware, Inc. 283

"siteId" : "ipsecsite-54",

"localId" : "61.61.61.1",

"enablePfs" : true,

"tunnelInterfaceLabel" : "vti-2",

"responderOnly" : false,

"certificate" : null,

"dhGroup" : "dh2"

}

]

}

}

次の CLI 出力は、NSX Edge での VTI 設定を示しています。

Edge VTI Tunnels Config:

{

"vtiTunnels" : [

{

"name" : "vti-1",

"mtu" : 1416,

"label" : "vti-1",

"sourceAddress" : "51.51.51.1",

"destinationAddress" : "111.111.111.5",

"tunnelAddresses" : [

"192.168.14.2/24"

],

"mode" : "VTI",

"enabled" : true

},

{

"enabled" : false,

"tunnelAddresses" : [

"192.168.13.2/24"

],

"mode" : "VTI",

"sourceAddress" : "61.61.61.1",

"destinationAddress" : "71.71.71.5",

"label" : "vti-2",

"mtu" : 1416,

"name" : "vti-2"

}

]

}

Cisco CSR 1000V アプライアンスの構成

次のスクリプトを実行すると、一致する 2 つのルート ベースの IPsec トンネルが Cisco CSR 1000V アプライア

ンスに設定されます。

crypto ikev2 proposal PH1PROPOSAL

encryption 3des

integrity sha1

group 2

crypto ikev2 proposal PH2PROPOSAL

NSX 管理ガイド

VMware, Inc. 284

encryption 3des

integrity sha1

group 2

crypto ikev2 policy PH1POLICY

proposal PH1PROPOSAL

crypto ikev2 policy PH2POLICY

proposal PH2PROPOSAL

crypto ikev2 keyring PH1KEY

peer SITE1

address 61.61.61.1

pre-shared-key sharedvalue

!

crypto ikev2 keyring PH2KEY

peer SITE2

address 51.51.51.1

pre-shared-key sharedvalue

!

crypto ikev2 profile PH1PROFILE

match identity remote address 61.61.61.1 255.255.255.0

identity local address 71.71.71.5

authentication remote pre-share key sharedvalue

authentication local pre-share key sharedvalue

crypto ikev2 profile PH2PROFILE

match identity remote address 51.51.51.1 255.255.255.0

identity local address 111.111.111.5

authentication remote pre-share key sharedvalue

authentication local pre-share key sharedvalue

crypto ipsec transform-set TSET esp-3des esp-sha-hmac

mode tunnel

crypto ipsec profile IPSEC_PROF1

set transform-set TSET

set ikev2-profile PH1PROFILE

responder-only

crypto ipsec profile IPSEC_PROF2

set transform-set TSET

set ikev2-profile PH2PROFILE

responder-only

interface Tunnel1

ip address 192.168.13.1 255.255.255.0

tunnel source 71.71.71.5

tunnel mode ipsec ipv4

tunnel destination 61.61.61.1

tunnel protection ipsec profile IPSEC_PROF1

interface Tunnel2

ip address 192.168.14.1 255.255.255.0

tunnel source 111.111.111.5

tunnel mode ipsec ipv4

tunnel destination 51.51.51.1

tunnel protection ipsec profile IPSEC_PROF2

interface GigabitEthernet1

ip address dhcp

negotiation auto

interface GigabitEthernet2

NSX 管理ガイド

VMware, Inc. 285

no ip address

negotiation auto

interface GigabitEthernet2.2

encapsulation dot1Q 23

ip address 81.81.81.5 255.255.255.0

interface GigabitEthernet2.3

encapsulation dot1Q 19

ip address 111.111.111.5 255.255.255.0

interface GigabitEthernet2.4

encapsulation dot1Q 22

ip address 71.71.71.5 255.255.255.0

WatchGuard Firebox X500 の設定

WatchGuard Firebox X500 をリモート ゲートウェイとして設定できます。

注： 正確な手順については、お使いの WatchGuard Firebox ドキュメントを参照してください。

手順

1 Firebox System Manager で、[Tools] - [Policy Manager] の順に選択します。

2 Policy Manager で、[Network] - [Configuration] の順に選択します。

3 インターフェイスを設定し、[OK] をクリックします。

4 （オプション） [Network] - [Routes] を選択して、デフォルト ルートを設定します。

5 [Network] - [Branch Office VPN] - [Manual IP ｓ ec (Manual IPSec)] を選択して、リモート ゲートウ

ェイを設定します。

6 IPsec Configuration ダイアログ ボックスで、[Gateways] をクリックして IPsec Remote Gateway を設

定します。

7 IPsec Configuration ダイアログ ボックスで、[Tunnels] をクリックしてトンネルを設定します。

8 IPsec Configuration ダイアログ ボックスで、[Add] をクリックしてルーティング ポリシーを追加します。

9 [閉じる (Close)] をクリックします。

10 トンネルが動作していることを確認します。

L2 VPN の概要

L2 VPN を使用すると、複数の論理ネットワーク（VLAN と VXLAN の両方）を地理的に離れた場所に拡張するこ

とができます。また、L2 VPN サーバに複数のサイトを構成できます。

L2 VPN では、SSL VPN 内のトンネリングによって、L3 境界を超えて複数の論理 L2 ネットワーク（VLAN と

VXLAN の両方）を拡張できます。出力方向を最適化することで、Edge は出力方向最適化 IP アドレスに向けて送

られるすべてのパケットをローカルでルーティングし、その他すべてのものをブリッジできます。

NSX 管理ガイド

VMware, Inc. 286

L2 VPN サービスを使用すると、企業は異なる物理サイト間でワークロードをシームレスに移行できます。ワークロ

ードは、VXLAN ベース ネットワークまたは VLAN ベース ネットワークのいずれかで実行できます。また、L2 VPN は、クラウド サービス プロバイダに対して、ワークロードやアプリケーションの既存の IP アドレスを変更せ

ずに、各テナントのオンボードを行うためのメカニズムを提供します。

注： n NSX Data Center 6.4.2 以降では、SSL 経由と IPsec トンネル経由の両方で L2 VPN サービスを設定でき

ます。ただし、IPsec トンネル経由で L2 VPN サービスを設定するには、REST API を使用する必要がありま

す。IPsec 経由で L2 VPN を設定する方法については、『NSX API ガイド』を参照してください。

n NSX 6.4.1 以前では、SSL トンネル経由でのみ L2 VPN サービスを設定できます。

図 15-3. L2 VPN を使用した複数サイト間での VXLAN の拡張

NSX

アップリンクネットワーク

VPN

レイヤー 3ネットワーク

NSX Edge

サイト A：VXLAN でバッキングされたネットワーク サイト B：VXLAN でバッキングされたネットワーク

vNicVXLAN トランク

VXLAN5010

VM 1 VM 2

VM 3 VM 4

VXLAN5011

NSX

アップリンクネットワーク

VPN

NSX Edge

vNicVXLAN

トランク

VXLAN5010

VM 5 VM 6

VM 7 VM 8

VXLAN5011

SSL クライアント/IPsec ピア

SSL サーバ/IPsec ピア

NSX 管理ガイド

VMware, Inc. 287

L2 VPN クライアントおよびサーバは、ローカル サイトとリモート サイト間のトラフィックに基づいて、両方のサ

イトの MAC アドレスを取得します。すべての仮想マシンのデフォルト ゲートウェイが、ファイアウォール ルール

を使用して常にローカル ゲートウェイに解決されるため、出力方向最適化によってローカル ルーティングが維持さ

れます。サイト B に移動した仮想マシンから、サイト A に拡張されていない L2 セグメントにアクセスできます。

一方のサイトに NSX が展開されていない場合は、そのサイトにスタンドアローンの Edge を展開できます。

次の図では、L2 VPN がネットワーク VLAN 10 を VXLAN 5010 に、ネットワーク VLAN 11 を VXLAN 5011 に拡張しています。VLAN 10 でブリッジされた VM 1 は、VM 2、5、および 6 にアクセスできます。

図 15-4. L2 VPN による VLAN ベース ネットワークの非 NSX サイトから VXLAN ベース ネットワークの

NSX サイトへの拡張

アップリンクネットワーク

VPN

SSL クライアント/IPsec ピア

デフォルトルーター

レイヤー 3ネットワーク

NSXスタンドア ローンEdge

サイト A：VLAN でバッキングされたネットワーク サイト B：VXLAN でバッキングされたネットワーク

vnicトランクVLAN 10-11

VM 1 VM 2 VM 3 VM 4

VLAN 10 VLAN 11

NSX

アップリンクネットワーク

VPN

SSL サーバ/IPsec ピア

NSX Edge

vNicVXLAN トランク

VXLAN5010

VM 5 VM 6

VM 7 VM 8

VXLAN5011

NSX 管理ガイド

VMware, Inc. 288

L2 VPN のベスト プラクティス

このセクションで説明するベスト プラクティスは、SSL トンネル経由の L2 VPN と IPsec トンネル経由の L2 VPN の両方に適用されます。

推奨 L2 VPN のパフォーマンスを最適化するため、次の理由により、クライアントとサーバの両方に XLarge フォーム ファクタの NSX Edge を展開することを推奨します。

n TCP バッファ サイズの増加。

n 仮想 CPU 1、3、5 では CPU の固定化が可能です。Large および Quad Large フォーム ファクタでは、CPU の固定化はできません。

ベスト プラクティスに従って L2 VPN を設定することで問題（ルーピング、ping と応答の重複など）を回避でき

ます。

ルーピングを軽減するための L2VPN のオプション

ルーピングを軽減するには、2 つのオプションがあります。NSX Edge と仮想マシンを別々の ESXi ホストに配置

するか、NSX Edge と仮想マシンを同じ ESXi ホストに配置するかです。

オプション 1：L2VPN Edge と仮想マシンを異なる ESXi ホストに配置する場合

1.個別の ESXi ホストでの L2VPN Edge と仮想マシンの展開

アップリンク

有効

スタンバイ

アップリンク

有効

有効

発信元の仮想ポートに基づいたルート

チーミング ポリシー

無作為検出モード：無効

dvPortGroup

トランクインターフェイス

vDS

シンク

dvPortGroup

チーミング アクティブ/ア クティブ：サポート対象外

1 Edge と仮想マシンを個別の ESXi ホストでデプロイします。

2 Edge の トランク vNIC に関連付けられた分散ポート グループのチーミングおよびフェイルオーバ ポリシー

を次のように設定します。

a 「発信元の仮想ポートに基づいたルート」で、ロード バランシングを行います。

b 1 つのアップリンクのみをアクティブとして、他のアップリンクをスタンバイとして設定します。

NSX 管理ガイド

VMware, Inc. 289

3 仮想マシンに関連付けられた分散ポート グループのチーミングおよびフェイルオーバ ポリシーを次のように設

定します。

a 任意のチーミング ポリシーを使用できます。

b 複数のアクティブ アップリンクを設定できます。

4 シンク ポート モードを使用して トランク vNIC で無差別モードを無効にするように Edge を設定します。

注： n vSphere Distributed Switch を使用している場合は、無差別モードを無効にします。

n 仮想スイッチを使用してトランク インターフェイスを設定している場合は、無差別モードを有効にします。

仮想スイッチで無差別モードが有効になっている場合は、無差別ポートが使用していないアップリンクから送信され

るパケットの一部が破棄されません。使用していないアップリンクから無差別ポートに送信されるすべてのパケット

を明示的に破棄するには、ReversePathFwdCheckPromisc を有効にしてから無効にする必要があります。

重複するパケットをブロックするには、NSX Edge が配置された ESXi の CLI から無差別モードの RPF チェック

を有効にします。

esxcli system settings advanced set -o /Net/ReversePathFwdCheckPromisc -i 1

esxcli system settings advanced list -o /Net/ReversePathFwdCheckPromisc

Path: /Net/ReversePathFwdCheckPromisc

Type: integer

Int Value: 1

Default Int Value: 0

Max Value: 1

Min Value: 0

String Value:

Default String Value:

Valid Characters:

Description: Block duplicate packet in a teamed environment when the virtual switch is set to

Promiscuous mode.

[ポート グループ (PortGroup)] セキュリティ ポリシーで、[無差別モード (Promiscous Mode)] を [許可

(Accept)] から [拒否 (Reject)] に変更し、再度 [許可 (Accept)] に戻して、設定済みの変更を有効にします。

n オプション 2：Edge と仮想マシンを同じ ESXi ホストに配置する場合

NSX 管理ガイド

VMware, Inc. 290

2.同じホストでの L2VPN Edge と仮想マシンの展開

アクティブ/スタンバイアップリンクの順序は、両方の dvPortGroup で同じである必要

があります。

アップリンク

有効

スタンバイ スタンバイ

アップリンク

有効

発信元の仮想ポートに基づいたルート

発信元の仮想ポートに基づいたルート

無作為検出モード：無効

dvPortGroup

トランクインターフェイス

vDS

シンク

dvPortGroup

a Edge の トランク vNIC に関連付けられた分散ポート グループのチーミングおよびフェイルオーバ ポリ

シーを次のように設定します。

1 「発信元の仮想ポートに基づいたルート」で、ロード バランシングを行います。

2 1 つのアップリンクをアクティブとして、他のアップリンクをスタンバイとして設定します。

b 仮想マシンに関連付けられた分散ポート グループのチーミングおよびフェイルオーバ ポリシーを次のよう

に設定します。

1 任意のチーミング ポリシーを使用できます。

2 アクティブにできるアップリンクは 1 つだけです。

3 アクティブ/スタンバイのアップリンクの順序は仮想マシンの分散ポート グループおよび Edge のト

ランク vNIC 分散ポート グループと同じである必要があります。

c シンク ポート モードを使用するようにクライアント側のスタンドアローン Edge を設定し、トランク

vNIC 上で無差別モードを無効にします。

シンク ポートの設定

NSX で管理する Edge を L2 VPN クライアントとしてセットアップすると、一部の設定が NSX によって自動的

に実行されます。スタンドアローン NSX Edge を L2 VPN クライアントとしてセットアップする場合、この設定

手順を手動で行う必要があります。

VPN サイトのいずれかに NSX がデプロイされていない場合、そのサイトにスタンドアローンの NSX Edge をデ

プロイすることで L2 VPN を設定できます。スタンドアローンの Edge をデプロイするには、NSX で管理されて

いないホストで OVF ファイルを使用します。これにより、Edge Services Gateway アプライアンスがデプロイ

され、L2 VPN クライアントとして機能します。

NSX 管理ガイド

VMware, Inc. 291

スタンドアローン Edge のトランク vNIC を vSphere Distributed Switch に接続する場合、L2 VPN 機能用に

無差別モードまたはシンク ポートが必要になります。無差別モードを使用すると、ping が重複するために応答も重

複する可能性があります。このため、L2 VPN のスタンドアローン NSX Edge の設定ではシンク ポート モードを

使用してください。

手順

1 シンク ポートとして設定するトランク vNIC のポート番号を取得します。

a vSphere Web Client にログインして、[ホーム (Home)] - [ネットワーク (Networking)] の順に移動

します。

b NSX Edge のトランク インターフェイスが接続している分散ポート グループをクリックし、[ポート

(Ports)] をクリックして、仮想マシンが接続しているポートを確認します。トランク インターフェイスに

関連付けられているポート番号をメモします。

不明なデータを取得して更新する場合は、このポート番号を使用します。

2 vSphere Distributed Switch の dvsUuid 値を取得します。

a vCenter Server Mob ユーザー インターフェイス https://<vc-ip>/mob にログインします。

b [内容 (content)] をクリックします。

c [rootFolder] に関連付けられたリンクをクリックします（例：group-d1 (Datacenters)）。

d [childEntity] に関連付けられたリンクをクリックします（例：datacenter-1）。

e [networkFolder] に関連付けられたリンクをクリックします（例：group-n6）。

f NSX Edge に関連付けられた vSphere Distributed Switch の分散仮想スイッチ名のリンクをクリック

します（例：dvs-1 (Mgmt_VDS)）。

g uuid 文字列の値をコピーします。

不明なデータを取得して更新する場合は、dvsUuid にこの値を使用します。

3 指定されたポートに不明なデータが存在するかどうか確認します。

a https://<vc-ip>/mob/?moid=DVSManager&vmodl=1 に移動します。

b [fetchOpaqueDataEx] をクリックします。

c [selectionSet] 値ボックスに、次の XML 入力を貼り付けます。

<selectionSet xsi:type="DVPortSelection">

<dvsUuid>c2 1d 11 50 6a 7c 77 68-e6 ba ce 6a 1d 96 2a 15</dvsUuid> <!-- example dvsUuid --

>

<portKey>393</portKey> <!-- example port number -->

</selectionSet>

NSX Edge のトランク インターフェイスに取得したポート番号と dvsUuid 値を使用します。

d isRuntime を false に設定します。

e [[Invoke Method] (Invoke Method)] をクリックします。

NSX 管理ガイド

VMware, Inc. 292

vim.dvs.OpaqueData.ConfigInfo の値が表示された場合、不明なデータ セットが存在します。シンク ポート

を設定するときに、edit 操作を使用します。vim.dvs.OpaqueData.ConfigInfo の値が空の場合は、シンク ポートを設定するときに add 操作を使用します。

4 vCenter Server 管理対象オブジェクト ブラウザ (MOB) でシンク ポートを設定します。

a https://<vc-ip>/mob/?moid=DVSManager&vmodl=1 に移動します。

b [updateOpaqueDataEx] をクリックします。

c [selectionSet] 値ボックスに、次の XML 入力を貼り付けます。

<selectionSet xsi:type="DVPortSelection">

<dvsUuid>c2 1d 11 50 6a 7c 77 68-e6 ba ce 6a 1d 96 2a 15</dvsUuid> <!-- example dvsUuid --

>

<portKey>393</portKey> <!-- example port number -->

</selectionSet>

vCenter Server 管理対象オブジェクト ブラウザから取得した dvsUuid 値を使用します。

NSX 管理ガイド

VMware, Inc. 293

d opaqueDataSpec 値ボックスで、次のいずれかの XML 入力を貼り付けます。

不明なデータが設定されていない場合（operation が add に設定されている場合）、この入力を使用してシ

ンク ポートを有効にします。

<opaqueDataSpec>

<operation>add</operation>

<opaqueData>

<key>com.vmware.etherswitch.port.extraEthFRP</key>

<opaqueData

xsi:type="vmodl.Binary">AAABAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAA=</opaqueData>

</opaqueData>

</opaqueDataSpec>

不明なデータはすでに設定されている場合（operation が edit に設定されている場合）、この入力を使用

してシンク ポートを有効にします。

<opaqueDataSpec>

<operation>edit</operation>

<opaqueData>

<key>com.vmware.etherswitch.port.extraEthFRP</key>

<opaqueData

xsi:type="vmodl.Binary">AAABAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAA=</opaqueData>

</opaqueData>

</opaqueDataSpec>

この入力を使用してシンク ポートを無効にします。

<opaqueDataSpec>

<operation>edit</operation>

<opaqueData>

<key>com.vmware.etherswitch.port.extraEthFRP</key>

<opaqueData

xsi:type="vmodl.Binary">AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

AAAAAAAAA=</opaqueData>

</opaqueData>

</opaqueDataSpec>

e isRuntime を false に設定します。

f [[Invoke Method] (Invoke Method)] をクリックします。

NSX 管理ガイド

VMware, Inc. 294

SSL 経由の L2 VPN

L2 VPN を使用してネットワークを拡張するには、L2 VPN サーバ（ターゲット Edge）と L2 VPN クライアント

（ソース Edge）を構成します。次に、サーバとクライアントの両方で L2 VPN サービスを有効にする必要がありま

す。

このセクションでタスク トピックでは、SSL トンネル経由の L2 VPN サービスを設定する手順について説明しま

す。

前提条件

サブ インターフェイスが NSX Edge のトランク インターフェイスに追加されている必要があります。サブ イン

ターフェイスの追加を参照してください。

L2 VPN サーバの設定

L2 VPN サーバは、クライアントの接続先であるターゲット NSX Edge です。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [L2 VPN] の順にクリックします。

5 [L2 VPN モード (L2 VPN Mode)] の横にある [サーバ (Server)] を選択します。

6 [グローバル設定の詳細] の横にある [編集] または [変更] をクリックします。

7 [リスナー IP (Listener IP)] で、NSX Edge の外部インターフェイスのプライマリまたはセカンダリ IP アドレ

スを入力します。

8 L2 VPN サービスのデフォルト ポートは 443 です。必要に応じてポート番号を編集します。

9 サーバとクライアント間の通信を暗号化するには、1 つまたは複数の暗号化アルゴリズムを選択します。

n NSX 6.4.6 以降では、[編集]（ ）アイコンをクリックします。1 つ以上の暗号化アルゴリズムを選択し

て、[保存] をクリックします。

n NSX 6.4.5 以前では、リスト ボックスからアルゴリズムを選択します。複数の値を選択するには、Ctrl キーを押しながら、リスト内のアルゴリズムをクリックします。

10 SSL VPN サーバにバインドする証明書を選択します。

重要： SSL 経由の L2 VPN がサポートしているのは、RSA 証明書のみです。

11 [保存] または [OK] をクリックします。

ピア サイトの追加

複数のサイトを L2 VPN サーバに接続できます。

注： サイトの設定を変更すると、NSX Edge は既存の接続をすべて切断して、再接続します。

NSX 管理ガイド

VMware, Inc. 295

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [L2 VPN モード (L2 VPN Mode)] の横にある [サーバ (Server)] を選択します。

5 [サイト構成の詳細 (Site Configuration Details)] で、[追加 (Add)] をクリックします。

6 L2 VPN ピア サイトの設定を指定します。

a ピア サイトの一意の名前を入力します。

b ピア サイトの認証に使用するユーザー名とパスワードを入力します。ピア サイトのユーザー認証情報は、

クライアント側と同じものにする必要があります。

c [ストレッチ インターフェイス (Stretched Interfaces)] で、 または [サブ インターフェイスの選択

(Select Sub Interfaces)] をクリックし、クライアントで拡張されるサブ インターフェイスを選択しま

す。

d Edge のトランク インターフェイスを選択します。

トランク vNIC で設定されたサブ インターフェイスが表示されます。

e 拡張するサブ インターフェイスをダブルクリックします。

f [追加] または [OK] をクリックします。

g 2 つのサイトで仮想マシンのデフォルト ゲートウェイが同じ場合は、[出力側を最適化するゲートウェイ アドレス (Egress Optimization Gateway Address)] テキスト ボックスにゲートウェイ IP アドレスを

入力します。これらの IP アドレスは、トラフィックをローカルでルーティングする場合や、トンネル経由

のトラフィックをブロックする場合に使用されます。

NSX 管理ガイド

VMware, Inc. 296

h （オプション） 拡張ネットワークの L2 VPN クライアント エッジの背後にある仮想マシンと非拡張ネット

ワークの仮想マシンが通信を行う場合は、[非ストレッチ ネットワーク (Unstretched Networks)] を有

効にします。さらに、この通信を同じ L2 VPN トンネル経由でルーティングします。非拡張サブネットは、

L2 VPN サーバ エッジ、L2 VPN クライアント エッジまたはその両方の背後にある場合があります。

たとえば、L2 VPN トンネルを作成し、NSX L2 VPN サービスを使用して 2 つのデータセンター サイト

間で 192.168.10.0/24 サブネットワークを拡張しているとします。

L2 VPN サーバ エッジの背後には、さらに 2 つのサブネットがあります（たとえば、192.168.20.0/24、

192.168.30.0/24）。非拡張ネットワークを有効にすると、192.168.20.0/24 と 192.168.30.0/24 サブネ

ット上の仮想マシンが、拡張ネットワーク (192.168.10.0/24) 上で L2 VPN クライアント エッジの背後に

ある仮想マシンと通信できます。この通信は、同じ L2 VPN トンネル経由でルーティングされます。

i 非拡張ネットワークを有効にした場合、非拡張サブネットの場所に応じて次の手順を行います。

n 非拡張サブネットが L2 VPN クライアント エッジの背後にある場合は、L2 VPN サーバ エッジでピ

ア（クライアント）サイトを追加するときに、非拡張ネットワークのネットワーク アドレスを CIDR 形式で入力します。複数の非拡張ネットワークを入力する場合は、ネットワーク アドレスをカンマで区

切ります。

n 非拡張サブネットが L2 VPN サーバ エッジの背後にある場合は、[非拡張ネットワーク

(Unstretched Networks)] テキスト ボックスは空白のままにします。つまり、L2 VPN サーバでク

ライアント（ピア）サイトを追加するときには、非拡張ネットワークのネットワーク アドレスを入力し

ないでください。

以前の例では、非拡張サブネットが L2 VPN サーバ エッジの背後にあるため、[ピア サイトの追加] ウィン

ドウの [非拡張ネットワーク (Unstretched Networks)] テキスト ボックスを空白のままにする必要があ

ります。

7 [追加] または [OK] をクリックして、[変更の発行 (Publish Changes)] をクリックします。

サーバ上で L2 VPN サービスを有効にする

L2 VPN サービスを L2 VPN サーバ（ターゲット NSX Edge）で有効にする必要があります。この Edge アプラ

イアンスで高可用性が構成済みの場合は、Edge に複数の内部インターフェイスが設定されていることを確認しま

す。インターフェイスが 1 つしかなく、高可用性によって既に使用されている場合は、同じ内部インターフェイス上

での L2 VPN の設定に失敗します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 宛先の NSX Edge をダブルクリックして、[管理 (Manage)] - [VPN] - [L2 VPN] の順に移動します。

4 [L2 VPN サービス ステータス (L2 VPN Service Status)] の横にある [開始 (Start)] をクリックします。

次のステップ

インターネット側のファイアウォールで NAT またはファイアウォール ルールを作成して、クライアントとサーバが

相互に接続できるようにします。

NSX 管理ガイド

VMware, Inc. 297

L2 VPN クライアントの設定

L2 VPN クライアントは、宛先の Edge（L2 VPN サーバ）との通信を開始する送信元 NSX Edge です。

スタンドアロン Edge を L2 VPN クライアントとして設定することもできます。スタンドアローン Edge を L2 VPN クライアントとして設定する を参照してください。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 L2 VPN クライアントとして設定する Edge をダブルクリックします。

4 [管理] - [VPN] - [L2 VPN] の順にクリックします。

5 [L2 VPN モード (L2 VPN Mode)] の横にある [クライアント (Client)] を選択します。

6 [グローバル設定の詳細] の横にある [編集] または [変更] をクリックします。

7 L2 VPN クライアントの詳細を指定します。

a このクライアントが接続する L2 VPN サーバのアドレスを入力します。アドレスは、ホスト名または IP アドレスになります。

b 必要に応じて、L2 VPN クライアントの接続先となるデフォルト ポートを編集します。

c サーバとの通信のための暗号化アルゴリズムを選択します。

d [ストレッチ インターフェイス (Stretched Interfaces)] で、 または [サブ インターフェイスの選択

(Select Sub Interfaces)] をクリックし、サーバで拡張されるサブ インターフェイスを選択します。

e Edge のトランク インターフェイスを選択します。

トランク vNIC で設定されたサブ インターフェイスが表示されます。

f 拡張するサブ インターフェイスをダブルクリックして、[追加] または [OK] をクリックします。

g [出力側を最適化するゲートウェイ アドレス (Egress Optimization Gateway Address)] に、サブ イン

ターフェイスのゲートウェイ IP アドレス、またはトラフィックがトンネル経由でフローされない IP アドレ

スを入力します。

h （オプション） 拡張ネットワークの L2 VPN サーバ エッジの背後にある仮想マシンと非拡張ネットワーク

の仮想マシンが通信を行う場合は、[非ストレッチ ネットワーク (Unstretched Networks)] チェック ボックスを選択します。さらに、この通信を同じ L2 VPN トンネル経由でルーティングします。非拡張サブ

ネットは、L2 VPN サーバ エッジ、L2 VPN クライアント エッジまたはその両方の背後にある場合があり

ます。

たとえば、L2 VPN トンネルを作成し、NSX L2 VPN サービスを使用して 2 つのデータセンター サイト

間で 192.168.10.0/24 サブネットワークを拡張しているとします。

L2 VPN サーバ エッジの背後には、さらに 2 つのサブネットがあります（たとえば、192.168.20.0/24、

192.168.30.0/24）。非拡張ネットワークを有効にすると、192.168.20.0/24 と 192.168.30.0/24 サブネ

ット上の仮想マシンが、拡張ネットワーク (192.168.10.0/24) 上で L2 VPN サーバ エッジの背後にある仮

想マシンと通信できます。この通信は、同じ L2 VPN トンネル経由でルーティングされます。

NSX 管理ガイド

VMware, Inc. 298

i 非拡張ネットワークを有効にした場合、非拡張サブネットの場所に応じて次の手順を行います。

n 非拡張サブネットが L2 VPN サーバ エッジの背後にある場合は、L2 VPN クライアント エッジを設

定するときに、非拡張ネットワークのネットワーク アドレスを CIDR 形式で入力します。複数の非拡

張ネットワークを入力する場合は、ネットワーク アドレスをカンマで区切ります。

n 非拡張サブネットが L2 VPN クライアント エッジの背後にある場合は、[非拡張ネットワーク

(Unstretched Networks)] テキスト ボックスは空白のままにします。つまり、L2 VPN クライアン

ト エッジの非拡張ネットワークのネットワーク アドレスを入力しないでください。

前の例では、非拡張サブネットが L2 VPN サーバ エッジの背後にあるため、L2 VPN クライアント エッ

ジを設定するときに、非拡張ネットワークとして 192.168.20.0/24, 192.168.30.0/24 を入力する必

要があります。

j [ユーザー詳細 (User Details)] で、サーバで認証されるためのユーザー認証情報を入力します。

8 [詳細 (Advanced)] タブをクリックし、その他のクライアントの詳細を指定します。

a （オプション） セキュアなプロキシ接続のみを有効にします。

インターネットに直接アクセスできないクライアント Edge がプロキシ サーバ経由で送信元（サーバ）

NSX Edge にアクセスする必要がある場合、プロキシ サーバの設定を指定します。

b プロキシ サーバのアドレス、ポート、ユーザー名、およびパスワードを入力します。

c サーバ証明書の検証を有効にするには、[サーバ証明書の検証 (Validate Server Certificate)] を選択し、

適切な CA 証明書を選択します。

d [保存] または [OK] をクリックして、[変更の発行 (Publish Changes)] をクリックします。

次のステップ

ファイアウォールに接するインターネットで、L2 VPN Edge からインターネットへのトラフィックのフローが許可

されていることを確認します。宛先ポートは 443 です。

クライアント上で L2 VPN サービスを有効にする

L2 VPN サービスを L2 VPN クライアント（送信元 NSX Edge）で有効にする必要があります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 L2 VPN クライアント モードで設定した NSX Edge をダブルクリックします。

4 [管理] - [VPN] - [L2 VPN] の順にクリックします。

5 [L2 VPN サービス ステータス (L2 VPN Service Status)] の横にある [開始 (Start)] をクリックします。

次のステップ

n クライアントとサーバを相互に接続できるようにするには、インターネットに接するファイアウォール側で

NAT またはファイアウォール ルールを作成します。

NSX 管理ガイド

VMware, Inc. 299

n 標準のポートグループによってバッキングされているトランク vNIC を拡張する場合は、次の手順に従って L2 VPN トラフィックを手動で有効にします。

a [無差別モード (Promiscuous mode)] を [許可 (Accept)] に設定します。

b [偽装転送 (Forged Transmits)] を [許可 (Accept)] に設定します。

無作為検出モード操作と偽装転送の詳細については、 VMware vSphere ® ドキュメントの「vSphere 標準

スイッチの保護」を参照してください。

L2 VPN 統計の表示

L2 VPN のサーバ エッジと クライアント エッジの両方で、トンネル ステータスや送受信バイト数などの L2 VPN トンネル統計情報を表示できます。

手順

1 L2 VPN クライアント エッジの統計情報を表示します。

a L2 VPN クライアント モードで設定した NSX Edge をダブルクリックします。

b [管理] - [VPN] - [L2 VPN] の順にクリックします。

c [トンネル ステータス] セクションを展開し、[更新] アイコンをクリックして、トンネル統計情報を表示し

ます。

2 L2 VPN サーバ エッジの統計情報を表示します。

a L2 VPN サーバ モードで設定した NSX Edge をダブルクリックします。

b [L2 VPN] ページに移動します。

c [サイト設定の詳細] セクションで、[統計の表示] または [L2 VPN 統計情報の表示 (Show L2VPN Statistics)] リンクをクリックします。

L2 VPN サーバで設定されているすべてのピアサイトの統計情報が表示されます。

次のステップ

トランク インターフェイス上に設定のネットワークを表示するには、Edge の [管理 (Manage)] - [設定

(Settings)] - [インターフェイス (Interfaces)] に移動し、[タイプ] 列の [トランク (Trunk)] をクリックします。

IPsec 経由での L2 VPN

NSX Data Center 6.4.2 以降では、IPsec 経由で L2 VPN サービスを使用して、2 つのサイト間のレイヤー 2 ネットワークを拡張できます。IPsec 経由の L2 VPN サービスを設定する前に、ルート ベースの IPsec VPN トンネ

ルを作成する必要があります。さらに、このルート ベースの IPsec VPN トンネルを使用して、2 つのサイト間の

L2 VPN トンネルを作成します。

vSphere Web Client を使用して、ルートベースの IPsec VPN トンネルを作成および編集することはできませ

ん。NSX REST API を使用する必要があります。ルート ベースの IPsec VPN トンネルの作成方法については、

『NSX API ガイド』を参照してください。

NSX 管理ガイド

VMware, Inc. 300

IPsec 経由で L2 VPN サービスを設定する場合のワークフロー

サーバとクライアントの両方の Edge で IPsec 経由の L2 VPN サービスを設定するには、NSX REST API を使用

する必要があります。

最初に、次の手順に従って、NSX Edge でサーバ（ハブ）モードの L2 VPN サービスを設定します。サーバ モー

ドで設定した Edge は、NSX Edge にする必要があります。

1 L2 VPN サーバ（ハブ）として設定する Edge で、ルート ベースの IPsec VPN トンネルを作成します。トン

ネルを作成すると、サイト ID が自動的に生成されます。

2 クライアントに L2 VPN トンネルを作成し、手順 1 で生成されたサイト ID を使用して、この L2 VPN トンネ

ルをバインドします。

3 このクライアントのピア コードを取得します。このピア コードは、クライアントの Edge で L2 VPN サービ

スを構成するため入力コード（共有コード）になります。

4 IPsec サービス経由の L2 VPN を有効にします。

L2 ネットワークを他のサイトに拡張する場合は、他のサイトの L2 VPN クライアントのサーバで前述の 3 つの手

順を繰り返します。

次の手順に従って、別の Edge でクライアント（スポーク）モードの L2 VPN サービスを設定します。この Edge は、NSX で管理される Edge、またはスタンドアローンの Edge のいずれかです。

1 サーバの Edge で、ルート ベースの IPsec VPN トンネルの設定で使用した同じパラメータを使用して、ルー

ト ベースの IPsec VPN トンネルを作成します。

2 スポーク モードで Edge を設定します。

3 サーバから取得したピア コードとサーバで生成されたサイト ID を使用して、L2 VPN トンネルを作成します。

4 IPsec サービス経由の L2 VPN を有効にします。

L2 VPN クライアントとしてのスタンドアローン Edge

NSX では、NSX がクライアント サイトに展開されているかどうかに関係なく、クライアント サイトの Edge デバ

イスまたは Edge 仮想アプライアンスと L2 VPN 接続をセットアップできます。

NSX が展開されていないクライアント サイトの Edge アプライアンスはスタンドアローン Edge といいます。ス

タンドアローン Edge をデプロイするには、NSX で管理されていないホストで OVF ファイルを使用します。

スタンドアローン Edge を L2 VPN クライアントとして設定する

拡張するサイトの 1 つが NSX によってバッキングされていない場合は、スタンドアローン Edge を L2 VPN クラ

イアントとしてそのサイトにデプロイできます。

スタンドアローン Edge の FIPS モードを変更する場合、fips enable コマンドまたは fips disable コマン

ドを使用します。詳細については、『NSX コマンド ライン インターフェイス リファレンス』を参照してください。

スタンドアローン L2 VPN Edge クライアントのペアをデプロイし、クライアント間で高可用性 (HA) を有効にす

ると、VPN の冗長性がサポートされます。2 台のスタンドアローン L2 VPN Edge クライアントは、ノード 0 とノード 1 といいます。両方のスタンドアローン L2 VPN Edge アプライアンスをデプロイするときに高可用性

(HA) を指定する必要はありません。ただし、デプロイ時に高可用性を有効にする必要があります。

NSX 管理ガイド

VMware, Inc. 301

次の手順では、SSL トンネルまたは IPsec VPN トンネル経由でトラフィックをルーティングする場合に、L2 VPN クライアントとしてスタンドアローン Edge をデプロイします。

前提条件

スタンドアローン Edge のトランク インターフェイスが接続するためのトランク ポート グループが作成されまし

た。このポート グループの一部の設定を手動で行う必要があります。

n トランク ポート グループが vSphere Standard スイッチ上にある場合、次の操作を行う必要があります。

n 偽装転送を有効にする。

n 無差別モードを有効にする。

『vSphere ネットワーク ガイド』を参照してください。

n トランク ポート グループが vSphere Distributed Switch 上にある場合、次の操作を行う必要があります。

n 偽装転送を有効にする。『vSphere ネットワーク ガイド』を参照してください。

n トランク vNIC のシンク ポートを有効にするか、無差別モードを有効にする。シンク ポートの有効化はお

すすめします。

スタンドアローン Edge をデプロイした後、シンク ポートの設定を行う必要があります。Edge のトランク

vNIC に接続したポートの設定を変更する必要があるためです。

手順

1 vSphere Web Client を使用して、非 NSX 環境を管理している vCenter Server にログインします。

2 [ホストおよびクラスタ (Hosts and Clusters)] を選択し、クラスタを展開して、利用可能なホストを表示しま

す。

3 スタンドアローン Edge をインストールするホストを右クリックして、[OVF テンプレートのデプロイ

(Deploy OVF Template)] を選択します。

4 URL を入力し、インターネットから OVF ファイルをダウンロードしてインストールするか、[参照 (Browse)] をクリックし、スタンドアローン Edge OVF ファイルが格納されているコンピュータ上のフォルダに移動し

て、[次へ (Next)] をクリックします。

5 [OVF テンプレートの詳細] ページで、テンプレートの詳細を確認して、[次へ (Next)] をクリックします。

6 [名前およびフォルダの選択] ページで、スタンドアローン Edge の名前を入力して、デプロイ先のフォルダま

たはデータセンターを選択します。その後、[次へ (Next)] をクリックします。

7 [ストレージの選択] ページで、デプロイするテンプレートのファイルを格納する場所を選択します。

8 [ネットワークの選択] ページで、デプロイしたテンプレートで使用するネットワークを設定します。[次へ

(Next)] をクリックします。

n パブリック インターフェイスは、アップリンク インターフェイスです。

n トランク インターフェイスを使用して、拡張するネットワークのサブインターフェイスを作成します。この

インターフェイスを、作成したトランク ポート グループに接続します。

n 高可用性インターフェイスは、スタンドアローン L2 VPN Edge アプライアンスで高可用性を設定する場

合に使用します。高可用性インターフェイスの分散ポート グループを選択します。

NSX 管理ガイド

VMware, Inc. 302

9 [テンプレートのカスタマイズ] ページで、次の値を指定します。

a CLI の admin パスワードを 2 回入力します。

b CLI を有効にするためのパスワード 2 回入力します。

c CLI の root パスワードを 2 回入力します。

d アップリンク IP アドレスと、プリフィックス長を入力し、オプションでデフォルト ゲートウェイと DNS の IP アドレスを入力します。

e 認証に使用する暗号を選択します。選択した値は、L2 VPN サーバで使用される暗号と一致する必要があり

ます。

注： この手順は、SSL 経由で L2 VPN を構成する場合にのみ実行します。

f 出力方向 (Egress) の最適化を有効にするには、トラフィックがローカルにルーティングされるゲートウェ

イ IP アドレス、つまりトラフィックがトンネルを介してブロックされるゲートウェイ IP アドレスを入力し

ます。

g （オプション） 仮想マシンの移行後も、L2 VPN 経由での仮想マシンとの既存の TCP 接続（SSH セッショ

ンなど）をアクティブな状態にしておくには、[TCP Loose 設定を有効にする] チェックボックスをオンに

します。

デフォルトでは、このオプションは有効になっていません。この設定を無効にすると、L2 VPN 経由での仮

想マシンとの既存の TCP 接続は、仮想マシンの移行後に失われます。移行が完了したら、仮想マシンとの

新しい TCP 接続を確立する必要があります。

h スタンドアローンの L2 VPN Edge アプライアンスで高可用性を有効にするには、[このアプライアンスの

高可用性を有効にする (Enable High Availability for this appliance)] チェック ボックスを選択しま

す。

i （オプション） 最初のスタンドアローン L2 VPN Edge アプライアンス (node 0) の IP アドレスを入力し

ます。IP アドレスは、/30 IP サブネットにする必要があります。

j （オプション） 2 番目のスタンドアローン L2 VPN Edge アプライアンス (node 1) の IP アドレスを入力

します。IP アドレスは、/30 IP サブネットにする必要があります。

k （オプション） node 0 アプライアンスで 0 を選択して、高可用性インターフェイスに node 0 の IP アド

レスを割り当てます。同様に、node 1 アプライアンスで 1 を選択して、高可用性インターフェイスに node 1 の IP アドレスを割り当てます。

l （オプション） dead 間隔 (秒単位) に整数値を指定します。たとえば、15 と入力します。

注： スタンドアローン L2 VPN Edge クライアントの展開中に HA 構成設定を指定すると、HA が完全

に構成されるまで、スタンドアローン Edge アプライアンス仮想マシンはスタンバイ HA ステータスにな

ります。つまり、Edge アプライアンス仮想マシンのネットワーク インターフェイスが無効になります。ア

クティブ アプライアンスとスタンバイ アプライアンスを作成するには、HA ピア ノードを設定してくださ

い。詳細な手順については、スタンドアローン L2 VPN クライアントでの高可用性 (HA) の設定を参照し

てください。

NSX 管理ガイド

VMware, Inc. 303

m L2 VPN サーバ アドレスとポートを入力します。

IPsec VPN トンネル経由でトラフィックをルーティングするように L2 VPN クライアントを構成する場

合、ピア サイトとピア コードの IP アドレスを指定する必要があります。

n ピア サイトの認証に使用するユーザー名とパスワードを入力します。

注： この手順は、SSL 経由で L2 VPN を構成する場合にのみ実行します。

o サブ インターフェイスの VLAN（トンネル ID）に、拡張するネットワークの VLAN ID を入力します。

VLAN ID は、カンマ区切りリストまたは範囲で指定できます。たとえば、2,3,10-20 のように指定しま

す。

ネットワークをスタンドアローン Edge サイトに拡張する前に、ネットワークの VLAN ID を変更する場

合は、ネットワークの VLAN ID を入力し、次に括弧で囲んだトンネル ID を入力します。たとえば、

2(100),3(200) のように入力します。トンネル ID は、拡張されるネットワークをマッピングするために使

用されます。ただし、トンネル ID の範囲は指定できません。つまり、10(100)-14(104) のようには指定で

きません。これを 10(100),11(101),12(102),13(103),14(104) に変更する必要があります。

p インターネットに直接アクセスできないスタンドアローン Edge がプロキシ サーバ経由でソース（サーバ）

NSX Edge にアクセスする必要がある場合は、プロキシ アドレス、ポート、ユーザー名、パスワードを入

力します。

q ルート認証局 (CA) を利用できる場合は、それを [証明書] セクションに貼り付けることができます。

r [次へ (Next)] をクリックします。

10 [設定の確認] ページでスタンドアローン Edge 設定を確認して、[終了 (Finish)] をクリックします。

次のステップ

n スタンドアローンの Edge アプライアンスをパワーオンします。

n トランク vNIC のポート番号をメモし、シンク ポートを設定します。シンク ポートの設定 を参照してくださ

い。

n 高可用性の IP アドレス、高可用性のインデックス値、スタンドアローン L2 VPN Edge アプライアンスをデプ

ロイしているときの Dead 間隔などの高可用性の設定を指定した場合、デプロイされたノードのコンソールで

show configuration コマンドを実行すると、高可用性の設定を確認できます。

n デプロイで高可用性の設定を指定していない場合は、NSX Edge コンソールから各ノードに ha set-config コマンドを実行すると、設定を行うことができます。

スタンドアローン Edge のコマンド ライン インターフェイスを使用して、他の設定を変更します。『NSX コマンド

ライン インターフェイス リファレンス』を参照してください。

スタンドアローン L2 VPN クライアントでの高可用性 (HA) の設定

スタンドアローン L2 VPN Edge アプライアンスの NSX Edge コンソールにログインして、高可用性 (HA) を設

定し、両方の L2 VPN Edge アプライアンス間で高可用性 (HA) を有効にします。

同じ設定の 2 つの L2 VPN Edge クライアント（L2VPN-Client-01 と L2VPN-Client-02）がデプロイされてい

ます。L2VPN-Client-01 の /30 IP サブネット アドレスは 192.168.1.1 で、L2VPN-Client-02 は 192.168.1.2 です。ここでは、Node-1 が L2VPN-Client-01 で、Node-2 が L2VPN-Client-02 です。

NSX 管理ガイド

VMware, Inc. 304

前提条件

n 両方の L2 VPN Edge アプライアンスで高可用性 (HA) を有効にします。

n 高可用性の IP アドレス、高可用性のインデックス値、Dead 間隔などの高可用性の設定が両方のノードで行わ

れていることを確認します。

n 両方のスタンドアローン L2 VPN Edge クライアントに同じ VPN が設定されていることを確認します。

手順

1 各ノードにログインし、両方のノードで ha get-local node コマンドを実行して、3 つの vNIC インターフ

ェイス カードの MAC アドレスを取得します。

Node-1 の場合：

nsx-l2vpn-edge(config)# ha get-localnode

00:50:56:90:12:ea 00:50:56:90:97:ca 00:50:56:90:d9:69

Node-2 の場合：

nsx-l2vpn-edge(config)# ha get-localnode

00:50:56:90:1c:75 00:50:56:90:34:c1 00:50:56:90:36:80

2 両方のノードで ha set-peernode コマンドを実行し、Node-1 の MAC アドレスを Node-2 に割り当て、

Node-2 の MAC アドレスを Node-1 に割り当てます。

たとえば、Node-2 の MAC アドレスを Node-1 に割り当てます。

nsx-l2vpn-edge(config)# ha set-peernode 00:50:56:90:1c:75 00:50:56:90:34:c1 00:50:56:90:36:80

たとえば、Node-1 の MAC アドレスを Node-2 に割り当てます。

nsx-l2vpn-edge(config)# ha set-peernode 0:50:56:90:12:ea 00:50:56:90:97:ca 00:50:56:90:d9:69

3 高可用性を開始するには、各ノードで ha admin-state UP コマンドを実行します。

たとえば、Node-1 と Node-2 で次のコマンドを実行します。

nsx-l2vpn-edge(config)# ha admin-state UP

注： 次の例のように、UP は大文字で入力します。

4 両方のノードで commit コマンドを実行して、高可用性の設定を保存し、Node-1 と Node-2 の間で高可用性

を有効にします。

たとえば、Node-1 と Node-2 で次のコマンドを実行します。

nsx-l2vpn-edge(config)# commit

High Availability Feature is enabled on this appliance. Please make sure to make

similar configuration on paired Standalone Edge appliance.

NSX 管理ガイド

VMware, Inc. 305

結果

高可用性の設定が両方のノードで保存され、ノード間で高可用性が有効になります。

次のステップ

各ノードにログインし、両方のノードで show service highavailability コマンドを実行して、高可用性の

ステータスを確認します。

L2VPN-Client-01 ノードの CLI に次の出力が表示されます。

L2VPN-Client-1 の高可用性のステータスは「アクティブ」

ピア ノード 192.168.1.2 の到達可能性のステータスは「稼動中」

L2VPN-Client-02 ノードの CLI に次の出力が表示されます。

NSX 管理ガイド

VMware, Inc. 306

L2VPN-Client-2 の高可用性のステータスは「スタンバイ」

ピア ノード 192.168.1.1 の到達可能性のステータスは「稼動中」

どの段階でも、高可用性のリンク ステータスを確認する場合は、各ノードで show service highavailability link コマンドを実行します。このコマンドを実行すると、ローカルとピアの /30 IP サブネット アドレスが表示さ

れます。これは、スタンドアローン L2 VPN ノードのデプロイで設定したアドレスです。

Node-1 の場合：

nsx-l2vpn-edge> show service highavailability link

Local IP address: 192.168.1.1/30

Peer IP Address: 192.168.1.2/30

スタンドアローンの L2VPN Edge で高可用性を無効にするには

NSX では、スタンドアローンの L2VPN Edge アプライアンスで高可用性を無効にするには、2 つの方法がありま

す。

L2VPN-Client-1 と L2VPN-Client-2 という 2 台のスタンドアローン L2VPN Edge アプライアンスを展開し、

このアプライアンス間で高可用性を設定するとします。L2VPN-Client-1 がアクティブで、L2VPN-Client-2 がス

タンバイのアプライアンスです。

1 つ目の方法では、次の手順に従って高可用性を無効にします。

1 スタンバイ アプライアンス (L2-VPN-Client-2) を削除するか、直接パワーオフします。

2 アクティブ アプライアンス (L2-VPN-Client-1) のコンソールにログインして、ha disable コマンドを実行

します。

NSX 管理ガイド

VMware, Inc. 307

この方法のメリットは、高可用性のフェイルオーバーにかかる時間が最小になる点です。ただし、次のような制限が

あります。

n スタンバイ L2VPN アプライアンスは手動でパワーオフする必要があります。

n この方法では、2 台のアプライアンスがアクティブ状態になる可能性があります。たとえば、スタンバイ アプラ

イアンスをパワーオフし忘れて起動したままにすると、両方の L2VPN アプライアンスがアクティブになる可能

性があります。

2 つ目の方法では、次の手順に従って高可用性を無効にします。

1 アクティブまたはスタンバイのいずれかの L2VPN アプライアンスを削除するか、パワーオフします。

2 もう一方のアプライアンスのコンソールにログインして ha disable コマンドを実行し、このアプライアンス

の高可用性機能を無効にします。

2 つ目の方法でも、高可用性のフェイルオーバーにかかる時間は最小になります。ただし、次のような制限がありま

す。

n L2VPN アプライアンスを手動でパワーオフする必要があります。

n この方法でも、2 台のアプライアンスがアクティブ状態になる可能性があります。たとえば、アプライアンスを

パワーオフし忘れて起動したままにすると、両方の L2VPN アプライアンスがアクティブになる可能性がありま

す。

n 高可用性のフェールオーバーでは、スタンバイ アプライアンスがすぐにアクティブにならないことがあるため、

アクティブなアプライアンスを削除するとサービスが中断します。

障害が起きた スタンドアローン L2 VPN クライアントの交換

スタンドアローン L2 VPN クライアントで障害が発生したり、クラッシュした場合、新しいスタンドアローン L2 VPN クライアントをデプロイし、デプロイされたアプライアンスを NSX Edge コンソールから設定することで、

障害の起きたアプライアンスを交換することができます。

L2VPN-Client-01 と L2VPN-Client-02 という 2 台のスタンドアローン L2 VPN クライアント アプライアンス

をデプロイし、このアプライアンス間で高可用性を有効にしているとします。L2VPN-Client-01 ノードは、障害が

発生したかクラッシュしています。障害が起きたノードを置換するには、L2VPN-Client-Replace という新しいス

タンドアローン L2 VPN クライアント アプライアンスをデプロイし、アクティブ ノードと同じ VPN 設定を指定し

ます。

手順

1 アクティブ ノード (L2VPN-Client-02) のコンソールにログインし、高可用性のインデックスを確認します。

2 L2VPN-Client-02 ノードで ha get-localnode コマンドを実行して、vNIC の MAC アドレスを取得し、

このコマンドの CLI 出力をコピーします。

NSX 管理ガイド

VMware, Inc. 308

3 新しいスタンドアローン L2 VPN クライアントのアプライアンスをデプロイし、名前を L2VPN-Client-Replace に変更します。デプロイ中に次の詳細設定を指定します。

a 高可用性機能を有効にします。

b ノード 0 とノード 1 の両方に適切な高可用性 IP アドレスを入力します。IP アドレスは、/30 IP サブネッ

トにする必要があります。

c 高可用性インデックス値を選択します。

n 高可用性インデックス 1 のノードで障害が発生した場合、L2VPN-Client-Replace アプライアンスの

高可用性インデックスを 0 に選択します。

n 高可用性インデックス 0 のノードで障害が発生した場合、L2VPN-Client-Replace アプライアンスの

高可用性インデックスを 1 に選択します。

4 新しい L2VPN-Client-Replace アプライアンスのコンソールにログインし、次の操作を行います。

a ha set-peernode コマンドを実行して、ピア ノード (L2VPN-Client-02) の MAC アドレスを設定しま

す。

b ha get-localnode コマンドを実行して、このコマンドの CLI 出力をコピーします。

5 アクティブ ノード (L2VPN-Client-02) のコンソールにログインして ha set-peernode コマンドを実行

し、新しくデプロイしたアプライアンス (L2VPN-Client-Replace) の vNIC MAC アドレスを設定します。

6 最後に、L2VPN-Client-02 と L2VPN-Client-Replace の両方のアプライアンスで commit コマンドを実行

します。

シナリオ：拡張 VLAN または VXLAN ネットワークの追加

ACME Enterprise には、サイト A とサイト B という 2 つのプライベート データセンターがあります。NSX Data Center は両方のデータセンターに展開されています。NSX の管理者は、サイト A の VLAN ネットワーク

をサイト B の VXLAN ネットワークに拡大または拡張して、ワークロード（アプリケーション）をサイト A からサ

イト B に移行したいと考えています。

NSX L2 VPN は、両方のサイトで同じゲートウェイ IP アドレスを使用することで、出力方向最適化をサポートし

ます。このシナリオでは、出力方向最適化機能を使用して、移行後にアプリケーションの IP アドレスが変更されな

いようにします。

次の図は、NSX Edge で L2 VPN サービスを使用して 2 つのサイトを接続し、ネットワークを拡張している論理

トポロジーを示しています。

NSX 管理ガイド

VMware, Inc. 309

アップリンクネットワーク

VPN

SSL クライアント/IPsec ピア

デフォルトルーター

レイヤー 3ネットワーク

NSX Edge

サイト A：VLAN でバッキングされたネットワーク サイト B：VXLAN でバッキングされたネットワーク

vNicトランクVLAN 10-11

VM 1 VM 2 VM 3 VM 4

VLAN 10 VLAN 11

NSX

NSX

アップリンクネットワーク

VPN

SSL サーバ/IPsec ピア

NSX Edge

vNicVXLAN

トランクVXLAN5010

VM 5 VM 6

VM 7 VM 8

VXLAN5011

サイト A の NSX Edge の L2 VPN サービスはクライアント モードに設定され、サイト B の NSX Edge の L2 VPN サービスはサーバ モードに設定されています。この管理者の目的を達成するため、L2 VPN トンネルを作成

し、サイト A と B の間で L2 拡張を実行します。

n トンネル ID 200 は、サイト A の VLAN 10 ネットワークをサイト B の VXLAN 5010 ネットワークに拡張

します。

n トンネル ID 201 は、サイト A の VLAN 11 ネットワークをサイト B の VXLAN 5011 ネットワークに拡張し

ます。

次の図は、両方のサイト間の L2 拡張を論理的に表現しています。

NSX 管理ガイド

VMware, Inc. 310

仮想 マシン

仮想 マシン

仮想 マシン

仮想 マシン

NSX Edge

L2 VPN クライアント

NSX Edge

トンネル ID: 200L2 拡張

トンネル ID: 201VLAN 11

VLAN 10

VXLAN 5011

VXLAN 5010

L2 拡張

L2 VPN サーバ

注意: このシナリオでは、両方のサイトに NSX が管理するエッジが存在します。2 つのサイト間で L2 拡張を実行

するには、サーバ モードに設定されているエッジが NSX Edge である必要があります。ただし、クライアント モードに設定されたエッジは、NSX Edge でも、スタンドアローン エッジ（NSX に管理されていないエッジ）でも

かまいません。

クライアント サイトがスタンドアローン エッジを使用している場合、クライアント サイトの VLAN ネットワーク

のみをサーバ サイトの VLAN または VXLAN ネットワークに拡張できます。

L2 拡張を実行するには、SSL 経由の L2 VPN サービスを設定するか、IPsec 経由の L2 VPN を設定します。以下

では、SSL 経由の L2 VPN を使用して L2 ネットワークを拡張する手順について説明します。

手順

1 サイト B の L2 VPN エッジに移動し、トランク タイプの vnic インターフェイスを設定します。このインター

フェイスに 2 つのサブ インターフェイスを追加します。

Edge でのインターフェイスの構成とサブ インターフェイスの追加方法については、インターフェイスの設定

を参照してください。

たとえば、このシナリオでは、分散ポート グループに接続するようにサーバ エッジで vnic 1 を設定します。

VNI 5010 と 5011 を使用して、論理スイッチに接続するサブ インターフェイスを追加します。各サブインター

フェイスには、一意のトンネル ID が必要です。次の表に、L2 VPN サーバ エッジのサブ インターフェイスの

構成を示します。

表 15-9. L2 VPN サーバ エッジの vnic 1 のサブ インターフェイス

名前 IP アドレス ネットワーク VNI トンネル ID ステータス

sub_vxlan1 192.168.10.10/24 VXLAN-Network1

5010 200 接続済み

sub_vxlan2 192.168.100.10/24

VXLAN-Network2

5011 201 接続済み

NSX 管理ガイド

VMware, Inc. 311

2 サイト A の L2 VPN エッジに移動し、トランク タイプの vnic インターフェイスを設定します。このインター

フェイスに 2 つのサブ インターフェイスを追加します。

たとえば、このシナリオでは、標準ポート グループに接続するようにクライアント エッジで vnic 2 を設定しま

す。VLAN 10 と 11 に接続するサブ インターフェイスを追加します。クライアント エッジのトンネル ID は、

サーバ エッジで指定したトンネル ID と一致する必要があります。次の表に、L2 VPN クライアント エッジの

サブ インターフェイスの構成を示します。

表 15-10. L2 VPN クライアント エッジの vnic 2 のサブ インターフェイス

名前 IP アドレス VLAN トンネル ID ステータス

sub_vlan1 192.168.10.10/24 10 200 接続済み

sub_vlan2 192.168.100.10/24 11 201 接続済み

3 サイト B で L2 VPN エッジを設定します。

a L2 VPN モードを [サーバ] に設定します。

b グローバル設定を指定します。

L2 VPN サーバの設定方法については、L2 VPN サーバの設定を参照してください。

c [サイト設定の詳細] で、[追加] をクリックし、L2 VPN クライアント（ピア）サイトの設定を指定します。

L2 VPN ピア サイトの追加方法については、ピア サイトの追加を参照してください。

たとえば、このシナリオでは、次のようなピア サイトを設定します。

n Site-A という名前のピア サイトを追加します。サーバ エッジで vnic 1 トランク インターフェイス

を選択し、ストレッチ ネットワークとして 2 つのサブ インターフェイス sub_vxlan1 と

sub_vxlan2 を追加します。ピア サイトが有効になっていることを確認します。次の表は、ピア サイ

ト A のサブ インターフェイス（ストレッチ インターフェイス）を示しています。

表 15-11. ピア サイト A のサブ インターフェイス

名前 親インデックス 親名 IP アドレス ネットワーク VNI トンネル ID

sub_vxlan1 1 vnic1 192.168.10.10/24

VXLAN-Network1

5010 200

sub_vxlan2 1 vnic1 192.168.100.10/24

VXLAN-Network2

5011 201

n [出力側を最適化するゲートウェイ アドレス] テキスト ボックスに、

192.168.10.10,192.168.100.10 を入力します。

d サーバ エッジで L2 VPN サービスを開始します。

e 変更を発行します。

NSX 管理ガイド

VMware, Inc. 312

4 サイト A で L2 VPN エッジを設定します。

a L2 VPN モードを [クライアント] に設定します。

b ログ作成の設定とグローバル設定を指定します。

L2 VPN クライアントの設定方法については、L2 VPN クライアントの設定を参照してください。

たとえば、このシナリオでは、L2 VPN クライアントで次のように設定します。

n クライアントで vnic 2 トランク インターフェイスを選択し、ストレッチ ネットワークとして 2 つの

サブ インターフェイス sub_vlan1 と sub_vlan2 を追加します。次の表に、L2 VPN クライアント

エッジのサブ インターフェイス（拡張インターフェイス）を示します。

表 15-12. L2 VPN クライアント エッジの 拡張インターフェイス

名前 親インデックス 親名 IP アドレス VLAN トンネル ID

sub_vlan1 2 vnic2 192.168.10.10/24

10 200

sub_vlan2 2 vnic2 192.168.100.10/24

11 201

n [出力側を最適化するゲートウェイ アドレス] テキスト ボックスに、

192.168.10.10,192.168.100.10 を入力します。

c クライアント エッジで L2 VPN サービスを開始します。

d 変更を発行します。

結果

サイト A とサイト B 間で L2 VPN トンネルが確立されます。拡張された L2 ネットワークを使用して、2 つのサイ

ト間でワークロードを移行できるようになりました。

次のステップ

L2 VPN サーバ エッジとクライアント エッジで、次の操作を行います。

n L2 VPN トンネルのステータスが「Up」になっていることを確認します。

n トンネルの統計情報を表示します。

詳細な手順については、L2 VPN 統計の表示を参照してください。

また、L2 VPN サーバ edge エッジとクライアント エッジの CLI コンソールにログインして、show service

l2vpn コマンドでトンネルのステータスを確認することもできます。

このコマンドの詳細については、『NSX コマンド ライン インターフェイス リファレンス ガイド』を参照してくださ

い。

シナリオ：拡張 VLAN または VXLAN ネットワークの削除

このシナリオでは、サイト A の VLAN 10 ネットワークをサイト B の VXLAN 5010 ネットワークに拡張する L2 ストレッチを削除します。

NSX 管理ガイド

VMware, Inc. 313

前提条件

サイト A の VLAN ネットワーク (VLAN ID: 10, 11) からサイト B の VXLAN ネットワーク (VNI: 5010, 5011) への L2 ストレッチが設定されていることを確認します。シナリオ：拡張 VLAN または VXLAN ネットワークの追

加を参照してください。

手順

1 vSphere Web Client にログインします。

2 （必須） サイト A の L2 VPN クライアント エッジに移動し、L2 VPN サービスを停止します。

3 （必須） サイト A の L2 VPN サーバ エッジに移動し、L2 VPN サービスを停止します。

4 L2 VPN サーバ エッジで、vnic1 トランク インターフェイスの sub_vxlan1 サブ インターフェイスを削除し

ます。

a [管理] - [設定] - [インターフェイス] の順にクリックして、Edge インターフェイスの設定に移動します。

b [vnic1] インターフェイスを選択して [編集]（ または ）アイコンをクリックします。

c [サブ インターフェイス] で、[sub_vxlan1] を選択し、[削除] （ または ）アイコンをクリックしま

す。

d [保存] または [OK] をクリックします。

5 L2 VPN クライアント エッジで、vnic2 トランク インターフェイスの sub_vlan1 サブ インターフェイスを削

除します。

a [管理] - [設定] - [インターフェイス] の順にクリックして、Edge インターフェイスの設定に移動します。

b [vnic2] インターフェイスを選択して [編集]（ または ）アイコンをクリックします。

c [サブ インターフェイス] で、[sub_vlan1] を選択し、[削除] （ または ）アイコンをクリックします。

d [保存] または [OK] をクリックします。

結果

サイト A の VLAN 10 ネットワークをサイト B の VXLAN 5010 ネットワークに拡張するサブ インターフェイス

が削除されます。

次のステップ

n サイト A で、クライアント エッジの [L2 VPN ] 画面に移動します。[ストレッチ インターフェイス] に、

sub_vlan1 インターフェイスが表示されていないことを確認します。もう 1 つのストレッチ インターフェイス

sub_vlan2 はまだ存在しています。

n サイト B で、サーバ エッジの [L2 VPN ] 画面に移動します。ピア サイト（サイト A）の [ストレッチ インタ

ーフェイス] に、sub_vxlan1 インターフェイスが表示されていないことを確認します。もう 1 つのストレッチ

インターフェイス sub_vxlan2 はまだ存在しています。

NSX 管理ガイド

VMware, Inc. 314

論理ロード バランサ 16NSX Edge ロード バランサは、高可用性サービスにより複数のサーバ間でネットワーク トラフィックの負荷を分散

します。負荷の配分がユーザーにとって透過的になるように、受信サービス リクエストを複数のサーバ間で均等に配

分します。このように、ロード バランシングは、最適なリソース使用率の実現、スループットの最大化、応答時間の

最小化、過負荷の回避に役立ちます。NSX Edge は、レイヤー 7 までのロード バランシングを提供します。

ロード バランシングのために、外部（またはパブリック）IP アドレスを内部サーバのセットにマッピングします。

ロード バランサは外部 IP アドレスによる TCP、UDP、HTTP、または HTTPS リクエストを受け入れ、どの内部

サーバを使用するか決定します。ポート 80 は HTTP のデフォルト ポートであり、ポート 443 は HTTP のデフォ

ルト ポートです。

ロード バランシングを設定するには、あらかじめ、NSX Edge インスタンスを動作させておく必要があります。

NSX Edge のセット アップの詳細については、NSX Edge 設定を参照してください。

NSX Edge 証明書の設定に関する詳細については、証明書の操作を参照してください。

NSX のロード バランシングでは、次の機能を利用できます。

n プロトコル：TCP、UDP、HTTP、HTTPS

n アルゴリズム：重み付きラウンド ロビン、IP ハッシュ、URI、最小接続数

n AES-NI アクセラレーションによる SSL Termination

n SSL ブリッジ（クライアント側 SSL + サーバ側 SSL）

n SSL 証明書管理

n クライアントの識別のための X-header 転送

n L4/L7 透過モード

n 接続スロットリング

n メンテナンスのために個々のサーバ（プール メンバー）を有効/無効にできる

n 健全性チェックの方法（TCP、UDP、HTTP、HTTPS）

n 拡張健全性チェック モニター

n セッション維持/継続的な方法：SourceIP、MSRDP、COOKIE、SSLSESSIONID

n ワンアーム モード

VMware, Inc. 315

n インライン モード

n URL の書き換えとリダイレクト

n 高度なトラフィック管理のためのアプリケーション ルール

n L7 プロキシ ロード バランシングでの高可用性セッションの継続的なサポート

n IPv6 のサポート

n トラブルシューティングのための拡張ロード バランサ CLI

n NSX Edge Services Gateway のすべてのサイズで使用可能。本番トラフィックには X-Large または

Quad Large をお勧めします。

トポロジ

NSX では、ワンアーム モード（プロキシ モードとも呼ばれます）またはインライン モード（透過モードとも呼ば

れます）の 2 つのタイプのロード バランシング サービスを設定できます。

NSX 論理ロード バランシング：インライン トポロジ

インライン（透過）モードでは、サーバ ファームに宛てたトラフィックに対して NSX Edge がインラインにデプロ

イされます。透過モードでは、トラフィック フローは次のように処理されます。

n 外部クライアントは、ロード バランサが公開する仮想 IP アドレス (VIP) にトラフィックを送信します。

n ロード バランサ（統合 NSX Edge）は、宛先 NAT (DNAT) のみを実行し、仮想 IP アドレスをサーバ ファー

ムにデプロイされたいずれかのサーバの IP アドレスに置き換えます。

n サーバ ファームのこのサーバは、元のクライアント IP アドレスに応答します。ロード バランサは、通常はサー

バ ファームのデフォルト ゲートウェイとしてインラインにデプロイされているため、トラフィックが再びロー

ド バランサによって受信されます。

n ロード バランサは送信元 NAT を実行し、仮想 IP アドレスを送信元 IP アドレスとして利用して、トラフィッ

クを外部クライアントに送信します。

NSX 管理ガイド

VMware, Inc. 316

V

フェーズ 1IP

アド レス

IP アド レス

IP アド レス

IP アド レス

DST 192.168.20.20

DST 80

VLAN

192.168.20.20 TCP 80

サーバのトラフィックは常に SLB に戻る

ルーティングによってSLB のリソースを消費

192.168.1.3（選択済み）

192.168.1.2

192.168.1.1

論理スイッチ(VXLAN)

クライアント アドレス172.30.40.7

NSX Edge Services Gateway

SRC 172.30.40.7

SRC 1025

TCP

フェーズ 4

DST 172.30.40.7

DST 1025

SRC 192.168.20.20

SRC 80

TCP

フェーズ 2 (DNAT)

DST 192.168.1.3

DST 80

SRC 172.30.40.7

SRC 1025

TCP

フェーズ 3

DST 172.30.40.7

DST 1025

SRC 192.168.1.3

SRC 80

TCP

NSX 論理ロード バランシング：ワンアーム トポロジ

ワンアーム（プロキシ）モードでは、ロードバランシング サービスが必要な論理ネットワークに直接接続する NSX Edge がデプロイされます。

n 外部クライアントは、ロード バランサが公開する仮想 IP アドレス (VIP) にトラフィックを送信します。

n ロード バランサは、クライアントから受信した元のパケットに対して、宛先 NAT (DNAT) と送信元 NAT (SNAT) の 2 種類のアドレス変換を実行します。宛先 NAT では、サーバ ファームにデプロイされたいずれか

のサーバの IP アドレスで仮想 IP アドレスが置き換えられます。また、送信元 NAT では、ロード バランサ自

体を表す IP アドレスでクライアントの IP アドレスが置き換えられます。サーバ ファームからクライアントに

戻るトラフィックがロード バランサを通過するように強制するには SNAT が必要です。

n サーバ ファームのサーバは、SNAT 機能を通じてロード バランサにトラフィックを送信することにより応答し

ます。

n ロード バランサは送信元と宛先 NAT のサービスを再度実行し、仮想 IP アドレスを送信元 IP アドレスとして

利用して、トラフィックを外部クライアントに送信します。

NSX 管理ガイド

VMware, Inc. 317

V

フェーズ 1IP

アド レス

DST 192.168.1.20

DST 80

VLAN

192.168.1.20TCP 80

挿入が容易クライアント IP アドレスは 検出されない

HTTP X-Forwarded- For HTTP

ヘッダーのための回避策

192.168.1.3（選択済み）

192.168.1.2

192.168.1.1

論理スイッチ(VXLAN)

クライアント アドレス172.30.40.7

NSX EdgeServices Gateway

SRC 172.30.40.7

SRC 1025

TCP

フェーズ 4

DST 172.30.40.7

DST 1025

SRC 192.168.1.20

SRC 80

TCP

フェーズ 2 (DNAT+SNAT)

DST 192.168.1.3

DST 80

SRC 192.168.1.20

SRC 4099

TCP

フェーズ 3

DST 192.168.1.20

DST 4099

SRC 192.168.1.3

SRC 80

TCP

SLB

IP アド レス

IP アド レス

IP アド レス

この章には、次のトピックが含まれています。

n ロード バランシングの設定

n アプリケーション プロファイルの管理

NSX 管理ガイド

VMware, Inc. 318

n サービス モニターの管理

n サーバ プールの管理

n 仮想サーバの管理

n アプリケーション ルールの管理

n NTLM 認証を使用する Web サーバのロード バランシング

n ロード バランサの HTTP 接続モード

n NSX ロード バランサ構成のシナリオ

ロード バランシングの設定

NSX Edge ロード バランサはネットワーク トラフィックを複数のサーバに分散することにより、リソースの最適な

使用、冗長性を実現し、リソースを分散して使用できるようにします。

NSX ロード バランサは、レイヤー 4 およびレイヤー 7 のロード バランシング エンジンをサポートします。レイヤ

ー 4 のロード バランサは接続ベースで高速パス処理を行います。一方、レイヤー 7 ロード バランサは HTTP ソケ

ット ベースです。バックエンド サービスで高度なトラフィック処理を実現し、DDoS を緩和します。

接続ベースのロード バランシングは、TCP および UDP レイヤーに実装されます。接続ベースのロード バランシン

グは、接続の停止や要求全体のバッファの作成は行わず、パケット処理後に選択されたサーバに直接パケットを送信

します。TCP および UDP セッションはロード バランサで維持され、これによって単一セッションのパケットが同

一サーバに送信されます。接続ベースのロード バランシングは、アクセラレーションが無効になっている TCP と

UDP の仮想 IP アドレスか、アクセラレーションが有効になっている TCP の仮想 IP アドレスによって実行されま

す。

ソケット ベースのロード バランシングは、ソケット インターフェイスの上位に実装されます。1 つの要求について、

クライアント方向とサーバ方向の 2 つの接続が確立されます。サーバ方向の接続は、サーバを選択した後に確立され

ます。HTTP ソケット ベースの実装では、オプションの L7 処理を使用して選択されたサーバに送信される前に、す

べての要求が受信されます。HTTPS ソケット ベースの実装については、クライアント方向の接続またはサーバ方向

の接続のいずれかで、認証情報が交換されます。ソケット ベースのロード バランシングは、TCP、HTTP、および

HTTPS 仮想サーバのデフォルトのモードです。

NSX ロード バランサの重要な概念は次のとおりです。

仮想サーバ

アプリケーション サービスを抽象化したもので、IP アドレス、ポート、プロトコル、およびアプリケーション

プロファイル（TCP、UDP など）の一意の組み合わせで表されます。

サーバ プール

バックエンド サーバのグループです。

サーバ プール メンバー

プール内のメンバーとしてのバックエンド サーバです。

サービス モニター

NSX 管理ガイド

VMware, Inc. 319

バックエンド サーバの健全性ステータスの検証方法を定義します。

アプリケーション プロファイル

特定のアプリケーションの TCP、UDP、セッション維持、および証明書設定が含まれます。

バックエンド サーバを効率的に管理および共有するため、ロード バランサにグローバル オプションを設定して、バ

ックエンド サーバ メンバーのサーバ プールを作成し、サービス モニターとプールを関連付けます。

次に、アプリケーション プロファイルを作成して、クライアント SSL、サーバ SSL、x-forwarded-for、セッショ

ン維持など、アプリケーションの共通の動作をロード バランサに定義します。セッション維持を設定すると、送信元

の IP アドレスや Cookie などの特性が類似する後続の要求は、ロード バランシング アルゴリズムを実行せずに、

同じプール メンバーに送信されます。アプリケーション プロファイルは、仮想サーバ全体で再利用できます。

次に、オプションのアプリケーション ルールを作成して、アプリケーション固有のトラフィック処理を設定します。

たとえば、特定の URL やホスト名との一致により、異なる要求を異なるプールで処理するように定義します。次に、

アプリケーション固有のサービス モニターを作成するか、以前に作成したサービス モニターを使用します。

必要に応じて、L7 仮想サーバの高度な機能をサポートするアプリケーション ルールを作成することもできます。ア

プリケーション ルールは、コンテンツの切り替え、ヘッダの操作、セキュリティ ルール、DOS 保護などに使用でき

ます。

最後に、サーバ プール、アプリケーション プロファイル、あらゆる潜在的なアプリケーション ルールを関連付ける

仮想サーバを作成します。

仮想サーバが要求を受信するとき、ロード バランシング アルゴリズムではプール メンバーの設定とランタイム ステ

ータスが考慮されます。次に、アルゴリズムは適切なプールを計算して、1 つ以上のメンバーにトラフィックを分散

します。プール メンバーの設定には、重み、最大接続数、状態ステータスなどの設定が含まれます。ランタイム ステータスには、現在の接続、応答時間、健全性チェックのステータス情報などが含まれます。計算方法としては、ラ

ウンド ロビン、重み付きラウンド ロビン、最小接続数、ソース IP アドレス ハッシュ、重み付き最小接続数、URL、

URI、HTTP ヘッダを使用できます。

各プールは、関連付けられたサービス モニターで監視されます。ロード バランサがプール メンバーの問題を検出す

ると、メンバーの状態は「切断」とマークされます。サーバ プールからプール メンバーを選択するときには、状態

が「接続中」のサーバのみが選択されます。サーバ プールにサービス モニターが設定されていない場合は、すべて

のメンバーが「接続中」であるとみなされます。

注： ロード バランサのトラブルシューティング情報については、『NSX トラブルシューティング ガイド』を参照

してください。

n ロード バランサ サービスの設定

n サービス モニターの作成

ネットワーク トラフィックの特定のタイプの健全性チェック パラメータを定義するには、サービス モニター

を作成します。サービス モニターとプールを関連付けると、サービス モニターのパラメータに従ってプール

メンバーが監視されます。

NSX 管理ガイド

VMware, Inc. 320

n サーバ プールの追加

サーバ プールを追加すると、バックエンド サーバを柔軟かつ効率的に管理、共有することができますサーバ プールはロード バランサの分散方法を管理するもので、サービス モニターで健全性チェック パラメータを確認

できます。

n アプリケーション プロファイルの作成

アプリケーション プロファイルを使用すると、ネットワーク トラフィックの管理機能を強化し、トラフィック

管理タスクをより簡単に、効率的に行うことができます。

n アプリケーション ルールの追加

アプリケーション トラフィックの操作と管理に HAProxy 構文を使用して、仮想サーバ側のアプリケーション

ルールを作成できます。

n 仮想サーバの追加

仮想サーバとして NSX Edge 内部インターフェイスまたはアップリンク インターフェイスを追加します。

ロード バランサ サービスの設定

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [グローバル設定 (Global Configuration)] の順

にクリックします。

5 [ロード バランサのグローバル設定] の横にある [編集 (Edit)] をクリックします。

NSX 管理ガイド

VMware, Inc. 321

6 グローバル ロード バランサの設定パラメータを指定します。

オプション 説明

ロード バランサ NSX Edge ロード バランサで、トラフィックを内部サーバに分散してロード バランシングで

きるようにします。

アクセラレーション 無効にすると、すべての仮想 IP アドレス (VIP) で L7 LB エンジンが使用されます。

有効にすると、仮想 IP アドレスでは、より高速な L4 LB エンジンまたは L7 LB エンジン

（仮想 IP アドレスの設定による）が使用されます。

仮想 IP アドレス設定で「アクセラレーションが有効」になっており、Cookie のセッション

維持または SSL オフロードが設定された AppProfile などの L7 設定のない L4 仮想 IP アドレスは、Edge ファイアウォールの前に処理されます。仮想 IP アドレスへのアクセスに

Edge ファイアウォール ルールは必要ありません。ただし、仮想 IP アドレスが非透過モード

でプールを使用している場合は、SNAT ルールの自動生成を許可するため、Edge ファイア

ウォールを有効にする必要があります。

L7 HTTP/HTTPS 仮想 IP アドレス（「アクセラレーションが無効」または、Cookie のセッ

ション維持または SSL オフロードが設定された AppProfile などの L7 設定）は、Edge ファイアウォールの後に処理され、仮想 IP アドレスにアクセスするには Edge ファイアウォー

ル ルールが必要です。

注：NSX ロード バランサが各仮想 IP アドレスでどの LB エンジンを使用しているかを検証

するには、NSX Edge CLI（SSH またはコンソール）で、「show service loadbalancer virtual」というコマンドを実行し、「LB PROTOCOL [L4|L7]」を確認します

ログ NSX Edge ロード バランサは、トラフィックのログを収集します。

ログ レベルはドロップダウン メニューから選択できます。ログは、設定されている Syslog サーバにエクスポートされます。また、show log follow コマンドを使用すると、ロード

バランシング ログを表示できます。

[デバッグ] オプションと [情報] オプションは、エンドユーザーの要求のログを収集します。

[警告] オプション、[エラー] オプション、[重大] オプションは、エンドユーザーの要求のログ

を収集しません。NSX Edge の制御レベル ログを [デバッグ] または [情報] に設定すると、

ロード バランサは lb、仮想 IP アドレス、プール、プール メンバーの統計情報を 1 分ごとに

記録します。

[デバッグ] オプションまたは [情報] オプションで実行すると、CPU と Edge ログ パーティ

ション領域が消費され、最大トラフィック管理機能にわずかに影響する可能性があります。

サービス挿入の有効化 ロード バランサで、サード パーティ ベンダーのサービスを操作できるようにします。

サード パーティ ベンダーのロード バランサ サービスをご使用の環境に展開する場合は、パー

トナーのロード バランサの使用を参照してください。

注目: NSX 6.4.5 以降では、サードパーティ サービスの統合サポートが廃止されています。

7 [OK] をクリックします。

サービス モニターの作成

ネットワーク トラフィックの特定のタイプの健全性チェック パラメータを定義するには、サービス モニターを作成

します。サービス モニターとプールを関連付けると、サービス モニターのパラメータに従ってプール メンバーが監

視されます。

サポートされているモニター タイプは、ICMP、TCP、UDP、HTTP、HTTPS、DNS、MSSQL、LDAP です。

NSX 管理ガイド

VMware, Inc. 322

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [サービス モニタリング (Service Monitoring)] の順にクリックします。

5 [追加 (Add)] をクリックします。

6 サービス モニターの [名前 (Name)] を入力します。

[間隔]、[タイムアウト]、[最大試行回数] は、すべてのタイプの健全性チェックで共通のパラメータです。

7 サーバをテストする [間隔 (Interval)] を秒単位で入力します。

この間隔（秒単位）は、モニターがバックエンド サーバに要求を送信する期間となります。

8 [タイムアウト (Timeout)] 値を入力します。それぞれの健全性チェックで、サーバからの応答を受信できるの

は、このタイムアウトの値の時間（秒単位）以内となります。

9 [最大試行回数 (Max Retries)] を入力します。この値は、サーバが切断された判断する前にサーバを検証する回

数です。

たとえば、[間隔 (Interval)] を 5 秒、[タイムアウト (Timeout)] を 15 秒に設定し、[最大試行回数 (Max Retries)] を 3 回にすると、NSX ロード バランサは 5 秒ごとにバックエンド サーバを検証します。それぞれ

の検証で、15 秒以内に予期した応答がサーバから返された場合、健全性チェックの結果は [OK] になります。そ

うでない場合、結果は [重大] になります。最近実行した 3 回の健全性チェックの結果がすべて [切断] の場合、

そのサーバは [切断] とマークされます。

10 [タイプ (Type)] ドロップダウン メニューから、サーバに健全性チェック要求を送信する方法を選択します。サ

ポートされているモニター タイプは、ICMP、TCP、UDP、HTTP、HTTPS、DNS、MSSQL、LDAP です。

事前定義された 3 つのモニターである default_tcp_monitor、default_http_monitor、および

default_https_monitor が、システムに組み込まれています。

11 モニター タイプとして [ICMP] を選択する場合、他のパラメータは適用されません。他のパラメータは空のまま

にします。

NSX 管理ガイド

VMware, Inc. 323

12 モニターのタイプに [TCP] を選択した場合は、[送信]、[受信]、[エクステンション] の 3 つのパラメータを追

加で設定できます。

a [送信 (Send)]（オプション）：接続の確立後にバックエンド サーバに送信される文字列です。 有効な文字

列の長さは最大 256 文字です。

b [受信 (Receive)]（オプション）：一致対させる文字列を入力します。この文字列は、応答のヘッダである

か、または本文内にあります。受信した文字列がこの定義と一致する場合、サーバが稼動状態と見なされま

す。

c [エクステンション (Extension)]：詳細なモニター パラメータを key=value ペアとして [エクステンショ

ン] セクションに入力します。

たとえば、エクステンションを warning=10 と指定すると、サーバが 10 秒以内に応答しない場合に、ス

テータスが警告に設定されます。

すべてのエクステンション項目を、キャリッジ リターン文字で区切る必要があります。

表 16-1. TCP プロトコルのエクステンション

監視の拡張機能 説明

escape send 文字列または quit 文字列で、\n、\r、\t、または \ を使用

できます。send オプションまたは quit オプションの前に指定す

る必要があります。デフォルト：send には何も追加されません。

quit の最後に \r\n が追加されます。

all すべての expect 文字列がサーバ応答に含まれている必要があり

ます。デフォルトは any です。

quit=STRING 接続の正常な終了を開始するために、サーバに送信する文字列。

refuse=ok|warn|crit OK、警告、重大ステータスで TCP 拒否を受け入れます。デフォル

トは crit です。

mismatch=ok|warn|crit OK、警告、重大ステータスで、想定される文字列の不一致を受け

入れます。デフォルトは warn です。

jail TCP ソケットからの出力を非表示にします。

maxbytes=INTEGER 指定数より多いバイト数を受信すると、接続を閉じます。

delay=INTEGER 文字列の送信から応答のポーリングまでの待ち時間（秒数）。

certificate=INTEGER[,INTEGER] 証明書の最小有効期間（日数）。最初の値は警告ステータスまでの日

数、2 番目の値は重大ステータスまでの日数（指定されない場合は

0）。

warning=DOUBLE 警告ステータスになる応答時間（秒）

critical=DOUBLE 重大ステータスになる応答時間（秒）

NSX 管理ガイド

VMware, Inc. 324

13 モニターのタイプに [HTTP] または [HTTPS] を選択した場合は、次の手順を実行します。

a [期待値（期待される文字列） (Expected)]（オプション）：[期待値] セクションの HTTP 応答のステータ

ス行で、モニターと一致する文字列を入力します。これはコンマ区切りのリストです。

たとえば、200,301,302,401 と指定します。

b [方法 (Method)]（オプション）：サーバのステータスを検出する方法をドロップダウン メニュー（[GET]、[OPTIONS]、または [POST]）から選択します。

c [URL]（オプション）：GET または POST を実行する URL を入力します（デフォルトは「/」）。

d POST メソッドを選択した場合は、[ボールド (Bold)] セクションに送信されるデータを入力します。

NSX 管理ガイド

VMware, Inc. 325

e 応答内容で一致する文字列を、[受信 (Receive)] セクションに入力します。この文字列は、応答のヘッダで

あるか、または本文内にあります。

[期待値] セクションの文字列が一致しない場合、モニターは [受信] の内容との一致を試行しません。

JSON 形式の例：検証応答に "{"Healthy":true}": receive={\"Healthy\":true} が含まれています。

f [エクステンション (Extension)]：詳細なモニター パラメータを key=value ペアとして [エクステンショ

ン] セクションに入力します。

たとえば、エクステンションを warning=10 と指定すると、サーバが 10 秒以内に応答しない場合に、ス

テータスが警告に設定されます。

すべてのエクステンション項目を、キャリッジ リターン文字で区切る必要があります。

注： eregi、regex または ereg で、文字列に { } と “ が含まれている場合は、JSON 形式の文字列を解

析する前に \ 文字を追加する必要があります。JSON 形式の例：検証応答に "{"Healthy":true}": eregi="\{\"Healthy\":true\}" が含まれています。

表 16-2. HTTP/HTTPS プロトコルのエクステンション

監視の拡張機能 説明

no-body ドキュメントの本文を待たない： ヘッダの読み込み後に処理を停止

します。それでも、HEAD ではなく、HTTP GET や POST を実

行することに注意してください。

ssl-version=3 SSLv3 を使用する SSL ハンドシェイクを強制的に実行します。

健全性チェック オプションで、SSLv3 と TLSv1 はデフォルトで

無効になっています。

ssl-version=10 TLS 1.0 を使用する SSL ハンドシェイクを強制的に実行します。

ssl-version=11 TLS 1.1 を使用する SSL ハンドシェイクを強制的に実行します。

ssl-version=12 TLS 1.2 を使用する SSL ハンドシェイクを強制的に実行します。

max-age=SECONDS ドキュメントが SECONDS より古い場合は警告します。数値は、

分の場合は 10m、時間の場合は 10h、日の場合は 10d の書式で指

定することもできます。

content-type=STRING POST 呼び出しでの Content-Type ヘッダーのメディア タイプ

を指定します。

linespan 正規表現で改行記号を許可します（-r または -R より前に指定する

必要があります）。

regex=STRING または ereg=STRING 正規表現の文字列をページで検索します。

eregi=STRING 正規表現の文字列をページで検索します（大文字小文字は区別され

ません）。

次はその例です。

n 検証応答には、"OK1" または "OK2": eregi="(OK1|OK2)" が含まれています。

n 検証応答に "{"Healthy":true}": eregi="{\"Healthy\":true}" が含まれています。

invert-regex 見つかれば CRITICAL を返し、見つからなければ OK を返します。

NSX 管理ガイド

VMware, Inc. 326

表 16-2. HTTP/HTTPS プロトコルのエクステンション （続き）

監視の拡張機能 説明

proxy-authorization=AUTH_PAIR 基本認証を使用しているプロキシ サーバ上のユーザー名：パスワー

ド。

useragent=STRING User Agent として、HTTP ヘッダで送信される文字列。

header=STRING HTTP ヘッダで送信されるその他のタグ。追加のヘッダで複数回

使用できます。

次はその例です。

header="Host: app1.xyz.com

onredirect=ok|warning|critical|follow|sticky|stickyport リダイレクト ページの処理方法。sticky は follow に似ていま

すが、指定された IP アドレスと連携します。stickyport ではさ

らに、ポートが同じであることを確認します。

pagesize=INTEGER:INTEGER 必要な最小ページ サイズ（バイト）：必要な最大ページ サイズ（バ

イト）。

warning=DOUBLE 警告ステータスになる応答時間（秒）

critical=DOUBLE 重大ステータスになる応答時間（秒）

expect = STRING コンマ区切りの文字列のリストで、少なくともそのうちの 1 つがサ

ーバ応答の最初の（ステータス）行に来ることを想定します（デフ

ォルトは HTTP/1 です。指定した場合、その他すべてのステータス

行のロジック（3xx、4xx、5xx 処理など）はスキップされます）

string = STRING コンテンツに想定される文字列。

url = PATH GET または POST を実行する URL（デフォルトは「/」）。

post = STRING HTTP POST データをエンコードする URL。

method = STRING HTTP メソッド（HEAD、OPTIONS、TRACE、PUT、DELETE など）を設定します。

timeout = INTEGER 接続がタイムアウトになるまでの秒数（デフォルトは 10 秒）。

header=Host:host_name -H host_name --sni host_name は、有効なホスト名またはホストの FQDN です。

仮想ホストごとに個別のサービス モニターを作成し、各サービス

モニターにサーバ名表示 (SNI) 拡張機能を追加します。

表 16-3. HTTPS プロトコルのエクステンション

監視の拡張機能 説明

certificate=INTEGER 証明書の最小有効期間（日数）。ポート番号のデフォルトは 443 です。このオプションを使用すると、URL はチェックされません。

authorization=AUTH_PAIR 基本認証を使用しているサイト上のユーザー名：パスワード。

ciphers=’ECDHE-RSA-AES256-GCM-SHA384’ HTTPS 健全性チェックで使用される暗号を表示します。

NSX 管理ガイド

VMware, Inc. 327

14 モニター タイプとして [UDP] を選択する場合は、次の手順を実行します。

a [送信 (Send)]（必須）：接続が確立された後でバックエンド サーバに送信する文字列を入力します。

b [受信 (Receive)]（必須）：バックエンド サーバから受信する文字列を入力します。受信した文字列がこの

定義と一致する場合にのみ、サーバが稼動状態と見なされます。

注： UDP モニターではエクステンションがサポートされません。

15 モニター タイプとして [DNS] を選択する場合は、次の手順を実行します。

a [送信 (Send)]（必須）：接続が確立された後でバックエンド サーバに送信する文字列を入力します。

b [受信 (Receive)]：バックエンド サーバから受信する文字列を入力します。受信した文字列がこの定義と一

致する場合にのみ、サーバが稼動状態と見なされます。

c [エクステンション (Extension)]：詳細なモニター パラメータを key=value ペアとして [エクステンショ

ン] セクションに入力します。

たとえば、エクステンションを warning=10 と指定すると、サーバが 10 秒以内に応答しない場合に、ス

テータスが警告に設定されます。 このモニター タイプは、TCP プロトコルのみをサポートします。

すべてのエクステンション項目を、キャリッジ リターン文字で区切る必要があります。

表 16-4. DNS プロトコルの拡張機能

監視の拡張機能 説明

querytype=TYPE オプション：DNS レコードのクエリの種類。TYPE =A, AAAA, SRV, TXT, MX, CNAME, ANY

n A=IPv4 ホスト アドレス

n AAAA = IPv6 ホスト アドレス

n SRV = サービス ロケータ

n TXT = テキスト レコード

n MX = ドメイン レコードのメール交換

n CNAME = エイリアス レコードの正規名

デフォルトのクエリ タイプは A です。

expect-authority オプション：DNS サーバで検索が許可されている必要があります。

accept-cname オプション：クエリに有効な結果として、cname 応答を受け入れま

す。querytype=CNAME と一緒に使用します。

デフォルトでは、結果の一部として、cname 応答を無視します。

warning=seconds オプション：指定した時間が経過すると、警告メッセージを返します。

デフォルトでは、オフに設定されています。

critical=seconds オプション：指定した時間が経過すると、重大メッセージを返します。

デフォルトでは、オフに設定されています。

16 モニター タイプとして [MSSQL] を選択する場合は、次の手順を実行します。

a [送信 (Send)]：接続が確立された後でバックエンド サーバに実行される文字列を入力します。

b [受信 (Receive)]：バックエンド サーバから受信する文字列を入力します。受信した文字列がこの定義と一

致する場合にのみ、サーバが稼動状態と見なされます。

NSX 管理ガイド

VMware, Inc. 328

c [ユーザー名 (User Name)]、[パスワード (Password)]、[パスワードの確認 (Confirm password)]（必

須）：必要なユーザー名とパスワードを入力し、確認のため、パスワードを再度入力します。監視はプールに

関連付けられています。ここで指定したユーザー名とパスワードを使用して、プール内に MSSQL サーバを

設定する必要があります。

d [エクステンション (Extension)]：詳細なモニター パラメータを key=value ペアとして [エクステンショ

ン] セクションに入力します。

たとえば、エクステンションを warning=10 と指定すると、サーバが 10 秒以内に応答しない場合に、ス

テータスが警告に設定されます。

すべてのエクステンション項目を、キャリッジ リターン文字で区切る必要があります。

表 16-5. MSSQL プロトコルの拡張機能

監視の拡張機能 説明

database=DBNAME オプション：接続先のデータベース名。

Send または storedproc パラメータを使用する場合、このエクステ

ンションは必須です。

storedproc=STOREPROC オプション：MSSQL サーバに実行されるストアド プロシージャ

17 モニター タイプとして [LDAP] を選択する場合は、次の手順を実行します。

a [パスワード (Password)] と [パスワードの確認 (Confirm password)]（オプション）：必要なパスワー

ドを入力し、確認のため、パスワードを再度入力します。

b [エクステンション (Extension)]：詳細なモニター パラメータを key=value ペアとして [エクステンショ

ン] セクションに入力します。

たとえば、エクステンションを warning=10 と指定すると、サーバが 10 秒以内に応答しない場合に、ス

テータスが警告に設定されます。

すべてのエクステンション項目を、キャリッジ リターン文字で区切る必要があります。

表 16-6. LDAP プロトコルの拡張機能

監視の拡張機能 説明

attr=’ATTR’ オプション：検索する LDAP 属性 (default: ‘(objectclass=*)’

crit-entires 範囲と attr を使用する必要があります。

base=’cn=admin,dc=example,dc=com’ 必須：LDAP ベース（例: ou=my unit, o=my org, c=at）

ver2 または ver3 オプション：

n ver2：LDAP プロトコル バージョン 2 を使用します。

n ver3：LDAP プロトコル バージョン 3 を使用します。

デフォルトのプロトコル バージョンは、ver2 です。

bind=BINDDN オプション：LDAP バインドの識別名 (DN)（必要な場合）。

詳細については、https://www.ldap.com/the-ldap-bind-operation を参照してください。

NSX 管理ガイド

VMware, Inc. 329

表 16-6. LDAP プロトコルの拡張機能 （続き）

監視の拡張機能 説明

crit=DOUBLE オプション：ステータスが重大になる応答時間（秒）

crit-entries=low:high オプション：ステータスが重大になってしまうエントリ数。

見つかったエントリ数が範囲（[低]、[高]）外の場合、健全性チェック

のステータスが重大になります。

18 [OK] をクリックします。

次のステップ

サービス モニターとプールを関連付けます。

サーバ プールの追加

サーバ プールを追加すると、バックエンド サーバを柔軟かつ効率的に管理、共有することができますサーバ プール

はロード バランサの分散方法を管理するもので、サービス モニターで健全性チェック パラメータを確認できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [プール (Pools)] の順にクリックします。

5 [追加 (Add)] をクリックします。

6 ロード バランサ プールの名前と説明を入力します。

7 有効にしたサービスごとにアルゴリズム調整方法を選択できます。

オプション 説明

IP-HASH 送信元 IP アドレスのハッシュ、および実行されているすべてのサーバの重みの合計に基づい

て、サーバを選択します。

このオプションでは、アルゴリズムのパラメータは無効になります。

LEASTCONN サーバの既存の接続数に基づいて、クライアント要求を複数のサーバに配信します。

新しい接続は、接続数が最も少ないサーバに送信されます。

このオプションでは、アルゴリズムのパラメータは無効になります。

ROUND_ROBIN 各サーバは、割り当てられている重みに従って順番に使用されます。

これは、サーバの処理時間が等分されたままになる場合に、最も円滑で公平なアルゴリズムで

す。

このオプションでは、アルゴリズムのパラメータは無効になります。

NSX 管理ガイド

VMware, Inc. 330

オプション 説明

URI URI の左側の部分 (疑問符の前の部分) がハッシュされ、実行中のサーバの合計重みによって

除算されます。

結果により、要求を受信するサーバが指定されます。これにより、サーバが起動したり停止し

たりしない限り、URI がいつも同じサーバに送信されるようにします。

URI アルゴリズム パラメータには 2 つのオプション（uriLength=<len> 、

uriDepth=<dep>）があります。長さのパラメータの範囲は 1<=len<256 です。深さのパ

ラメータの範囲は 1<=dep<10 です。

長さと深さのパラメータには、正の整数が続きます。これらのオプションでは、URI の最初の

部分のみに基づいてサーバの調整を行うことができます。長さのパラメータは、アルゴリズム

が URI の最初の部分に定義された文字だけを対象としてハッシュを計算することを示します。

深さのパラメータは、ハッシュの計算に使用されるディレクトリの最大の深さを示します。要

求に含まれる各スラッシュが 1 つのレベルとして数えられます。両方のパラメータが指定され

ている場合は、いずれかのパラメータに達したときに評価が停止します。

HTTPHEADER 各 HTTP 要求で HTTP ヘッダー名の検索が行われます。

かっこで囲まれたヘッダー名は、ACL の hdr() 関数と同様に大文字と小文字が区別されませ

ん。ヘッダーがない、または値を含んでいない場合は、ラウンド ロビン アルゴリズムが適用

されます。

HTTPHEADER アルゴリズム パラメータのオプションは 1 つ (headerName=<name>) です。たとえば、host を HTTPHEADER アルゴリズム パラメータとして使用できます。

URL 引数に指定される URL パラメータは、各 HTTP GET 要求のクエリ文字列内で検索されま

す。

パラメータの後ろに等号の = と値が続く場合、その値がハッシュされ、実行されるサーバの重

みの合計で割られます。結果により、要求を受信するサーバが指定されます。このプロセスを

使用して要求に含まれるユーザー ID が追跡され、サーバの起動または停止が起こらない限り、

常に同じユーザー ID が同じサーバに送信されます。

値またはパラメータが検出されない場合は、ラウンド ロビン アルゴリズムが適用されます。

URL アルゴリズム パラメータのオプションは 1 つ (urlParam=<url>) です。

8 （オプション） [モニター (Monitors)] ドロップダウン メニューから、既存のデフォルトまたはカスタムのモニ

ターを選択します。

9 （オプション） プールに IP トラフィックのタイプを選択します。デフォルトは、任意の IP トラフィックです。

10 バックエンド サーバがクライアント IP アドレスを認識できるようにするには、[透過的 (Transparent)] オプ

ションを有効にします。詳細については、16 章 論理ロード バランサを参照してください。

デフォルト値である [透過的] を選択しないと、バックエンド サーバは、トラフィックの送信元の IP アドレスを

ロード バランサの内部 IP アドレスと認識します。[透過的] を選択する場合、送信元の IP アドレスは実際のク

ライアント IP アドレスになり、戻りパケットに NSX Edge デバイスを経由させるには、NSX Edge をデフォ

ルト ゲートウェイとして設定する必要があります。

NSX 管理ガイド

VMware, Inc. 331

11 メンバーをプールに追加します。

a [追加 (Add)] をクリックします。

b サーバ メンバーの名前と IP アドレスを入力するか、または [選択 (Select)] をクリックしてグループ オブ

ジェクトを割り当てます。

注： IP アドレスではなくグループ オブジェクトを使用する場合は、各仮想マシンに VMware Tools がインストールされているか、有効な IP アドレス検出方法（DHCP スヌーピング、ARP スヌーピング、ま

たはその両方）が設定されている必要があります。詳細については、仮想マシンの IP アドレス検出を参照

してください。

グループ オブジェクトは、vCenter Server または NSX のいずれかになります。

c メンバーのステータスとして [有効 (Enable)]、[無効 (Disable)]、または [ドレイン (Drain)] を選択しま

す。

n [ドレイン (Drain)] - メンテナンスのため、サーバを正常な手順で強制的にシャットダウンします。プ

ール メンバーを「ドレイン」に設定すると、ロード バランシングからバックエンド サーバが削除され

ますが、このサーバは、クライアントのパーシステンス用の既存または新規の接続に使用できます。ド

レイン状態で動作するパーシステンスは、送信元の IP アドレスのパーシステンス、Cookie の挿入、

Cookie へのプリフィックスの追加です。

注： [アクセラレーションの有効化 (Enable Acceleration)] が設定されている NSX Edge ロード

バランサでは、ドレイン状態を有効にできません。詳細についてはロード バランサ サービスの設定を

参照してください。

注： NSX Edge で高可用性設定を有効にして無効にすると、送信元 IP アドレスのセッション維持で

は、セッション維持とドレイン状態が解除されます。

n [有効 (Enable)] - サーバがメンテナンス モードから運用モードに切り替わります。プール メンバー

の状態は、[ドレイン (Drain)] または [無効 (Disabled)] である必要があります。

n [無効 (Disable)] - サーバはメンテナンス モードのままになります。

注： プール メンバーの状態を [無効 (Disabled)] から [ドレイン (Drain)] には変更できません。

d メンバーがトラフィックを受信するポートと、メンバーが健全性を監視する ping を受信する監視ポートを

入力します。

関連する仮想サーバにポート範囲が設定されている場合、ポートの値は Null になります。

e [重み] に、このメンバーが処理できるトラフィックの割合を入力します。

f メンバーが処理できる最大同時接続数を入力します。

受信要求は、最大数を超えるとキューに入れられ、接続が解放されるまで待機します。

g メンバーが常に受け入れる最小同時接続数を入力します。

h [OK] をクリックします。

12 [追加 (Add)] または [OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 332

アプリケーション プロファイルの作成

アプリケーション プロファイルを使用すると、ネットワーク トラフィックの管理機能を強化し、トラフィック管理

タスクをより簡単に、効率的に行うことができます。

特定のタイプのネットワーク トラフィックの動作を定義するには、アプリケーション プロファイルを作成します。

プロファイルを設定したら、仮想サーバに関連付けます。関連付けられた仮想サーバは、プロファイルに指定された

値に従ってトラフィックを処理します。

次のトピックでは、さまざまなアプリケーション プロファイル タイプを作成する手順について説明します。

n TCP または UDP アプリケーション プロファイルの作成

TCP または UDP トラフィックを分散するアプリケーション プロファイルを作成するには、プロファイルに名

前とパーシステンスのタイプを指定します。

n HTTP アプリケーション プロファイルの作成

HTTP トラフィックを分散するアプリケーション プロファイルを作成するには、プロファイルに名前、HTTP リダイレクト URL、パーシステンスのタイプを指定します。X-forwarded-for-HTTP ヘッダーを挿入するこ

ともできます。

n HTTPS アプリケーション プロファイルの作成

SSL パススルー、HTTPS オフロード、HTTPS End-To-End の 3 種類の HTTPS トラフィックに、HTTPS アプリケーション プロファイルを作成できます。アプリケーション プロファイルを作成するワークフローは、

HTTPS トラフィックのタイプによって異なります。

TCP または UDP アプリケーション プロファイルの作成

TCP または UDP トラフィックを分散するアプリケーション プロファイルを作成するには、プロファイルに名前と

パーシステンスのタイプを指定します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル (Application Profiles)] の順にクリックします。

5 [追加 (Add)] をクリックします。

[新しいアプリケーション プロファイル] ウィンドウが開きます。

NSX 管理ガイド

VMware, Inc. 333

6 アプリケーション プロファイルのパラメータを指定します。

a プロファイルのタイプ（TCP または UDP）を選択します。

b アプリケーション プロファイルの名前を入力します。

c パーシステンスのタイプを選択します。

セッション維持の設定により、クライアント要求を処理した特定のプール メンバーなど、セッション デー

タが追跡されて保存されます。また、同じセッションまたは後続のセッションでは、クライアント要求が同

じプール メンバーにリダイレクトされます。

パーシステンス 説明

送信元 IP アドレス このパーシステンス タイプは、送信元の IP アドレスに基づいてセッションを追跡します。

クライアントが、送信元の IP アドレスのパーシステンスをサポートしている仮想サーバへ

の接続を要求すると、ロード バランサは、以前に接続したクライアントかどうかを確認し

ます。接続している場合、ロード バランサは同じプール メンバーにクライアントを返しま

す。

MSRDP このパーシステンス タイプは、Windows クライアントと、Microsoft Remote Desktop Protocol (RDP) サービスが実行されているサーバ間の永続セッションを維持

します。

たとえば、MSRDP パーシステンスを有効にすると、Windows Server 2003 または

Windows Server 2008 を実行しているメンバーで構成されるロード バランシング プールが作成されます。このシナリオでは、すべてのメンバーが Windows クラスタに属

し、Windows セッションのディレクトリに参加します。

このパーシステンス タイプは、TCP アプリケーション プロファイルでのみ使用できます。

7 [追加 (Add)] または [OK] をクリックします。

HTTP アプリケーション プロファイルの作成

HTTP トラフィックを分散するアプリケーション プロファイルを作成するには、プロファイルに名前、HTTP リダ

イレクト URL、パーシステンスのタイプを指定します。X-forwarded-for-HTTP ヘッダーを挿入することもでき

ます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル (Application Profiles)] の順にクリックします。

5 [追加 (Add)] をクリックします。

[新しいアプリケーション プロファイル] ウィンドウが開きます。

NSX 管理ガイド

VMware, Inc. 334

6 アプリケーション プロファイルのプロパティを指定します。

a プロファイルのタイプとして [HTTP] を選択します。

b アプリケーション プロファイルの名前を入力します。

c HTTP トラフィックのリダイレクト先となる URL を入力します。

たとえば、トラフィックを http://myweb.com から https://myweb.com に転送できます。

d パーシステンスのタイプを選択します。

セッション維持の設定により、クライアント要求を処理した特定のプール メンバーなど、セッション デー

タが追跡されて保存されます。また、同じセッションまたは後続のセッションでは、クライアント要求が同

じプール メンバーにリダイレクトされます。

パーシステンス 説明

送信元 IP このパーシステンス タイプは、送信元の IP アドレスに基づいてセッションを追跡します。

クライアントが、送信元の IP アドレスのパーシステンスをサポートしている仮想サーバへ

の接続を要求すると、ロード バランサは、以前に接続したクライアントかどうかを確認し

ます。接続している場合、ロード バランサは同じプール メンバーにクライアントを返しま

す。

Cookie このパーシステンス タイプは、クライアントで特定のサイトに初めてアクセスするときに

一意の Cookie を挿入し、セッションを識別できるようにします。

その後の要求で Cookie が参照され、適切なサーバへの接続が維持されます。

7 Cookie パーシステンス タイプを選択した場合、Cookie 名を入力して、Cookie を挿入するモードを選択しま

す。それ以外の場合は、次の手順に進みます。

モード 説明

挿入 NSX Edge が Cookie を送信します。

サーバが 1 つ以上の Cookie を送信すると、クライアントは もう 1 つ Cookie（サーバの

Cookie と Edge の Cookie）を受信します。サーバが Cookie を送信しない場合は、クラ

イアントは Edge の Cookie を受信します。

プリフィックス クライアントが複数の Cookie をサポートしていない場合は、このモードを選択します。

すべてのブラウザは、複数の Cookie を受け付けます。1 つの Cookie のみをサポートする専

用クライアントを使用するアプリケーションがある場合、Web サーバはその Cookie を通常

どおり送信します。NSX Edge は、サーバの Cookie 値のプリフィックスとして Cookie 情報を挿入します。この追加された Cookie の情報は、Edge がサーバに送信したときに削除

されます。

アプリケーション セッション このモードの場合、アプリケーションは仮想サーバによって追加（挿入）された新しい Cookie をサポートしません。また、変更後の Cookie（プリフィックス）もサポートしません。

仮想サーバは、バックエンド サーバによって挿入された Cookie を学習します。クライアン

トがその Cookie を送信すると、仮想サーバは、同じバックエンド サーバにクライアント要

求を転送します。トラブルシューティングのために、アプリケーションのセッション維持テー

ブルを見ることはできません。

8 （オプション） ロード バランサを介して Web サーバに接続するクライアントの送信元の IP アドレスを特定す

るには、[X-Forwarded-For HTTP ヘッダーの挿入 (Insert X-Forwarded-For HTTP header)] オプショ

ンを有効にします。

NSX 管理ガイド

VMware, Inc. 335

9 [追加 (Add)] または [OK] をクリックします。

HTTPS アプリケーション プロファイルの作成

SSL パススルー、HTTPS オフロード、HTTPS End-To-End の 3 種類の HTTPS トラフィックに、HTTPS アプ

リケーション プロファイルを作成できます。アプリケーション プロファイルを作成するワークフローは、HTTPS トラフィックのタイプによって異なります。

注： n NSX 6.4.5 以降では、[アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダウン

メニューから、3 つの HTTPS トラフィック タイプごとにプロファイルの作成オプションを選択できます。

n NSX 6.4.4 以前では、[タイプ (Type)] ドロップダウン メニューで HTTPS オプションのみを選択できます。

3 つの HTTPS トラフィック タイプごとにプロファイルを作成するには、適切なプロファイル パラメータを指

定する必要があります。

n NSX ロード バランサは、プロキシ SSL パススルーをサポートしていません。

NSX 6.4.5 以降では、UI に表示される HTTPS プロファイル パラメータの名称が一部変更されています。次の表

に、変更内容を示します。

NSX 6.4.4 以前 NSX 6.4.5 以降

仮想サーバ証明書 クライアント SSL

プール証明書 サーバ SSL

次の表に、3 つの HTTPS トラフィック タイプを示します。

表 16-7. HTTPS トラフィック タイプ

HTTPS トラフィック タイプ 説明

SSL パススルー SSL 属性に関連するアプリケーション ルールは、ロード バランサでの SSL ターミネーションを行わずに

許可されます。

トラフィック パターン：クライアント -> HTTPS -> LB（SSL パススルー）-> HTTPS -> サーバ

HTTPS のオフロード HTTP ベースのロード バランシングが発生します。ロード バランサで SSL が終了します。ロード バラ

ンサとサーバ プール間で HTTP が使用されます。

トラフィック パターン：クライアント -> HTTPS -> LB（SSL 終了）-> HTTP -> サーバ

HTTPS End-To-End HTTP ベースのロード バランシングが発生します。ロード バランサで SSL が終了します。ロード バラ

ンサとサーバ プール間で HTTPS が使用されます。

トラフィック パターン：クライアント -> HTTPS -> LB（SSL 終了）-> HTTPS -> サーバ

次の表に、HTTPS トラフィック タイプでサポートされるパーシステンスを示します。

NSX 管理ガイド

VMware, Inc. 336

表 16-8. サポートされているパーシステンスのタイプ

パーシステンス 説明

送信元 IP このパーシステンス タイプは、送信元の IP アドレスに基づいてセッションを追跡します。

クライアントが、送信元の IP アドレスのパーシステンスをサポートしている仮想サーバへの接続を要求す

ると、ロード バランサは、以前に接続したクライアントかどうかを確認します。接続している場合、ロード

バランサは同じプール メンバーにクライアントを返します。

SSL セッション ID このパーシステンス タイプは、SSL パススルー トラフィック タイプのプロファイルを作成するときに使用

できます。

SSL セッション ID パーシステンスにより、同じクライアントからの接続が常に同じサーバに送信されま

す。セッション ID のパーシステンスにより、SSL セッションの再開が可能になるため、クライアントとサ

ーバの両方の処理時間を節約できます。

Cookie このパーシステンス タイプは、クライアントで特定のサイトに初めてアクセスするときに一意の Cookie を挿入し、セッションを識別できるようにします。

その後の要求で Cookie が参照され、適切なサーバへの接続が維持されます。

[送信元の IP アドレス (Source IP)] と [SSL セッション ID (SSL Session ID)] パーシステンス タイプの場合、パ

ーシステンスの有効期限を秒単位で入力できます。パーシステンスの有効期間のデフォルトは 300 秒（5 分）です。

注意: パーシステンス テーブルのサイズには制限があります。トラフィックが集中している場合、タイムアウト値

を大きくすると、パーシステンス テーブルがすぐにいっぱいになる可能性があります。パーシステンス テーブルが

いっぱいになると、新しいエントリを受け入れるため、最も古いエントリが削除されます。

ロード バランサのセッション維持のテーブルには、同じプール メンバーにクライアント要求が転送されたことを記

録したエントリが維持されます。

n タイムアウト期間内に同じクライアントから新しい接続要求を受信しなかった場合、パーシステンスのエントリ

は期限切れになり、削除されます。

n タイムアウト期間内に同じクライアントからの新しい接続要求を受信した場合、タイマーがリセットされ、クラ

イアント要求がスティッキー プール メンバーに送信されます。

n タイムアウト期間が経過すると、ロード バランシング アルゴリズムで割り当てられたプール メンバーに新しい

接続要求が送信されます。

L7 ロード バランシングの TCP で、送信元 IP アドレスによるパーシステンスを使用するシナリオでは、一定期間に

新規の TCP 接続がない場合、接続が継続中であってもパーシステンス エントリがタイムアウトします。

次の表に、SSL または TLS ハンドシェイク中にセキュリティ設定のネゴシエーションで使用できる承認済みの暗号

スイートを示します。

表 16-9. 承認済みの暗号スイート

暗号の値 暗号の名前

DEFAULT DEFAULT

ECDHE-RSA-AES128-GCM-SHA256 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

ECDHE-RSA-AES256-GCM-SHA384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

ECDHE-RSA-AES256-SHA TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

ECDHE-ECDSA-AES256-SHA TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

NSX 管理ガイド

VMware, Inc. 337

表 16-9. 承認済みの暗号スイート （続き）

暗号の値 暗号の名前

ECDH-ECDSA-AES256-SHA TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA

ECDH-RSA-AES256-SHA TLS_ECDH_RSA_WITH_AES_256_CBC_SHA

AES256-SHA TLS_RSA_WITH_AES_256_CBC_SHA

AES128-SHA TLS_RSA_WITH_AES_128_CBC_SHA

DES-CBC3-SHA TLS_RSA_WITH_3DES_EDE_CBC_SHA

ECDHE-RSA-AES128-SHA TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

ECDHE-RSA-AES128-SHA256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

ECDHE-RSA-AES256-SHA384 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

AES128-SHA256 TLS_RSA_WITH_AES_128_CBC_SHA256

AES128-GCM-SHA256 TLS_RSA_WITH_AES_128_GCM_SHA256

AES256-SHA256 TLS_RSA_WITH_AES_256_CBC_SHA256

AES256-GCM-SHA384 TLS_RSA_WITH_AES_256_GCM_SHA384

次の手順では、3 つの HTTPS トラフィック タイプごとにアプリケーション プロファイルを作成する手順について

説明します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル (Application Profiles)] の順にクリックします。

5 [追加 (Add)] をクリックします。

[新しいアプリケーション プロファイル] ウィンドウが開きます。

NSX 管理ガイド

VMware, Inc. 338

6 アプリケーション プロファイルのパラメータを指定します。

[SSL パススルー (SSL Passthrough)] トラフィック タイプの手順。

NSX のバージョン 手順

6.4.5 以降 a [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダウ

ン メニューで、[SSL パススルー (SSL Passthrough)] を選択します。

b プロファイルの名前を入力します。

c パーシステンスのタイプを選択します。

d パーシステンスの有効期間を入力します。

e [追加 (Add)] をクリックします。

6.4.4 以前 a プロファイルの名前を入力します。

b [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

c [SSL パススルーの有効化 (Enable SSL Passthrough)] チェック ボックスを選択し

ます。

d パーシステンスのタイプを選択します。

e パーシステンスの有効期間を入力します。

f [OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 339

[HTTPS のオフロード (HTTPS Offloading)] トラフィック タイプの手順。

NSX のバージョン 手順

6.4.5 以降 a [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダウ

ン メニューで、[HTTPS のオフロード (HTTPS Offloading)] を選択します。

b プロファイルの名前を入力します。

c HTTP トラフィックのリダイレクト先となる URL を入力します。

d パーシステンスのタイプを選択します。

n Cookie パーシステンスの場合、Cookie 名を入力して、Cookie の挿入モードを選

択します。Cookie モードの詳細については、HTTP アプリケーション プロファイ

ルの作成を参照してください。

n 送信元の IP アドレス パーシステンスの場合、パーシステンスの有効期間を入力しま

す。

e オプション：ロード バランサを介して Web サーバに接続するクライアントの送信元の

IP アドレスを特定するには、[X-Forwarded-For HTTP ヘッダーの挿入 (Insert X-Forwarded-For HTTP header)] オプションを有効にします。

f [クライアント SSL (Client SSL)] タブをクリックします。

g SSL ハンドシェイクで使用する 1 つ以上の暗号アルゴリズムまたは暗号スイートを選択

します。承認済みの暗号に 1024 ビット以上の DH キーが含まれていることを確認しま

す。

h クライアント認証を無視するか、必須にするかを指定します。必須の場合、要求またはハ

ンドシェイクが中止された後に、クライアントが証明書を提供する必要があります。

i 必要なサービス証明書と認証局 (CA) 証明書を選択します。また、ロード バランサでクラ

イアントから HTTPS トラフィックを終了する場合にプロファイルが使用する CRL を選択します。

j [追加 (Add)] をクリックします。

6.4.4 以前 a プロファイルの名前を入力します。

b [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

c NSX 6.4.5 以降で次のアプリケーション プロファイル パラメータを定義する場合は、こ

の表の手順に従います。

n HTTP リダイレクト URL

n パーシステンス

n X-Forwarded-For HTTP ヘッダーの挿入

d [仮想サーバ証明書 (Virtual Server Certificates)] タブをクリックします。

e NSX 6.4.5 以降で暗号アルゴリズムとクライアント認証を定義する場合は、この表の手

順に従います。

f [サービス証明書の設定 (Configure Service Certificates)] をクリックします。必要

なサービス証明書と認証局 (CA) 証明書を選択します。また、ロード バランサでクライア

ントから HTTPS トラフィックを終了する場合にプロファイルが使用する CRL を選択

します。

g [OK] をクリックします。

[HTTPS End-to-End] トラフィック タイプの手順。

このアプリケーション プロファイル タイプでは、クライアント SSL（仮想サーバの証明書）のパラメータとサ

ーバ SSL（プール側の SSL）のパラメータの両方を指定します。

NSX 管理ガイド

VMware, Inc. 340

サーバ SSL パラメータは、サーバ側からロード バランサの認証を行う場合に使用されます。Edge ロード バラ

ンサに認証局 (CA) 証明書があり、CRL が設定済みで、ロード バランサがバックエンド サーバからのサービス

証明書を確認する必要がある場合は、サービス証明書を選択します。バックエンド サーバでロード バランサの

サービス証明書を確認する必要がある場合は、ロード バランサの証明書をバックエンド サーバに提供すること

もできます。

NSX のバージョン 手順

6.4.5 以降 a [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダウ

ン メニューで、[HTTPS End-to-End] を選択します。

b プロファイルの名前を入力します。

c HTTPS のオフロード プロファイルを作成して、次のアプリケーション プロファイル パラメータを定義する場合は、この表の手順に従います。

n HTTP リダイレクト URL

n パーシステンス

n X-Forwarded-For HTTP ヘッダーの挿入

n クライアント SSL：暗号アルゴリズム、クライアント認証、サービス証明書、認証局

(CA) 証明書、CRL

d [サーバ SSL (Server SSL)] タブをクリックして、暗号化アルゴリズム、必要なサービ

ス証明書、認証局 (CA) 証明書、CRL を選択して、サーバ側からロード バランサの認証

を行います。

e [追加 (Add)] をクリックします。

6.4.4 以前 a プロファイルの名前を入力します。

b [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

c HTTPS のオフロード プロファイルを作成して、次のアプリケーション プロファイル パラメータを定義する場合は、この表の手順に従います。

n HTTP リダイレクト URL

n パーシステンス

n X-Forwarded-For HTTP ヘッダーの挿入

n 仮想サーバ証明書：暗号アルゴリズム、クライアント認証、サービス証明書、認証局

(CA) 証明書、CRL

d [プール側の SSL の有効化 (Enable Pool Side SSL)] チェック ボックスを選択して、

ロード バランサとバックエンド サーバの間の HTTPS 通信を有効にします。

e 暗号化アルゴリズムと必要なサービス証明書、認証局 (CA) 証明書、CRL を選択して、

サーバ側からロード バランサの認証を行います。

f [OK] をクリックします。

アプリケーション ルールの追加

アプリケーション トラフィックの操作と管理に HAProxy 構文を使用して、仮想サーバ側のアプリケーション ルー

ルを作成できます。

NSX Data Center では、仮想サーバ側のアプリケーション ルールのみがサポートされます。NSX ロード バラン

サは内部で HAProxy を使用します。これは、仮想サーバに追加するアプリケーション ルールが、HAProxy 設定

ファイルの仮想サーバの frontend セクションに挿入されることを意味します。プール側のアプリケーション ルー

ル（HAProxy の backend セクション）はサポートされていません。

アプリケーション ルールの構文の詳細については、http://cbonte.github.io/haproxy-dconv/にある HAProxy のドキュメントを参照してください。

NSX 管理ガイド

VMware, Inc. 341

よく使用されるアプリケーション ルールの例については、アプリケーション ルールの例を参照してください。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション ルール (Application Rules)] の順にクリックします。

5 [追加 (Add)] をクリックします。

6 ルールの名前とスクリプトを入力します。

7 [追加 (Add)] または [OK] をクリックします。

アプリケーション ルールの例

一般的なアプリケーション ルールは次のとおりです。

条件に基づく HTTP/HTTPS のリダイレクト

アプリケーション プロファイルでは、要求 URL に関係なく常にトラフィックをリダイレクトする、HTTP/HTTPS のリダイレクトを指定できます。また、HTTP/HTTPS トラフィックをリダイレクトする条件を柔軟に指定できま

す。

move the login URL only to HTTPS.

acl clear dst_port 80

acl secure dst_port 8080

acl login_page url_beg /login

acl logout url_beg /logout

acl uid_given url_reg /login?userid=[^&]+

acl cookie_set hdr_sub(cookie) SEEN=1

redirect prefix https://mysite.com set-cookie SEEN=1 if !cookie_set

redirect prefix https://mysite.com if login_page !secure

redirect prefix http://mysite.com drop-query if login_page !uid_given

redirect location http://mysite.com/ if !login_page secure

redirect location / clear-cookie USERID= if logout

ドメイン名によるルーティング

ドメイン名に応じて要求を特定のロード バランサ プールにダイレクトするアプリケーション ルールを作成できま

す。次のルールは、foo.com への要求を pool_1 に、bar.com への要求を pool_2 にダイレクトします。

acl is_foo hdr_dom(host) -i foo

acl is_bar hdr_dom(host) -i bar

use_backend pool_1 if is_foo

use_backend pool_2 if is_bar

NSX 管理ガイド

VMware, Inc. 342

Microsoft RDP のロード バランシングおよび保護

次のサンプル シナリオでは、ロード バランサが負荷の少ないサーバに新しいユーザーを分散し、切断されたセッシ

ョンを再開します。このシナリオでは、NSX Edge の内部インターフェイス IP アドレスが 10.0.0.18、内部インタ

ーフェイス IP アドレスが 192.168.1.1、仮想サーバが 192.168.1.100、192.168.1.101、192.168.1.102 になります。

1 MSRDP セッション維持を含む TCP トラフィックのアプリケーション プロファイルを作成します。

2 TCP 健全性モニター (tcp_monitor) を作成します。

3 192.168.1.100:3389、192.168.1.101:3389、192.168.1.102:3389 をメンバーとする（rdp-pool という名前

の）プールを作成します。

4 tcp_monitor を rdp-pool に関連付けます。

5 次のアプリケーション ルールを作成します。

tcp-request content track-sc1 rdp_cookie(mstshash) table rdp-pool

tcp-request content track-sc2 src table ipv4_ip_table

# each single IP can have up to 2 connections on the VDI infrastructure

tcp-request content reject if { sc2_conn_cur ge 2 }

# each single IP can try up to 5 connections in a single minute

tcp-request content reject if { sc2_conn_rate ge 10 }

# Each user is supposed to get a single active connection at a time, block the second one

tcp-request content reject if { sc1_conn_cur ge 2 }

# if a user tried to get connected at least 10 times over the last minute,

# it could be a brute force

tcp-request content reject if { sc1_conn_rate ge 10 }

6 （rdp-vs という名前の）仮想サーバを作成します。

7 アプリケーション プロファイルをこの仮想サーバに関連付け、手順 4 で作成したアプリケーション ルールを追

加します。

仮想サーバで新規に適用されるアプリケーション ルールは、RDP サーバを保護します。

高度なログ

NSX ロード バランサは、デフォルトで基本的なログ作成をサポートしています。トラブルシューティングで、より

詳細なログ メッセージを表示するには、次のようなアプリケーション ルールを作成します。

# log the name of the virtual server

capture request header Host len 32

# log the amount of data uploaded during a POST

capture request header Content-Length len 10

# log the beginning of the referrer

capture request header Referer len 20

# server name (useful for outgoing proxies only)

capture response header Server len 20

NSX 管理ガイド

VMware, Inc. 343

# logging the content-length is useful with "option logasap"

capture response header Content-Length len 10

# log the expected cache behaviour on the response

capture response header Cache-Control len 8

# the Via header will report the next proxy's name

capture response header Via len 20

# log the URL location during a redirection

capture response header Location len 20

アプリケーション ルールを仮想サーバに関連付けると、ログには次の例のように、詳細なメッセージが記載されま

す。

2013-04-25T09:18:17+00:00 edge-187 loadbalancer[18498]: [org1]: 10.117.7.117 - - [25/Apr/

2013:09:18:16 +0000] "GET /favicon.ico HTTP/1.1" 404 1440 "" "" 51656 856 "vip-http-complete"

"pool-http-complete" "m2" 145 0 1 26 172 --NI 1 1 0 0 0 0 0 "" "" "10.117.35.187" "Mozilla/5.0

(Windows NT 6.1; WOW64) AppleWebKit/537.31

(KHTML, like Gecko) Chrome/26.0.1410.64 Safari/537.31" "Apache/2.2.15 (Linux" ""

2013-04-25T09:18:17+00:00 edge-187 loadbalancer[18498]: [org1]: 10.117.7.117 - - [25/Apr/

2013:09:18:16 +0000] "GET /favicon.ico HTTP/1.1" 404 1440 "" "" 51657 856 "vip-http-complete"

"pool-http-complete" "m2" 412 0 0 2 414 --NI 0 0 0 0 0 0 0 "" "" "10.117.35.187" "Mozilla/5.0

(Windows NT 6.1; WOW64) AppleWebKit/537.31

(KHTML, like Gecko) Chrome/26.0.1410.64 Safari/537.31" "Apache/2.2.15 (Linux" ""

HTTPS トラフィックのトラブルシューティングでは、複数のルールが必要になる場合があります。ほとんどの

Web アプリケーションでは、（通常、ログインまたは POST 呼び出しの後に）クライアントをページにリダイレク

トするロケーション ヘッダの付いた 301/302 応答を使用します。また、アプリケーションの Cookie が必要です。

そのため、アプリケーション サーバがクライアントの接続情報を認識することが難しい場合や、適切に応答できない

場合があります。また、アプリケーションが機能しなくなる場合もあります。

Web アプリケーションで SSL オフロードをサポートするには、次のルールを追加します。

# See clearly in the log if the application is setting up response for HTTP or HTTPS

capture response header Location len 32

capture response header Set-Cookie len 32

# Provide client side connection info to application server over HTTP header

http-request set-header X-Forwarded-Proto https if { ssl_fc }

http-request set-header X-Forwarded-Proto http if !{ ssl_fc }

SSL 経由で接続される場合は、ロード バランサにより次のヘッダが挿入されます。

X-Forwarded-Proto: https

HTTP 経由で接続される場合は、ロード バランサにより次のヘッダが挿入されます。

X-Forwarded-Proto: http

NSX 管理ガイド

VMware, Inc. 344

特定の URL のブロック

URL に特定のキーワードが含まれる要求をブロックできます。次のサンプル ルールは、要求が /private または /finance で始まるかどうかを確認して、これらのキーワードを含む要求をブロックします。

# Check if the request starts with "/private" or "/finance" (case insensitive)

acl block_url_list path_beg -i /private /finance

# If the request is part of the list forbidden urls,reply "Forbidden"(HTTP response code

403)

http-request deny if block_url_list

Cookie を含まない場合の認証への　HTTP リダイレクト

Cookie を含まないクライアント要求が認証を受けるようにリダイレクトできます。次のサンプル ルールは、HTTP 要求が信頼できるものであり、Cookie をヘッダーに含んでいることを確認します。要求が Cookie を含まない場

合、ルールは要求が認証を受けるように /authent.php にリダイレクトします。

acl authent_url url /authent.php

acl cookie_present hdr_sub(cookie) cookie1=

redirect prefix /authent.php if !authent_url !cookie_present

デフォルト ページへのリダイレクト

クライアント要求 / をデフォルトのページにリダイレクトできます。次のサンプル ルールは、HTTP 要求が / であ

るかどうかを確認して、そのような要求をデフォルトのログイン ページにリダイレクトします。

acl default_url url /

redirect location /login.php if default_url

メンテナンス サイトへのリダイレクト

プライマリ プールがダウンしているときに、メンテナンス サーバ プールを使用して、URL をメンテナンス Web サイトにリダイレクトできます。

redirect location http://maitenance.xyz.com/maintenance.htm

NT LAN Manager (NTLM) 認証

デフォルトでは、NSX は各要求の後に TCP 接続をサーバ側で終了します。各要求の後にサーバ セッションを終了

しないようにする場合、NTLM プロトコルを使用することで、サーバ セッションを保持および保護できます。

no option http-server-close

デフォルトでは、NSX は各要求の間に確立された TCP 接続を、クライアント側で維持します。ただし「X-Forwarded-For」オプションが設定されている場合は、セッションは各要求の後に終了します。次のオプションで

は、XFF が設定されている場合でも、各要求間でクライアント接続が開かれた状態が維持されます。

no option httpclose

NSX 管理ガイド

VMware, Inc. 345

サーバ ヘッダーの置き換え

既存の応答サーバ ヘッダーを削除して、別のサーバに置き換えることができます。次のサンプル ルールは、サーバ

ヘッダーを削除して NGINX Web サーバに置き換えます。NGINX Web サーバは、HTTP、HTTPS、SMTP、

POP3 および IMAP プロトコルのリバース プロキシ サーバ、HTTP キャッシュ、およびロード バランサとして機

能することが可能です。

rspidel Server

rspadd Server:\ nginx

リダイレクトの書き換え

ロケーション ヘッダーを HTTP から HTTPS に書き換えることができます。次のサンプル ルールは、ロケーション

ヘッダーを特定して、HTTP を HTTP に置き換えます。

rspirep ^Location:\ http://(.*) Location:\ https://\1

ホスト ベースの特定プールの選択

特定のホストが指定された要求を、定義されたプールにリダイレクトできます。次のサンプル ルールは、特定のホス

ト（app1.xyz.com、app2.xyz.com、host_any_app3）が指定された要求を確認して、これらの要求をそれぞ

れに定義されたプール（pool_app1、pool_app2、pool_app3）にリダイレクトします。その他すべての要求は、

仮想サーバに定義された既存のプールにリダイレクトされます。

acl host_app1 hdr(Host) -i app1.xyz.com

acl host_app2 hdr(Host) -i app2.xyz.com

acl host_any_app3 hdr_beg(host) -i app3

各ホスト名で特定のプールを使用します。

use_backend pool_app1 if host_app1

use_backend pool_app2 if host_app2

use_backend pool_app3 if host_any_app3

URL に基づく特定プールの選択

URL キーワードが指定された要求を、特定のプールにリダイレクトできます。次のサンプル ルールは、要求が /private または /finance で始まるかどうかを確認して、これらの要求を定義されたプール（pool_private または

pool_finance）にリダイレクトします。その他すべての要求は、仮想サーバに定義された既存のプールにリダイレ

クトされます。

acl site_private path_beg -i /private

acl site_finance path_beg -i /finance

use_backend pool_private if site_private

use_backend pool_finance if site_finance

NSX 管理ガイド

VMware, Inc. 346

プライマリ プールがダウンしている場合のリダイレクト

プライマリ プールのサーバがダウンしている場合に、セカンダリ プールのサーバを使用するようにユーザーをリダ

イレクトできます。次のサンプル ルールは、pool_production がダウンしているかどうかを確認して、ユーザーを

pool_sorry_server に転送します。

acl pool_production_down nbsrv(pool_production) eq 0

use_backend pool_sorry_server if pool_production_down

TCP 接続のホワイトリスト

クライアント IP アドレスがサーバにアクセスしないようにブロックできます。次のサンプル ルールでは、定義され

た IP アドレスをブロックし、クライアントの IP アドレスがホワイトリストに含まれていない場合に接続をリセット

します。

acl whitelist src 10.10.10.0 20.20.20.0

tcp-request connection reject if !whitelist

SSLv3 と TLSv1 を有効にする

デフォルトでは、SSLv3 と TLSv1 は無効に設定されているサービス モニター エクステンションです。次のアプリ

ケーション ルールを使用して、これらを有効にすることができます。

sslv3 enable

tlsv1 enable

クライアントのセッション タイムアウト設定

セッション タイムアウトとは、クライアント接続が非アクティブ状態になった場合の最長期限のことです。非アクテ

ィブ状態のタイムアウトは、想定していたクライアントからのデータが確認または送信されない場合に適用されます。

HTTP モードでは、クライアントが要求を送信する最初の段階、およびサーバから送信されたデータをクライアント

が読み取る応答時に、このタイムアウトを考慮することが特に重要です。デフォルトのタイムアウトは、5 分間です。

次のサンプル ルールでは、タイムアウト期間を 100 秒に設定します。

timeout client 100s

時間は、ミリ秒、秒、分、時間、または日を単位として整数で設定できます。

HTTPS サイトへのリダイレクト

HTTP にアクセスするクライアントを HTTPS の同じページにリダイレクトできます。

# Redirect all HTTP requests to same URI but HTTPS redirect scheme

https if !{ ssl_fc }

他のオプションは次のとおりです。

rspirep ^Location:\ http://(.*) Location:\ https://\1

認証されないクライアントのリダイレクト

NSX 管理ガイド

VMware, Inc. 347

Cookie のないクライアント要求は "/authent.php" にリダイレクトします。

# Check the HTTP request if request is "/authent.php"

acl authent_url url /authent.php

# Check the cookie "cookie1" is present

acl cookie_present hdr_sub(cookie) cookie1=

# If the request is NOT "/authent.php" and there is no cookie, then redirect to "/authent.php"

redirect prefix /authent.php if !authent_url !cookie_present

HTTP 応答ヘッダの書き換え

応答サーバ ヘッダ "Server" を値 "nginx" に書き換えます。

# Delete the existing Response Server header "Server"

rspidel Server

# Add the Response Server header "Server" with the value "nginx"

rspadd Server:\ nginx

Sorry サーバ

プライマリ プール内のサーバがすべて停止している場合は、セカンダリ プール内のサーバを使用します。

# detect if pool "pool_production" is still up

acl pool_production_down nbsrv(pool_production) eq 0

# use pool "pool_sorry_server" if "pool_production" is dead

use_backend pool_sorry_server if pool_production_down

# Option 1: # Redirect everything to maintenance site

redirect location http://maintenance.xyz.com/maintenance.htm

# Option 2: #Use a specific maintenance server pool and rewrite all URLs to maintenance.php

acl match_all always_true

use_backend maint_pool if match_all

reqirep ^GET\(.*)\HTTP/(.*) GET\ /maintenance.php\ HTTP/\2

仮想サーバの追加

仮想サーバとして NSX Edge 内部インターフェイスまたはアップリンク インターフェイスを追加します。

前提条件

n アプリケーション プロファイルが使用可能であること。

n アクセラレーションを有効にして、より高速なロード バランサを使用する場合は、ロード バランサのグローバ

ル設定でアクセラレーションが有効になっていること。ロード バランサ サービスの設定 を参照してください。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 348

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [仮想サーバ (Virtual Servers)] の順にクリック

します。

5 [追加 (Add)] をクリックします。

[新規仮想サーバ] ウィンドウが開きます。

6 仮想サーバの詳細を指定します。

a この仮想サーバを使用可能にするには、仮想サーバを有効にします。

b （オプション） L7 ロード バランサ エンジンではなく、より高速な L4 ロード バランサ エンジンを使用す

るようにロード バランサを設定するには、アクセラレーションを有効にします。

注： この設定では、ファイアウォールが Edge 上で有効になっている必要があります。

アプリケーション ルール、HTTP タイプ、Cookie パーシステンスなどの仮想サーバ設定で L7 ロード バランサ エンジンを使用する場合は、アクセラレーションが有効かどうかに関係なく、L7 ロード バランサ エンジンが使用されます。グローバル設定でアクセラレーションが選択されている必要があります。

CLI コマンド show service loadbalancer virtual を使用すると、使用中のロード バランサ エン

ジンを確認できます。

c 仮想サーバに関連付けるアプリケーション プロファイルを選択します。

追加する仮想サーバとして同じプロトコルに関連付けることができるアプリケーション プロファイルは 1 つのみです。選択したプールにサポートされているサービスが表示されます。

d 仮想サーバの名前と説明を入力します。

e IP アドレスを入力します。または、[IP アドレスの選択 (Select IP Address)] をクリックして、ロード バランサが待機する IP アドレスを設定します。

[IP アドレスの選択] ウィンドウには、プライマリ IP アドレスのみが表示されます。セカンダリ IP アドレ

スを使用して仮想 IP アドレスを作成する場合は、手動で入力します。

f 仮想サーバが処理するプロトコルを選択します。

g ロード バランサが listen するポート番号を入力します。

ポートの範囲を入力することもできます。たとえば、サーバ プール、アプリケーション プロファイル、ア

プリケーション ルールなどの仮想サーバの設定を共有するには、80,8001-8004,443 と入力します。

FTP を使用するには、TCP プロトコルにポート 21 が割り当てられている必要があります。

h アプリケーション ルールを選択します。

i [接続の制限 (Connection Limit)] テキスト ボックスに、仮想サーバが処理できる最大同時接続数を入力し

ます。

j [接続速度の制限 (Connection Rate Limit)] テキスト ボックスに、1 秒あたりの最大新規受信接続要求数

を入力します。

NSX 管理ガイド

VMware, Inc. 349

k （オプション） [詳細 (Advanced)] タブをクリックして、仮想サーバに関連付けるアプリケーション ルー

ルを追加します。

l [追加 (Add)] または [OK] をクリックします。

アプリケーション プロファイルの管理

アプリケーション プロファイルを作成して仮想サーバに関連付けます。作成したプロファイルを更新したり、システ

ム リソースを節約するために削除することができます。

アプリケーション プロファイルの編集

アプリケーション プロファイルを編集できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル (Application Profiles)] の順にクリックします。

5 プロファイルを選択して、[編集 (Edit)]（ または ）アイコンをクリックします。

6 トラフィック、パーシステンス、証明書、または暗号の設定を適切に変更して、[保存 (Save)] または [OK] をクリックします。

ロード バランサ用 SSL Termination の設定

SSL Termination を設定していない場合、HTTP 要求は検査されません。ロード バランサは、送信元と宛先の IP アドレスや、暗号化されたデータを認識します。HTTP 要求を精査する場合、ロード バランサで SSL セッションを

終了して、セル プールに対する新しい SSL セッションを作成します。

前提条件

[管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順に移動して、有効な証明書があることを確認

します。次の方法のいずれかで、ロード バランサの証明書を追加できます。

n PEM でエンコードされたファイルをインポートします。

n 証明書署名要求 (CSR) を生成します。

n 自己署名証明書を作成します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 350

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル (Application Profiles)] の順にクリックします。

5 [追加 (Add)] をクリックして、アプリケーション プロファイルのパラメータを指定します。

NSX のバージョン 手順

6.4.5 以降 a [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダウ

ン メニューで、[HTTPS のオフロード (HTTPS Offloading)] を選択します。

b [パーシステンス (Persistence)] ドロップダウン メニューで、[なし (None)] を選択し

ます。

c [クライアント SSL (Client SSL)] - [サービス証明書 (Service Certificates)] の順に

クリックします。

d NSX Edge ロード バランサに追加したサービス証明書を選択します。

6.4.4 以前 a [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

b [SSL パススルーの有効化 (Enable SSL Passthrough)] チェック ボックスが選択さ

れていないことを確認します。

c [仮想サーバ証明書 (Virtual Server Certificates)] - [サービス証明書 (Service Certificates)] の順に移動して、[サービス証明書の設定 (Configure Service Certificate)] チェック ボックスをクリックします。

d NSX Edge ロード バランサに追加したサービス証明書を選択します。

6 [追加 (Add)] または [OK] をクリックします。

アプリケーション プロファイルの削除

アプリケーション プロファイルを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル (Application Profiles)] の順にクリックします。

5 プロファイルを選択して、[削除 (Delete)]（ または ）アイコンをクリックします。

サービス モニターの管理

サービス モニターでは、ロード バランサの健全性チェック パラメータを定義します。

ロード バランサ サービス モニターを高可用性 (HA) で使用している場合は、専用インターフェイスで高可用性を有

効にする必要があります。

サービス モニターを作成してサーバ プールに関連付けたら、既存のサービス モニターの更新や削除を行うことで、

システム リソースを節約できます。

サービス モニターの詳細については、サービス モニターの作成を参照してください。

NSX 管理ガイド

VMware, Inc. 351

サービス モニターの編集

サービス モニターを編集できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [サービス モニタリング (Service Monitoring)] の順にクリックします。

5 サービス モニターを選択して、[編集 (Edit)]（ または ）アイコンをクリックします。

6 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

サービス モニターの削除

サービス モニターを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [サービス モニタリング (Service Monitoring)] の順にクリックします。

5 サービス モニターを選択して、[削除 (Delete)]（ または ）アイコンをクリックします。

サーバ プールの管理

ロード バランサによる分散を管理するためにサーバ プールを追加した後で、既存のプールを更新したり、システム

リソースを節約するために削除したりできます。

サーバ プールの編集

サーバ プールを編集できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [プール (Pools)] の順にクリックします。

NSX 管理ガイド

VMware, Inc. 352

5 編集するプールを選択します。

6 [編集 (Edit)]（ または ）アイコンをクリックします。

7 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

ロード バランサでの透過モードの設定

透過的とは、クライアント IP アドレスがバックエンド サーバで確認できることを意味します。

サーバ プールを追加するときに、透過モードはデフォルトで無効になっています。透過モードが無効になっている場

合、バックエンド サーバは、トラフィックの送信元の IP アドレスをロード バランサの内部 IP アドレスとして認識

します。このモードが有効になっている場合、送信元の IP アドレスは実際のクライアント IP アドレスになり、NSX Edge がサーバ応答のパス上に存在する必要があります。典型的な設計では、NSX Edge をサーバのデフォルト ゲートウェイとして設定します。透過モードでは、SNAT は必要ありません。

インラインまたは透過モードの詳細については、16 章 論理ロード バランサを参照してください。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [プール (Pools)] の順にクリックします。

5 プールに次のパラメータを指定します。

n 名前

n 説明

n アルゴリズム

n 監視

n IP アドレス フィルタ

さまざまなアルゴリズムの詳細については、サーバ プールの追加を参照してください。

6 透過モードを有効にするには、切り替えスイッチをクリックするか、[透過的 (Transparent)] チェック ボック

スを選択します。

サーバ プールの削除

サーバ プールを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [プール (Pools)] の順にクリックします。

NSX 管理ガイド

VMware, Inc. 353

5 削除するプールを選択します。

6 [削除 (Delete)]（ または ）アイコンをクリックします。

プール ステータスの表示

プールおよび関連するプール メンバーの最新の健全性ステータスを表示できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [プール (Pools)] の順にクリックします。

5 [ステータスの表示 (Show Status)] または [プール統計の表示 (Show Pool Statistics)] をクリックします。

[プールとメンバー ステータス] ウィンドウが開き、すべてのサーバ プールのステータスが表示されます。

6 [プール ステータスと統計] テーブルからプールを選択します。[メンバー ステータスと統計] テーブルに、その

プールのすべてのメンバーのステータスが表示されます。

プールのステータスは UP または DOWN です。プールに含まれるメンバーがすべて DOWN の場合、プール

は DOWN とマークされます。それ以外の場合、プールのステータスは UP になります。

メンバーのステータスは次のいずれかです。

n UP：メンバーは有効になっていて、健全性ステータスは UP です。または、プールでモニターが定義され

ていません。

n DOWN：メンバーは有効になっていて、健全性ステータスは DOWN です。

n MAINT：メンバーは無効です。

n DRAIN：メンバーはドレイン状態です。

ヒント: NSX 6.4.5 以降では、[メンバー ステータスと統計] テーブル で DOWN ステータスをクリックする

と、メンバーが停止している原因を確認できます。バージョン 6.4.4 以前の NSX でメンバーの停止原因を特定

するには、show service loadbalancer pool Edge CLI コマンドを実行する必要があります。

仮想サーバの管理

仮想サーバを追加した後で、既存の仮想サーバの設定を更新または削除できます。

仮想サーバの編集

仮想サーバを編集できます。

手順

1 vSphere Web Client にログインします。

NSX 管理ガイド

VMware, Inc. 354

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [仮想サーバ (Virtual Servers)] の順にクリック

します。

5 編集する仮想サーバを選択します。

6 [編集 (Edit)]（ または ）アイコンをクリックします。

7 必要な変更を行い、[保存 (Save)] または [終了 (Finish)] をクリックします。

仮想サーバの削除

仮想サーバを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [仮想サーバ (Virtual Servers)] の順にクリック

します。

5 削除する仮想サーバを選択します。

6 [削除 (Delete)]（ または ）アイコンをクリックします。

アプリケーション ルールの管理

アプリケーション ルールを作成して、アプリケーション トラフィックを設定します。作成したルールは編集または

削除できます。

アプリケーション ルールの編集

アプリケーション トラフィックを操作するアプリケーション ルールを追加または編集するには、HAProxy 構文を

使用します。

アプリケーション ルールの構文の詳細については、http://cbonte.github.io/haproxy-dconv/にある HAProxy のドキュメントを参照してください。

一般的に使用されるアプリケーション ルールの例については、アプリケーション ルールの例を参照してください。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 355

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション ルール (Application Rules)] の順にクリックします。

5 ルールを選択して、[編集 (Edit)]（ または ）アイコンをクリックします。

6 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

アプリケーション ルールの削除

アプリケーション ルールを削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション ルール (Application Rules)] の順にクリックします。

5 アプリケーション ルールを選択して、[削除 (Delete)]（ または ）アイコンをクリックします。

NTLM 認証を使用する Web サーバのロード バランシング

NSX ロード バランサと NTLM 認証では、サーバの接続を維持する必要があります。

デフォルトでは、各クライアント要求の後に NSX ロード バランサがサーバの TCP 接続を終了します。ただし、

Windows NT LAN Manager (NTLM) 認証の場合、認証済み要求の有効期間が切れるまで、同じ接続を維持する

必要があるため、要求が終了するまで接続が維持されます。

要求の処理中にサーバの接続を維持するには、NTLM 認証を使用して Web サーバのロード バランシングを行う仮

想 IP アドレスに次のアプリケーション ルールを追加します。

add # NTLM authentication and keep the server connection open between requests

no option http-server-close

ロード バランサの HTTP 接続モード

NSX Data Center for vSphere 6.1.5 以降では、x-forwarded-for を有効にすると、HTTP 接続モードがパッシ

ブ クローズ (option httpclose) からデフォルトの HTTP サーバ クローズ (option http-server-close) モー

ドに変わります。サーバ クローズ オプションでは、クライアント側の接続はオープン状態を維持し、サーバからの

応答の受信後にサーバ側の接続が終了します。NSX Data Center for vSphere 6.1.5 より前のバージョンでは、

ロード バランサは接続を事前に終了せず、Connection:close ヘッダーを両方向に挿入し、クライアントまたはサ

ーバに接続の終了を指示します。NSX Data Center for vSphere 6.1.5 以降へのアップグレード後に、ロード バランサで HTTP/HTTPS トランザクション エラーが発生する場合には、option httpclose スクリプトを指定して

アプリケーション ルールを追加し、動作していない仮想サーバに関連付けます。

NSX 管理ガイド

VMware, Inc. 356

HTTP サーバ クローズ（デフォルト）： 応答の終わりを受信すると、サーバ側の接続が終了しますが、クライアント

側の接続はオープン状態を維持します。HTTP サーバ クローズでは、クライアント側（低速ネットワーク）が待機

状態になり、サーバ側で高速セッションが再利用されるので、サーバ リソースの使用を抑制します。また、キープ アライブに対応していないサーバに、クライアント側からキープ アライブを提供することもできます。このモードは一

般的なユースケースに適しています。特に、クライアント側のネットワークが低速で、サーバ側のネットワークが高

速の場合に有効です。

HTTP キープ アライブ： すべての要求と応答が処理され、接続は維持されますが、応答から新しい要求までの間は

アイドル状態になります。このモードでは、トランザクション間の待機時間が短く、サーバに要求する処理能力を低

く抑えることができます。アクティブ セッションの数に合わせてメモリ要件が増加します。要求ごとに接続を終了

することがないため、必要なメモリ量が多くなります。クライアント側のアイドル タイムアウトは、アプリケーショ

ン ルールの timeout http-keep-alive [time] で設定できます。デフォルトのアイドル タイムアウトは 1 秒で

す。アプリケーションで NTLM 認証が必要な場合、このモードは必須です。

HTTP トンネル： 最初の要求と応答のみが処理され、クライアントとサーバ間でトンネルが確立します。これによ

り、HTTP プロトコルを分析することなく、通信を行うことができます。トンネルが確立すると、クライアント側と

サーバ側の両方で接続が維持されます。このモードを有効にするには、passive-close mode、server-close

mode、force-close mode のすべてのオプションを設定しません。

HTTP トンネル モードは次の機能に影響を及ぼします。また、セッションの最初の要求と応答にのみに適用されま

す。

n ログの生成

n HTTP ヘッダーの解析

n HTTP ヘッダーの操作

n Cookie の処理

n コンテンツの切り替え

n X-Forwarded-For ヘッダーの挿入

HTTP パッシブ クローズ： トンネル モードと同じですが、クライアントとサーバの両方に Connection: close ヘッダーが追加されます。最初の要求と応答の交換が終わると、両端で接続を終了します。option httpclose が設定

されている場合、ロード バランサは HTTP トンネル モードで動作し、各方向で Connection: close ヘッダーが設

定されているかどうか確認します。ヘッダーがない場合、Connection: close ヘッダーを追加します。転送後、両

端が TCP を終了し、HTTP クローズ モードに切り替わります。close 以外の接続ヘッダーは削除されます。アプリ

ケーションで 2 番目以降の要求が正しく処理できない場合、たとえば、ロード バランサによって挿入された Cookie がクライアントからの要求で戻された場合は、トンネル モードまたはパッシブ クローズ モードを使用します。

HTTP サーバによっては、option httpclose で設定された Connection: close を受信しても、接続を終了する

必要がない場合があります。クライアントが終了しない場合、タイムアウトになるまで接続が持続されます。この場

合、サーバの同時接続数が多くなり、ログには長時間のグローバル セッション時間が記録されます。このため、古い

HTTP 1.0 ブラウザとは互換性がありません。この状態が発生した場合には、option forceclose を使用して、サ

ーバの応答を受信後、すぐに接続を終了します。forceclose を使用すると、クライアントの承認を待つ必要がない

ため、サーバ接続の解放が早くなります。

NSX 管理ガイド

VMware, Inc. 357

HTTP 強制終了： 応答の終了後、ロード バランサがクライアントとサーバの両方の接続を終了します。HTTP サー

バによっては、option httpclose で設定された Connection: close を受信しても、接続を終了する必要がない場

合があります。クライアントが終了しない場合、タイムアウトになるまで接続が持続されます。この場合、サーバの

同時接続数が多くなり、ログには長時間のグローバル セッション時間が記録されます。この問題が発生した場合、

option forceclose を使用すると、サーバが応答を完了するとすぐに実行中のサーバ チャネルが終了し、option

httpclose を使用した場合よりも早くリソースの一部が解放されます。

バージョン

デフォルトの接続モ

ード

接続モード（

X-Forwarded-For

が有効な場合）

接続モードの切り替えに使用可能な

アプリケーション ルール

NSX 6.0.x、6.1.0、6.1.1 HTTP サーバ クロ

ーズ

仮想サーバに option httpclose が自動的に

追加され、HAProxy ドキュメントの仕様に

従って各要求に xff が強制的に追加されます。

バックエンド サーバにディスパッチするとき

に、クライアントからの要求に xff ヘッダーが

追加されます。

いいえ

NSX 6.1.2 - 6.1.4 HTTP サーバ クロ

ーズ

HTTP パッシブ クローズ（仮想サーバに

option httpclose が自動的に追加される）

no option http-server-close

option httpclose

no option httpclose

NSX 6.1.5 - 6.1.x、NSX 6.2.0 - 6.2.2

HTTP サーバ クロ

ーズ

バックエンド サーバにディスパッチするとき

に、クライアントからの要求に HTTP サーバ

クローズ xff ヘッダーが追加されます。

no option http-server-close

option httpclose

no option httpclose

NSX 6.2.3 - 6.2.5 HTTP サーバ クロ

ーズ

バックエンド サーバにディスパッチするとき

に、クライアントからの要求に HTTP サーバ

クローズ xff ヘッダーが追加されます。

no option http-server-close

option httpclose

no option httpclose

NSX 6.2.3 - 6.2.5 HTTP サーバ クロ

ーズ

バックエンド サーバにディスパッチするとき

に、クライアントからの要求に HTTP サーバ

クローズ xff ヘッダーが追加されます。

no option http-server-close

no option httpclose

option httpclose

NSX 6.2.5 - 6.2.x HTTP サーバ クロ

ーズ

バックエンド サーバにディスパッチするとき

に、クライアントからの要求に HTTP サーバ

クローズ xff ヘッダーが追加されます。

no option http-server-close

option http-keep-alive

option http-tunnel

option httpclose

option forceclose

NSX ロード バランサ構成のシナリオ

NSX ロード バランサ構成シナリオを使用して、必要な End-to-End のワークフローを理解します。

シナリオ：ワンアーム ロード バランサの設定

Edge Services Gateway (ESG) は、受信するクライアント トラフィックのプロキシとして考えることができま

す。

NSX 管理ガイド

VMware, Inc. 358

V

フェーズ 1IP

アド レス

DST 192.168.1.20

DST 80

VLAN

192.168.1.20TCP 80

挿入が容易クライアント IP アドレスは 検出されない

HTTP X-Forwarded- For HTTP

ヘッダーのための回避策

192.168.1.3（選択済み）

192.168.1.2

192.168.1.1

論理スイッチ(VXLAN)

クライアント アドレス172.30.40.7

NSX EdgeServices Gateway

SRC 172.30.40.7

SRC 1025

TCP

フェーズ 4

DST 172.30.40.7

DST 1025

SRC 192.168.1.20

SRC 80

TCP

フェーズ 2 (DNAT+SNAT)

DST 192.168.1.3

DST 80

SRC 192.168.1.20

SRC 4099

TCP

フェーズ 3

DST 192.168.1.20

DST 4099

SRC 192.168.1.3

SRC 80

TCP

SLB

IP アド レス

IP アド レス

IP アド レス

NSX 管理ガイド

VMware, Inc. 359

プロキシ モードでは、ロード バランサは、自身の IP アドレスを送信元のアドレスとして使用して、リクエストをバ

ックエンド サーバに送信します。バックエンド サーバには、ロード バランサから送信されるときにすべてのトラフ

ィックが表示され、このサーバはロード バランサに直接応答します。このモードは、SNAT モードまたは非透過モ

ードとも呼ばれます。詳細については、『NSX 管理ガイド』を参照してください。

一般的な NSX ワンアーム ロード バランサは、バックエンド サーバと同じで分散論理ルーターとは異なるサブネッ

トにデプロイされます。NSX ロード バランサ仮想サーバは、クライアントから受信したリクエストを仮想 IP アド

レスで待機し、バックエンド サーバにリクエストを送信します。リターン トラフィックについては、リバース NAT が必要となります。これは、バックエンド サーバの送信元の IP アドレスを仮想 IP アドレス (VIP) に変更してから、

クライアントに仮想 IP アドレスを送信するためです。この操作を行わないと、クライアントへの接続が切断されま

す。

トラフィックの受信後、ESG は次の 2 つの処理を実行します。

n 宛先ネットワーク アドレス変換 (DNAT)。仮想 IP アドレスが、ロード バランシングされているいずれかのマ

シンの IP アドレスに変更されます。

n 送信元ネットワーク アドレス変換 (SNAT)。ESG の IP アドレスとクライアントの IP アドレスが交換されま

す。

次に、ESG サーバはトラフィックをロード バランサ サーバに送信し、ロード バランサ サーバは応答を ESG に返

し、さらにクライアントに返します。このオプションでは、インライン モードよりもが大幅に容易になりますが、2 つの注意点があります。最初の注意点は、専用の ESG サーバが必要となることであり、2 番目の注意点はロード バランサは元のクライアント IP アドレスを認識しないことです。HTTP/HTTPS アプリケーションでの 1 つの回避策

として、HTTP アプリケーション プロファイルで [X-Forwarded-For HTTP ヘッダーの挿入 (Insert X-Forwarded-For)] を有効にすることによって、バックエンド サーバに送信される要求の X-Forwarded-For HTTP ヘッダーにクライアント IP アドレスが追加されます。

バックエンド サーバでのクライアント IP アドレスの可視化が、HTTP/HTTPS 以外のアプリケーションで必要とな

る場合には、透過的になるように IP アドレス プールを設定できます。クライアントがバックエンド サーバと同じサ

ブネットにない場合には、インライン モードが推奨されます。インライン モードを使用しない場合には、バックエ

ンド サーバのデフォルト ゲートウェイとしてロード バランサの IP アドレスを使用する必要があります。

注： 接続の整合性を保証する方法には、通常、次の 3 つがあります。

n インライン/透過モード

n SNAT/プロキシ/非透過モード（上記で説明）

n DSR (Direct Server Return)： 現在サポートされていません

DSR モードでは、バックエンド サーバが直接クライアントに応答します。現在、NSX ロード バランサは、DSR をサポートしていません。

以下では、HTTPS オフロード（SSL オフロード）アプリケーション プロファイル タイプを使用して、ワンアーム

ロード バランサの設定手順について説明します。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

NSX 管理ガイド

VMware, Inc. 360

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificate)] の順にクリックします。

このシナリオでは、自己署名証明書を追加します。

5 ロード バランサ サービスを有効にします。

a [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [グローバル設定 (Global Configuration)] の順にクリックします。

b [編集 (Edit)] をクリックして、ロード バランサを有効にします。

6 HTTPS アプリケーション プロファイルを作成します。

a [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル

(Application Profiles)] の順にクリックします。

b [追加 (Add)] をクリックして、アプリケーション プロファイルのパラメータを指定します。

バージョン 手順

NSX 6.4.5 以降 1 [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダ

ウン メニューで、[HTTPS のオフロード (HTTPS Offloading)] を選択します。

2 [名前 (Name)] テキスト ボックスに、プロファイルの名前を入力します。たとえば、

Web-SSL-Profile を入力します。

3 [クライアント SSL (Client SSL)] - [サービス証明書 (Service Certificates)] の順にクリックします。

4 前に追加した自己署名証明書を選択します。

NSX 6.4.4 以前 1 [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

2 [名前 (Name)] テキスト ボックスに、プロファイルの名前を入力します。たとえば、

Web-SSL-Profile を入力します。

3 [サービス証明書の設定 (Configure Service Certificate)] チェック ボックスを選

択します。

4 前に追加した自己署名証明書を選択します。

7 （オプション） [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [サービス モニタリング (Service

Monitoring)] の順にクリックします。必要であれば、デフォルトのサービス モニタリングを編集して、基本の

HTTP または HTTPS から特定の URL または URI に変更します。

8 サーバ プールを作成します。

a [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [プール (Pools)] の順にクリックして、[追加

(Add)] をクリックします。

b [名前 (Name)] テキスト ボックスに、サーバ プールの名前を入力します。たとえば、Web-Tier-Pool-01

を入力します。

c [アルゴリズム (Algorithm)] ドロップダウン メニューで、[ラウンドロビン (Round-Robin)] を選択しま

す。

d [モニター (Monitors)] ドロップダウン メニューで、[default_https_monitor] を選択します。

NSX 管理ガイド

VMware, Inc. 361

e 2 つのメンバーをプールに追加します。

たとえば、次の設定を指定します。

状態 名前 IP アドレス 重み 監視ポート ポート 最大接続数 最小接続数

有効 web-01a 172.16.10.11 1 443 443 0 0

有効 web-02a 172.16.10.12 1 443 443 0 0

f SNAT モードを使用するには、[透過的 (Transparent)] オプションが有効になっていないことを確認しま

す。

9 [ステータスの表示 (Show Status)] または [プール統計の表示 (Show Pool Statistics)] をクリックして、

Web-Tier-Pool-01 プールのステータスが UP になっていることを確認します。

プールを選択して、このプールの両方のメンバーのステータスが UP であることを確認します。

10 仮想サーバを作成します。

a [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [仮想サーバ (Virtual Servers)] の順にクリ

ックして、[追加 (Add)] をクリックします。

b 仮想サーバのパラメータを指定します。

たとえば、次の設定を指定します。

オプション 説明

仮想サーバ 仮想サーバを有効にします。

アクセラレーション UDP やさらに高パフォーマンスの TCP に L4 ロード バランサを使用する場合には、ア

クセラレーションを有効にします。このオプションを有効にする場合は、NSX Edge ロー

ド バランサでファイアウォールのステータスが有効になっていることを確認します。L4 SNAT ではファイアウォールが必須です。

アプリケーション プロファイル OneArmWeb-01 を入力します。

IP アドレス [172.16.10.110] を選択します。

プロトコル [HTTPS] を選択します。

ポート 443 を入力します。

デフォルト プール 前に作成した [Web-Tier-Pool-01] サーバ プールを選択します。

接続の制限 0 を入力します。

接続速度の制限 0 を入力します。

c （オプション） [詳細 (Advanced)] タブをクリックして、仮想サーバにアプリケーション ルールを関連付

けます。

サポートされる例については、https://communities.vmware.com/docs/DOC-31772 を参照してく

ださい。

NSX 管理ガイド

VMware, Inc. 362

非透過モードでは、バックエンド サーバはクライアント IP アドレスを確認できませんが、ロード バランサ内部

の IP アドレスは確認できます。HTTP または HTTPS トラフィックの回避策として、アプリケーション プロフ

ァイルで [X-Forwarded-For HTTP ヘッダーの挿入 (Insert X-Forwarded-For HTTP header)] を選択

します。このオプションを選択すると、Edge ロード バランサは、クライアントの送信元の IP アドレスの値に

ヘッダー「X-Forwarded-For」を追加します。

シナリオ：インライン ロード バランサの設定

このシナリオでは、HTTP アプリケーション プロファイル タイプを使用して、NSX Edge でインライン ロード バランサを設定してます。

次の図は、インライン ロード バランサを使用するネットワークの論理トポロジを示しています。ネットワークの境

界にある NSX Edge は、North-South のルーティングとロード バランシングの両方の機能を実行します。

VP

ネットワーク

外部クライアント

10.30.20.100 10.30.20.101

サーバ プール

10.30.20.102

VXLAN 5000 (10.30.20.0/24)

NSX Edge

192.168.100.30/24

10.30.20.1/24

インライン ロード

バランサ

DNAT ルール

Web-1 仮想マシン

Web-2 仮想マシン

Web-3 仮想マシン

このシナリオでは、NSX Edge に次のインターフェイスが設定されている点に注意してください。

n アップリンク インターフェイス：192.168.100.30/24

n 内部インターフェイス：10.30.20.1/24

ロード バランサは、仮想 IP アドレス (VIP) に Edge 上のアップリンク インターフェイスを使用します。Edge の内部インターフェイスは、サーバ プール内のバックエンド Web サーバのデフォルト ゲートウェイとして機能しま

す。

NSX Edge の外部クライアントから受信した HTTP トラフィックのロード バランシングを行い、VXLAN 5000 論理スイッチに接続している Web サーバにトラフィックを分散するとします。

以下では、NSX Edge にインライン ロード バランサを設定する手順について説明します。

前提条件

ネットワークには、NSX Edge サービス ゲートウェイが展開されている必要があります。

NSX 管理ガイド

VMware, Inc. 363

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 ロード バランサ サービスを有効にします。

a [管理] - [ロード バランサ] - [グローバル設定] の順にクリックします。

b [編集] をクリックして、ロード バランサを有効にします。

5 HTTP アプリケーション プロファイルを作成します。

a [管理] - [ロード バランサ] - [アプリケーション プロファイル] の順にクリックします。

b [追加] をクリックして、アプリケーション プロファイルのパラメータを指定します。

次はその例です。

オプション 説明

タイプ [HTTP] を選択します。

名前 Web-App-Profile を入力します。

パーシステンス デフォルト値（なし）をそのまま使います。

NSX 管理ガイド

VMware, Inc. 364

6 サーバ プールを作成します。

a [管理] - [ロード バランサ] - [プール] の順にクリックして、[追加] をクリックします。

b プール パラメータを指定します。

次はその例です。

オプション 説明

名前 Web-Server-Pool を入力します。

アルゴリズム [ラウンドロビン] を選択します。

モニター [default_http_monitor] を選択します。

透過的 このオプションを有効にすると、送信元クライアントの IP アドレスがプール内のバックエ

ンド サーバから見えるようになります。

c メンバーをサーバ プールに追加します。

たとえば、プール メンバーに次の設定を指定します。

状態 名前 IP アドレス 重み 監視ポート ポート 最大接続数 最小接続数

有効 Web-1 10.30.20.100

1 80 80 0 0

有効 Web-2 10.30.20.101

1 80 80 0 0

有効 Web-3 10.30.20.102

1 80 80 0 0

7 [ステータスの表示] または [プール統計の表示] をクリックして、Web-Server-Pool プールのステータスが

UP になっていることを確認します。

プールを選択して、このプールのすべてのメンバーのステータスが UP であることを確認します。

NSX 管理ガイド

VMware, Inc. 365

8 仮想サーバを作成します。

a [管理] - [ロード バランサ] - [仮想サーバ] の順にクリックして、[追加] をクリックします。

b 仮想サーバのパラメータを指定します。

たとえば、次の設定を指定します。

オプション 説明

仮想サーバ 仮想サーバを有効にします。

アクセラレーション このオプションは無効のままにします。

アプリケーション プロファイル 前の手順で作成した [Web-App-Profile] を選択します。

IP アドレス Edge のアップリンク（外部）インターフェイスに設定した IP アドレスを入力または選

択します。

このシナリオでは、[192.168.100.30] を選択します。

プロトコル [HTTP] を選択します。

デフォルト プール 前の手順で作成した [Web-Server-Pool] を選択します。

接続の制限 0 を入力します。

接続速度の制限 0 を入力します。

シナリオ：Platform Services Controller 用 NSX ロード バランサの設定

Platform Services Controller (PSC) は、vCenter Single Sign-On、ライセンス、証明書管理、サーバの予約

など、インフラストラクチャのセキュリティ機能を提供します。

NSX ロード バランサを設定したら、vCenter Single Sign-On で NSX Edge デバイスのアップリンク インター

フェイスの IP アドレスを指定します。

注： 以下では、Platform Services Controller 6.0 と一緒に使用できるように NSX Edge ロード バランサを

設定する手順について説明します。Platform Services Controller 6.5 と一緒に使用するように Edge ロード バランサを設定する方法については、https://kb.vmware.com/s/article/2147046 にある VMware ナレッジベ

ースの記事を参照してください。

前提条件

n http://kb.vmware.com/kb/2113315 の VMware ナレッジベースの記事に記載されている PSC 高可用性

の準備タスクを実行します。

n 証明書を設定するため、最初の PSC ノードの /ha/lb.crt と /ha/lb_rsa.key を保存します。

n NSX Edge デバイスが設定されていることを確認します。

n 仮想 IP アドレスの設定用アップリンクと内部論理スイッチに接続するインターフェイスが、それぞれ 1 つ以上

設定されていることを確認します。

NSX 管理ガイド

VMware, Inc. 366

手順

1 NSX Edge に PSC 証明書を追加します。

a OpenSSL コマンドを使用して、PSC の root.cer、証明書、RSA、パスフレーズを生成して保存しま

す。

b Edge をダブルクリックして、[管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順にク

リックします。

c [追加 (Add)] - [証明書 (Certificate)] の順にクリックします。

d [証明書のコンテンツ (Certificate Contents)] テキスト ボックスに、root.cer ファイルの内容を追加し

ます。

e [プライベート キー (Private key)] テキスト ボックスに、パスフレーズを追加します。

2 ロード バランサ サービスを有効にします。

a [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [グローバル設定 (Global Configuration)] の順にクリックします。

b [編集 (Edit)] をクリックして、ロード バランサを有効にします。

NSX 管理ガイド

VMware, Inc. 367

3 TCP および HTTPS プロトコルを使用してアプリケーション プロファイルを作成します。

a [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル

(Application Profiles)] の順にクリックします。

b [追加 (Add)] をクリックして、TCP アプリケーション プロファイルを作成します。

たとえば、TCP プロファイルに次のパラメータを指定します。

オプション 説明

アプリケーション プロファイル タイプ [TCP] を選択します。

名前 たとえば、sso_tcp_profile と入力します。

パーシステンス [送信元の IP アドレス (Source IP)] を選択します。

c HTTPS アプリケーション プロファイルを作成します。

たとえば、HTTPS プロファイルに次のパラメータを指定します。

バージョン 手順

NSX 6.4.5 以降 1 [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダ

ウン メニューで、[HTTPS のオフロード (HTTPS Offloading)] を選択します。

2 [名前 (Name)] テキスト ボックスに、プロファイルの名前を入力します。たとえば、

sso_https_profile と入力します。

3 [クライアント SSL (Client SSL)] - [サービス証明書 (Service Certificates)] の順にクリックします。

4 前に追加した PSC 証明書を選択します。

NSX 6.4.4 以前 1 [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

2 [名前 (Name)] テキスト ボックスに、プロファイルの名前を入力します。たとえば、

sso_https_profile と入力します。

3 [サービス証明書の設定 (Configure Service Certificate)] チェック ボックスを選

択します。

4 前に追加した PSC 証明書を選択します。

NSX 管理ガイド

VMware, Inc. 368

4 サーバ プールを作成して、メンバー PSC ノードを追加します。

a [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [プール (Pools)] の順にクリックして、[追加

(Add)] をクリックします。

b 次の設定でプールを作成します。

次はその例です。

オプション 説明

名前 sso_tcp_pool1 を入力します。

アルゴリズム [ラウンドロビン (Round-Robin)] を選択します。

モニター [default_tcp_monitor] を選択します。

次のメンバーを sso_tcp_pool1 プールに追加して、監視ポート 443 を指定します。

状態 名前 IP アドレス 重み 監視ポート ポート 最大接続数 最小接続数

有効 PSC01 192.168.1.1 1 443 0 0

有効 PSC02 192.168.1.2 1 443 0 0

c 次の設定で別のプールを作成します。

次はその例です。

オプション 説明

名前 sso_tcp_pool2 を入力します。

アルゴリズム [ラウンドロビン (Round-Robin)] を選択します。

モニター [default_tcp_monitor] を選択します。

次のメンバーを sso_tcp_pool2 プールに追加して、監視ポート 389 を指定します。

状態 名前 IP アドレス 重み 監視ポート ポート 最大接続数 最小接続数

有効 PSC01 192.168.1.1 1 389 0 0

有効 PSC02 192.168.1.2 1 389 0 0

NSX 管理ガイド

VMware, Inc. 369

5 TCP および HTTPS プロトコル用の仮想サーバを作成します。

a [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [仮想サーバ (Virtual Servers)] の順に選択

して、[追加 (Add)] をクリックします。

b 次の設定で、TCP 仮想 IP アドレスの仮想サーバを作成します。

次はその例です。

オプション 説明

仮想サーバ 仮想サーバを有効にします。

アクセラレーション アクセラレーションを無効にします。

アプリケーション プロファイル sso_tcp_profile を入力します。

名前 sso_tcp_vip を入力します。

IP アドレス [10.156.209.158] を選択します。

プロトコル [TCP] を選択します。

ポート 389,636,2012,2014,2020 を入力します。

デフォルト プール 前に作成した [sso_tcp_pool2] サーバ プールを選択します。

接続の制限 0 を入力します。

接続速度の制限 0 を入力します。

c 次の設定で、HTTPS 仮想 IP アドレスの仮想サーバを作成します。

次はその例です。

オプション 説明

仮想サーバ 仮想サーバを有効にします。

アクセラレーション アクセラレーションを無効にします。

アプリケーション プロファイル sso_https_profile を入力します。

名前 sso_https_vip を入力します。

IP アドレス [10.156.209.158] を選択します。

プロトコル [HTTPS] を選択します。

ポート 443 を入力します。

デフォルト プール 前に作成した [sso_tcp_pool1] サーバ プールを選択します。

接続の制限 0 を入力します。

接続速度の制限 0 を入力します。

シナリオ：SSL オフロード

このシナリオでは、HTTPS オフロード（SSL オフロード）アプリケーション プロファイル タイプを使用します。

Edge はクライアントの HTTPS（SSL セッション）を終了します。サーバへの HTTP でクライアントをロード バランシングを行います。L7 アプリケーション ルールを適用できます。

NSX 管理ガイド

VMware, Inc. 370

手順

1 Web サーバ証明書を追加します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

c NSX Edge をダブルクリックします。

d [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順に移動します。

e [追加 (Add)] をクリックして、[証明書 (Certificate)] をクリックします。

NSX 管理ガイド

VMware, Inc. 371

f 証明書の内容をコピーして、[証明書の内容 (Certificate Contents)] テキスト ボックスに貼り付けます。

入力するテキストには「-----BEGIN xxx-----」と「-----END xxx-----」を含める必要があります。

チェーン証明書（サーバ証明書と中間認証局 (CA) 証明書）の場合は、[証明書 (Certificate)] オプション

を選択します。チェーン証明書の内容は、次の例のようになります。

-----BEGIN CERTIFICATE-----

Server cert

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

Intermediate cert

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

Root cert

-----END CERTIFICATE-----

g [プライベート キー (Private Key)] テキスト ボックスで、プライベート キーの内容をコピーして貼り付け

ます。

プライベート キーの内容は次のようになります。

-----BEGIN RSA PRIVATE KEY-----

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

-----END RSA PRIVATE KEY-----

証明書の内容（証明書またはプライベート キーの PEM）の先頭には、次のいずれかのプリフィックス文字

列が必要です。

-----BEGIN PUBLIC KEY-----

-----BEGIN RSA PUBLIC KEY-----

-----BEGIN CERTIFICATE REQUEST-----

-----BEGIN NEW CERTIFICATE REQUEST-----

-----BEGIN CERTIFICATE-----

-----BEGIN PKCS7-----

-----BEGIN X509 CERTIFICATE-----

-----BEGIN X509 CRL-----

-----BEGIN ATTRIBUTE CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----

-----BEGIN DSA PRIVATE KEY-----

-----BEGIN EC PARAMETERS-----

-----BEGIN EC PRIVATE KEY-----

証明書とプライベート キーの例については、例：証明書とプライベート キーを参照してください。

注： NSX Manager では、次のプリフィックスはサポートされていません。

-----BEGIN ENCRYPTED PRIVATE KEY-----

NSX 管理ガイド

VMware, Inc. 372

2 HTTPS アプリケーション プロファイルを作成します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

c NSX Edge をダブルクリックします。

d [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル

(Application Profiles)] の順にクリックします。

e [追加 (Add)] をクリックして、アプリケーション プロファイルのパラメータを指定します。

バージョン 手順

NSX 6.4.5 以降 1 [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダ

ウン メニューで、[HTTPS のオフロード (HTTPS Offloading)] を選択します。

2 [クライアント SSL (Client SSL)] - [サービス証明書 (Service Certificates)] の順にクリックします。

3 手順 1 で追加した Web サーバ証明書を選択します。

NSX 6.4.4 以前 1 [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

2 [サービス証明書の設定 (Configure Service Certificates)] チェック ボックスを

選択します。

3 手順 1 で追加した Web サーバ証明書を選択します。

3 仮想サーバを作成します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

c NSX Edge をダブルクリックします。

d [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [仮想サーバ (Virtual Servers)] の順にクリ

ックします。

e [追加 (Add)] をクリックして、仮想サーバのパラメータを指定します。

1 この仮想サーバを使用可能にするには、仮想サーバを有効にします。

2 プロトコルに [HTTPS] を選択します。

3 HTTP サーバ（HTTPS サーバではない）で設定されるデフォルト プールを選択します。

4 手順 2 で設定したアプリケーション プロファイルを選択します。

[新規仮想サーバ] ウィンドウで他のパラメータを指定する方法については、仮想サーバの追加を参照してく

ださい。

例：証明書とプライベート キー

次は、証明書とプライベート キーの例です。

NSX 管理ガイド

VMware, Inc. 373

Web サーバ証明書

-----BEGIN CERTIFICATE-----

MIID0DCCArigAwIBAgIBATANBgkqhkiG9w0BAQUFADB/MQswCQYDVQQGEwJGUjET

MBEGA1UECAwKU29tZS1TdGF0ZTEOMAwGA1UEBwwFUGFyaXMxDTALBgNVBAoMBERp

bWkxDTALBgNVBAsMBE5TQlUxEDAOBgNVBAMMB0RpbWkgQ0ExGzAZBgkqhkiG9w0B

CQEWDGRpbWlAZGltaS5mcjAeFw0xNDAxMjgyMDM2NTVaFw0yNDAxMjYyMDM2NTVa

MFsxCzAJBgNVBAYTAkZSMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJ

bnRlcm5ldCBXaWRnaXRzIFB0eSBMdGQxFDASBgNVBAMMC3d3dy5kaW1pLmZyMIIB

IjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAvpnaPKLIKdvx98KW68lz8pGa

RRcYersNGqPjpifMVjjE8LuCoXgPU0HePnNTUjpShBnynKCvrtWhN+haKbSp+QWX

SxiTrW99HBfAl1MDQyWcukoEb9Cw6INctVUN4iRvkn9T8E6q174RbcnwA/7yTc7p

1NCvw+6B/aAN9l1G2pQXgRdYC/+G6o1IZEHtWhqzE97nY5QKNuUVD0V09dc5CDYB

aKjqetwwv6DFk/GRdOSEd/6bW+20z0qSHpa3YNW6qSp+x5pyYmDrzRIR03os6Dau

ZkChSRyc/Whvurx6o85D6qpzywo8xwNaLZHxTQPgcIA5su9ZIytv9LH2E+lSwwID

AQABo3sweTAJBgNVHRMEAjAAMCwGCWCGSAGG+EIBDQQfFh1PcGVuU1NMIEdlbmVy

YXRlZCBDZXJ0aWZpY2F0ZTAdBgNVHQ4EFgQU+tugFtyN+cXe1wxUqeA7X+yS3bgw

HwYDVR0jBBgwFoAUhMwqkbBrGp87HxfvwgPnlGgVR64wDQYJKoZIhvcNAQEFBQAD

ggEBAIEEmqqhEzeXZ4CKhE5UM9vCKzkj5Iv9TFs/a9CcQuepzplt7YVmevBFNOc0

+1ZyR4tXgi4+5MHGzhYCIVvHo4hKqYm+J+o5mwQInf1qoAHuO7CLD3WNa1sKcVUV

vepIxc/1aHZrG+dPeEHt0MdFfOw13YdUc2FH6AqEdcEL4aV5PXq2eYR8hR4zKbc1

fBtuqUsvA8NWSIyzQ16fyGve+ANf6vXvUizyvwDrPRv/kfvLNa3ZPnLMMxU98Mvh

PXy3PkB8++6U4Y3vdk2Ni2WYYlIls8yqbM4327IKmkDc2TimS8u60CT47mKU7aDY

cbTV5RDkrlaYwm5yqlTIglvCv7o=

-----END CERTIFICATE-----

チェーンを含む Web サーバ証明書（ルート CA を含む）

-----BEGIN CERTIFICATE-----

MIID0DCCArigAwIBAgIBATANBgkqhkiG9w0BAQUFADB/MQswCQYDVQQGEwJGUjET

MBEGA1UECAwKU29tZS1TdGF0ZTEOMAwGA1UEBwwFUGFyaXMxDTALBgNVBAoMBERp

bWkxDTALBgNVBAsMBE5TQlUxEDAOBgNVBAMMB0RpbWkgQ0ExGzAZBgkqhkiG9w0B

CQEWDGRpbWlAZGltaS5mcjAeFw0xNDAxMjgyMDM2NTVaFw0yNDAxMjYyMDM2NTVa

MFsxCzAJBgNVBAYTAkZSMRMwEQYDVQQIDApTb21lLVN0YXRlMSEwHwYDVQQKDBhJ

bnRlcm5ldCBXaWRnaXRzIFB0eSBMdGQxFDASBgNVBAMMC3d3dy5kaW1pLmZyMIIB

IjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAvpnaPKLIKdvx98KW68lz8pGa

RRcYersNGqPjpifMVjjE8LuCoXgPU0HePnNTUjpShBnynKCvrtWhN+haKbSp+QWX

SxiTrW99HBfAl1MDQyWcukoEb9Cw6INctVUN4iRvkn9T8E6q174RbcnwA/7yTc7p

1NCvw+6B/aAN9l1G2pQXgRdYC/+G6o1IZEHtWhqzE97nY5QKNuUVD0V09dc5CDYB

aKjqetwwv6DFk/GRdOSEd/6bW+20z0qSHpa3YNW6qSp+x5pyYmDrzRIR03os6Dau

ZkChSRyc/Whvurx6o85D6qpzywo8xwNaLZHxTQPgcIA5su9ZIytv9LH2E+lSwwID

AQABo3sweTAJBgNVHRMEAjAAMCwGCWCGSAGG+EIBDQQfFh1PcGVuU1NMIEdlbmVy

YXRlZCBDZXJ0aWZpY2F0ZTAdBgNVHQ4EFgQU+tugFtyN+cXe1wxUqeA7X+yS3bgw

HwYDVR0jBBgwFoAUhMwqkbBrGp87HxfvwgPnlGgVR64wDQYJKoZIhvcNAQEFBQAD

ggEBAIEEmqqhEzeXZ4CKhE5UM9vCKzkj5Iv9TFs/a9CcQuepzplt7YVmevBFNOc0

+1ZyR4tXgi4+5MHGzhYCIVvHo4hKqYm+J+o5mwQInf1qoAHuO7CLD3WNa1sKcVUV

vepIxc/1aHZrG+dPeEHt0MdFfOw13YdUc2FH6AqEdcEL4aV5PXq2eYR8hR4zKbc1

fBtuqUsvA8NWSIyzQ16fyGve+ANf6vXvUizyvwDrPRv/kfvLNa3ZPnLMMxU98Mvh

PXy3PkB8++6U4Y3vdk2Ni2WYYlIls8yqbM4327IKmkDc2TimS8u60CT47mKU7aDY

cbTV5RDkrlaYwm5yqlTIglvCv7o=

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

MIIDyTCCArGgAwIBAgIBADANBgkqhkiG9w0BAQUFADB/MQswCQYDVQQGEwJGUjET

MBEGA1UECAwKU29tZS1TdGF0ZTEOMAwGA1UEBwwFUGFyaXMxDTALBgNVBAoMBERp

bWkxDTALBgNVBAsMBE5TQlUxEDAOBgNVBAMMB0RpbWkgQ0ExGzAZBgkqhkiG9w0B

NSX 管理ガイド

VMware, Inc. 374

CQEWDGRpbWlAZGltaS5mcjAeFw0xNDAxMjgyMDI2NDRaFw0yNDAxMjYyMDI2NDRa

MH8xCzAJBgNVBAYTAkZSMRMwEQYDVQQIDApTb21lLVN0YXRlMQ4wDAYDVQQHDAVQ

YXJpczENMAsGA1UECgwERGltaTENMAsGA1UECwwETlNCVTEQMA4GA1UEAwwHRGlt

aSBDQTEbMBkGCSqGSIb3DQEJARYMZGltaUBkaW1pLmZyMIIBIjANBgkqhkiG9w0B

AQEFAAOCAQ8AMIIBCgKCAQEAuxuG4QeBIGXj/AB/YRLLtpgpTpGnDntVlgsycZrL

3qqyOdBNlwnvcB9etfY5iWzjeq7YZRr6i0dIV4sFNBR2NoK+YvdD9j1TRi7njZg0

d6zth0xlsOhCsDlV/YCL1CTcYDlKA/QiKeIQa7GU3Rhf0t/KnAkr6mwoDbdKBQX1

D5HgQuXJiFdh5XRebxF1ZB3gH+0kCEaEZPrjFDApkOXNxEARZdpBLpbvQljtVXtj

HMsvrIOc7QqUSOU3GcbBMSHjT8cgg8ssf492Go3bDQkIzTROz9QgDHaqDqTC9Hoe

vlIpTS+q/3BCY5AGWKl3CCR6dDyK6honnOR/8srezaN4PwIDAQABo1AwTjAdBgNV

HQ4EFgQUhMwqkbBrGp87HxfvwgPnlGgVR64wHwYDVR0jBBgwFoAUhMwqkbBrGp87

HxfvwgPnlGgVR64wDAYDVR0TBAUwAwEB/zANBgkqhkiG9w0BAQUFAAOCAQEAVqYq

vhm5wAEKmvrKXRjeb5kiEIp7oZAFkYp6sKODuZ1VdkjMDD4wv46iqAe1QIIsfGwd

Dmv0oqSl+iPPy24ATMSZQbPLO5K64Hw7Q8KPos0yD8gHSg2d4SOukj+FD2IjAH17

a8auMw7TTHu6976JprQQKtPADRcfodGd5UFiz/6ZgLzUE23cktJMc2Bt18B9OZII

J9ef2PZxZirJg1OqF2KssDlJP5ECo9K3EmovC5M5Aly++s8ayjBnNivtklYL1VOT

ZrpPgcndTHUA5KS/Duf40dXm0snCxLAKNP28pMowDLSYc6IjVrD4+qqw3f1b7yGb

bJcFgxKDeg5YecQOSg==

-----END CERTIFICATE-----

プライベート キー（パスフレーズなし）

-----BEGIN RSA PRIVATE KEY-----

MIIEowIBAAKCAQEAvpnaPKLIKdvx98KW68lz8pGaRRcYersNGqPjpifMVjjE8LuC

oXgPU0HePnNTUjpShBnynKCvrtWhN+haKbSp+QWXSxiTrW99HBfAl1MDQyWcukoE

b9Cw6INctVUN4iRvkn9T8E6q174RbcnwA/7yTc7p1NCvw+6B/aAN9l1G2pQXgRdY

C/+G6o1IZEHtWhqzE97nY5QKNuUVD0V09dc5CDYBaKjqetwwv6DFk/GRdOSEd/6b

W+20z0qSHpa3YNW6qSp+x5pyYmDrzRIR03os6DauZkChSRyc/Whvurx6o85D6qpz

ywo8xwNaLZHxTQPgcIA5su9ZIytv9LH2E+lSwwIDAQABAoIBAFml8cD9a5pMqlW3

f9btTQz1sRL4Fvp7CmHSXhvjsjeHwhHckEe0ObkWTRsgkTsm1XLu5W8IITnhn0+1

iNr+78eB+rRGngdAXh8diOdkEy+8/Cee8tFI3jyutKdRlxMbwiKsouVviumoq3fx

OGQYwQ0Z2l/PvCwy/Y82ffq3ysC5gAJsbBYsCrg14bQo44ulrELe4SDWs5HCjKYb

EI2b8cOMucqZSOtxg9niLN/je2bo/I2HGSawibgcOdBms8k6TvsSrZMr3kJ5O6J+

77LGwKH37brVgbVYvbq6nWPL0xLG7dUv+7LWEo5qQaPy6aXb/zbckqLqu6/EjOVe

ydG5JQECgYEA9kKfTZD/WEVAreA0dzfeJRu8vlnwoagL7cJaoDxqXos4mcr5mPDT

kbWgFkLFFH/AyUnPBlK6BcJp1XK67B13ETUa3i9Q5t1WuZEobiKKBLFm9DDQJt43

uKZWJxBKFGSvFrYPtGZst719mZVcPct2CzPjEgN3Hlpt6fyw3eOrnoECgYEAxiOu

jwXCOmuGaB7+OW2tR0PGEzbvVlEGdkAJ6TC/HoKM1A8r2u4hLTEJJCrLLTfw++4I

ddHE2dLeR4Q7O58SfLphwgPmLDezN7WRLGr7Vyfuv7VmaHjGuC3Gv9agnhWDlA2Q

gBG9/R9oVfL0Dc7CgJgLeUtItCYC31bGT3yhV0MCgYEA4k3DG4L+RN4PXDpHvK9I

pA1jXAJHEifeHnaW1d3vWkbSkvJmgVf+9U5VeV+OwRHN1qzPZV4suRI6M/8lK8rA

Gr4UnM4aqK4K/qkY4G05LKrik9Ev2CgqSLQDRA7CJQ+Jn3Nb50qg6hFnFPafN+J7

7juWln08wFYV4Atpdd+9XQECgYBxizkZFL+9IqkfOcONvWAzGo+Dq1N0L3J4iTIk

w56CKWXyj88d4qB4eUU3yJ4uB4S9miaW/eLEwKZIbWpUPFAn0db7i6h3ZmP5ZL8Q

qS3nQCb9DULmU2/tU641eRUKAmIoka1g9sndKAZuWo+o6fdkIb1RgObk9XNn8R4r

psv+aQKBgB+CIcExR30vycv5bnZN9EFlIXNKaeMJUrYCXcRQNvrnUIUBvAO8+jAe

CdLygS5RtgOLZib0IVErqWsP3EI1ACGuLts0vQ9GFLQGaN1SaMS40C9kvns1mlDu

LhIhYpJ8UsCVt5snWo2N+M+6ANh5tpWdQnEK6zILh4tRbuzaiHgb

-----END RSA PRIVATE KEY-----

NSX 管理ガイド

VMware, Inc. 375

シナリオ：SSL 証明書のインポート

このシナリオでは、HTTPS End-To-End (SSL End-To-End) アプリケーション プロファイル タイプを使用しま

す。NSX Edge がクライアントの HTTPS（SSL セッション）を終了します。NSX Edge は、サーバへの新しい

HTTPS 接続を使用して、クライアントのロード バランシングを行います。L7 アプリケーション ルールを適用でき

ます。

手順

1 Web サーバ証明書を追加します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

c NSX Edge をダブルクリックします。

d [管理 (Manage)] - [設定 (Settings)] - [証明書 (Certificates)] の順に移動します。

e [追加 (Add)] をクリックして、[証明書 (Certificate)] をクリックします。

NSX 管理ガイド

VMware, Inc. 376

f 証明書の内容をコピーして、[証明書の内容 (Certificate Contents)] テキスト ボックスに貼り付けます。

入力するテキストには「-----BEGIN xxx-----」と「-----END xxx-----」を含める必要があります。

チェーン証明書（サーバ証明書と中間認証局 (CA) 証明書）の場合は、[証明書 (Certificate)] オプション

を選択します。チェーン証明書の内容は、次の例のようになります。

-----BEGIN CERTIFICATE-----

Server cert

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

Intermediate cert

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

Root cert

-----END CERTIFICATE-----

g [プライベート キー (Private Key)] テキスト ボックスで、プライベート キーの内容をコピーして貼り付け

ます。

プライベート キーの内容は、次の例のようになります。

-----BEGIN RSA PRIVATE KEY-----

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

-----END RSA PRIVATE KEY-----

証明書の内容（証明書またはプライベート キーの PEM）の先頭には、次のいずれかのプリフィックス文字

列が必要です。

-----BEGIN PUBLIC KEY-----

-----BEGIN RSA PUBLIC KEY-----

-----BEGIN CERTIFICATE REQUEST-----

-----BEGIN NEW CERTIFICATE REQUEST-----

-----BEGIN CERTIFICATE-----

-----BEGIN PKCS7-----

-----BEGIN X509 CERTIFICATE-----

-----BEGIN X509 CRL-----

-----BEGIN ATTRIBUTE CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----

-----BEGIN DSA PRIVATE KEY-----

-----BEGIN EC PARAMETERS-----

-----BEGIN EC PRIVATE KEY-----

証明書とプライベート キーの例については、例：証明書とプライベート キーを参照してください。

注： NSX Manager では、次のプリフィックスはサポートされていません。

-----BEGIN ENCRYPTED PRIVATE KEY-----

NSX 管理ガイド

VMware, Inc. 377

2 HTTPS アプリケーション プロファイルを作成します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

c NSX Edge をダブルクリックします。

d [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル

(Application Profiles)] の順にクリックします。

e [追加 (Add)] をクリックして、アプリケーション プロファイルのパラメータを指定します。

バージョン 手順

NSX 6.4.5 以降 1 [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダ

ウン メニューで、[HTTPS End-to-End] を選択します。

2 [サーバ SSL (Server SSL)] - [サービス証明書 (Service Certificates)] の順にク

リックします。

3 手順 1 で追加した Web サーバ証明書を選択します。

NSX 6.4.4 以前 1 [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

2 [プール側の SSL の有効化 (Enable Pool Side SSL)] チェック ボックスを選択し

ます。

3 [サービス証明書の設定 (Configure Service Certificates)] チェック ボックスを

選択します。

4 手順 1 で追加した Web サーバ証明書を選択します。

3 仮想サーバを作成します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

c NSX Edge をダブルクリックします。

d [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [仮想サーバ (Virtual Servers)] の順にクリ

ックします。

e [追加 (Add)] をクリックして、仮想サーバのパラメータを指定します。

1 この仮想サーバを使用可能にするには、仮想サーバを有効にします。

2 プロトコルに [HTTPS] を選択します。

3 HTTPS サーバで設定されるデフォルト プールを選択します。

4 手順 2 で設定したアプリケーション プロファイルを選択します。

[新規仮想サーバ] ウィンドウで他のパラメータを指定する方法については、仮想サーバの追加を参照してく

ださい。

シナリオ：SSL パススルー

このシナリオでは、SSL パススルー アプリケーション プロファイル タイプを使用します。Edge は、クライアント

の HTTPS（SSL セッション）を終了しません。サーバへの TCP セッションのロード バランシングを行います。ク

NSX 管理ガイド

VMware, Inc. 378

ライアントの SSL セッションは、Edge ではなく、サーバで終了します。L7 アプリケーション ルールを適用でき

ません。

注： SSL パススルーのアプリケーション プロファイルに証明書は必要ありません。

手順

1 SSL パススルー アプリケーション プロファイルを作成します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

c NSX Edge をダブルクリックします。

d [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [アプリケーション プロファイル

(Application Profiles)] の順にクリックします。

e [追加 (Add)] をクリックして、アプリケーション プロファイルのパラメータを指定します。

バージョン 手順

NSX 6.4.5 以降 1 [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダ

ウン メニューで、[SSL パススルー (SSL Passthrough)] を選択します。

2 [パーシステンス (Persistence)] ドロップダウン メニューで、[なし (None)] を選

択します。

NSX 6.4.4 以前 1 [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

2 [SSL パススルーの有効化 (Enable SSL Passthrough)] チェック ボックスを選択

します。

3 [パーシステンス (Persistence)] ドロップダウン メニューで、[なし (None)] を選

択します。

2 仮想サーバを作成します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

c NSX Edge をダブルクリックします。

NSX 管理ガイド

VMware, Inc. 379

d [管理 (Manage)] - [ロード バランサ (Load Balancer)] - [仮想サーバ (Virtual Servers)] の順にクリ

ックします。

e [追加 (Add)] をクリックして、仮想サーバのパラメータを指定します。

1 この仮想サーバを使用可能にするには、仮想サーバを有効にします。

2 プロトコルに [HTTPS] を選択します。

3 HTTPS サーバで設定されるデフォルト プールを選択します。

4 手順 1 で設定したアプリケーション プロファイルを選択します。

[新規仮想サーバ] ウィンドウで他のパラメータを指定する方法については、仮想サーバの追加を参照してく

ださい。

注： n [アクセラレーション (Acceleration)] が有効で、L7 関連の設定がない場合、Edge はセッションを

終了しません。

n [アクセラレーション (Acceleration)] が無効な場合、セッションが L7 TCP モードとして扱われ、

Edge がこのセッションを終了して、2 つのセッションにします。

シナリオ：SSL クライアントとサーバ認証

このシナリオでは、SSL クライアントとサーバ認証で HTTPS End-To-End アプリケーション プロファイル タイ

プを使用します。

クライアント認証

クライアントは HTTPS 経由で Web アプリケーションにアクセスします。Edge 仮想 IP アドレスで HTTPS セッションが終了し、セッションがクライアント証明書を要求します。

1 ルート認証局 (CA) によって署名された Web サーバ証明書を追加します。詳細については、シナリオ：SSL 証明書のインポートを参照してください。

2 HTTPS アプリケーション プロファイルを作成します。

バージョン 手順

NSX 6.4.5 以降 1 [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダウン メニューで、

[HTTPS End-to-End] を選択します。

2 [クライアント SSL (Client SSL)] - [認証局 (CA) 証明書 (CA Certificates)] の順にクリックします。

3 手順 1 で追加した Web サーバ証明書を選択します。

4 [クライアント認証 (Client Authentication)] ドロップダウン メニューで、[必要 (Required)] を選択しま

す。

NSX 6.4.4 以前 1 [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

2 [仮想サーバ証明書 (Virtual Server Certificates)] - [認証局 (CA) 証明書 (CA Certificates)] の順にク

リックします。認証局 (CA) がクライアント証明書を確認します。

3 手順 1 で追加した Web サーバ証明書を選択します。

4 [クライアント認証 (Client Authentication)] ドロップダウン メニューで、[必要 (Required)] を選択しま

す。

NSX 管理ガイド

VMware, Inc. 380

3 仮想サーバを作成します。仮想サーバのパラメータを指定する方法については、シナリオ：SSL 証明書のインポ

ートを参照してください。

注： NSX 6.4.4 以前で、アプリケーション プロファイルで [プール側の SSL の有効化 (Enable Pool Side SSL)] オプションが無効になっていると、選択したプールは HTTP サーバで設定されています。アプリケーシ

ョン プロファイルで [プール側の SSL の有効化 (Enable Pool Side SSL)] オプションが有効になっている場

合、選択したプールは HTTPS サーバで設定されています。

4 ルート認証局 (CA) により署名されたクライアント証明書をブラウザに追加します。

5 a Web サイト https://www.sslshopper.com/ssl-converter.html に移動します。

b 証明書とプライベート キーを pfx ファイルに変換します。証明書とプライベート キーの例については、

例：証明書とプライベート キーを参照してください。

c pfx ファイルをブラウザにインポートします。

サーバ認証

クライアントは HTTPS 経由で Web アプリケーションにアクセスします。HTTPS セッションが Edge 仮想 IP アドレスで終了します。この Edge はサーバへの HTTPS 接続を新たに確立し、サーバ証明書を要求して検証しま

す。

NSX Edge は、特定の暗号を受け入れます。

1 サーバー証明書認証のルート CA 証明書とチェーンされている Web サーバ証明書を追加します。詳細につい

ては、シナリオ：SSL 証明書のインポートを参照してください。

NSX 管理ガイド

VMware, Inc. 381

2 HTTPS アプリケーション プロファイルを作成します。

バージョン 手順

NSX 6.4.5 以降 1 [アプリケーション プロファイル タイプ (Application Profile Type)] ドロップダウン メニューで、

[HTTPS End-to-End] を選択します。

2 [サーバ SSL (Server SSL)] - [認証局 (CA) 証明書 (CA Certificates)] の順にクリックします。

3 [暗号 (Cypher)] の横にある [編集 (Edit)]（ ）アイコンをクリックして、暗号を選択します。

4 [サーバ認証 (Server Authentication)] オプションを有効にします。

5 手順 1 で追加した認証局 (CA) 証明書を選択します。

NSX 6.4.4 以前 1 [タイプ (Type)] ドロップダウン メニューで、[HTTPS] を選択します。

2 [プール側の SSL の有効化 (Enable Pool Side SSL)] チェック ボックスを選択します。

3 [プール証明書 (Pool Certificates)] - [認証局 (CA) 証明書 (CA Certificates)] の順にクリックします。

認証局 (CA) が、バックエンドの HTTPS サーバのクライアント証明書を確認します

4 [サーバ認証 (Server Authentication)] チェック ボックスを選択します。

5 手順 1 で追加した認証局 (CA) 証明書を選択します。

6 [暗号 (Cipher)] リストから、必要な暗号を選択します。

注： 選択した暗号が承認済みの暗号スイート リストに含まれていない場合、デフォルト にリセットされます。

以前の NSX バージョンからアップグレードした後に、暗号が null または空になったり、古いバージョンの承

認済み暗号リストに含まれていない場合は、デフォルト にリセットされます。

7 [クライアント認証 (Client Authentication)] ドロップダウン メニューで、[必要 (Required)] を選択しま

す。

3 仮想サーバを作成します。仮想サーバのパラメータを指定する方法については、シナリオ：SSL 証明書のインポ

ートを参照してください。

注： NSX 6.4.4 以前では、アプリケーション プロファイルで [プール側の SSL の有効化 (Enable Pool Side SSL)] オプションが無効になっている場合、選択したプールは HTTP サーバで設定されています。アプリケー

ション プロファイルで [プール側の SSL の有効化 (Enable Pool Side SSL)] オプションが有効になっている

場合、選択したプールは HTTPS サーバで設定されています。

NSX 管理ガイド

VMware, Inc. 382

その他の Edge サービス 17NSX Services ゲートウェイは、IP アドレスのプーリング、1 対 1 の固定 IP アドレス割り当て、外部 DNS サーバ

構成をサポートします。

上記のサービスを使用する前に、NSX Edge インスタンスが動作している必要があります。NSX Edge のセット

アップの詳細については、NSX Edge 設定を参照してください。

この章には、次のトピックが含まれています。

n DHCP サービスの管理

n DHCP リレーの設定

n DNS サーバの構成

DHCP サービスの管理

NSX Edge は、IP アドレスのプーリングと 1 対 1 の固定 IP アドレス割り当てをサポートします。固定 IP アドレス

バインディングは vCenter Server の管理するオブジェクト ID と、リクエストするクライアントのインターフェイ

ス ID を基にします。

NSX Edge DHCP サービスは以下のガイドラインに従います。

n DHCP 検出のために、NSX Edge の内部インターフェイスで待機します。

n NSX Edge 上の内部インターフェイスの IP アドレスを、すべてのクライアント（ただし、直接接続されていな

いプールを除く）のデフォルト ゲートウェイ アドレスとして、またコンテナ ネットワークの内部インターフェ

イスのブロードキャストとサブネット マスクの値として使います。

注： 設計上、DHCP サービスは、NSX Edge の内部インターフェイスでサポートされます。ただし、場合によっ

ては、Edge のアップリンク インターフェイスで DHCP を設定して、内部インターフェイスを設定しないことも可

能です。この場合、Edge はアップリンク インターフェイスで DHCP クライアント要求を待機し、DHCP クライ

アントに IP アドレスを動的に割り当てます。その後、同じ Edge で内部インターフェイスを設定すると、Edge が内部インターフェイスで DHCP クライアント要求の待機を開始するため、DHCP サービスは動作を停止します。

以下の状況では、クライアントの仮想マシン上の DHCP サービスを再起動する必要があります。

n DHCP プール、デフォルト ゲートウェイ、または DNS サーバを変更または削除した場合。

n NSX Edge インスタンスの内部 IP アドレスを変更した場合。

VMware, Inc. 383

DHCP IP アドレス プールの追加

DHCP サーバには IP アドレス プールが必要です。

IP アドレス プールとは、ネットワーク内の連続した IP アドレスの範囲です。アドレス バインディングを持たない

NSX Edge によって保護されている仮想マシンには、このプールから IP アドレスが割り当てられます。IP アドレ

ス プールの範囲は互いに交わることはないため、1 つの IP アドレスは、必ず 1 つの IP アドレス プールに属するこ

とになります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [DHCP] の順にクリックします。

5 [追加 (Add)] をクリックします。

6 新しい DHCP IP アドレス プールに次の一般オプションを設定します。

オプション アクション

開始 IP アドレス プールの開始 IP アドレスを入力します。

終了 IP アドレス プールの終了 IP アドレスを入力します。

ドメイン名 DNS サーバのドメイン名を入力します。この設定はオプションです。

DNS の自動設定 DHCP 割り当てに DNS サービス設定を使用することを選択します。

プライマリ ネーム サーバ [DNS の自動設定 (Auto Configure DNS)] を選択していない場合は、DNS サービスの

[プライマリ ネーム サーバ (Primary Nameserver)] を入力します。hostname-to-IP アドレス解決のために DNS サーバの IP アドレスを入力する必要があります。この設定はオプ

ションです。

セカンダリ ネーム サーバ [DNS の自動設定 (Auto Configure DNS)] を選択していない場合は、DNS サービスの

[セカンダリ ネーム サーバ (Secondary Nameserver)] を入力します。hostname-to-IP アドレス解決のために DNS サーバの IP アドレスを入力する必要があります。この設定は

オプションです。

デフォルト ゲートウェイ デフォルトのゲートウェイ アドレスを入力します。デフォルトのゲートウェイ IP アドレスを

指定しない場合は、NSX Edge インスタンスの内部インターフェイスがデフォルト ゲートウ

ェイとして取得されます。この設定はオプションです。

サブネット マスク サブネット マスクを指定します。分散ルーターの場合に備えて、サブネット マスクは Edge インターフェイスまたは DHCP リレーのサブネット マスクと同じにする必要があります。

リースの有効期限なし アドレスを仮想マシンの MAC アドレスに永久に割り当てることを選択します。これを選択

すると、[リース時間 (Lease Time)] が無効になります。

リース時間 クライアントへの IP アドレスのリース期間を、デフォルトの期間（1 日）にするか、秒数で指

定します。[リースの有効期限なし (Lease never expires)] を選択した場合、リース時間は

指定できません。この設定はオプションです。

NSX 管理ガイド

VMware, Inc. 384

7 （オプション） 次の DHCP オプションを設定します。

オプション アクション

次のサーバ PXE ブートまたは bootp が使用し、次にブートする TFTP サーバ。

TFTP サーバ名（オプション 66） デバイスが Bootfile 名（オプション 67）で指定されたファイルをダウンロードするときに使

用するユニキャスト IPv4 アドレスまたはホスト名を入力します。

TFTP サーバ アドレス（オプション 150） 1 台以上の TFTP サーバの IPv4 アドレスを入力します。

Bootfile 名（オプション 67） TFTP サーバ名（オプション 66）で指定されたサーバからダウンロードする Bootfile ファ

イルの名前を入力します。

インターフェイス MTU（オプション 26） 最大転送ユニット (MTU) は、2 台のホスト間でパケットを分割せずに送信可能な最大フレー

ム サイズです。このオプションでは、インターフェイスで使用される MTU サイズを指定しま

す。各プールおよび静的割り当てには、1 つの MTU サイズ（バイト単位）を設定できます。

MTU の最小値は 68 バイトで、最大値は 65535 バイトです。DHCP サーバにインターフェ

イス MTU が設定されていない場合、DHCP クライアントは、OS に設定されたインターフ

ェイス MTU のデフォルト値を使用します。

クラスレス スタティック ルート（オプション

121）1 つのクラスレス スタティック ルート オプションで、同じ宛先に複数のルートを指定できま

す。各ルートは、宛先サブネット、サブネット マスク、ネクスト ホップ ルーターで構成され

ます。スタティック ルートでは、0.0.0.0/0 は無効なサブネットになります。クラスレス スタティック ルートとオプション 121 の詳細については、RFC 3442 を参照してください。

a [追加 (Add)] をクリックします。

b 宛先とネクスト ホップ ルーターの IP アドレスを入力します。

NSX 6.2.5 以降では、クラスレス スタティック ルートとデフォルト ゲートウェイの両方を

持つ Edge Services Gateway で DHCP プールを構成すると、デフォルト ゲートウェイ

がクラスレス スタティック ルートとして追加されます。

8 [追加 (Add)] または [OK] をクリックします。

DHCP サービスの開始

DHCP サービスを開始すると、NSX Edge が、指定した IP アドレス プールから仮想マシンに IP アドレスを自動

的に割り当てます。

前提条件

DHCP IP アドレス プールが追加されている必要があります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [DHCP] の順にクリックします。

5 [開始 (Start)] をクリックします。

6 （オプション） ログ ポリシーを有効にして、ログ レベルを選択します。

7 [変更の発行 (Publish Changes)] をクリックします。

NSX 管理ガイド

VMware, Inc. 385

結果

重要： 悪意のあるユーザーが不正な DHCP サーバを展開できないように、ファイアウォール ルールを作成するこ

とをおすすめします。これを実行するには、DHCP サーバの有効な IP アドレスでトラフィックが送受信されるとき

に、ポート 67 と 68 にのみ UDP トラフィックを許可するファイアウォール ルールを追加します。詳細について

は、ファイアウォール ルールの使用を参照してください。

次のステップ

IP アドレス プールと割り当てを作成します。

DHCP IP アドレス プールの編集

DHCP IP アドレス プールを編集して、IP アドレスを追加または削除できます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [DHCP] の順にクリックします。

5 DHCP プールを選択し、[編集 (Edit)] アイコンをクリックします。

6 必要な変更を行い、[追加 (Add)] または [OK] をクリックします。

DHCP 静的割り当ての追加

仮想マシン上で動作しているサービスがあり、IP アドレスを変更したくない場合は、IP アドレスを仮想マシンの

MAC アドレスに割り当てることができます。割り当てる IP アドレスは、IP アドレス プールと重複しないようにし

てください。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [DHCP] の順にクリックします。

5 左側のパネルから [割り当て (Bindings)] を選択します。

6 [追加 (Add)] をクリックします。

7 2 つの割り当てオプションのいずれかを選択します。

n [仮想マシン NIC 割り当ての使用 (Use VM NIC Binding)]：仮想マシンの vNIC インデックスが分かって

いる場合に、このオプションを選択します。NSX は、vNIC インデックスから MAC アドレスを決定し、

仮想マシンの IP アドレスを MAC アドレスに割り当てます。

NSX 管理ガイド

VMware, Inc. 386

n [MAC 割り当ての使用 (Use MAC Binding)]：仮想マシンの MAC アドレスを分かっていて、このアドレ

スを IP アドレスの静的割り当てに使用する場合、このオプションを選択します。

8 DHCP 割り当ての全般設定を行います。

a 次のいずれかを行います。

n [仮想マシン NIC 割り当ての使用 (Use VM NIC Binding)] オプションを選択した場合は、割り当てる

インターフェイス、仮想マシン、IP アドレスに割り当てる仮想マシンの vNIC インデックスを選択しま

す。

n [MAC 割り当ての使用 (Use MAC Binding)] オプションを選択した場合は、静的割り当てに使用する

仮想マシンの MAC アドレスを入力します。

b 他の全般設定を指定します。

これらのオプションは、仮想マシンの NIC 割り当てと MAC 割り当てで共通です。

オプション アクション

ホスト名 DHCP クライアント仮想マシンのホスト名を入力します。

IP アドレス 選択した仮想マシンの MAC アドレスを割り当てるアドレスを入力します。

[サブネット マスク (Subnet Mask)] サブネット マスクを指定します。分散ルーターの場合に備えて、サブネット マスクは

Edge インターフェイスまたは DHCP リレーのサブネット マスクと同じである必要があ

ります。

[ドメイン名 (Domain Name)] DNS サーバのドメイン名を入力します。

[デフォルト ゲートウェイ (Default Gateway)]

デフォルトのゲートウェイ アドレスを入力します。デフォルトのゲートウェイ IP アドレ

スを指定しない場合は、NSX Edge インスタンスの内部インターフェイスがデフォルト

ゲートウェイとして取得されます。

[リースの有効期限なし (Lease never expires)]

アドレスを仮想マシンの MAC アドレスに永久に割り当てることを選択します。

[リース時間 (Lease Time)] [リースの有効期限なし (Lease never expires)] を選択していない場合は、アドレスを

クライアントにデフォルトの期間（1 日）リースするか、秒数で値を指定するかを選択しま

す。

9 DNS を設定します。

オプション アクション

DNS の自動設定 DHCP 割り当てに DNS サービス設定を使用することを選択します。

プライマリ ネーム サーバ [DNS の自動設定 (Auto Configure DNS)] を選択していない場合は、DNS サービスの

[プライマリ ネーム サーバ (Primary Nameserver)] を入力します。hostname-to-IP アドレス解決のために DNS サーバの IP アドレスを入力する必要があります。

セカンダリ ネーム サーバ [DNS の自動設定 (Auto Configure DNS)] を選択していない場合は、DNS サービスの

[セカンダリ ネーム サーバ (Secondary Nameserver)] を入力します。hostname-to-IP アドレス解決のために DNS サーバの IP アドレスを入力する必要があります。

10 （オプション） DHCP オプションを指定します。DHCP オプションの設定の詳細については、DHCP IP アドレ

ス プールの追加 の手順 7 を参照してください。

11 [追加 (Add)] をクリックして、[変更の発行 (Publish Changes)] をクリックします。

NSX 管理ガイド

VMware, Inc. 387

DHCP 割り当ての編集

仮想マシンの MAC アドレスに割り当てる固定 IP アドレスに、異なるアドレスを割り当てます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 [管理 (Manage)] - [DHCP] の順にクリックします。

5 左側のパネルから [割り当て (Bindings)] を選択し、編集する割り当てをクリックします。

6 [編集 (Edit)] アイコンをクリックします。

7 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

DHCP リレーの設定

DHCP (Dynamic Host Configuration Protocol) リレーを使用すると、環境で IP アドレス管理を中断すること

なく、NSX 内から既存の DHCP インフラストラクチャを活用することが可能になります。DHCP メッセージは、

仮想マシンから、物理環境にある指定された DHCP サーバにリレーされます。これにより、NSX 内の IP アドレス

が他の環境の IP アドレスと同期した状態を維持できます。

DHCP は分散論理ルーター ポートに適用され、複数の DHCP サーバがリストされる可能性があります。要求は、

リストされたすべてのサーバに送信されます。DHCP 要求がクライアントからリレーされている間に、ゲートウェイ

IP アドレスがその要求に追加されます。外部の DHCP サーバは、このゲートウェイ アドレスを使用してプールを照

合し、要求に対する IP アドレスを割り当てます。ゲートウェイ アドレスは、リレーが実行されている NSX ポート

のサブネットに属している必要があります。

複数の IP アドレスドメインをサポートするために、論理スイッチごとに異なる DHCP サーバを指定し、分散論理ル

ーターごとに複数の DHCP サーバを設定することができます。

注： DHCP OFFER に論理インターフェイス (LIF) と異なる IP アドレスがある場合、分散論理ルーターは仮想マ

シンにリレーしません。パケットがドロップされます。

DHCP サーバでプールおよびバインドを設定する場合、リレーされるクエリのプール/バインドのサブネット マスク

が DHCP リレーのインターフェイスと同じであることを確認してください。サブネット マスク情報は、仮想マシン

と DHCP サービスを提供する Edge の間で分散論理ルーターが DHCP リレーとして機能しているときに、API で提供する必要があります。このサブネット マスクは、分散論理ルーターの仮想マシンのゲートウェイ インターフェ

イスで設定したものと一致する必要があります。

NSX 管理ガイド

VMware, Inc. 388

分散論理ルーター

論理スイッチ

論理スイッチ

NSX

DHCPサーバ Y

リレー

DHCPサーバ X

サーバ Y

注： n DHCP リレーでは、重複する IP アドレス空間はサポートしません（オプション 82）。

n DHCP リレーと DHCP サービスを 1 つのポート/vNIC で同時に実行することはできません。ポート上でリレ

ー エージェントが設定されている場合、DHCP プールをこのポートのサブネットに設定することはできません。

DHCP リレー サーバの追加

DHCP メッセージのリレー先となる外部リレー サーバを追加します。リレー サーバは、IP セット、IP アドレス ブロック、ドメイン、またはこれらのすべての組み合わせになります。メッセージは、リストされている各 DHCP サーバにリレーされます。

前提条件

n DHCP リレーでは、重複する IP アドレス空間はサポートしません（オプション 82）。

n DHCP リレーと DHCP サービスを 1 つのポート/vNIC で同時に実行することはできません。ポート上でリレ

ー エージェントが設定されている場合、DHCP プールをこのポートのサブネットに設定することはできません。

n DHCP OFFER に論理インターフェイス (LIF) と異なる IP アドレスが含まれる場合、分散論理ルーターは仮想

マシンにリレーしません。パケットはドロップします。

NSX 管理ガイド

VMware, Inc. 389

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [NSX Edges] の順

に移動します。

2 NSX Edge をダブルクリックします。

3 [管理 (Manage)] - [DHCP] - [リレー (Relay)] の順にクリックします。

4 [DHCP リレー グローバル設定 (DHCP Relay Global Configuration)] の横にある [編集 (Edit)] をクリッ

クします。

5 これらのいずれかの方法を使用するか、これらの方法を組み合わせて DHCP リレー サーバを追加します。

方法 説明

IP セットの選択 NSX 6.4.4 以降：

n [使用可能なオブジェクト (Available Objects)] リストから IP セットを選択し、[選択

したオブジェクト (Selected Objects)] リストに移動します。

NSX 6.4.3 以前：

a [追加 (Add)]アイコンをクリックします。

b [使用可能なオブジェクト (Available Objects)] リストから IP セットを選択し、[選択

したオブジェクト (Selected Objects)] リストに移動します。

IP アドレスの指定 IP アドレスのリストをカンマ区切りで入力します。

ドメイン名の指定 ドメイン名のリストをカンマ区切りで入力します。たとえば、

group1.vmware.com,group2.vmware.com と入力します。

ファイアウォールにドメインの IP アドレスが手動で追加されていることを確認します。

6 [保存 (Save)] または [OK] をクリックします。

DHCP リレー エージェントの追加

DHCP 要求を外部 DHCP リレー サーバにリレーする Edge インターフェイスを追加します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [NSX Edges] の順

に移動します。

2 NSX Edge をダブルクリックします。

3 [管理 (Manage)] - [DHCP] - [リレー (Relay)] の順にクリックします。

4 [DHCP リレー エージェント (DHCP Relay Agent)] 領域で、[追加 (Add)] をクリックします。

5 [vNIC] で、内部 vNIC が選択されていることを確認します。

[ゲートウェイ IP アドレス (Gateway IP Address)] には、選択した vNIC のプライマリ IP アドレスが表示さ

れます。

6 [追加 (Add)] または [OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 390

DNS サーバの構成

NSX Edge では、外部の DNS サーバを構成できます。Edge は、ネットワーク名を解決するため、クライアント

アプリケーションから DNS サーバに DNS 要求を転送します。Edge は、DNS サーバから受信した応答をキャッ

シュに保存する場合があります。DNS サービスは、Cross-vCenter NSX 環境の Edge Services Gateway、分

散論理ルーター、ユニバーサル分散論理ルーターでサポートされます。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge] の順にクリックします。

3 NSX Edge をダブルクリックします。

4 移動して、DNS の設定を編集します。

バージョン 手順

NSX 6.4.4 以降 a [管理 (Manage)] - [DNS] の順にクリックします。

b [DNS 設定] の横にある [変更 (Change)] をクリックします。

NSX 6.4.3 以前 a [管理 (Manage)] - [設定 (Settings)] - [設定 (Configuration)] の順にクリックしま

す。

b [DNS 設定 (DNS Configuration)] パネルで、[変更 (Change)] をクリックします。

5 [DNS サービスの有効化 (Enable DNS Service)] をクリックします。

6 1 つまたは両方の DNS サーバの IP アドレスを入力します。

7 必要に応じてデフォルトのキャッシュ サイズを変更します。デフォルトのサイズは 16 MB です。

8 DNS トラフィックをログに記録するには、[ログの有効化 (Enable Logging)] をクリックして、ログ レベル

を選択します。デフォルトのログ レベルは info です。

生成されたログは Syslog サーバに送信されます。

9 [保存 (Save)] または [OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 391

Service Composer 18Service Composer では、ネットワークおよびセキュリティ サービスを仮想インフラストラクチャ内のアプリケー

ションにプロビジョニングして割り当てることができます。これらのサービスをセキュリティ グループにマッピン

グすると、サービスがセキュリティ グループの仮想マシンに適用されます。

セキュリティ グループ

まず、保護する資産を定義するためにセキュリティ グループを作成します。特定の仮想マシンを含む固定のセキュリ

ティ グループか、動的なセキュリティ グループを作成できます。動的なセキュリティ グループの場合は、次の方法

でメンバーシップを定義できます。

n vCenter Server コンテナ（クラスタ、ポート グループ、またはデータセンター）

n セキュリティ タグ、IPset、MACset、または他のセキュリティ グループ。たとえば、指定したセキュリティ

タグ（AntiVirus.virusFound など）でタグ付けされたメンバーのすべてをセキュリティ グループに追加する

ための基準を含めることができます。

n ディレクトリ グループ（NSX Manager が Active Directory に登録されている場合）

n VM1 という名前の仮想マシンなどの正規表現

セキュリティ グループ メンバーシップは常に変動します。たとえば、AntiVirus.virusFound タグが付けられた仮

想マシンは、検疫セキュリティ グループに追加されます。ウイルスがクリーンアップされ、このタグが仮想マシンか

ら削除されると、検疫セキュリティ グループから除外されます。

重要： 移動またはコピーで仮想マシンの仮想マシン ID が再生成された場合、セキュリティ タグは新しい仮想マシ

ン ID に伝達されません。

セキュリティ ポリシー

セキュリティ ポリシーは、次のサービス設定の集合体です。

VMware, Inc. 392

表 18-1. セキュリティ ポリシーに含まれるセキュリティ サービス

サービス 説明 適用先

ファイアウォール

ルール

セキュリティ グループとの間、またはセキュリティ グループ内で許可されるトラフィック

を定義するルール。

vNIC

Endpoint サービ

ス

アンチウイルスや脆弱性管理サービスなどのサードパーティ ソリューション プロバイダの

サービス。

仮想マシン

ネットワーク イン

トロスペクション

サービス

ネットワークを監視するサービス（IPS など）。 仮想マシン

サード パーティ ベンダーのサービスは、NSX でのサービスのデプロイ時にサービス カテゴリを選択します。各ベ

ンダー テンプレートに、デフォルトのサービス プロファイルが作成されます。

サード パーティ ベンダーのサービスが NSX 6.1 にアップグレードされる際、アップグレードされるベンダー テン

プレートに、デフォルトのサービス プロファイルが作成されます。ゲスト イントロスペクション ルールを含む既存

のサービス ポリシーは、アップグレード中に作成されたサービス プロファイルを参照するように更新されます。

セキュリティ グループへのセキュリティ ポリシーのマッピング

セキュリティ ポリシー（SP1 など）をセキュリティ グループ（SG1 など）にマッピングします。SP1 に設定された

サービスは、SG1 のメンバーであるすべての仮想マシンに適用されます。

注： 同じセキュリティ ポリシーを適用する必要がある多数のセキュリティ グループがある場合、1 つのアンブレラ

セキュリティ グループを作成し、その中にそれらのすべての子セキュリティ グループを格納して、そのアンブレラ

セキュリティ グループに共通セキュリティ ポリシーを適用します。これにより、NSX 分散ファイアウォールが

ESXi ホスト メモリを効率的に利用できるようになります。

図 18-1. Service Composer の概要

セキュリティ グループ

仮想マシンが複数のセキュリティ グループに属している場合は、セキュリティ グループにマッピングされたセキュ

リティ ポリシーの優先順位に応じて、仮想マシンにサービスが適用されます。

Service Composer プロファイルをエクスポートおよびインポートして、他の環境で使用することができます。ネ

ットワークおよびセキュリティ サービスをこの方法で管理すると、繰り返し利用可能で実用的なセキュリティ ポリ

シー管理が可能になります。

NSX 管理ガイド

VMware, Inc. 393

この章には、次のトピックが含まれています。

n Service Composer の使用

n Service Composer キャンバス

n セキュリティ タグの操作

n 有効なサービスの表示

n セキュリティ ポリシーの操作

n セキュリティ ポリシー設定のインポートとエクスポート

n Service Composer のシナリオ

Service Composer の使用

Service Composer を使用すると、セキュリティ サービス容易に利用できます。

ここでは、例を追いながら、ネットワークのエンドツーエンドの保護に　Service Composer をどのように利用す

るかを確認します。環境に次のセキュリティ ポリシーが定義されているとします。

n 脆弱性スキャン サービスを含む、初期状態のセキュリティ ポリシー (InitStatePolicy)

n ファイアウォール ルール、アンチウイルス サービス、およびネットワーク IPS サービスを含む、修正セキュリ

ティ ポリシー (RemPolicy)

RemPolicy の重み（優先順位）が InitStatePolicy の重みよりも高いことを確認します。

また、次のセキュリティ グループも設定しているとします。

n 環境内の業務上重要なアプリケーションを含むアプリケーション資産グループ (AssetGroup)

n 仮想マシンが脆弱であることを示すタグ

(VULNERABILITY_MGMT.VulnerabilityFound.threat=medium) で定義された、RemGroup という名

前の修正セキュリティ グループ

次に、InitStatePolicy を AssetGroup にマッピングして環境内の業務上重要なアプリケーションすべてを保護し

ます。また、RemPolicy を RemGroup にマッピングして脆弱な仮想マシンを保護します。

脆弱性スキャンを開始すると、AssetGroup 内のすべての仮想マシンがスキャンされます。スキャンで脆弱性のあ

る仮想マシンが特定された場合、VULNERABILITY_MGMT.VulnerabilityFound.threat=medium タグがその

仮想マシンに適用されます。

Service Composer は即座にこのタグ付けされた仮想マシンを RemGroup に追加します。RemGroup には、追

加された脆弱な仮想マシンは保護するためのネットワーク IPS ソリューションが設定されています。

NSX 管理ガイド

VMware, Inc. 394

図 18-2. 動作中の Service Composer

パートナー ソリューション パートナー ソリューション

ビジネス クリティカルなアプリケーションの

セキュリティ グループ

VULNERABILITY_MGMT,VulnerabilityFound.threat

=medium

タグ付きの仮想マシン

VULNERABILITY_MGMT,VulnerabilityFound.threat

=medium

修正セキュリティ グループ

VULNERABILITY_MGMT,VulnerabilityFound.threat

=medium

ビジネス クリティカルなアプリケーション

脆弱性スキャン

次に、このトピックでは Service Composer が提供するセキュリティ サービスを使用するための手順について説

明します。

手順

1 Service Composer でのセキュリティ グループの作成

NSX Manager レベルでセキュリティ グループを作成できます。

2 グローバル設定

3 セキュリティ ポリシーの作成

セキュリティ ポリシーは、セキュリティ グループに適用可能な一連の ゲスト イントロスペクション、ファイ

アウォール、およびネットワーク イントロスペクション サービスです。セキュリティ ポリシーが表示される

順序は、ポリシーに関連付けられた重みによって決まります。デフォルトでは、新しいポリシーには、テーブ

ルの最上位になるように最も大きい重みが割り当てられます。ただし、デフォルトの推奨される重みを変更し

て、新しいポリシーに割り当てられた順序を変更できます。

4 セキュリティ グループへのセキュリティ ポリシーの適用

セキュリティ ポリシーをセキュリティ グループに適用して、仮想デスクトップ、ビジネス上重要なアプリケー

ション、およびその間の接続を保護することができます。適用されなかったサービスと適用に失敗した理由の

リストも表示できます。

Service Composer でのセキュリティ グループの作成

NSX Manager レベルでセキュリティ グループを作成できます。

NSX 管理ガイド

VMware, Inc. 395

前提条件

RDSH で使用するセキュリティ ポリシーを作成する場合は、次のことを確認してください。

n Active Directory サーバが NSX Manager に統合されている必要があります。

n ホストで分散ファイアウォールを有効にし、NSX 6.4.0 にアップグレードする必要があります。

n ゲスト マシンで、更新された VMware Tools が実行されている必要があります。

n ゲスト イントロスペクション サービス仮想マシンのバージョンが 6.4 以降でなければなりません。

n ファイアウォール ルールの新しいセクションにルールを作成する必要があります。

n ルールで [送信元でユーザー ID を有効にする] を選択する必要があります。

n リモート デスクトップ アクセスのルールでは、[適用先] フィールドを使用できません。

n RDSH の IDFW では ICMP がサポートされていません。

手順

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ グループ (Security Groups)] タブを表示していることを確認します。

3 [セキュリティ グループの追加 (Add Security Group)] または [追加 (Add)] アイコンをクリックします。

RDSH の Identity Firewall で使用するセキュリティ グループでは、作成時に[送信元でユーザー ID を有効に

する]が選択されたセキュリティ ポリシーを使用する必要があります。RDSH の Identity Firewall で使用す

るセキュリティ グループには、Active Directory (AD) グループのみを含める必要があります。ネストされた

セキュリティ グループもすべて AD グループにする必要があります。

4 セキュリティ グループの名前と説明を入力して、[次へ (Next)] をクリックします。

5 [動的メンバーシップ] ページで、作成中のセキュリティ グループに追加するオブジェクトに必要となる基準を定

義します。

たとえば、指定したセキュリティ タグ（AntiVirus.virusFound など）でタグ付けされたメンバーのすべてを

セキュリティ グループに追加するための基準を含めることができます。

または、W2008 という名前を含むすべての仮想マシンや、論理スイッチ global_wire に含まれる仮想マシン

をセキュリティ グループに追加することもできます。

セキュリティ タグでは大文字と小文字が区別されます。

注： 特定のセキュリティ タグが適用された仮想マシンでセキュリティ グループを定義する場合、動的ワーク

フローまたは条件付きワークフローを作成できます。タグが仮想マシンに適用されるとすぐに、仮想マシンは自

動的にそのセキュリティ グループに追加されます。

6 [次へ (Next)] をクリックします。

NSX 管理ガイド

VMware, Inc. 396

7 [含めるオブジェクトの選択] ページで、ドロップダウンからオブジェクト タイプを選択します。

リモート デスクトップ セッションで使用するセキュリティ グループには、ディレクトリ グループのみを含める

ことができます。

8 リストに追加するオブジェクトを選択します。セキュリティ グループには次のオブジェクトを含めることがで

きます。

n 作成中のセキュリティ グループ内にネストされた他のセキュリティ グループ。

n クラスタ

n 論理スイッチ

n ネットワーク

n 仮想アプリケーション

n データセンター

n IP セット

n Active Directory グループ

注： NSX セキュリティ グループの Active Directory 設定は、vSphere SSO の Active Directory 設定とは異なります。NSX Active Directory グループの設定はゲスト仮想マシンにアクセスするエンド

ユーザー用であり、vSphere SSO は vSphere および NSX を使用する管理者用です。

n MAC セット

注： Service Composer では、ポリシー設定に MAC セットが含まれているセキュリティ グループの使

用が許可されていますが、特定の MAC セット用のルールを適用することはできません。Service Composer はレイヤー 3 で動作し、レイヤー 2 構造をサポートしません。

n セキュリティ タグ

n vNIC

n 仮想マシン

n リソース プール

n 分散仮想ポート グループ

ここで選択したオブジェクトは、動的基準を満たすかどうかにかかわらず、常にセキュリティ グループに含まれ

ます。

セキュリティ グループに 1 つのリソースを追加すると、関連するすべてのリソースも自動的に追加されます。た

とえば、仮想マシンを選択すると、関連する vNIC が自動的にセキュリティ グループに追加されます。

9 [次へ (Next)] をクリックして、セキュリティ グループから除外するオブジェクトをダブルクリックします。

ここで選択されるオブジェクトは、動的基準に一致する場合やリストに選定されている場合でも、常にセキュリ

ティ グループから除外されます。

10 [終了 (Finish)] をクリックします。

NSX 管理ガイド

VMware, Inc. 397

例

セキュリティ グループのメンバーシップは、次のように決まります。

{式の結果（手順 手順 5 から派生）+ 含まれるアイテム（手順 手順 8 で指定} - 除外されるアイテム（手順 手順 9 で指定）。つまり、式の結果では、含まれるアイテムが最初に追加されます。次に、除外されるアイテムが、結合され

た結果から差し引かれます。

グローバル設定

Service Composer ファイアウォールの適用先設定の編集

Service Composer から作成されたすべてのファイアウォール ルールの適用先を、分散ファイアウォールまたはポ

リシーのセキュリティ グループに設定できます。デフォルトでは、適用先は分散ファイアウォールに設定されていま

す。

Service Composer ファイアウォール ルールの適用先が分散ファイアウォールに設定されているとき、ルールは分

散ファイアウォールがインストールされているすべてのクラスタに適用されます。ファイアウォール ルールがポリ

シーのセキュリティ グループに適用されるように設定されている場合は、ファイアウォール ルールをより詳細に制

御できます。ただし、場合によっては、複数のセキュリティ ポリシーまたはファイアウォール ルールが必要になり

ます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

3 グローバル ファイアウォールの設定を編集するには、次の手順に従います。

u NSX 6.4.1 以降では、[グローバル ファイアウォールの設定] の横にある 編集 ( ) アイコンをクリックしま

す。

u NSX 6.4.0 では、[グローバル設定] の横にあるファイアウォール ルールの適用先で、[編集 (Edit)] をクリ

ックします。

4 [適用先] のデフォルト設定を選択して、[[OK]] をクリックします。この値により、ファイアウォール ルールが

適用される vNIC が決まります。

オプション 説明

分散ファイアウォール ファイアウォール ルールは、分散ファイアウォールがインストールされているすべてのクラス

タに適用されます。

ポリシーのセキュリティ グループ ファイアウォール ルールは、セキュリティ ポリシーが適用されているセキュリティ グループ

に適用されます。

適用先のデフォルト設定は、API を介して表示や変更ができます。『NSX API ガイド』を参照してください。

RDSH ファイアウォール ルールを使用する場合、設定の適用先は [分散ファイアウォール (Distributed Firewall)] にします。RDSH ルールの適用先として [ポリシーのセキュリティ グループ (Policy's Security Groups)] は使用できません。

NSX 管理ガイド

VMware, Inc. 398

例： 適用先の動作

ここに例として示すシナリオでは、サービスに対するファイアウォール ルールのデフォルト アクションが「ブロッ

ク」に設定されています。セキュリティ グループは「web-servers」と「app-servers」の 2 種類あり、それぞ

れ仮想マシンが含まれます。次のファイアウォール ルールを含むセキュリティ ポリシー allow-ssh-from-web を作成し、これをセキュリティ グループの「app-servers」に適用します。

n 名前：allow-ssh-from-web

n 送信元：web-servers

n 宛先：ポリシーのセキュリティ グループ

n サービス：ssh

n アクション：許可

ファイアウォール ルールが分散ファイアウォールに適用される場合は、セキュリティ グループ「web-servers」の

仮想マシンからセキュリティ グループ「app-servers」の仮想マシンに対して SSL 通信を使用できます。

ファイアウォール ルールがポリシーのセキュリティ グループに適用される場合は、「app-servers」へのトラフィ

ックがブロックされるため、SSL 通信を使用できません。「app-servers」への SSL 通信を許可するための追加の

セキュリティ ポリシーを作成して、このポリシーをセキュリティ グループ「web-servers」に適用する必要があり

ます。

n 名前：allow-ssh-to-app

n 送信元：ポリシーのセキュリティ グループ

n 宛先：app-servers

n サービス：ssh

n アクション：許可

ファイアウォール設定の同期

ファイアウォールの設定を同期すると、ファイアウォールが設定された Service Composer の設定を同期し、

Service Composer 関連のファイアウォール セクションとルールをファイアウォール側に再作成できます。

ファイアウォールの設定を同期すると、ファイアウォールが設定されたすべての Service Composer の設定を再同

期できます。ファイアウォール側に Service Composer 関連のファイアウォール セクションとルールが再作成さ

れます。この再同期は、ファイアウォールとネットワーク イントロスペクションに関連するポリシー構成にのみ使用

できます。この操作を行うと、ファイアウォールのデフォルト セクションの優先順位に従って、すべてのポリシー セクションが作成されます。

注： この処理には時間がかかる場合があります。必要な場合にのみ開始してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

NSX 管理ガイド

VMware, Inc. 399

3 ファイアウォール設定を同期するには、次の手順に従います。

u NSX 6.4.1 以降では、[同期ステータス] の横にある [同期 (Synchronize)] をクリックします。

u NSX 6.4.0 では、[グローバル設定] の横にある [同期 (Synchronize)] をクリックします。

分散ファイアウォールまたはポリシー セキュリティ グループのいずれかにグローバル同期が実行されます。す

べての Service Composer 関連のファイアウォール セクションとルールが同期され、[適用先 (Applied To)] の選択に合わせて変更されます。Service Composer ファイアウォールの適用先設定の編集を参照してくだ

さい。

セキュリティ ポリシーの作成

セキュリティ ポリシーは、セキュリティ グループに適用可能な一連の ゲスト イントロスペクション、ファイアウォ

ール、およびネットワーク イントロスペクション サービスです。セキュリティ ポリシーが表示される順序は、ポリ

シーに関連付けられた重みによって決まります。デフォルトでは、新しいポリシーには、テーブルの最上位になるよ

うに最も大きい重みが割り当てられます。ただし、デフォルトの推奨される重みを変更して、新しいポリシーに割り

当てられた順序を変更できます。

前提条件

次のように設定されていることを確認します。

n 必要な VMware 組み込みサービス（分散ファイアウォール、ゲスト イントロスペクションなど）がインストー

ルされている。

n 必要なパートナー サービスが NSX Manager サービスに登録されている。

n デフォルトの適用先設定が Service Composer のファイアウォール ルールに設定されている。Service Composer ファイアウォールの適用先設定の編集 を参照してください。

RDSH の Identity Firewall にセキュリティ ポリシー フレームワークを作成する場合は、次の条件を満たす必要が

あります。

n Active Directory サーバが NSX Manager に統合されている必要があります。

n ホストで分散ファイアウォールを有効にし、NSX 6.4.0 にアップグレードする必要があります。

n ゲスト マシンで、更新された VMware Tools が実行されている必要があります。

n ゲスト イントロスペクション サービス仮想マシンのバージョンが 6.4 以降でなければなりません。

n ファイアウォール ルールの新しいセクションにルールを作成する必要があります。

n ルールで [送信元でユーザー ID を有効にする] を選択する必要があります。

n リモート デスクトップ アクセスのルールでは、[適用先] フィールドを使用できません。

n RDSH の IDFW では ICMP がサポートされていません。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

NSX 管理ガイド

VMware, Inc. 400

3 新しいセキュリティ ポリシーを作成するには、次の手順に従います。

u NSX 6.4.1 では、[追加 (Add)] をクリックします。

u NSX 6.4.0 では、[セキュリティ ポリシーの作成 (Create Security Policy)]（ ）アイコンをクリック

します。

4 [セキュリティ ポリシーの作成] または [新しいセキュリティ ポリシー] ダイアログ ボックスで、セキュリティ

ポリシーの名前を入力します。

5 セキュリティ ポリシーの説明を入力します。 説明は 255 文字以下にする必要があります。

NSX では、ポリシーにデフォルトの重み（最大の重み + 1000）が割り当てられます。たとえば、既存のポリ

シーの最大の重みが 1200 の場合、新しいポリシーには重み 2200 が割り当てられます。

セキュリティ ポリシーはその重みに応じて適用されます。つまり、重みが大きいポリシーは重みが小さいポリシ

ーよりも優先順位が高くなります。

6 作成しているポリシーで別のセキュリティ ポリシーからサービスを受け取るには、[セキュリティ ポリシーの継

承 (Inherit security policy)] を選択します。親ポリシーを選択します。

新しいポリシーでは、親ポリシーからすべてのサービスが継承されます。

7 [次へ (Next)] をクリックします。

8 [ゲスト イントロスペクション サービス] ページで、[追加 (Add)] または [ゲスト イントロスペクション サー

ビスの追加 (Add Guest Introspection Service)]（ ）アイコンをクリックします。

a [ゲスト イントロスペクション サービスの追加] ダイアログ ボックスで、サービスの名前と説明を入力しま

す。

b サービスを適用するか、ブロックするかを指定します。

セキュリティ ポリシーを継承する場合に、親ポリシーからのサービスをブロックするように選択することも

できます。

サービスを適用する場合、サービスとサービス プロファイルを選択する必要があります。サービスをブロッ

クする場合、ブロックするサービスのタイプを選択する必要があります。

c サービスのブロックを選択する場合、サービスのタイプを選択します。

d ゲスト イントロスペクション サービスの適用を選択する場合、[]サービス名を選択します。

選択したサービスのデフォルトのサービス プロファイルが表示されます。これには、関連付けられたベンダ

ー テンプレートでサポートされているサービス機能タイプの情報が含まれます。

e [状態 (State)] で、選択したゲスト イントロスペクション サービスを有効にするか、無効にするかを指定

します。

ゲスト イントロスペクション サービスを、後で有効にするサービスのプレースホルダとして追加できます。

これは、サービスをオンデマンドで追加する必要がある場合に（新しいアプリケーションなど）特に便利で

す。

NSX 管理ガイド

VMware, Inc. 401

f ゲスト イントロスペクション サービスを適用するかどうかを選択します（オーバーライドできません）。選

択したサービス プロファイルで複数のサービス機能タイプがサポートされている場合、これは、デフォルト

で [強制 (Enforce)] に設定されており、変更できません。

セキュリティ ポリシーで ゲスト イントロスペクション サービスを適用する場合、このセキュリティ ポリ

シーを継承する他のポリシーでは、他の子ポリシーより前にこのポリシーを適用する必要があります。この

サービスが適用されていない場合、継承の選択により、子ポリシーが適用された後に親ポリシーが追加され

ます。

g [OK] をクリックします。

上記の手順に従ってさらにゲスト イントロスペクションサービスを追加できます。ゲスト イントロスペクショ

ン サービスは、サービス テーブルの上にあるアイコンを使用して管理できます。

NSX 6.4.0 では、このページのサービスをエクスポートまたはコピーするには、[ゲスト イントロスペクション

サービス] ページの右下にある アイコンをクリックします。

9 [次へ (Next)] をクリックします。

10 [ファイアウォール] ページで、このセキュリティ ポリシーが適用されるセキュリティ グループのファイアウォ

ール ルールを定義します。

RDSH の Identity Firewall にセキュリティ ポリシーを作成するときは、[送信元でユーザー ID を有効にする] を選択する必要があります。この設定を行うと、コンテキストを識別するために TCP 接続の状態が追跡される

ため、ステートレス ファイアウォールの有効化オプションが無効になります。ポリシーの更新中に、このフラグ

を変更することはできません。[送信元でユーザー ID を有効にする] を選択してセキュリティ ポリシーを作成

する場合、継承は使用できません。

a 次のオプション パラメータを有効にするチェック ボックスをクリックします。

オプション 説明

送信元でユーザー ID を有効にする RDSH の Identity Firewall を使用する場合は、[送信元でユーザ

ー ID を有効にする] を選択する必要があります。この設定を行う

と、コンテキストを識別するために TCP 接続の状態が追跡される

ため、ステートレス ファイアウォールの有効化オプションが無効に

なります。

TCP Strict を有効にする 各ファイアウォール セクションに TCP Strict を設定できます。

ステートレス ファイアウォールを有効にする 各ファイアウォール セクションでステートレス ファイアウォール

を有効にします。

b [追加 (Add)] または[ファイアウォール ルールの追加 (Add Firewall Rule)]（ ）アイコンをクリックし

ます。

c 追加するファイアウォール ルールの名前と説明を入力します。

d [許可 (Allow)]、[ブロック (Block)] または [拒否 (Reject)] を選択して、選択された宛先へのトラフィッ

クをルールで許可、ブロック、拒否するのかを示します。

e ルールの送信元を選択します。デフォルトでは、ルールは、このポリシーが適用されるセキュリティ グルー

プから受信するトラフィックに適用されます。デフォルトの送信元を変更するには、[選択 (Select)] また

は [変更 (Change)] をクリックし、適切なセキュリティ グループを選択します。

NSX 管理ガイド

VMware, Inc. 402

f ルールの宛先を選択します。

注： [送信元] または [宛先]（あるいはその両方）が、このポリシーの適用対象セキュリティ グループであ

る必要があります。

たとえば、デフォルトの送信元でルールを作成し、[宛先] に Payroll を指定し、[宛先の無効化 (Negate Destination)] を選択したとします。次に、このセキュリティ ポリシーを Engineering というセキュリテ

ィ グループに適用します。これにより、Engineering は Payroll サーバを除くすべてにアクセスできるよ

うになります。

g ルールを適用するサービスまたはサービス グループ、あるいはその両方を選択します。

h [有効 (Enabled)] または [無効 (Disabled)] を選択してルールの状態を指定します。

i このルールに一致するセッションをログに記録するには、[ログ (Log)] を選択します。

ログを有効にするとパフォーマンスに影響が出る場合があります。

j ファイアウォール ルールを追加または編集するときに、追加するテキストを [タグ (Tag)] テキスト ボック

スに入力します。

k [OK] をクリックします。

上記の手順に従ってさらにファイアウォール ルールを追加できます。ファイアウォール ルールは、ファイアウ

ォール テーブルの上にあるアイコンを使用して管理できます。

NSX 6.4.0 で、このページのルールをエクスポートまたはコピーするには、[ファイアウォール] ページの右下

にある アイコンをクリックします。

ここで追加したファイアウォール ルールは、ファイアウォール テーブルに表示されます。ファイアウォール テーブルの Service Composer ルールは編集しないことをお勧めします。緊急のトラブルシューティングを行

う必要がある場合は、次のように、Service Composer ルールをファイアウォール ルールと再同期する必要が

あります。

n NSX 6.4.1 以降では、[セキュリティ ポリシー] タブで [同期 (Synchronize)] を選択します。

n NSX 6.4.0 では、[セキュリティ ポリシー] タブの [アクション (Actions)] メニューから [ファイアウォー

ル ルールの同期 (Synchronize Firewall Rules)] を選択します。

11 [次へ (Next)] をクリックします。

[ネットワーク イントロスペクション サービス] ページには、VMware 仮想環境と統合した NetX サービスが

表示されます。

12 次のオプション パラメータを有効にするチェック ボックスをクリックします。

オプション 説明

TCP Strict を有効にする 各ファイアウォール セクションに TCP Strict を設定できます。

ステートレス ファイアウォールを有効にする 各ファイアウォール セクションでステートレス ファイアウォールを

有効にします。

NSX 管理ガイド

VMware, Inc. 403

13 [追加 (Add)] または [ネットワーク イントロスペクション サービスの追加 (Add Network Introspection

Service)]（ ）アイコンをクリックします。

a 追加するサービスの名前と説明を入力します。

b サービスにリダイレクトするかどうかを選択します。

c サービスの名前とプロファイルを選択します。

d 送信元と宛先を選択します。

e 追加するネットワーク サービスを選択します。

選択したサービスに基づいて追加の選択を行うことができます。

f サービスを有効にするか、無効にするかを選択します。

g このルールに一致するセッションをログに記録するには、[ログ] を選択します。

h 追加するテキストを [タグ (Tag)]テキスト ボックスに入力します。

i [OK] をクリックします。

上記の手順に従ってさらにネットワーク イントロスペクション サービスを追加できます。ネットワーク イント

ロスペクション サービスは、サービス テーブルの上にあるアイコンを使用して管理できます。

NSX 6.4.0 では、このページのサービスをエクスポートまたはコピーするには、[ネットワーク イントロスペク

ション サービス] ページの右下にある アイコンをクリックします。

注： Service Composer ポリシーで使用されるサービス プロファイル用に手動で作成したバインドが上書き

されます。

14 [終了 (Finish)] をクリックします。

セキュリティ ポリシーがポリシー テーブルに追加されます。ポリシーに関連付けられたサービスのサマリの表

示、サービス エラーの表示、またはサービスの編集を行うには、ポリシー名をクリックし、適切なタブを選択し

ます。

次のステップ

セキュリティ ポリシーをセキュリティ グループにマッピングします。

セキュリティ グループへのセキュリティ ポリシーの適用

セキュリティ ポリシーをセキュリティ グループに適用して、仮想デスクトップ、ビジネス上重要なアプリケーショ

ン、およびその間の接続を保護することができます。適用されなかったサービスと適用に失敗した理由のリストも表

示できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

NSX 管理ガイド

VMware, Inc. 404

3 セキュリティ ポリシーを選択し、[適用 (Apply)] または [セキュリティ ポリシーの適用 (Apply Security

Policy)] （ ）アイコンをクリックします。

4 ポリシーを適用するセキュリティ グループを選択します。

RDSH の Identity Firewall で使用するセキュリティ グループでは、作成時に[送信元でユーザー ID を有効に

する]が選択されたセキュリティ ポリシーを使用する必要があります。RDSH の Identity Firewall で使用す

るセキュリティ グループには、Active Directory (AD) グループのみを含める必要があります。ネストされた

セキュリティ グループもすべて AD グループにする必要があります。

特定のセキュリティ タグが適用されている仮想マシンによって定義されるセキュリティ グループを選択した場

合、動的または条件付きワークフローを作成できます。タグが仮想マシンに適用されるとすぐに、仮想マシンは

自動的にそのセキュリティ グループに追加されます。

ポリシーに関連付けられた ネットワーク イントロスペクション ルールおよび Endpoint ルールは、IPSet およ

び MacSet のメンバー（またはそのいずれか）を含むセキュリティ グループに対しては、有効になりません。

5 （オプション） （NSX 6.4.0 の場合のみ）選択したセキュリティ グループに適用できないサービスと失敗した

理由を表示するには、[サービス ステータスのプレビュー (Preview Service Status)] アイコンをクリックし

ます。

たとえば、セキュリティ グループに含まれている仮想マシンが属するクラスタに、ポリシー サービスのいずれ

かがインストールされていない場合があります。セキュリティ ポリシーが目的どおりに機能するには、そのサー

ビスを該当するクラスタにインストールする必要があります。

6 [OK] をクリックします。

Service Composer キャンバス

Service Composer のキャンバス タブでは、選択された NSX Manager 内のすべてのセキュリティ グループを

グラフィカルに表示できます。このビューにはまた、各セキュリティ グループのメンバーやセキュリティ グループ

に適用されているセキュリティ ポリシーなどの詳細も表示されます。

注： NSX 6.4.1 以降では、[Service Composer] の [キャンバス (Canvas)] タブが削除されています。

ここでは、部分的に設定されたシステムで Service Composer の手順を追うことで、キャンバス ビューから概要

レベルでセキュリティ グループと Security Policy Object 間のマッピングを視覚的に理解する方法を説明しま

す。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [キャンバス (Canvas)] タブをクリックします。

画面上部にある [同期のステータス (Synchronization Status)] に、エラーまたは警告が表示されます。また、

[ファイアウォール発行ステータス (Firewall Publish Status)] には、ファイアウォール ルールが最後に発行さ

れた日付と時刻のタイムスタンプが表示されます。

NSX 管理ガイド

VMware, Inc. 405

選択された NSX Manager 内のすべてのセキュリティ グループ（他のセキュリティ グループには含まれてい

ないもの）が、適用されているポリシーとともに表示されます。[NSX Manager] ドロップダウン リストには、

現在ログインしているユーザーにロールが割り当てられている NSX Manager がすべて表示されます。

結果

キャンバスに表示される長方形のボックスはそれぞれセキュリティ グループを表し、ボックス内のアイコンはセキュ

リティ グループ メンバーとセキュリティ グループにマッピングされているセキュリティ ポリシーに関する詳細を

表します。

図 18-3. セキュリティ グループ

各アイコンの横にある数値は、インスタンス数を示します。たとえば、 は、そのセキュリティ グループに 1 個のセキュリティ ポリシーがマッピングされていることを示します。

アイ

コン クリックして表示

メインのセキュリティ グループ内にネストされているセキュリティ グループ。

メインのセキュリティ グループとネストされているセキュリティ グループに現在含まれる仮想マシン。サービス エラーのある仮想マシンを

表示するには、[エラー] タブをクリックします。

セキュリティ グループにマッピングされた有効なセキュリティ ポリシー。

n 新しいセキュリティ ポリシーを作成するには、[Security Policy の作成 (Security Policy)] （ ）アイコンをクリックします。新

しく作成された Security Policy Object は、自動的にセキュリティ グループにマッピングされます。

n セキュリティ グループに追加のセキュリティ ポリシーをマッピングするには、[セキュリティ ポリシーの適用 (Apply Security

Policy)] （ ）アイコンをクリックします。

セキュリティ グループにマッピングされたセキュリティ ポリシーに関連付けられた有効なエンドポイント サービス。2 つのポリシーがセキ

ュリティ グループに適用されていて、どちらにも同じカテゴリの Endpoint サービスが設定されているとします。この場合、有効なサービ

ス数は 1 です（2 つ目の優先度が低い方のサービスはオーバーライドされるため）。

Endpoint サービスの障害があった場合は、アラート アイコンで示されます。アイコンをクリックするとエラーが表示されます。

セキュリティ グループにマッピングされたセキュリティ ポリシーに関連付けられた有効なファイアウォール ルール。

失敗したサービスがある場合、アラート アイコンで示されます。アイコンをクリックするとエラーが表示されます。

セキュリティ グループにマッピングされたセキュリティ ポリシーに関連付けられた有効なネットワーク イントロスペクション サービス。

失敗したサービスがある場合、アラート アイコンで示されます。アイコンをクリックするとエラーが表示されます。

アイコンをクリックすると、適切な詳細がダイアログ ボックスに表示されます。

NSX 管理ガイド

VMware, Inc. 406

図 18-4. セキュリティ グループでアイコンをクリックすると表示される詳細

セキュリティ グループを名前で検索できます。たとえば、キャンバス ビューの右上隅にある検索フィールドに PCI と入力すると、名前に PCI が含まれるセキュリティ グループのみが表示されます。

セキュリティ グループ階層を表示するには、ウィンドウ左上部にある [トップ レベル (Top Level)] （ ）アイコ

ンをクリックして、表示するセキュリティ グループを選択します。セキュリティ グループにネストされたセキュリ

ティ グループが含まれる場合、 をクリックするとネストされているグループが表示されます。上部バーには親セ

キュリティ グループの名前が表示され、バーのアイコンには、親グループに適用されるセキュリティ ポリシー、エ

ンドポイント サービス、ファイアウォール サービス、およびネットワーク イントロスペクション サービスの総数が

表示されます。元の最上位レベルに戻るには、ウィンドウの左上部分にある [1 つ上のレベルへ移動 (Go up one

level)] （ ）アイコンをクリックします。

キャンバス ビューのズーム イン/アウトをスムーズに行うには、ウィンドウの右上隅にあるズーム スライダを動かし

ます。[ナビゲータ] ボックスに、キャンバス全体のズームアウト ビューが表示されます。キャンバスが大きすぎて画

面に収まらない場合、実際に表示されている領域の周囲にボックスが表示され、そのボックスを動かしてキャンバス

の表示される部分を変更できます。

次のステップ

これでセキュリティ グループとセキュリティ ポリシー間のマッピングの仕組みを確認できたので、セキュリティ ポリシーの作成を開始して、セキュリティ グループに適用するセキュリティ サービスを定義できます。

セキュリティ ポリシーへのセキュリティ グループのマッピング

選択されたセキュリティ グループをセキュリティ ポリシーにマッピングできます。

手順

1 セキュリティ グループに適用するセキュリティ ポリシーを選択します。

2 新しいポリシーを作成するには、[新規セキュリティ グループ] を選択します。

セキュリティ ポリシーの作成を参照してください。

3 [保存 (Save)] をクリックします。

セキュリティ タグの操作

仮想マシンに適用されているセキュリティ タグの表示や、ユーザー定義のセキュリティ タグの作成が可能です。

NSX 管理ガイド

VMware, Inc. 407

セキュリティ タグはラベルの一種で、仮想マシン (VM) と関連付けることができます。特定のワークロードを識別

するため、複数のセキュリティ タグを作成できます。セキュリティ グループを照合する際の基準としてセキュリテ

ィ タグを使用したり、タグ付けされたワークロードをセキュリティ グループに自動的に配置することも可能です。

仮想マシンへのセキュリティ タグの追加または削除は、アンチウィルス、脆弱性スキャン、侵入防止システムなどの

さまざまな基準に応じて動的に実行されます。管理者が、タグを手動で追加または削除することもできます。

重要： 移動またはコピーで仮想マシンの仮想マシン ID が再生成された場合、セキュリティ タグは新しい仮想マシ

ン ID に伝達されません。

Cross-vCenter NSX 環境では、ユニバーサル セキュリティ タグはプライマリ NSX Manager で作成され、セカ

ンダリ NSX Manager とのユニバーサル同期の対象としてマークされます。ユニバーサル セキュリティ タグは、

一意の ID を選択することで、仮想マシンに静的に割り当てることができます。

一意の ID の選択

一意の ID 選択基準は、タグをアクティブ/スタンバイ環境の仮想マシンに割り当てるときに使用されます。

一意の ID は、仮想マシンがスタンバイからアクティブ環境に移動する際に NSX Manager によって使用されます。

一意の ID は、仮想マシン インスタンスの UUID、仮想マシン BIOS の UUID、仮想マシン名、あるいはそれらを組

み合わせてできます。ユニバーサル セキュリティ タグが作成され、仮想マシンに接続された後に基準が変わると（仮

想マシン名が変わった場合など）、セキュリティ タグを接続解除してから、仮想マシンに再度接続する必要がありま

す。

手順

1 vSphere Web Client で [ホーム (Home)] > [ネットワークとセキュリティ (Networking & Security)] > [インストールとアップグレード (Installation and Upgrade)] の順に移動して [管理 (Management)] タブ

を選択します。

2 プライマリ NSX Manager をクリックして [アクション (Actions)] > [一意の ID 選択基準 (Unique ID Selection Criteria.)] の順に選択します。

3 次の一意の ID のオプションを 1 つ以上選択します。

n 仮想マシンのインスタンス UUID を使用します（推奨）： 仮想マシン インスタンスの UUID は vCenter Server ドメイン内で一意ですが、スナップショットを使用した展開などの例外があります。仮想マシン インスタンスの UUID が一意でない場合、仮想マシン BIOS の UUID を仮想マシン名と組み合わせて使用し

てください。

n 仮想マシンの BIOS UUID を使用： BIOS UUID は vCenter Server ドメインで一意であるとは限りませ

んが、災害の発生に備えて常に予約されます。BIOS UUID を仮想マシン名と組み合わせて使用します。

n 仮想マシン名を使用： 環境のすべての仮想マシン名が一意の場合、仮想マシン名を使用して vCenter Server 全体の仮想マシンを識別できます。仮想マシン名は、仮想マシンの BIOS UUID と組み合わせて使

用します。

4 [OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 408

次のステップ

次に、セキュリティ タグを作成します。

適用されているセキュリティ タグの表示

環境内の仮想マシンに適用されているセキュリティ タグを表示できます。

前提条件

アンチウイルスのスキャンが実行され、適切な仮想マシンにタグが適用されている必要があります。

注： サードパーティのソリューションによって適用されたタグの詳細については、そのソリューションのドキュメ

ントを参照してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [セキュリティ タグ (Security Tags)] タブをクリックします。

環境内で適用されたタグのリストが、タグを適用した仮想マシンの詳細とともに表示されます。特定のタグを使

用する仮想マシンを含めるためにセキュリティ グループを追加する場合は、正確なタグ名をメモしておいてくだ

さい。

3 [仮想マシン数 (VM Count)] 列の数値をクリックすると、その行でそのタグが適用された仮想マシンが表示さ

れます。

セキュリティ タグの作成

セキュリティ タグを作成し、仮想マシンに適用できます。Cross-vCenter NSX 環境では、プライマリとセカンダ

リの NSX Manager 間でセキュリティ タグが同期されます。

前提条件

アクティブ/スタンバイ環境にユニバーサル セキュリティ タグを作成する場合は、まず、プライマリ NSX Manager に一意の ID 選択基準を設定します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [セキュリティ タグ (Security Tags)] タブをクリックします。

3 [追加 (Add)] または [新規セキュリティ タグ (New Security Tag)] アイコンをクリックします。

4 （オプション） Cross-vCenter NSX 環境で使用するユニバーサル セキュリティ タグを作成するには、次の手

順に従います。

n NSX 6.4.1 以降では、[ユニバーサル同期 (Universal Synchronization)] トグル ボタンをクリックし、

[有効 (On)] にします。

NSX 管理ガイド

VMware, Inc. 409

n NSX 6.4.0 では、[このオブジェクトをユニバーサル同期の対象としてマーク (Mark this object for Universal Synchronization)] を選択します。

5 タグの名前と説明を入力し、[OK] をクリックします。

次のステップ

セキュリティ タグに仮想マシンを割り当てます。

セキュリティ タグの割り当て

動的なメンバーシップ ベースのセキュリティ タグを使用して条件付きワークフローを作成するほか、仮想マシンに

手動でセキュリティ タグを割り当てることができます。

セキュリティ タグを、一致条件としてセキュリティ グループで使用できます。Cross-vCenter NSX 環境では、プ

ライマリとセカンダリの NSX Manager 間でセキュリティ タグが同期されます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [セキュリティ タグ (Security Tags)] タブをクリックします。

3 仮想マシンにセキュリティ タグを割り当てるには、次の手順に従います。

u NSX 6.4.1 以降では、必要なセキュリティ タグの選択して、[仮想マシンの割り当て (Assign VM)] をク

リックします。

u NSX 6.4.0 では、セキュリティ タグを右クリックし、[セキュリティ タグの割り当て (Assign Security Tag)] を選択します。

[仮想マシンへのセキュリティ タグの割り当て (Assign Security Tag to Virtual Machine)] ウィンドウが

表示され、使用可能な仮想マシンが示されます。

4 1 台以上の仮想マシンを選択して、[選択したオブジェクト (Selected Objects)] 列に移動します。

5 [OK] をクリックします。

[セキュリティ タグ (Security Tags)] タブが表示され、そのセキュリティ タグの更新された仮想マシン数が示

されます。

セキュリティ タグの編集

ユーザー定義のセキュリティ タグを編集できます。編集するタグに特定のセキュリティ グループが紐づいている場

合、そのタグへの変更はセキュリティ グループメンバーシップに影響します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [セキュリティ タグ (Security Tags)] タブをクリックします。

NSX 管理ガイド

VMware, Inc. 410

3 セキュリティ タグを編集するには、次の手順に従います。

u NSX 6.4.1 以降では、必要なセキュリティ タグの選択して、[編集 (Edit)] をクリックします。

u NSX 6.4.0 では、セキュリティ タグを右クリックし、[セキュリティ タグの編集 (Edit Security Tag)] を選択します。

4 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

セキュリティ タグの削除

ユーザー定義のセキュリティ タグを削除できます。特定のセキュリティ グループが削除するタグに基づいている場

合、そのタグへの変更はセキュリティ グループ メンバーシップに影響します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [セキュリティ タグ (Security Tags)] タブをクリックします。

3 セキュリティ タグを選択して、[削除 (Delete)] または [セキュリティ タグの削除 (Delete Security Tag)]

（ ）アイコンをクリックします。

有効なサービスの表示

Security Policy Object または仮想マシンで有効なサービスを表示できます。

セキュリティ ポリシーの有効なサービスの表示

セキュリティ ボリシーで有効なサービスを表示できます。このサービスには、親ポリシーから継承したサービスが含

まれます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

3 [名前 (Name)] 列のセキュリティ ポリシーをクリックします。

NSX 管理ガイド

VMware, Inc. 411

4 [セキュリティ ポリシー] ウィンドウが表示されます。

NSX のバージョン 手順

NSX 6.4.1 以降 左側のナビゲーションに、[サマリ (Summary)]、[ファイアウォール

ルール (Firewall Rules)]、[ゲスト イントロスペクション サービス

(Guest Introspection Services)]、[ネットワーク イントロスペク

ション サービス (Network Introspection Services)]、[子ポリシ

ー (Child Policies)] が表示されます。

ポリシーを編集したり、削除できます。また、セキュリティ グループ

に適用することもできます。

NSX 6.4.0 [管理 (Manage)] - [情報セキュリティ (Information Security)] タブの順に移動します。

3 つのタブ（[ゲスト イントロスペクション サービス (Guest Introspection Services)]、[ファイアウォール ルール (Firewall Rules)]、[ネットワーク イントロスペクション サービス (Network Introspection Services)]）それぞれに、対応するセキュリティ ポリシーのサービスが表示されます。

有効になっていないサービスは淡色表示されます。[オーバーライドさ

れました (Overridden)] 列に実際にセキュリティ ポリシーに適用さ

れているサービスが表示されます。[設定 (Settings)] で、[全般

(General)]>[継承元 (Inherits from)] 列の順に移動すると、サービ

スの継承元のセキュリティ ポリシーが表示されます。

セキュリティ ポリシーのサービス障害の表示

セキュリティ ポリシーにマッピングされたセキュリティ グループへの適用で障害が発生した、セキュリティ ポリシ

ーに関連付けられているサービスを表示できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

3 [名前 (Name)] 列のセキュリティ ポリシーをクリックします。

4 （オプション） （NSX 6.4.0 の場合のみ）[監視 (Monitor)] - [サービス エラー (Service Errors)] タブが開

いていることを確認します。

[ステータス (Status)] 列内のリンクをクリックすると [サービス デプロイ] ページが表示され、サービス エラ

ーを修正できます。

仮想マシンでの有効なサービスの表示

仮想マシンで有効なサービスを表示できます。1 台の仮想マシンに複数のセキュリティ ポリシーが適用されている

場合（仮想マシンが、ポリシーがマッピングされた複数のセキュリティ グループに含まれる場合）、この表示には、

これらのポリシーすべてで有効なすべてのサービスが、適用された順序で一覧表示されます。[サービス ステータス] 列には、各サービスのステータスが表示されます。

NSX 管理ガイド

VMware, Inc. 412

手順

1 vSphere Web Client にログインします。

2 [vCenter] をクリックし、[仮想マシン (Virtual Machines)] をクリックします。

3 [名前 (Name)] 列の仮想マシンをクリックします。

4 [監視 (Monitor)] - [Service Composer] タブが開かれていることを確認します。

セキュリティ ポリシーの操作

セキュリティ ポリシーは、ネットワーク サービスとセキュリティ サービスのグループです。

次のネットワーク サービスとセキュリティ サービスは、セキュリティ ポリシーとしてグループ化できます。

n エンドポイント サービス： アンチウイルスと脆弱性管理

n 分散ファイアウォール ルール

n ネットワーク イントロスペクション サービス： ネットワーク IPS とネットワーク フォレンジック

セキュリティ ポリシーの優先順位の管理

セキュリティ ポリシーはその重みに応じて適用されます。つまり、重みが大きいポリシーほど、優先順位が高くなり

ます。テーブル内でポリシーの位置を上下に移動すると、それに応じてポリシーの重みが調整されます。

仮想マシンを含むセキュリティ グループに複数のポリシーが関連付けられているか、異なるポリシーが関連付けられ

ている複数のセキュリティ グループに仮想マシンが含まれているため、1 台の仮想マシンに複数のセキュリティ ポリ

シーが適用されることがあります。それぞれのポリシーを使用してグループ化されたサービスの間に競合がある場合

は、ポリシーの重みによって、仮想マシンに適用されるサービスが決まります。たとえば、インターネット アクセス

をブロックするポリシー 1 は重みの値が 1000 で、インターネット アクセスを許可するポリシー 2 は重みの値が

2000 であるとします。この場合は、ポリシー 2 の重みが大きいため、仮想マシンではインターネット アクセスが

許可されます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

3 [管理 (Manage)] または [優先順位の管理 (Manage Priority)]（ ）アイコンをクリックします。

4 [優先順位の管理] ダイアログ ボックスで、優先順位を変更するセキュリティ ポリシーを選択し、[上へ移動

(Move Up)]（ ）または [下へ移動 (Move Down)]（ ）をクリックします。

5 オブジェクトを特定のランクに移動するには、[移動先 (Move To)] をクリックします。

必須のランクを入力して、緑色のチェック マークまたは [OK] をクリックします。

新しいランクに応じて重みが再計算されます。

NSX 管理ガイド

VMware, Inc. 413

6 ポリシーの重みを編集するには、[重みの編集 (Edit Weight)] をクリックします。

必須の重みを入力して、緑色のチェック マークまたは [OK] をクリックします。

7 [OK] をクリックします。

セキュリティ ポリシーの編集

セキュリティ ポリシーの名前、説明、関連付けられているサービスおよびルールを編集できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

3 編集するセキュリティ ポリシーを選択し、[編集 (Edit)] または [セキュリティ ポリシーの編集 (Edit Security

Policy)] （ ）アイコンをクリックします。

4 [セキュリティ ポリシーの編集] ダイアログ ボックスで必要な変更を行い、[終了 (Finish)] をクリックします。

セキュリティ ポリシーの削除

セキュリティ ポリシーを削除できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

3 削除するセキュリティ ポリシーを選択し、[削除 (Delete)] または [セキュリティ ポリシーの削除 (Delete

Security Policy)] （ ）アイコンをクリックします。

セキュリティ ポリシー設定のインポートとエクスポート

Service Composer を使用すると、NSX Manager から特定のファイル形式でセキュリティ ポリシー設定をエク

スポートし、別の NSX Manager にインポートできます。

Service Composer では、セキュリティ グループを直接エクスポートすることはできません。まず、セキュリティ

ポリシーがセキュリティ グループに割り当てられていることを確認してから、そのセキュリティ ポリシーをエクス

ポートする必要があります。分散ファイアウォール ルール、ゲスト イントロスペクション ルール、ネットワーク イントロスペクション ルールなどのセキュリティ ポリシーのすべてのコンテンツと、セキュリティ ポリシーにバイン

ドされているセキュリティ グループがエクスポートされます。

コンテナ セキュリティ グループにネストされたセキュリティ グループが含まれている場合、ネストされたセキュリ

ティ グループはエクスポートされません。エクスポート中に、ポリシーにプリフィックスを追加できます。プリフィ

ックスは、ポリシー名、ポリシー アクション名、セキュリティ グループ名に適用されます。

NSX 管理ガイド

VMware, Inc. 414

設定を別の NSX Manager にインポートするときに、サフィックスを指定できます。サフィックスは、ポリシー名、

ポリシー アクション名、セキュリティ グループ名に適用されます。インポートの実行中に、NSX Manager で同じ

名前のセキュリティ グループまたはセキュリティ ポリシーが見つかると、セキュリティ ポリシー設定のインポート

に失敗します。

セキュリティ ポリシー設定のエクスポート

セキュリティ ポリシーの設定をエクスポートし、デスクトップに保存できます。保存した設定は、ポリシーを誤って

削除した場合のバックアップとして使用したり、別の NSX Manager 環境で使用できるようにエクスポートしたり

できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

3 エクスポートするセキュリティ ポリシーを選択します。

4 [詳細 (More)] または [アクション (Actions)] をクリックして、[設定のエクスポート (Export Configuration)] をクリックします。

5 エクスポートするの名前および説明を入力します。

6 必要に応じて、エクスポートするセキュリティ ポリシーおよびセキュリティ グループに追加するプリフィック

スを入力します。

指定した接頭辞は、エクスポート先のセキュリティ ポリシー名に追加されるため、名前が一意になります。

7 [次へ (Next)] をクリックします。

8 [セキュリティ ポリシーの選択] 画面で、エクスポートするセキュリティ ポリシーを選択し、[次へ (Next)] をクリックします。

9 [選択項目のプレビュー] または [設定内容の確認] ページに、エクスポートされるセキュリティ ポリシー、エン

ドポイント サービス、ファイアウォール ルール、ネットワーク イントロスペクション サービスが表示されま

す。

この画面には、セキュリティ ポリシーが適用されているセキュリティ グループも表示されます。

10 [終了 (Finish)] をクリックします。

11 ブループリント ファイルのエクスポート先となるコンピュータのディレクトリを選択し、[保存 (Save)] をクリ

ックします。

指定した場所にセキュリティ ポリシー設定ファイルが保存されます。

セキュリティ ポリシー設定のインポート

保存したセキュリティ ポリシー設定をインポートして、バックアップとして利用したり、類似した設定を別の NSX Manager にリストアしたりできます。

NSX 管理ガイド

VMware, Inc. 415

設定をインポートすると、空のセキュリティ グループが作成されます。インポート先の環境にすべてのサービス、サ

ービス プロファイル、アプリケーション、アプリケーション グループが存在しないと、インポートが失敗します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [Service Composer] の順に移動します。

2 [セキュリティ ポリシー (Security Policies)] タブをクリックします。

3 [詳細 (More)] または [アクション (Actions)] をクリックして、[設定のインポート (Import Configuration)] をクリックします。

4 インポートするセキュリティ ポリシー設定ファイルを選択します。

5 必要に応じて、インポートするセキュリティ ポリシーおよびセキュリティ グループに追加するサフィックスを

入力します。

接尾辞を指定すると、インポートするセキュリティ ポリシー名にその接尾辞が追加されるため、名前が一意にな

ります。

6 [次へ (Next)] をクリックします。

Service Composer によって、構成で参照されるすべてのサービスがインポート先の環境で使用できるかどう

かが検証されます。使用できない場合、[見つからないサービスの管理] 画面が表示されます。このページでは、

見つからないサービスを使用可能なインポート先のサービスにマッピングできます。

[設定内容の確認] 画面に、インポートされるセキュリティ ポリシー、エンドポイント サービス、ファイアウォ

ール ルール、ネットワーク イントロスペクション サービスが表示されます。この画面には、セキュリティ ポリ

シーが適用されているセキュリティ グループも表示されます。

7 [終了 (Finish)] をクリックします。

インポートされたセキュリティ ポリシー設定は、インポート先の NSX Manager のセキュリティ ポリシー テーブルの上部（既存のポリシーの上）に追加されます。セキュリティ ポリシーで、インポートされたルールとセ

キュリティ サービスの元の順序は維持されます。

Service Composer のシナリオ

このセクションでは、Service Composer の仮説シナリオをいくつか説明します。各使用事例では、Security Administrator ロールがすでに作成され、管理者に割り当てられていることが前提となっています。

感染しているマシンを隔離するシナリオ

Service Composer では、サードパーティのアンチウイルス ソリューションを使用して感染しているシステムをネ

ットワークで識別し、感染の拡散を防止します。

サンプル シナリオでは、デスクトップを完全に保護する方法を示します。

NSX 管理ガイド

VMware, Inc. 416

図 18-5. Service Composer の設定

管理者のタスク

デスクトップ用のセキュリティ ポリシーの作成(DesktopPolicy)

デスクトップをスキャンするためのセキュリティ ポリシーの作成

(DesktopPolicy)

感染したシステムを隔離するためのセキュリティ ポリシーの作成

(QuarantinePolicy)

感染した仮想マシン用のセキュリティ ポリシーの作成

(QuarantinePolicy)

Quarantine の QuarantineSecurityGroup

へのマッピング

パートナー ソリューションのスキャン実行

DesktopPolicy の DesktopSecurityGroup

へのマッピング

NSX 管理ガイド

VMware, Inc. 417

図 18-6. Service Composer の条件付きワークフロー

管理者のタスク

Service Composer による自動処理

VulnerabilityManagementのスキャン

脆弱性のある仮想マシンのタグ付け

タグ付けされた仮想マシンを QuarantineSecurityGroup に

即座に追加

QuarantineSecurityGroup 内の仮想マシンを IPS で保護

前提条件

Symantec によって、感染した仮想マシンに AntiVirus.virusFound というタグが付けられることがわかって

います。

手順

1 Symantec アンチマルウェア ソリューションをインストール、登録、デプロイします。

2 デスクトップにセキュリティ ポリシーを作成します。

a [セキュリティ ポリシー (Security Policies)] タブをクリックし、[セキュリティ ポリシーの追加 (Add Security Policy)] アイコンをクリックします。

b [名前 (Name)] に DesktopPolicy と入力します。

c [説明 (Description)] に、Antivirus scan for all desktops と入力します。

d 重みを 51000 に変更します。他のすべてのポリシーより常に優先されるようにするため、このポリシーの

優先順位は非常に高く設定されています。

e [次へ (Next)] をクリックします。

NSX 管理ガイド

VMware, Inc. 418

f [Endpoint サービスの追加] ページで、 をクリックし、次の値を入力します。

オプション 値

[アクション (Action)] デフォルト値は変更しないでください

[サービス種別 (Service Type)] Anti Virus

[サービス名 (Service Name)] Symantec アンチマルウェア

[サービス設定 (Service Configuration)]

シルバー

[状態 (State)] デフォルト値は変更しないでください

[強制 (Enforce)] デフォルト値は変更しないでください

[名前 (Name)] デスクトップ AV

[説明 (Description)] すべてのデスクトップに適用する必須ポリシー

g [OK] をクリックします。

h ファイアウォールまたはネットワーク イントロスペクション サービスを追加せずに、[終了 (Finish)] をク

リックします。

3 感染している仮想マシンにセキュリティ ポリシーを作成します。

a [セキュリティ ポリシー (Security Policies)] タブをクリックし、[セキュリティ ポリシーの追加 (Add Security Policy)] アイコンをクリックします。

b [名前] に QuarantinePolicy と入力します。

c [説明] に、Policy to be applied to all infected systems. と入力します。

d デフォルトの重みは変更しないでください。

e [次へ (Next)] をクリックします。

f [Endpoint サービスの追加] ページでは何も行わず、[次へ (Next)] をクリックします。

g [ファイアウォール] で 3 つのルール（すべての送信トラフィックをブロックするルール、グループを使用し

てすべてのトラフィックをブロックするルール、修正ツールからの受信トラフィックのみ許可するルール）

を追加します。

h ネットワーク イントロスペクション サービスを追加せずに、[終了 (Finish)] をクリックします。

4 QuarantinePolicy をセキュリティ ポリシー テーブルの一番上に移動して、他のすべてのポリシーより確実

に先に適用されるようにします。

a [優先順位の管理 (Manage Priority)] アイコンをクリックします。

b QuarantinePolicy を選択し、[上へ移動 (Move Up)] アイコンをクリックします。

5 環境内のすべてのデスクトップにセキュリティ グループを作成します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] をクリックし、[Service Composer] をクリ

ックします。

NSX 管理ガイド

VMware, Inc. 419

c [セキュリティ グループ (Security Groups)] タブをクリックし、[セキュリティ グループの追加 (Add Security Group)] アイコンをクリックします。

d [名前] に DesktopSecurityGroup と入力します。

e [説明] に、All desktops と入力します。

f 次の数ページで [次へ (Next)] をクリックします。

g [設定内容の確認] ページで選択内容を確認し、[終了 (Finish)] をクリックします。

6 感染している仮想マシンを配置する検疫セキュリティ グループを作成します。

a [セキュリティ グループ (Security Groups)] タブをクリックし、[セキュリティ グループの追加 (Add Security Group)] アイコンをクリックします。

b [名前 (Name)] に QuarantineSecurityGroup と入力します。

c [説明 (Description)] に、

Dynamic group membership based on infected VMs identified by the antivirus

scan と入力します。

d [メンバーシップ基準の定義] ページで、 をクリックし、次の基準を追加します。

e [含めるオブジェクトの選択] ページおよび [除外するオブジェクトの選択] ページでは何も行わず、[次へ

(Next)] をクリックします。

f [設定内容の確認] ページで選択内容を確認し、[終了 (Finish)] をクリックします。

7 DesktopPolicy ポリシーを DesktopSecurityGroup セキュリティ グループにマッピングします。

a [セキュリティ ポリシー] タブで、DesktopPolicy ポリシーが選択されていることを確認します。

b [セキュリティ ポリシーの適用 (Apply Security Policy)] （ ）アイコンをクリックし、SG_Desktops グループを選択します。

c [OK] をクリックします。

このマッピングにより、アンチウイルス スキャンがトリガーされたときに、すべてのデスクトップ

（DesktopSecurityGroup の一部） が確実にスキャンされます。

8 キャンバス ビューに移動して、QuarantineSecurityGroup に仮想マシンがまだ含まれていないことを確認

します。

a [情報セキュリティ (Information Security)] タブをクリックします。

b グループ内の仮想マシンが 0 であることを確認します（ ）。

NSX 管理ガイド

VMware, Inc. 420

9 QuarantinePolicy を QuarantineSecurityGroup にマッピングします。

このマッピングにより、感染しているシステムにトラフィックが流れないようになります。

10 Symantec アンチマルウェア コンソールから、ネットワークでスキャンを起動します。

感染している仮想マシンがスキャンで検出され、セキュリティ タグ AntiVirus.virusFound が付けられま

す。タグが付けられた仮想マシンは、即座に QuarantineSecurityGroup に追加されます。

QuarantinePolicy では、感染しているシステムとの間のトラフィックは許可されません。

セキュリティ設定のバックアップ

Service Composer を使用すると、セキュリティの設定をバックアップし、後から復旧する操作を効率的に行うこ

とができます。

手順

1 Rapid 7 Vulnerability Management ソリューションをインストール、登録、デプロイします。

2 SharePoint アプリケーション（Web サーバ）の最初の階層にセキュリティ グループを作成します。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] をクリックし、[Service Composer] をクリ

ックします。

c [セキュリティ グループ (Security Groups)] タブをクリックし、[セキュリティ グループの追加 (Add Security Group)] アイコンをクリックします。

d [名前 (Name)] に SG_Web と入力します。

e [説明 (Description)] に Security group for application tier と入力します。

f [メンバーシップ基準の定義] ページでは何も行わず、[次へ (Next)] をクリックします。

g [含めるオブジェクトの選択] ページで、Web サーバの仮想マシンを選択します。

h [除外するオブジェクトの選択] ページでは何も行わず、[次へ (Next)] をクリックします。

i [設定の確認] ページで選択内容を確認し、[終了 (Finish)] をクリックします。

3 データベースおよび SharePoint Server にセキュリティ グループを作成し、それぞれ SG_Database および

SG_Server_SharePoint という名前を付けます。各グループに適切なオブジェクトを含めます。

4 アプリケーション階層に最上位のセキュリティ グループを作成し、SG_App_Group という名前を付けます。こ

のグループに SG_Web、SG_Database、SG_Server_SharePoint を追加します。

5 Web サーバにセキュリティ ポリシーを作成します。

a [セキュリティ ポリシー] タブをクリックし、[セキュリティ ポリシーの追加] アイコンをクリックします。

b [名前] に SP_App と入力します。

c [説明] に アプリケーション Web サーバの SP と入力します。

d 重みを 50000 に変更します。（検疫を除き）他のほとんどのポリシーより常に優先されるようにするため、

このポリシーの優先順位は非常に高く設定されています。

NSX 管理ガイド

VMware, Inc. 421

e [次へ] をクリックします。

f [エンドポイント サービス] ページで、 をクリックし、次の値を入力します。

オプション 値

[アクション (Action)] デフォルト値は変更しないでください

[サービス種別 (Service Type)] Vulnerability Management

[サービス名 (Service Name)] Rapid 7

[サービス設定 (Service Configuration)]

シルバー

[状態 (State)] デフォルト値は変更しないでください

[強制 (Enforce)] デフォルト値は変更しないでください

g ファイアウォールまたはネットワーク イントロスペクション サービスを追加せずに、[終了 (Finish)] をク

リックします。

6 SP_App を SG_App_Group にマッピングします。

7 キャンバス ビューに移動し、SP_App が SG_App_Group にマッピングされたことを確認します。

a [情報セキュリティ] タブをクリックします。

b アイコンの横にある数値をクリックして、SP_App がマッピングされていることを確認します。

8 SP_App ポリシーをエクスポートします。

a [セキュリティ ポリシー] タブをクリックし、[Blueprint のエクスポート (Export Blueprint)]（ ）ア

イコンをクリックします。

b [名前 (Name)] に Template_ App_ と入力し、[プリフィックス (Prefix)] に FromAppArchitect と入

力します。

c [次へ] をクリックします。

d SP_App ポリシーを選択し、[次へ] をクリックします。

e 選択内容を確認し、[終了] をクリックします。

f エクスポートしたファイルのダウンロード先となるコンピュータのディレクトリを選択し、[保存] をクリッ

クします。

セキュリティ ポリシーと、このポリシーが適用されたセキュリティ グループがエクスポートされます（この場

合は、アプリケーションのセキュリティ グループと、そこにネストされた 3 つのセキュリティ グループ）。

9 エクスポートされたポリシーがどのように動作するかを示すには、SP_App ポリシーを削除します。

10 次に、手順 7 でエクスポートした Template_ App_ DevTest ポリシーをリストアします。

a [アクション (Actions)] をクリックし、[サービス設定のインポート (Import Service Configuration)] アイコンをクリックします。

b デスクトップから FromAppArtchitect_Template_App ファイル（手順 7 で保存済み）を選択します。

NSX 管理ガイド

VMware, Inc. 422

c [次へ (Next)] をクリックします。

d [設定の確認] ページには、セキュリティ ポリシーとインポートする関連オブジェクト（セキュリティ ポリ

シーが適用されたセキュリティ グループ、エンドポイント サービス、ファイアウォール ルール、ネットワ

ーク イントロスペクション サービス）が表示されます。

e [終了 (Finish)] をクリックします。

構成オブジェクトおよび関連オブジェクトが vCenter Server インベントリにインポートされ、キャンバ

ス ビューに表示されます。

NSX 管理ガイド

VMware, Inc. 423

ゲスト イントロスペクション 19ゲスト イントロスペクションは、VMware パートナーが提供する専用のセキュアな仮想アプライアンスに、アンチ

ウイルスおよびアンチマルウェア エージェントの処理をオフロードします。ゲスト仮想マシンとは異なり、セキュア

な仮想アプライアンスはオフラインにならないため、アンチウイルス シグネチャを継続的に更新することができ、ホ

スト上の仮想マシンに中断なく保護を提供できます。また、新しい仮想マシンやオフライン状態の既存の仮想マシン

は、オンラインになった時点で、最も新しいアンチウイルス シグネチャにより即座に保護されます。

ゲスト イントロスペクション の健全性ステータスは、vCenter Server コンソールに赤で表示されるアラームを使

用して示されます。さらに、イベント ログを見ることで詳しいステータス情報が得られます。

重要： ゲスト イントロスペクションのセキュリティ用に環境を正しく設定する必要があります。

n リソース プール内のホストに保護対象の仮想マシンが含まれる場合は、そのすべてにゲスト イントロスペクシ

ョンの準備を行っておく必要があります。これは、リソース プール内の仮想マシンが別の ESXi ホストへ

vMotion で移行した場合でも、継続して保護するためです。 NSX 6.4.1 以降で、ホスト間での仮想マシンの移

行 (vMotion) 中にゲスト イントロスペクションが仮想マシンの保護をサポートするには、仮想マシンのハード

ウェアを v9.0 以上にする必要があります。

n 仮想マシンには、ゲスト イントロスペクションのセキュリティ ソリューションで保護されるゲスト イントロス

ペクション シン エージェントがインストールされている必要があります。サポートされていないゲスト オペレ

ーティング システムもあります。サポート外のオペレーティング システムを実行する仮想マシンは、セキュリ

ティ ソリューションによって保護されません。

この章には、次のトピックが含まれています。

n ゲスト イントロスペクションのアーキテクチャ

n ホスト クラスタへの ゲスト イントロスペクション のインストール

n Windows 仮想マシンへのゲスト イントロスペクション シン エージェントのインストール

n Linux 仮想マシンへのゲスト イントロスペクション シン エージェントのインストール

n ゲスト イントロスペクション のステータスの表示

n ゲスト イントロスペクション の監査メッセージ

n ゲスト イントロスペクションのイベント

n ゲスト イントロスペクション モジュールのアンインストール

VMware, Inc. 424

ゲスト イントロスペクションのアーキテクチャ

NSX ゲスト イントロスペクション アーキテクチャ：パートナーとの連携

NSX ユーザー インターフェイスまたは REST API

NSX Manager

セキュリティ グループと

ポリシーの設定

アラート パートナー登録REST API

設定/ステータス（パートナー定義）

パートナー サービス仮想マシンのデプロイ

ゲスト イントロスペクション サービス仮想マ

シンのデプロイ

健全性 イベント(RMQ)

設定データ(RMQ)

ESXi ハイパーバイザー

VMware ToolsEPSec

ライブラリ

ゲスト イン

トロスペクション サービス仮想マシン

仮想 マシン

凡例

VMCI

設定のデータ フロー

健全性監視のデータ フロー

パートナー登録データ フロー

仮想マシン/サービス仮想マシンのデータ フロー

パートナーの設定/ステータス フロー

VMware 仮想マシン通信インターフェイス

RabbitMQ メッセージ バスRMQ

ゲスト イントロスペクションの設定(VMCI)

(VMCI)

健全性監視イベント(TCP) ファイル、ネットワーク、

タイマー イベント、SVMクエリと応答

ServiceComposer とグループ化

設定マネージャ

設定/健全性の監視パススルー

ゲスト仮想マシン パートナー サー ビス仮想マシン

ゲスト イントロ

スペクション シン

エージェント

ゲスト イントロスペクション ESXi モジュール

健全性監視

サービス挿入

フレームワーク

vCenterServer

vSphere ESXiAgent Manager

(EAM)

パートナー管理

コンソール

ゲスト イントロスペクションは、いくつかの関連コンポーネントから構成されます。

n パートナー管理コンソールでは、NSX Data Center for vSphere へのサービスの登録（エージェントのない

アンチウイルスなど）、デプロイ済みのパートナー セキュリティ仮想マシン（パートナー SVM）の設定や監視、

仮想マシン タグ付け操作メッセージの NSX Manager への送信などを行うことができます。

NSX 管理ガイド

VMware, Inc. 425

n vCenter Server が管理する ESX Agent Manager (EAM) で、パートナー サービスが設定されているクラ

スタのホストに、パートナー SVM とゲスト イントロスペクション セキュリティ仮想マシン (GI-SVM) をデプ

ロイします。

n NSX Manager はゲスト イントロスペクションを統合管理します。また、パートナー SVM および GI-SVM のデプロイが必要なホストについての情報を提供します。NSX Manager は、GI-SVM にゲスト イントロスペ

クションの設定情報を送信するほか、ゲスト イントロスペクションの健全性情報をホストから受信し、パートナ

ー管理コンソールから受信したタグ付けコマンドを実行します。

ホストでは、パートナー SVM が EPSEC ライブラリ経由でゲスト イントロスペクションのコンポーネントからア

クティビティ イベントと情報を受信し、セキュリティ分析を行い、潜在的な脅威や脆弱性を検出します。パートナー

SVM は、これらのイベントをパートナー管理コンソールに送信し、グループ分けやタグ付けなどの NSX Data Center for vSphere アクションを実行します。ハイパーバイザーのゲスト イントロスペクション ESX モジュー

ルはスイッチのように機能します。仮想マシンにインストールされているシン エージェントの関連イベントを、該当

のパートナー サービス仮想マシンに提供し、分析を行います。仮想マシンのインスタンス化または移行が行われる

と、GI-SVM が、NSX Manager から受信した設定情報を使用してゲスト イントロスペクション ESX モジュール

を設定し、Identity Firewall とエンドポイントの監視コンテキストを生成して、ゲスト イントロスペクション関連

の健全性情報を NSX Manager に送信します。

SVM と GI-SVM に関する一般的な質問：

SVM と GI USVM に違いはありますか。SVM は、Trend、McAfee などのサードパーティ（パートナー）です

USVM は GI-SVM です。

SVM や GI-SVM と通常の仮想マシンとの違いは何ですか。ゲスト イントロスペクションは、アンチウイルスやア

ンチマルウェア エージェントの処理を専用のセキュアな仮想アプライアンスにオフロードします。ゲスト仮想マシ

ンとは異なり、セキュアな仮想アプライアンスはオフラインにならないため、アンチウイルス シグネチャを継続的に

更新することができ、ホスト上の仮想マシンに中断なく保護を提供できます。

ゲスト イントロスペクション ユニバーサル サービス仮想マシン (GI USVM) は、外部のゲスト仮想マシン上でサー

ドパーティのアンチウイルス製品を実行するためのフレームワークを提供します。これにより、仮想マシンごとにア

ンチウイルス エージェントを用意する必要がなくなります。SVM には、サービス仮想マシンのベンダーが追加した

特定のバイナリとアプリケーションが含まれます。GI USVM のベンダーは NSX Data Center for vSphere です。

すべての仮想マシンは SVM としてデプロイされ、管理できますか。いいえ。SVM はベンダーによって事前に作成

され、提供されます。

SVM または GI USVM にログ収集の仕様はありますか。いいえ、ありません。

SVM/GI USVM 関連のイベントについて、公開されているガイドはありますか。いいえ。SVM のログは、トラブ

ルシューティング目的の内部用のログです。

NSX 管理ガイド

VMware, Inc. 426

ホスト クラスタへの ゲスト イントロスペクション のインストール

ゲスト イントロスペクション をインストールすると、クラスタ内の各ホストに新しい VIB とサービス仮想マシンが

自動的にインストールされます。ゲスト イントロスペクション は、アクティビティ モニタリングおよびいくつかの

サードパーティ セキュリティ ソリューションに必要です。

注： vMotion/Storage vMotion を使用してサービス仮想マシンを移行することはできません。サービス仮想マ

シンが正常に動作するには、展開されたホストに配置しておく必要があります。

前提条件

このインストール手順の前提条件として、下記のシステムが必要です。

n データセンター内のクラスタの各ホストに、サポート対象のバージョンの vCenter Server および ESXi がイ

ンストールされている

n ゲスト イントロスペクションをインストールするクラスタのホストで、NSX の準備が完了している『NSX インストール ガイド』の「NSX 用ホスト クラスタの準備」を参照してください。ゲスト イントロスペクション

はスタンドアローン ホストにはインストールできません。アンチウイルスのオフロード機能を使用する目的で、

ゲスト イントロスペクション のデプロイと管理を行う場合、ホストで NSX の準備を行う必要はありません。

また、NSX for vShield Endpoint ライセンスでは、このような使い方は許可されません。

n NSX Manager のインストールと実行

n NSX Manager と、ゲスト イントロスペクション サービスを実行する準備済みホストが同じ NTP サーバにリ

ンクされ、時刻が同期されていることを確認します。これを行わない場合、ゲスト イントロスペクションとサー

ドパーティ サービスに対して、クラスタのステータスが問題がないことを示す緑で表示されているにもかかわら

ず、仮想マシンがアンチウイルス サービスによって保護されていないことがあります。

NTP サーバを追加した場合、ゲスト イントロスペクションとすべてのサードパーティ サービスを再デプロイす

ることをお勧めします。

n ネットワークに vSphere 7.0 以降が存在する場合は、vCenter Server クラスタが ESXi ホストのライフサイ

クル管理に vSphere Lifecycle Manager (vLCM) イメージを使用していないことを確認します。vLCM イメージを使用する vCenter Server クラスタにゲスト イントロスペクション サービスをインストールするこ

とはできません。

クラスタ内のホストの管理に vLCM イメージが使用されているかどうか確認するには、vSphere Client にロ

グインし、[ホストおよびクラスタ] に移動します。ナビゲーション ペインでクラスタをクリックし、[アップデ

ート] - [イメージ] の順に移動します。クラスタで vLCM イメージが使用されていない場合は、[SetUp Image] ボタンが表示されます。クラスタで vLCM イメージが使用されている場合は、ESXi バージョン、ベン

ダーのアドオン、イメージのコンプライアンスの詳細など、イメージの詳細が表示されます。

NSX 管理ガイド

VMware, Inc. 427

ゲスト イントロスペクション サービス仮想マシンに IP アドレス プールから IP アドレスを割り当てる場合は、ゲス

ト イントロスペクション をインストールする前に IP アドレス プールを作成します。『NSX 管理ガイド』の「IP アドレス プールの使用」を参照してください。

注意： ゲスト イントロスペクション は、169.254.x.x サブネットを使用して、内部的に GI サービスの IP アドレ

スを割り当てます。ESXi ホストの VMkernel インターフェイスに 169.254.1.1 の IP アドレスを割り当てると、ゲ

スト イントロスペクション のインストールが失敗します。GI サービスは、この IP アドレスを内部通信に使用しま

す。

vSphere Fault Tolerance は、ゲスト イントロスペクション とは連携しません。

ステートレス ESXi ホストで vSphere Auto Deploy を使用している場合、ゲスト イントロスペクション はサポ

ートされません。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [サービスの展開 (Service Deployment)] の順に移動します。

2 [追加 (Add)] をクリックします。

3 [ネットワークおよびセキュリティ サービスのデプロイ] ダイアログ ボックスで、[ゲスト イントロスペクショ

ン (Guest Introspection)] を選択します。

4 [スケジュールを指定する (Specify schedule)] （ダイアログ ボックス下部）で、[今すぐデプロイする

(Deploy now)] を選択してゲスト イントロスペクションがインストールされたらすぐにデプロイするか、また

はデプロイの日付と時間を選択します。

5 [次へ (Next)] をクリックします。

6 ゲスト イントロスペクションをインストールするデータセンターおよびクラスタを選択し、[次へ (Next)] をク

リックします。

7 [ストレージおよび管理ネットワークの選択] ページで、サービス仮想マシン ストレージを追加するデータストア

を選択するか、[ホスト上が指定済み (Specified on host)] を選択します。デプロイ ワークフローを自動化す

るためには、[ホスト上が選択済み] ではなく、共有のデータストアとネットワークを使用することをお勧めしま

す。

選択したデータストアは、選択したクラスタ内のすべてのホストで利用可能である必要があります。

[ホスト上が指定済み (Specified on host)] を選択した場合は、クラスタ内の各ホストに対して次のサブステッ

プを実行します。

a ホーム ページで、[ホストおよびクラスタ (Hosts and Clusters)] をクリックします。

b [ナビゲータ] でホストをクリックし、[設定 (Configure)] をクリックします。

c 左側のナビゲーション ペインで、[仮想マシン (Virtual Machines)] の下にある [エージェント仮想マシン

(Agent VMs)] をクリックし、[編集 (Edit)] をクリックします。

d データストアを選択し、[OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 428

8 [ホスト上が指定済み (Specified on host)] としてデータストアを設定する場合、ネットワークも [ホスト上が

指定済み (Specified on host)]として設定する必要があります。

[ホスト上が指定済み (Specified on host)] を選択した場合は、ステップ 7 のサブステップを実行してホスト

上のネットワークを選択します。クラスタに 1 台以上のホストを追加する場合は、データストアおよびネットワ

ークを設定してからクラスタに追加する必要があります。

9 [IP 割り当て] で、次のいずれかを選択します。

選択 宛先

DHCP DHCP (Dynamic Host Configuration Protocol) を使用してゲスト イントロスペクシ

ョン サービス仮想マシンに IP アドレスを割り当てます。ホストが異なるサブネット上にある

場合に、このオプションを選択します。

IP アドレス プールの使用 選択された IP アドレス プール内の IP アドレスをゲスト イントロスペクション サービス仮

想マシンに割り当てます。

10 [次へ (Next)] をクリックし、[設定の確認] ページで [終了 (Finish)] をクリックします。

11 [インストール ステータス (Installation Status)] 列に [成功 (Succeeded)] と表示されるまで、デプロイを監

視します。

NSX 6.4.0 以降では、vCenter Server のゲスト イントロスペクション サービス仮想マシンの名前に、デプ

ロイされたホストの IP アドレスが表示されます。

12 [インストール ステータス (Installation Status)] 列に [失敗 (Failed)] と表示された場合は、[失敗] の横にあ

るアイコンをクリックします。すべてのデプロイ エラーが表示されます。[解決 (Resolve)] をクリックしてエ

ラーを修正します。エラーを解決すると、別のエラーが表示される場合があります。必要な操作を行い、再度

[解決 (Resolve)] をクリックします。

注意： vSphere 7.0 以降を含むネットワークでは、ゲスト イントロスペクション サービスまたは他のサード

パーティ パートナー サービスがインストールされた後に、vCenter Server クラスタで vLCM イメージを使

用することはできません。vCenter Server クラスタで vLCM イメージを使用しようとすると、ホストにスタ

ンドアローン VIB が存在することを通知する警告メッセージが vSphere Client に表示されます。

Windows 仮想マシンへのゲスト イントロスペクション シン エージ

ェントのインストール

ゲスト イントロスペクションのセキュリティ ソリューションを使用して仮想マシンを保護するには、仮想マシンに

ゲスト イントロスペクション シン エージェント（ゲスト イントロスペクション ドライバともいいます）をインス

トールする必要があります。ゲスト イントロスペクション ドライバは、VMware Tools for Windows に含まれ

ていますが、デフォルトではインストールされません。Windows 仮想マシンにゲスト イントロスペクションをイ

ンストールするには、カスタム インストールを実行し、ドライバを選択する必要があります。

n vSphere 6.0 を使用している場合は、次のサイトで VMware Tools のインストール手順を確認してくださ

い。http://pubs.vmware.com/vsphere-60/index.jsp?topic=%2Fcom.vmware.vsphere.vm_admin.doc%2FGUID-391BE4BF-89A9-4DC3-85E7-3D45F5124BC7.html

NSX 管理ガイド

VMware, Inc. 429

n vSphere 6.5 以降を使用している場合には、次のサイトで VMware Tools のインストール手順を確認してく

ださい。https://www.vmware.com/support/pubs/vmware-tools-pubs.html.

ゲスト イントロスペクション ドライバがインストールされた Windows 仮想マシンは、セキュリティ ソリューシ

ョンがインストールされた ESXi ホストで起動されると自動的に保護されます。保護対象の仮想マシンは、シャット

ダウンから再起動の間や、vMotion がセキュリティ ソリューションのインストールされた別の ESXi に移動した後

でも、常に保護された状態が維持されます

Linux の手順については、Linux 仮想マシンへのゲスト イントロスペクション シン エージェントのインストールを

参照してください。

前提条件

ゲスト仮想マシンにはサポートされているバージョンの Windows がインストールされていることを確認してくだ

さい。NSX のゲスト イントロスペクションでは、次の Windows オペレーティング システムがサポートされてい

ます。

n Windows XP SP3 以降（32 ビット）

n Windows Vista（32 ビット）

n Windows 7（32 ビットまたは 64 ビット）

n Windows 8（32 ビットまたは 64 ビット）

n Windows 8.1（32 ビットまたは 64 ビット）-- vSphere 6.0 以降から

n Windows 10

n Windows 2003 SP2 以降（32 ビットまたは 64 ビット）

n Windows 2003 R2（32 ビットまたは 64 ビット）

n Windows 2008（32 ビットまたは 64 ビット）

n Windows 2008 R2（64 ビット）

n Windows 2012（64 ビット）

n Windows 2012 R2（64 ビット）-- vSphere 6.0 以降から

手順

1 vSphere のバージョンの手順に従って、VMware Tools のインストールを開始します。[カスタム

(Custom)] インストールを選択します。

2 [VMCI ドライバ (VMCI Driver)] セクションを展開します。

使用可能なオプションは、VMware Tools のバージョンによって異なります。

NSX 管理ガイド

VMware, Inc. 430

ドライバ 説明

vShield Endpoint ドライバ ファイル イントロスペクション (vsepflt) とネットワーク イントロ

スペクション (vnetflt) のドライバをインストールします。

ゲスト イントロスペクション ドライバ ファイル イントロスペクション (vsepflt) とネットワーク イントロ

スペクション (vnetflt) のドライバをインストールします。

NSX ファイル イントロスペクション ドライバと NSX ネットワーク

イントロスペクション ドライバ

NSX ファイル イントロスペクション ドライバを選択して Vsepflt をインストールします。

必要に応じて、NSX ネットワーク イントロスペクション ドライバを

選択して vnetflt（Windows 10 以降の場合は vnetWFP）をイン

ストールします。

注： NSX ネットワーク イントロスペクション ドライバは、Identity Firewall またはエンドポイントの監視機能を使用している場合にの

み選択します。

3 追加するドライバの横にあるドロップ ダウン メニューで、[この機能はローカル ハード ドライブにインストー

ルされます (This feature will be installed on the local hard drive)] を選択します。

4 残りの手順に従います。

次のステップ

管理者権限を持つユーザーでログインし、fltmc コマンドを使って、シン エージェントが実行されているかどうか

を確認します。出力の [フィルタ名] 列に、該当するシン エージェントとともに、エントリ vsepflt が表示されます。

Linux 仮想マシンへのゲスト イントロスペクション シン エージェン

トのインストール

ゲスト イントロスペクション はアンチウイルスのみを目的として、Linux でファイル イントロスペクションをサポ

ートします。ゲスト イントロスペクションのセキュリティ ソリューションを使用して Linux 仮想マシンを保護す

るには、ゲスト イントロスペクション シン エージェントをインストールする必要があります。

GI シン エージェントは、VMware Tools オペレーティング システム固有パッケージ (OSP) の一部として使用で

きます。VMware Tools をインストールする必要はありません。GI シン エージェントのインストールやアップグ

レードは、NSX のインストールやアップグレードとは連携しません。また、Enterprise Administrator または

Security Administrator（NSX Administrator ではない）は、NSX の外にあるゲスト仮想マシンに、このエー

ジェントをインストールすることもできます。

GI シン エージェントを RHEL、CentOS、または SLES Linux システムにインストールするには、RPM パッケー

ジを使用します。GI シン エージェントを Ubuntu Linux システムにインストールするには、DEB パッケージを使

用します。

Windows の手順については、Windows 仮想マシンへのゲスト イントロスペクション シン エージェントのイン

ストールを参照してください。

NSX 管理ガイド

VMware, Inc. 431

前提条件

n ゲスト仮想マシンにサポートされているバージョンの Linux がインストールされていることを確認してくださ

い。

n Red Hat Enterprise Linux (RHEL) 7.0 - 7.4 GA（64 ビット）

n CentOS 7.4 GA

n SUSE Linux Enterprise Server (SLES) 12 GA（64 ビット）

n Ubuntu 16.04.5 LTS GA（64 ビット）

n Ubuntu 14.04 LTS GA（64 ビット）

注： NSX 6.4.6 から、Ubuntu 14.04 および RHEL 7.0 – 7.3 のサポートは廃止されました。NSX 6.4.6 以降では、Ubuntu 16.04.5 および RHEL 7.4 がサポートされます。

n Linux 仮想マシンに GLib 2.0 がインストールされていることを確認します。

手順

u 使用する Linux オペレーティング システムに基づいて、次の手順を root 権限で実行します。

n Ubuntu システムの場合：

a 次のコマンドを使用して、VMware パッケージ パブリック キーを取得しインポートします。

curl -O https://packages.vmware.com/packages/nsx-gi/keys/VMWARE-PACKAGING-NSX-GI-GPG-RSA-

KEY.pub

apt-key add VMWARE-PACKAGING-NSX-GI-GPG-RSA-KEY.pub

b vm.list という名前の新しいファイルを /etc/apt/sources.list.d の下に作成します。

c そのファイルを次の内容で編集します。

deb https://packages.vmware.com/packages/nsx-gi/latest/ubuntu/dists xenial main

d パッケージをインストールします。

apt-get update

apt-get install vmware-nsx-gi-file

n RHEL7 システムの場合：

a 次のコマンドを使用して、VMware パッケージ パブリック キーを取得しインポートします。

curl -O https://packages.vmware.com/packages/nsx-gi/keys/VMWARE-PACKAGING-NSX-GI-GPG-RSA-

KEY.pub

rpm --import VMWARE-PACKAGING-NSX-GI-GPG-RSA-KEY.pub

b vm.repo という名前の新しいファイルを /etc/yum.repos.d の下に作成します。

NSX 管理ガイド

VMware, Inc. 432

c そのファイルを次の内容で編集します。

[vmware]

name = VMware

baseurl = https://packages.vmware.com/packages/nsx-gi/latest/rhel7/x86_64

enabled = 1

gpgcheck = 1

metadata_expire = 86400

ui_repoid_vars = basearch

d パッケージをインストールします。

yum install vmware-nsx-gi-file

n SLES システムの場合：

a 次のコマンドを使用して、VMware パッケージ パブリック キーを取得しインポートします。

curl -O https://packages.vmware.com/packages/nsx-gi/keys/VMWARE-PACKAGING-NSX-GI-GPG-RSA-

KEY.pub

rpm --import VMWARE-PACKAGING-NSX-GI-GPG-RSA-KEY.pub

b 次のリポジトリを追加します。

zypper ar -f "https://packages.vmware.com/packages/nsx-gi/latest/sles12/x86_64/" VMware

c パッケージをインストールします。

zypper install vmware-nsx-gi-file

n CentOS システムの場合：

a 次のコマンドを使用して、VMware パッケージ パブリック キーを取得しインポートします。

curl -O https://packages.vmware.com/packages/nsx-gi/keys/VMWARE-PACKAGING-NSX-GI-GPG-RSA-

KEY.pub

rpm --import VMWARE-PACKAGING-NSX-GI-GPG-RSA-KEY.pub

b vmware.repo という名前の新しいファイルを /etc/yum.repos.d の下に作成します。

c そのファイルを次の内容で編集します。

[vmware]

name = VMware

baseurl = https://packages.vmware.com/packages/nsx-gi/latest/centos7/x86_64

enabled = 1

gpgcheck = 1

metadata_expire = 86400

ui_repoid_vars = basearch

NSX 管理ガイド

VMware, Inc. 433

次のステップ

管理者権限を持つユーザーでログインし、service vsepd status コマンドを使って、シン エージェントが実行

されているかどうかを確認します。実行されている場合、ステータスは running です。

ゲスト イントロスペクション のステータスの表示

ゲスト イントロスペクション インスタンスの監視では、セキュリティ仮想マシン (SVM)、ESXi ホストに常駐する

ゲスト イントロスペクション モジュール、保護された仮想マシンに常駐するシン エージェントなどのゲスト イント

ロスペクション コンポーネントのステータス チェックが行われます。

手順

1 vSphere Web Client で、[vCenter Server インベントリ リスト (vCenter Inventory Lists)] をクリック

し、[データセンター (Datacenters)] をクリックします。

2 [名前 (Name)] 列で、データセンターをクリックします。

3 [監視 (Monitor)] をクリックし、[ゲスト イントロスペクション (Guest Introspection)] をクリックします。

ゲスト イントロスペクションの健全性およびアラームのページには、選択したデータセンターの下のオブジェク

トの健全性とアクティブなアラームが表示されます。健全性ステータスの変化は、その変化の原因となったイベ

ントが実際に発生してから 1 分以内に反映されます。

ゲスト イントロスペクション の監査メッセージ

致命的なエラーやその他の重要な監査メッセージは vmware.log にログされます。

以下の状態が AUDIT メッセージとしてログされます。

n シン エージェント初期化成功（とバージョン情報）。

n シン エージェント初期化失敗。

n SVM との最初の接続確立。

n SVM との接続に失敗（初めての失敗の時）。

生成されたログ メッセージには各ログ メッセージの先頭近くに以下の従属文字列が付いています。vf-AUDIT、vf-

ERROR、vf-WARN、vf-INFO、vf-DEBUG

ゲスト イントロスペクションのイベント

イベントは、ゲスト イントロスペクション ベースのセキュリティ システム内で発生する状況のログや監査に使われ

ます。

イベントはカスタム vSphere プラグインなしでも表示できます。イベントとアラームについては、『 vCenter Server 管理ガイド』を参照してください。

イベントはアラーム生成の基となるものです。NSX Manager が vCenter Server の拡張として登録されると、

NSX Manager はアラームを生成、解除するルールを定義します。

すべてのイベントに共通する引数は、イベントのタイム スタンプと NSX Manager event_id です。

NSX 管理ガイド

VMware, Inc. 434

イベント コード

イベントの

重要度

アラームのトリ

ガ イベント メッセージ 説明

26000 情報 ゲスト仮想マシンで実行されているゲスト イントロスペクション

シン エージェントが有効です。仮想マシンが vCenter Server インベントリに追加されるか、仮想マシンまたは NSX Manager を再起動すると、このイベントが報告されます。

アクション：情報通知のイベントです。

26001 情報 ゲスト イントロスペクション サービスのデプロイ プロセスが成

功し、ゲスト イントロスペクション サービス仮想マシン

(USVM) が稼動中です。

アクション：情報通知のイベントです。

26002 中規模 ゲスト仮想マシンのシン エージェントのバージョンが、パートナ

ー サービス仮想マシンまたは USVM の EPsec ライブラリのバ

ージョンと互換性がありません。

アクション：ゲスト仮想マシンでシン エージェントのバージョン

を更新します。

26003 中規模 ESX GI モジュール (MUX) が USVM との接続に失敗しまし

た。このイベントは、ゲスト仮想マシンが USVM に接続して健

全性ステータス レポートを送信しようとしたときに報告される可

能性があります。

アクション：[サービス デプロイ] タブで、ゲスト イントロスペク

ション サービス仮想マシン (USVM) がパワーオン状態で、サー

ビスのステータスが稼動中と表示されていることを確認します。

26004 中規模 ESX GI モジュール (MUX) が USVM との接続に失敗しまし

た。このイベントは、ゲスト仮想マシンが USVM に接続して健

全性ステータス レポートを送信しようとしたときに報告される可

能性があります。

アクション：[サービス デプロイ] タブで、ゲスト イントロスペク

ション サービス仮想マシン (USVM) がパワーオン状態で、サー

ビスのステータスが稼動中と表示されていることを確認します。

26005 情報 ESX GI モジュール (MUX) が正常にインストールされました。

アクション：ゲスト イントロスペクションがデプロイされている

ホストに対する情報通知のイベントです。

26006 情報 ESX GI モジュール (MUX) がアンインストールされました。

アクション：ゲスト イントロスペクション ホスト モジュールが

実行されていないホストに対する情報通知のイベントです。

26007 情報 最大 3 分間、NSX Manager がホスト モジュールの健全性ステ

ータス レポートの受信に失敗しています。[サービス デプロイ] タブで、クラスタの [サービス ステータス] 列は警告状態になりま

す。

アクション：サービスのデプロイ中に、このイベントが一時的に

発生する場合があります。問題が解決しない場合は、ゲスト イン

トロスペクション サービス仮想マシンとホストのテクニカル サポート ログ (vmware.log) を収集し、テクニカル サポート リク

エストを発行してください。

NSX 管理ガイド

VMware, Inc. 435

ゲスト イントロスペクション モジュールのアンインストール

ゲスト イントロスペクション をアンインストールすると、VIB がクラスタ内のホストから削除され、サービス仮想

マシンがクラスタ内の各ホストから削除されます。ゲスト イントロスペクションは、Identity Firewall、エンドポ

イント監視、およびいくつかのサードパーティ製のセキュリティ ソリューションで必要になります。ゲスト イント

ロスペクション をアンインストールすると、広い範囲に影響する可能性があります。

注意： クラスタから ゲスト イントロスペクション モジュールをアンインストールする前に、そのクラスタのホス

トから、ゲスト イントロスペクション を使用しているすべてのサードパーティ製品をアンインストールする必要が

あります。ソリューション プロバイダから提供される説明書を使用してください。

ホスト クラスタ内の仮想マシンの保護が失われます。アンインストールする前に、vMotion を使用して仮想マシン

をクラスタから移行する必要があります。

ゲスト イントロスペクション をアンインストールするには、次の操作を実行します。

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [サービスの展開 (Service Deployment)] の順に移動します。

2 ゲスト イントロスペクション インスタンスを選択し、[削除] アイコンをクリックします。

3 すぐに削除するか、後で削除するようにスケジュールを設定できます。

Linux 用ゲスト イントロスペクションのアンインストール

ゲスト仮想マシンから、ゲスト イントロスペクション用の Linux シン エージェントをアンインストールできます。

前提条件

Linux 用ゲスト イントロスペクションがインストールされている。Linux システムの root 権限がある。

手順

u パッケージを Ubuntu システムからアンインストールするには、apt-get remove vmware-nsx-gi-file

コマンドを実行します。

u パッケージを RHEL7 システムからアンインストールするには、yum remove vmware-nsx-gi-file コマン

ドを実行します。

u パッケージを SLES システムからアンインストールするには、zypper remove vmware-nsx-gi-file コマ

ンドを実行します。

結果

Linux 仮想マシンにインストールされているシン エージェントはアンインストールされません。

NSX 管理ガイド

VMware, Inc. 436

ネットワークの拡張性 20データセンター ネットワークには通常、スイッチング、ルーティング、ファイアウォール、ロード バランシングな

どのさまざまなネットワーク サービスが関与しています。ほとんどの場合、これらのサービスはそれぞれ別のベンダ

ーによって提供されます。物理環境のネットワークでこれらのサービスを接続するためには、物理ネットワーク デバ

イスのラックおよびスタック処理、物理的な接続の確立、各サービスの個別管理などの複雑な作業が必要になります。

NSX は、適切なサービスを適切なトラフィック パスに接続する方法を簡素化し、本番環境、テスト、開発などに使

用する、単一の ESXi ホストまたは複数の ESXi ホストの複雑なネットワークの構築に役立ちます。

任意のネットワーク ハードウェア

オーバーレイ転送

vSphere

任意のアプリケーション

NSX

NSX API

Edge サービス挿入

仮想ネットワーク

ハードウェア パートナーが提供する拡張機能

物理ワークロードまたは仮想ワークロード

ソフトウェア パートナーが提供する拡張機能

ゲストイントロスペクションおよびネットワークイントロ

スペクション

NSX にサード パーティのサービスを挿入するための、さまざまなデプロイ方法があります。

この章には、次のトピックが含まれています。

n 分散サービス挿入

VMware, Inc. 437

n Edge ベースのサービス挿入

n サードパーティのサービスの統合

n パートナー サービスの展開

n Service Composer を介したベンダー サービスの使用

n 論理ファイアウォールを使用したベンダー ソリューションへのトラフィックのリダイレクト

n パートナーのロード バランサの使用

n サードパーティ統合の削除

分散サービス挿入

分散サービス挿入では、単一のホストが、すべてのサービス モジュール、カーネル モジュール、および仮想マシン

を単一の物理マシンで実装します。システムのすべてのコンポーネントが、物理ホスト内のコンポーネントと連携し

ます。これにより、モジュール間の通信が高速化し、デプロイ モデルがコンパクトになります。拡張性を高めるため

に、サービス モジュールを宛先とする、またはサービス モジュールから vmkernel に送られるコントロールやデー

タ プレーンのトラフィックを物理システム上に置いたままにして、同じをネットワーク内の各物理システムにレプリ

ケートすることができます。保護対象の仮想マシンに vMotion を実行している間に、パートナー セキュリティ マシンが仮想マシンの状態を送信元から宛先のホストに移動します。

このような種類のサービス挿入を利用するベンダー ソリューションに、侵入防止サービス (IPS)/侵入検知サービス

(IDS)、ファイアウォール、Anti Virus、ファイル ID 監視 (FIM)、および脆弱性管理があります。

Edge ベースのサービス挿入

NSX Edge は、Edge サービス クラスタ内で、他のネットワーク サービスと一緒に仮想マシンとしてデプロイされ

ます。NSX Edge には、特定のトラフィックをサードパーティのネットワーク サービスにリダイレクトする機能が

あります。

このような種類のサービス挿入を利用するベンダー ソリューションに、ADC デバイスやロード バランサ デバイス

があります。

サードパーティのサービスの統合

これは、サードパーティのサービスを NSX プラットフォームに挿入するための、一般的な高レベルのワークフロー

です。

手順

1 ベンダーのコンソール上の NSX Manager を使用して、サードパーティのサービスを登録します。

サービスの登録には、NSX のログイン認証情報が必要です。詳細については、ベンダーのドキュメントを参照

してください。

NSX 管理ガイド

VMware, Inc. 438

2 NSX にサービスをデプロイします。パートナー サービスの展開を参照してください。

デプロイされたサードパーティのサービスは、NSX の [サービス定義] ウィンドウに表示され、使用する準備が

整います。NSX でのサービスの使用手順は、挿入されたサービスの種類によって異なります。

たとえば、ホストベースのファイアウォール サービスは、Service Composer でセキュリティ ポリシーを作

成するか、トラフィックをそのサービスにリダイレクトするファイアウォール ルールを作成することで有効にで

きます。Service Composer を介したベンダー サービスの使用または論理ファイアウォールを使用したベン

ダー ソリューションへのトラフィックのリダイレクトを参照してください。Edge ベース サービスの使用の詳

細については、パートナーのロード バランサの使用を参照してください。

パートナー サービスの展開

パートナー ソリューションにホスト配置型の仮想アプライアンスが含まれる場合は、ソリューションを NSX Manager で登録した後にサービスを展開できます。

重要： vMotion で別のクラスタに移行しているときに、パートナー サービスによるゲスト仮想マシンの保護が一

時的に失われます。この問題を回避するには、vMotion で同じクラスタ内のホストにのみゲスト仮想マシンを移行

します。

前提条件

次のように設定されていることを確認します。

n パートナー ソリューションは、NSX Manager を使用して登録されます。

n NSX Manager から、パートナー ソリューションの管理コンソールにアクセスできます。

n vSphere 7.0 以降の vCenter Server クラスタでは、ESXi ホストのライフサイクルを管理するために

vSphere Lifecycle Manager (vLCM) イメージを使用しません。vLCM イメージを使用する vCenter Server クラスタにパートナー サービスをインストールすることはできません。

クラスタ内のホストの管理に vLCM イメージが使用されているかどうか確認するには、vSphere Client にロ

グインし、[ホストおよびクラスタ] に移動します。ナビゲーション ペインでクラスタをクリックし、[アップデ

ート] - [イメージ] の順に移動します。クラスタで vLCM イメージが使用されていない場合は、[SetUp Image] ボタンが表示されます。クラスタで vLCM イメージが使用されている場合は、ESXi バージョン、ベン

ダーのアドオン、イメージのコンプライアンスの詳細など、イメージの詳細が表示されます。

n 必要なライセンス エディションが割り当てられています。「https://kb.vmware.com/kb/2145269」を参照

してください。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [サービスの展開 (Service Deployment)] の順に移動します。

2 [追加 (Add)] をクリックします。

3 [ネットワークおよびセキュリティ サービスのデプロイ] ダイアログ ボックスで、[ゲスト イントロスペクショ

ン (Guest Introspection)] を選択します。

NSX 管理ガイド

VMware, Inc. 439

4 [スケジュールを指定する (Specify schedule)] （ダイアログ ボックス下部）で、[今すぐデプロイする

(Deploy now)] を選択してゲスト イントロスペクションがインストールされたらすぐにデプロイするか、また

はデプロイの日付と時間を選択します。

5 [次へ (Next)] をクリックします。

6 ゲスト イントロスペクションをインストールするデータセンターおよびクラスタを選択し、[次へ (Next)] をク

リックします。

7 [ストレージおよび管理ネットワークの選択] ページで、サービス仮想マシン ストレージを追加するデータストア

を選択するか、[ホスト上が指定済み (Specified on host)] を選択します。デプロイ ワークフローを自動化す

るためには、[ホスト上が選択済み] ではなく、共有のデータストアとネットワークを使用することをお勧めしま

す。

選択したデータストアは、選択したクラスタ内のすべてのホストで利用可能である必要があります。

[ホスト上が指定済み (Specified on host)] を選択した場合は、クラスタ内の各ホストに対して次のサブステッ

プを実行します。

a ホーム ページで、[ホストおよびクラスタ (Hosts and Clusters)] をクリックします。

b [ナビゲータ] でホストをクリックし、[設定 (Configure)] をクリックします。

c 左側のナビゲーション ペインで、[仮想マシン (Virtual Machines)] の下にある [エージェント仮想マシン

(Agent VMs)] をクリックし、[編集 (Edit)] をクリックします。

d データストアを選択し、[OK] をクリックします。

8 [ホスト上が指定済み (Specified on host)] としてデータストアを設定する場合、ネットワークも [ホスト上が

指定済み (Specified on host)]として設定する必要があります。

[ホスト上が指定済み (Specified on host)] を選択した場合は、ステップ 7 のサブステップを実行してホスト

上のネットワークを選択します。クラスタに 1 台以上のホストを追加する場合は、データストアおよびネットワ

ークを設定してからクラスタに追加する必要があります。

9 [IP 割り当て] で、次のいずれかを選択します。

選択 宛先

DHCP DHCP (Dynamic Host Configuration Protocol) を使用してゲスト イントロスペクシ

ョン サービス仮想マシンに IP アドレスを割り当てます。ホストが異なるサブネット上にある

場合に、このオプションを選択します。

IP アドレス プールの使用 選択された IP アドレス プール内の IP アドレスをゲスト イントロスペクション サービス仮

想マシンに割り当てます。

10 [次へ (Next)] をクリックし、[設定の確認] ページで [終了 (Finish)] をクリックします。

11 [インストール ステータス (Installation Status)] 列に [成功 (Succeeded)] と表示されるまで、デプロイを監

視します。

NSX 6.4.0 以降では、vCenter Server のゲスト イントロスペクション サービス仮想マシンの名前に、デプ

ロイされたホストの IP アドレスが表示されます。

NSX 管理ガイド

VMware, Inc. 440

12 [インストール ステータス (Installation Status)] 列に [失敗 (Failed)] と表示された場合は、[失敗] の横にあ

るアイコンをクリックします。すべてのデプロイ エラーが表示されます。[解決 (Resolve)] をクリックしてエ

ラーを修正します。エラーを解決すると、別のエラーが表示される場合があります。必要な操作を行い、再度

[解決 (Resolve)] をクリックします。

注意： vSphere 7.0 以降を含むネットワークでは、ゲスト イントロスペクション サービスまたは他のサード

パーティ パートナー サービスがインストールされた後に、vCenter Server クラスタで vLCM イメージを使

用することはできません。vCenter Server クラスタで vLCM イメージを使用しようとすると、ホストにスタ

ンドアローン VIB が存在することを通知する警告メッセージが vSphere Client に表示されます。

次のステップ

NSX ユーザー インターフェイスまたは NSX API を介してパートナー サービスを使用できるようになりました。

Service Composer を介したベンダー サービスの使用

サードパーティ ベンダー サービスには、トラフィックのリダイレクト、ロード バランサ、およびデータ損失防止や

Anti Virus などのゲスト セキュリティ サービスなどがあります。Service Composer を使用すると、これらのサ

ービスを一連の vCenter Server オブジェクトに適用できます。

セキュリティ グループは vCenter Server オブジェクトのセットであり、これにはクラスタ、仮想マシン、vNIC、

および論理スイッチが含まれます。セキュリティ ポリシーは ゲスト イントロスペクション サービス、ファイアウォ

ール ルール、およびネットワーク イントロスペクション サービスのセットです。

セキュリティ ポリシーをセキュリティ グループにマッピングするときに、該当するサード パーティ ベンダー サー

ビス プロファイルにリダイレクション ルールが作成されます。そのセキュリティ グループに属する仮想マシンから

のトラフィックが流れるときは、このトラフィックのリダイレクト先は、登録済み サード パーティ ベンダー サービ

スになり、このサービスによって、トラフィックの処理方法が決定されます。Service Composer の詳細について

は、Service Composer の使用を参照してください。

論理ファイアウォールを使用したベンダー ソリューションへのトラ

フィックのリダイレクト

登録済みのベンダー ソリューションにトラフィックをリダイレクトするファイアウォール ルールを追加できます。

リダイレクトされたトラフィックは、ベンダー サービスによって処理されます。

前提条件

n サード パーティのサービスは、NSX Manager に登録する必要があり、サービスは NSX 内にデプロイされて

いる必要があります。

n デフォルトのファイアウォール ルール アクションがブロックに設定されている場合、ルールを追加することで、

トラフィックのリダイレクトを許可する必要があります。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ファイアウォール

(Firewall)] の順に移動します。

NSX 管理ガイド

VMware, Inc. 441

2 [パートナー セキュリティ サービス (Partner security services)] タブをクリックします。

3 ルールを追加するセクションで、[ルールの追加 (Add rule)] （ ）アイコンをクリックします。

セクションの一番上に新しい許可ルールが追加されます。

4 新しいルールの [名前 (Name)] セルをポイントし、 をクリックし、ルールの名前を入力します。

5 ルールの [送信元 (Source)]、[宛先 (Destination)]、[サービス (Service)] を指定します。詳細については、

ファイアウォール ルールの追加を参照してください。

6 新しいルールの [アクション (Action)] セルをポイントし、 をクリックします。

a [操作 (Action)] で、[リダイレクト (Redirect.)] を選択します。

b [リダイレクト先 (Redirect To)] で、サービス プロファイルおよび論理スイッチ、またはサービス プロフ

ァイルをバインドするセキュリティ グループを選択します。

このサービス プロファイルは、接続先の仮想マシンに適用されるか、選択した論理スイッチまたはセキュリ

ティ グループに格納されます。

c リダイレクトされたトラフィックをログに記録するかどうかを示し、コメントがある場合は入力します。

d [OK] をクリックします。

選択したサービス プロファイルは、[操作 (Action)] 列にリンクとして表示されます。サービス プロファイ

ル リンクをクリックすると、サービス プロファイルのバインドが表示されます。

7 [変更の発行 (Publish Changes)] をクリックします。

パートナーのロード バランサの使用

サードパーティのロード バランサを使用し、特定の NSX Edge のトラフィックを分散できます

前提条件

サードパーティのロード バランサは、NSX Manager に登録する必要があり、NSX 内でデプロイする必要があり

ます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [NSX Edge (NSX Edges)] の順に移動します。

2 [NSX Edge] をダブルクリックします。

3 [管理 (Manage)] > [ロード バランサ (Load Balancer)] タブの順にクリックします。

4 [ロード バランサのグローバル設定] の横にある [編集 (Edit)] をクリックします。

5 [ロード バランサの有効化 (Enable Load Balancer)] および [サービス挿入の有効化 (Enable Service Insertion)] を選択します。

6 [サービス定義 (Service Definition)] で、該当するパートナー ロード バランサを選択します。

NSX 管理ガイド

VMware, Inc. 442

7 [サービス設定 (Service Configuration)] で、該当するサービス設定を選択します。

8 その他のフィールドを入力し、サービス監視、サーバ プール、アプリケーション プロファイル、アプリケーシ

ョン ルール、仮想サーバを追加することによって、ロード バランサを設定します。仮想サーバを追加するとき

は、ベンダーが提供するテンプレートを選択します。詳細については、ロード バランシングの設定を参照してく

ださい。

結果

指定した Edge のトラフィックの負荷は、サード パーティ ベンダーの管理コンソールによって分散されます。

サードパーティ統合の削除

この例では、NSX からサードパーティ統合ソリューションを削除する方法について説明します。

サードパーティのソフトウェア ソリューションを削除する場合、ソフトウェアを正しい順番で削除する必要がありま

す。この順序で削除しなかった場合、または NSX Manager から登録解除する前にサードパーティのソリューショ

ンがアンインストールまたは削除された場合、削除は失敗します。この問題を解決する方法については、https://kb.vmware.com/kb/2126678 を参照してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] > [Service Composer] の順に移動し、サードパーティのソリューションにトラフィックをリダイレクトするルール（また

はセキュリティ ポリシー）を削除します。

2 [サービス定義 (Service Definitions)] に移動し、サードパーティのソリューションの名前をダブルクリックし

ます。

3 [関連オブジェクト (Related Objects)] をクリックし、関連オブジェクトを削除します。

4 [インストールとアップグレード (Installation and Upgrade)] > [サービス デプロイ (Service Deployments)] の順に移動し、サードパーティのデプロイを削除します。

この操作により、関連付けられた仮想マシンがアンインストールされます。

5 [サービス定義 (Service Definitions)] に戻り、定義のサブコンポーネントを削除します。

6 サービス インスタンスで、サービス プロファイルを削除します。

7 サービス インスタンスを削除します。

8 サービス定義を削除します。

結果

サードパーティ統合ソリューションが NSX から削除されます。

次のステップ

設定をメモしてから、NSX をサードパーティのソリューションから削除します。たとえば、他のオブジェクトを参

照するルールを削除してからオブジェクトを削除する場合もあります。

NSX 管理ガイド

VMware, Inc. 443

ユーザー管理 21多くの組織では、ネットワークとセキュリティの作業は複数のチームまたはメンバーが対処します。このような組織

では、ある作業を特定のユーザーに限定する必要が生じることがあります。このトピックでは、このようなアクセス

コントロールを設定するために使用できる NSX のオプションについて説明します。

NSX は Single Sign-On (SSO) もサポートしています。SSO により NSX は、Active Directory、NIS、LDAP などの他の ID サービスからユーザーを認証できます。

vSphere Web Client のユーザー管理は、NSX コンポーネントの CLI でのユーザー管理とは異なります。

この章には、次のトピックが含まれています。

n 機能別の NSX ユーザーおよび権限

n シングル サインオンの構成

n ユーザー権限の管理

n デフォルト ユーザー アカウントの管理

n vCenter Server ユーザーへのロールの割り当て

n グループ ベースのロール割り当て

n CLI を使用して Web インターフェイスのアクセス権を持つユーザーを作成する

n ユーザー アカウントの編集

n ユーザー ロールの変更

n ユーザー アカウントを無効または有効にする

n ユーザー アカウントの削除

機能別の NSX ユーザーおよび権限

NSX Data Center for vSphere をデプロイして管理するには、vCenter Server の特定の権限が必要です。

NSX Data Center for vSphere では、さまざまなユーザーおよびロールに拡張して、読み取りおよび/書き込み権

限を付与できます。

VMware, Inc. 444

機能およびロールと権限の一覧

注： n セキュリティ エンジニアとネットワーク エンジニアのロールは、NSX 6.4.2 以降で利用できます。

n セキュリティ/ロール管理者のロールは NSX 6.4.5 で使用可能です。

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

[管理者 (Administrator)]

設定 NSX を使った

vCenter Server および SSO 設定

読み取

り

読み取

り

読み取

り

読み取り 読み取

り

読み取り 読み取り、書き込み

更新 アクセ

ス不可

アクセ

ス不可

アクセ

ス不可

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

読み取り、書き込み

システム イベント システム イベント 読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

監査ログ 監査ログ 読み取

り

読み取

り

読み取

り

読み取り 読み取

り

読み取り 読み取り

デバッグ アクセ

ス不可

アクセ

ス不可

アクセ

ス不可

アクセス

不可

アクセ

ス不可

アクセス

不可

アクセス不可

ハウスキーピング

タスク

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

基本認証の無効化 読み取

り

読み取

り

読み取

り

読み取り 読み取

り

読み取り 読み取り、書き込み

[ユーザー アカウントの管理 (URM) (User Account Management (URM))]

ユーザー アカウン

トの管理

ユーザー管理 読み取

り

アクセ

ス不可

アクセ

ス不可

読み取り 読み取

り

読み取

り、書き

込み

読み取り、書き込み

オブジェクト アク

セスの管理

アクセ

ス不可

アクセ

ス不可

アクセ

ス不可

読み取り 読み取

り

読み取り 読み取り

機能アクセスの管理 アクセ

ス不可

アクセ

ス不可

アクセ

ス不可

読み取り 読み取

り

読み取り 読み取り

[Edge ]

システム システムとは、一般

的なシステム パラ

メータのことです

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

NSX 管理ガイド

VMware, Inc. 445

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

拡張サービス 読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取

り

読み取

り、書き

込み

読み取り、書き込み

アプライアンス NSX Edge の各種

フォーム ファクタ

(Compact/Large/X-Large/QuadLarge)

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

高可用性 読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

vNIC NSX Edge でのイ

ンターフェイス設

定

読み取

り

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

DNS 読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取

り、書き

込み

読み取り 読み取り、書き込み

SSH NSX Edge での

SSH 設定

読み取

り

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

自動配置 読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取

り

読み取

り、書き

込み

読み取り、書き込み

統計 読み取

り

読み取

り

読み取

り

読み取り 読み取

り

読み取り 読み取り、書き込み

NAT NSX Edge での

NAT 設定

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取

り、書き

込み

読み取り 読み取り、書き込み

DHCP 読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取

り、書き

込み

読み取り 読み取り、書き込み

ロード バランシン

グ

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取

り、書き

込み

読み取り 読み取り、書き込み

L3 VPN L3 VPN 読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取

り、書き

込み

読み取り 読み取り、書き込み

VPN L2 VPN、SSL VPN

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取

り、書き

込み

読み取り 読み取り、書き込み

NSX 管理ガイド

VMware, Inc. 446

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

Syslog NSX Edge での

Syslog の設定

読み取

り

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

サポート バンドル 読み取

り（ダウ

ンロー

ド アク

セス）

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

ルーティング NSX Edge におけ

るすべてのスタテ

ィック ルーティン

グと動的ルーティ

ング (BGP/OSPF)

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取

り、書き

込み

読み取り 読み取り、書き込み

ファイアウォール NSX Edge でのフ

ァイアウォール設

定

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取

り

読み取

り、書き

込み

読み取り、書き込み

ブリッジ 読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取

り、書き

込み

読み取り 読み取り、書き込み

証明書 読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取

り

読み取

り、書き

込み

読み取り、書き込み

システム コントロ

ール

システム コントロ

ールとは、上限、IP フォワーディング、

ネットワーク、シス

テム設定など、シス

テム カーネル パラ

メータのことです。

次はその例です。

ysctl.net.ipv4.conf.vNic_1.rp_filter

sysctl.net.netfilter.nf_conntrack_tcp_timeout_established

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

[分散ファイアウォ

ール (Distributed Firewall)]

NSX 管理ガイド

VMware, Inc. 447

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

ファイアウォール設

定

n レイヤー 3 ～

7（全般）ファ

イアウォール

ルール

n レイヤー 2（イ

ーサネット）フ

ァイアウォー

ル ルール

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

フロー フロー モニタリン

グは、システム内の

トラフィック フロ

ーを監視する機能

です。ライブ フロ

ーも監視できます。

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

IPFix 設定 IPFix を有効/無効

にして、コレクタを

割り当てます

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

強制同期 強制同期では、[イン

ストールとアップ

グレード

(Installation and Upgrade)] > [ホストの準備 (Host Preparation)] ページで完全同期を

行います。

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

分散ファイアウォー

ルのインストール

（ホストの準備）

クラスタに VIB をインストールしま

す

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

設定の保存（ドラフ

ト）

発行のたびに、既存

の分散ファイアウ

ォール設定がドラ

フトとして自動的

に保存されます

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

除外リスト 仮想マシンを分散

ファイアウォール

で保護しない場合、

または削除する場

合は、除外リストに

追加します

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

NSX 管理ガイド

VMware, Inc. 448

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

分散ファイアウォー

ル テクニカル サポ

ート

ホストから分散フ

ァイアウォール テクニカル サポート

バンドルを収集し

ます（NSX 設定シ

ェルのみ）

アクセ

ス不可

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

分散ファイアウォー

ル セッション タイ

マー

TCP/UDP/その他

のプロトコルのプ

ロトコル接続タイ

ムアウトを設定し

ます

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

IP アドレス検出

（DHCP/ARP スヌ

ーピング）

ゲスト仮想マシン

で VMware Tools が実行され

ていない場合の IP アドレス検出

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

Application Rule Manager

選択した一連のア

プリケーションの

フローを収集しま

す。ファイアウォ

ール ルールは、収集

されたフローに基

づいて作成されま

す。

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

app.syslog 読み取

り

読み取

り

アクセ

ス不可

読み取

り、書き

込み

アクセ

ス不可

アクセス

不可

読み取り、書き込み

パケット キャプチ

ャ

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

[名前空間

(NameSpace)]

設定 読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

[SpoofGuard]

設定 TOFU または手動

モードで発行され

た SpoofGuard

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

[エンドポイント セキュリティ (EPSEC) (Endpoint Security (EPSEC))]

NSX 管理ガイド

VMware, Inc. 449

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

レポート 読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取り、書き込み

登録 ソリューションの

管理 [登録、登録解

除、登録済みソリュ

ーションのクエリ、

アクティブ化]

読み取

り

アクセ

ス不可

アクセ

ス不可

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

読み取り、書き込み

健全性の監視 仮想マシン、サービ

ス仮想マシン

(SVM) の健全性ス

テータスを取得し、

NSX Manager に追加

アクセ

ス不可

読み取

り

読み取

り

読み取り 読み取

り

読み取り 読み取り

ポリシー セキュリティ ポリ

シーの管理 [作成、

読み込み、更新、削

除]

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取り、書き込み

スケジュールのスキ

ャン

読み取

り

アクセ

ス不可

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取り、書き込み

[ライブラリ

(Library)]

ホストの準備 クラスタでのホス

ト準備アクション

アクセ

ス不可

アクセ

ス不可

アクセ

ス不可

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

読み取り、書き込み

グループ化 IP セット、MAC セット、セキュリティ

グループ、サービ

ス、サービス グルー

プ

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取

り

読み取

り、書き

込み

読み取り、書き込み

タグ付け セキュリティ タグ

（例：仮想マシンの

接続または接続解

除）

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取

り

読み取

り、書き

込み

読み取り、書き込み

[インストール

(Install)]

アプリケーション アクセ

ス不可

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

NSX 管理ガイド

VMware, Inc. 450

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

EPSEC アクセ

ス不可

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

DLP アクセ

ス不可

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

[VDN]

NSM の設定 ネットワーク セキ

ュリティ マネージ

ャ (NSM) を設定

します

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

プロビジョニング 読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

[ESX Agent Manager (EAM)]

インストール ESX Agent Manager

アクセ

ス不可

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

[サービス挿入 (Service Insertion)]

サービス 読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取り、書き込み

サービス プロファ

イル

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取り、書き込み

[トラスト ストア (Trust Store)]

trustentity_management

NSX 証明書管理 読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

[IP アドレス管理 (IPAM) (IP Address Management (IPAM))]

設定 IP アドレス プール

の設定

読み取

り

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

IP アドレスの割り

当て

IP アドレスの割り

当てと解放

読み取

り

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

[セキュリティ ファブリック (Security Fabric)]

NSX 管理ガイド

VMware, Inc. 451

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

デプロイ [サービス デプロイ

(Service Deployment)] ページを使用して、ク

ラスタ上にサービ

スまたはセキュリ

ティ仮想マシンを

デプロイします

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取り、書き込み

アラーム [サービス デプロイ

(Service Deployment)] ページから、セキュリ

ティ仮想マシンが

生成するアラーム

を管理します

読み取

り

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

エージェントの健全

性ステータス

REST 呼び出しに

対するエージェン

トの健全性ステー

タス アラームを管

理するもので、主

に、パートナー仮想

マシンにより使用

されます

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

[メッセージング

(Messaging)]

メッセージング NSX Manager との通信のために、

NSX Edge および

ゲスト イントロス

ペクションにより

使用されるメッセ

ージング フレーム

ワークです

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

[レプリケータ（セカンダリ NSX Manager を利用するマルチ vCenter Server セットアップ） (Replicator (Multi vCenter setup with secondary NSX Manager))]

NSX 管理ガイド

VMware, Inc. 452

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

設定 NSX Manager のプライマリ ロール

の選択または選択

解除、およびセカン

ダリ NSX Manager の追加

または削除を行い

ます

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

[blueprint_sam.featurelist]

blueprint_sam.ad_config

Active Directory ドメイ

ンの設定に使用

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り 読み取り、書き込み

[セキュリティ ポリシー (Security Policy)]

設定 セキュリティ ポリ

シーの作成、更新、

編集、削除を設定し

ます

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

セキュリティ グル

ープのバインド

セキュリティ グル

ープとセキュリテ

ィ ポリシーを関連

付けます

読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

ポリシーの適用 読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

アクセス

不可

アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

ポリシーの同期 分散ファイアウォ

ールのセキュリテ

ィ ポリシーを同期

読み取

り

同期可

能

同期可

能

アクセス

不可

アクセ

ス不可

同期可能 読み取り、書き込み

[NSX アプライアンス管理 (NSX Appliance Management)]（NSX 6.4 以降）

NSX アプライアン

ス管理

NSX アプライアン

ス管理

読み取

り

読み取

り

読み取

り

読み取り 読み取

り

読み取り 読み取り、書き込み

[IP リポジトリ/IP アドレス検出 (IP Repository/IP Discovery)]

設定 読み取

り

読み取

り、書き

込み

読み取

り、書き

込み

読み取り アクセ

ス不可

読み取

り、書き

込み

読み取り、書き込み

[ダッシュボード

(Dashboard)]

NSX 管理ガイド

VMware, Inc. 453

機能 説明 ロール

監査

セキュ

リティ

管理者

セキュ

リティ

エンジ

ニア

NSX 管理者

ネット

ワーク

エンジ

ニア

セキュリ

ティ/ロ

ール管理

者

Enterprise Administrator

ウィジェットの設定 読み取

り

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取り、書き込み

システム設定 読み取

り

読み取

り、書き

込み

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取り、書き込み

[アップグレード コーディネーター

(Upgrade Coordinator)]

アップグレード アクセ

ス不可

アクセ

ス不可

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取り、書き込み

アップグレード プラン

読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取り、書き込み

[テクニカル サポー

ト バンドル (Tech Support Bundle)]

設定 Endpoint 読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取

り、書き

込み

読み取り、書き込み

[トークン ベースの

認証 (Token Based Authentication)]

無効化 アクセ

ス不可

アクセ

ス不可

アクセ

ス不可

アクセス

不可

アクセ

ス不可

アクセス

不可

読み取り、書き込み

[Ops]

設定 読み取

り

読み取

り

読み取

り

読み取

り、書き

込み

読み取

り

読み取り 読み取り、書き込み

シングル サインオンの構成

SSO を使用することで、各コンポーネントが個別にユーザーを認証する代わりに、さまざまなコンポーネントがセ

キュア トークン交換メカニズムを介して相互に通信して、vSphere と NSX Data Center for vSphere の安全性

を高めることができます。

NSX 管理ガイド

VMware, Inc. 454

NSX Manager で Lookup Service を設定し、SSO 管理者の認証情報を入力して、NSX 管理サービスを SSO ユーザーとして登録することができます。シングル サインオン (SSO) サービスを NSX Data Center for vSphere に統合すると、vCenter Server ユーザーに対するユーザー認証の安全性が強化され、NSX Data Center for vSphere が Active Directory、NIS、LDAP など他の ID サービスからユーザーを認証できるように

なります。SSO により NSX Data Center for vSphere は、REST API 呼び出しを介して、信頼されるソースか

らの認証済み Security Assertion Markup Language (SAML) トークンを使用する認証をサポートします。ま

た NSX Manager では、他の VMware ソリューションで使用する認証 SAML トークンを取得できます。

NSX Data Center for vSphere は、SSO ユーザーのグループ情報をキャッシュします。グループ メンバーシッ

プを変更すると、ID プロバイダ（Active Directory など）から NSX Data Center for vSphere への伝達に最

大 60 分かかります。

前提条件

n NSX Manager で SSO を使用するには、vCenter Server 6.0 以降が必要です。また、vCenter Server にシングル サインオン (SSO) 認証サービスがインストールされている必要があります。これは組み込みの SSO が対象であることに注意してください。代わりに、デプロイで、外部の一元化された SSO サーバが使用される

場合があります。

vSphere が提供するシングル サインオン (SSO) サービスの詳細については、『Platform Services Controller の管理』を参照してください。

重要： 関連する vCenter Server システムで使用される SSO の設定を使用するように、NSX Manager アプライアンスを構成する必要があります。

n SSO サーバと NSX Manager の時間が同期するよう、NTP サーバを指定する必要があります。

次はその例です。

手順

1 NSX Manager 仮想アプライアンスにログインします。

Web ブラウザで NSX Manager アプライアンスの GUI（https://<nsx-manager-ip> または https://<nsx-manager-hostname>）に移動し、admin または Enterprise Administrator 役割を持つアカウント

でログインします。

2 NSX Manager 仮想アプライアンスにログインします。

NSX 管理ガイド

VMware, Inc. 455

3 ホーム ページで [アプライアンス設定の管理 (Manage Appliance Settings)] - [NSX 管理サービス (NSX Management Service)] の順にクリックします。

4 [Lookup Service URL] セクションの [編集 (Edit)] をクリックします。

5 Lookup Service が実行されるホストの名前または IP アドレスを入力します。

6 ポート番号を入力します。

vSphere 6.0 以降を使用している場合は、ポート 443 を入力します。

Lookup Service の URL は、指定されたホストおよびポートに基づいて表示されます。

7 SSO 管理者のユーザー名とパスワードを入力し、[OK] をクリックします。

SSO サーバの証明書のサムプリントが表示されます。

8 証明書のサムプリントが SSO サーバの証明書と一致することを確認します。

認証局 (CA) サーバに CA 署名付き証明書をインストールした場合は、CA 署名付き証明書のサムプリントが表

示されます。CA 署名付き証明書をインストールしていない場合は、自己署名証明書が表示されます。

9 Lookup Service のステータスが [接続中 (Connected)] になっていることを確認します。

次のステップ

『NSX 管理ガイド』で「vCenter Server ユーザーへのロールの割り当て」を参照してください。

ユーザー権限の管理

ユーザーのロールによって、指定されたリソースに対してユーザーが実行できるアクションが定義されます。ユーザ

ーのロールに応じて、指定されたリソースのアクティビティへのアクセスが許可されます。また、ユーザーがアクセ

スできるのは、該当する操作を完了するために必要な機能のみです。これにより、特定のリソースに対するドメイン

の管理が可能になります。また、権限に制限がない場合は、システム全体を管理できます。

1 人のユーザーには 1 つのロールのみ割り当てることができます。次の表は、各ユーザーのロールの権限を示したも

のです。

表 21-1. NSX Manager ユーザー ロール

ロール 許可される処理

Enterprise Administrator このロールに割り当てられるユーザーは、NSX 製品のデプロイおよび設定と、この NSX Manager イン

スタンスの管理に関連したすべてのタスクを実行できます。

NSX Administrator このロールに割り当てられるユーザーは、この NSX Manager インスタンスのデプロイおよび管理に関連

したすべてのタスクを実行できます。たとえば、仮想アプライアンスのインストール、ポート グループの設

定などが可能です。

Security Administrator このロールに割り当てられるユーザーは、システムのレポートおよび監査情報の表示に加えて、セキュリテ

ィ コンプライアンス ポリシーの設定を行うことができます。たとえば、分散ファイアウォール ルールの定

義、NAT の設定、ロード バランサ サービスなどが可能です。

Auditor このロールに割り当てられるユーザーは、システムの設定、監査、イベント、レポート情報を表示できます

が、設定を変更することはできません。

NSX 管理ガイド

VMware, Inc. 456

表 21-1. NSX Manager ユーザー ロール （続き）

ロール 許可される処理

Security Engineer（NSX Data Center for vSphere 6.4.2 で導

入）。

このロールに割り当てられるユーザーは、ポリシーやファイアウォール ルールの設定など、すべてのセキュ

リティ タスクを実行できます。ユーザーは、一部のネットワーク機能に対する読み取りアクセスが許可され

ますが、ホストの準備とユーザー アカウントの管理にはアクセスできません。

Network Engineer（NSX Data Center for vSphere 6.4.2 で導

入）。

このロールのユーザーは、ルーティング、DHCP、ブリッジなど、すべてのネットワーク タスクを実行で

きます。このユーザーには、エンドポイントのセキュリティ機能の読み取りアクセスが許可されますが、他

のセキュリティ機能へのアクセスは許可されません。

セキュリティ/ロール管理者（NSX Data Center for vSphere 6.4.5 で導入）。

このロールのユーザーには、Security Engineer が持つすべての機能の権限が付与されます。ユーザー管

理タスクも実行できます。

SSO ユーザーにロールを割り当てると、次のインターフェイスにアクセスが許可されます。

n vSphere Web Client の ネットワークとセキュリティ プラグイン。

n NSX Manager アプライアンス（API を含む）。このアクセスは、NSX 6.4 以降でのみ許可されます。

エンタープライズ管理者ロールは、NSX Manager admin ユーザーと同じように NSX Manager アプライアンス

と API にアクセスできます。その他の NSX ロールは、NSX Manager アプライアンスと API に読み取り専用ア

クセスが許可されます。

次はその例です。

エンタープライズ管理者以外のロールを持つ SSO ユーザーは、NSX Manager ユーザー インターフェイスにアク

セスして、読み取り専用モードで API 要求を実行できます。GET API 要求で NSX API にアクセスできますが、

PUT、POST および DELETE API 要求は実行できません。また、これらの SSO ユーザーは、NSX Manager ユーザー インターフェイスで停止、設定、編集などの操作を実行できません。

デフォルト ユーザー アカウントの管理

NSX Manager ユーザー インターフェイスには、すべてのリソースへのアクセス権限が付与されたユーザー アカウ

ントがあります。このユーザーの権限を編集したり、削除したりすることはできません。デフォルトのユーザー名は

admin で、デフォルトのパスワードは default または NSX Manager のインストール時に指定したパスワードで

す。

NSX Manager アプライアンスの admin ユーザーは、CLI コマンドでのみ管理できます。

vCenter Server ユーザーへのロールの割り当て

SSO ユーザーにロールを割り当てると、vCenter Server はその SSO サーバで設定されている ID サービスを使

用してユーザーを認証します。SSO サーバが構成されていないか使用できない場合、ユーザーは vCenter Server の設定に基づいてローカルで、または Active Directory によって認証されます。

SSO ユーザーにロールを割り当てると、次のインターフェイスにアクセスが許可されます。

n vSphere Web Client の ネットワークとセキュリティ プラグイン。

n NSX Manager アプライアンス（API を含む）。このアクセスは、NSX 6.4 以降でのみ許可されます。

NSX 管理ガイド

VMware, Inc. 457

エンタープライズ管理者ロールは、NSX Manager admin ユーザーと同じように NSX Manager アプライアンス

と API にアクセスできます。その他の NSX ロールは、NSX Manager アプライアンスと API に読み取り専用ア

クセスが許可されます。

ロールは、個別に割り当てることも、グループ メンバーシップによって割り当てることもできます。ユーザーには、

NSX ロールを個別に割り当てることができます。このユーザーは、別の NSX ロールが割り当てられているグルー

プのメンバーになることもできます。このような場合、ユーザーに個別に割り当てられたロールは、NSX Manager アプライアンスへのログインに使用されます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [ユーザーとドメイン (Users and Domains)] の順に移動します。

2 [ユーザー (Users)] タブが開かれていることを確認します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

4 [追加 (Add)]アイコンをクリックします。

[ロールの割り当て] ウィンドウが開きます。

5 [vCenter Server ユーザーを指定する (Specify a vCenter user)] または [vCenter Server グループを指

定する (Specify a vCenter group)] をクリックします。

6 vCenter Server ユーザーの詳細またはグループの詳細を入力します。

次はその例です。

フィールド 値の例

ドメイン名 corp.vmware.com

エイリアス corp

グループ名 group1@corp.vmware.com

ユーザー名 user1@corp.vmware.com

ユーザー エイリアス user1@corp

注： NSX Manager でグループにロールを割り当てると、このグループのすべてのユーザーが NSX Manager ユーザー インターフェイスにログインできるようになります。

7 [次へ (Next)] をクリックします。

8 このユーザーのロールを選択し、[次へ (Next)] をクリックします。使用可能なロールの詳細については、ユー

ザー権限の管理を参照してください。

9 [終了 (Finish)] をクリックします。

作成したユーザー アカウントがユーザー テーブルに表示されます。

NSX 管理ガイド

VMware, Inc. 458

グループ ベースのロール割り当て

組織は、ユーザーを適切に管理するためにユーザー グループを作成します。SSO との統合後、NSX Manager はユーザーが属するグループの詳細情報を取得できます。同じグループに属する可能性がある個々のユーザーにロール

を割り当てる代わりに、NSX Manager はグループにロールを割り当てます。NSX Manager がロールをどのよう

に割り当てるかについて、次のシナリオで説明します。

例： ロール ベースのアクセス制御のシナリオ

このシナリオでは、IT ネットワーク エンジニア (Sally Moore) に、次の環境内の NSX コンポーネントへのアクセ

ス権を付与します。

n Active Directory ドメイン：corp.local

n vCenter Server グループ：neteng@corp.local

n ユーザー名：smoore@corp.local

前提条件：vCenter Server を NSX Manager に登録し、SSO を設定する必要があります。 SSO は、グループ

の場合にのみ必要になります。

1 ロールを Sally に割り当てます。

a vSphere Web Client にログインします。

b [ネットワークとセキュリティ (Networking & Security)] - [システム (System)] - [ユーザーとドメイ

ン (Users and Domains)] の順に移動します。

c [ユーザー (Users)] タブが開かれていることを確認します。

d [追加 (Add)]アイコンをクリックします。

[ロールの割り当て] ウィンドウが開きます。

e [vCenter Server グループを指定する (Specify a vCenter group)] をクリックし、[グループ

(Group)] に neteng@corp.local と入力します。

f [次へ (Next)] をクリックします。

g [ロールの選択 (Select Roles)] で [NSX 管理者 (NSX Administrator)] をクリックし、[次へ (Next)] をクリックします。

2 データセンターに対する権限を Sally に付与します。

a [ホーム] アイコンをクリックして、[ネットワーク (Networking)] をクリックします。

b データセンターを選択して、[アクション (Actions)] - [権限の追加 (Add Permission)] をクリックしま

す。

c [追加 (Add)] をクリックして、[corp.local] ドメインを選択します。

d [ユーザーとグループ (Users and Groups)] で [最初にグループを表示 (Show Groups First)] を選択

します。

e [NetEng] を選択し、[OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 459

f [割り当てられたロール (Assigned Role)] で、[読み取り専用 (Read-only)] を選択し、[子へ伝達

(Propagate to children)] を選択解除して、[OK] をクリックします。

3 vSphere Web Client からログアウトし、smoore@corp.local として再度ログインします。

Sally は NSX 操作のみを実行できます。たとえば、仮想アプライアンスのインストール、論理スイッチの作成

などの操作が可能です。

例： ユーザー グループのメンバーシップ経由で権限を継承するシナリオ

John は、Auditor ロールが割り当てられているグループ G1 に属しています。John は、グループ ロールとリソー

ス権限を継承します。

グループ オプション 値の例

名前 G1

割り当てられたロール Auditor（読み取り専用）

リソース グローバル ルート

ユーザー オプション 値の例

名前 John

属するグループ G1

割り当てられたロール なし。

例： 複数グループに属するユーザー メンバーのシナリオ

Joseph はグループ G1 と G2 に属しており、Auditor ロールと Security Administrator ロールの権利と権限の

組み合わせを継承します。たとえば、Joseph には次の権限があります。

n Datacenter1 の読み取り、書き込み（Security Administrator ロール）

n グローバル ルートの読み取り専用（Auditor ロール）

グループ オプション 値の例

名前 G1

割り当てられたロール Auditor（読み取り専用）

リソース グローバル ルート

グループ オプション 値の例

名前 G2

割り当てられたロール Security Administrator（読み取りと書き込み）

リソース Datacenter1

ユーザー オプション 値の例

名前 Joseph

属するグループ G1、G2

割り当てられたロール なし。

NSX 管理ガイド

VMware, Inc. 460

例： 複数ロールを持つユーザー メンバーのシナリオ

このシナリオでは、Bob に Security Administrator ロールが割り当てられています。このため、グループ ロール

の権限は継承されません。Bob には次の権限があります。

n Datacenter1 とその子リソースの読み取り、書き込み（Security Administrator ロール）

n Datacenter1 での Enterprise Administrator ロール

グループ オプション 値の例

名前 G1

割り当てられたロール Enterprise Administrator

リソース グローバル ルート

ユーザー オプション 値の例

名前 Bob

属するグループ G1

割り当てられたロール Security Administrator（読み取りと書き込み）

リソース Datacenter1

CLI を使用して Web インターフェイスのアクセス権を持つユーザー

を作成する

CLI を使用して Web インターフェイスのアクセス権を持つ NSX ユーザーを作成できます。このユーザー アカウ

ントを使用して複数のプラグインを操作したり、アカウントを監査目的で使用できます。

手順

1 CLI ユーザー アカウントを作成します。各 NSX 仮想アプライアンスに CLI ユーザー アカウントを作成できま

す。CLI ユーザー アカウントを作成するには、次の手順に従います。

a vSphere Web Client にログインし、NSX Manager 仮想アプライアンスを選択します。

b [コンソール (Console)] タブをクリックして、CLI セッションを開きます。

c NSX Manager のインストール時に指定した管理者アカウントとパスワードを使用して、CLI セッション

にログインします。次に例を示します。

nsx-mgr> enable

Password:

nsx-mgr>

d 次のように、enable コマンドを使用して、基本モードから特権モードに切り替えます。

nsx-mgr> enable

Password:

nsx-mgr#

NSX 管理ガイド

VMware, Inc. 461

e 次のように、configure terminal コマンドを使用して、特権モードから設定モードに切り替えます。

nsx-mgr# configure terminal

nsx-mgr(config)#

f user username password (hash | plaintext) password コマンドを使用して、CLI ユーザー アカウントを追加します。次に例を示します。

nsx-mgr(config)# user cliuser password plaintext abcd1234

注： 大文字を含むユーザー名は指定できません。

g 次のように設定を保存します。

nsx-mgr(config)# write memory

Configuration saved

[OK]

2 次のように、NSX Manager 仮想アプライアンスへのログインをユーザーに許可する Web インターフェイス

権限を提供し、アプライアンスの管理 REST API の実行を許可します。

a 次のように、設定モードになっていることを確認します。

nsx-mgr# configure terminal

nsx-mgr(config)#

b user username privilege web-interface コマンドを使用して、作成した CLI ユーザーに REST API 呼び出しの実行を許可します。次はその例です。

nsx-mgr(config)# user userName privilege web-interface

nsx-mgr(config)# user cliuser privilege web-interface

3 （オプション） 次のように、実行中の設定を確認できます。

nsx-mgr# show running-config

Building configuration...

Current configuration:

!

user cliuser

!

ntp server 192.168.110.1

!

ip name server 192.168.110.10

!

hostname nsxmgr-01a

!

interface mgmt

ip address 192.168.110.15/24

NSX 管理ガイド

VMware, Inc. 462

!

ip route 0.0.0.0/0 192.168.110.1

!

web-manager

4 CLI セッションを終了します。

nsx-mgr#(config)# exit

nsx-mgr# exit

[ネットワークとセキュリティ (Networking & Security)] - [システム (System)] - [ユーザーとドメイン

(Users and Domains)] - [ユーザー (Users)] タブの順に移動しても、作成したユーザーは表示されません。

また、ユーザーにロールは割り当てられません。

5 REST API を使用して、必要なロールをユーザーに割り当てます。次のように、auditor (Auditor)、security_admin (Security Administrator)、super_user (System Administrator) ロールを割り当てる

ことができます。

POST - https://<NSX-IP>/api/2.0/services/usermgmt/role/<username>?isCli=true

<accessControlEntry>

<role>auditor</role> # Enter the required role #

<resource>

<resourceId>globalroot-0</resourceId>

</resource>

</accessControlEntry>

結果

Web インターフェイスのアクセス権を持つ NSX CLI ユーザーが作成されます。

次のステップ

ユーザーの作成で指定した認証情報を使用して、vSphere Web Client にログインできます。

CLI の詳細については、『NSX コマンド ライン インターフェイス リファレンス』を参照してください。

API の詳細については、『NSX API ガイド』を参照してください。

ユーザー アカウントの編集

ユーザー アカウントを編集して、ロールまたはスコープを変更することができます。admin アカウントは編集でき

ません。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [ユーザーとドメイン (Users and Domains)] の順に移動します。

2 [ユーザー (Users)] タブが開かれていることを確認します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

NSX 管理ガイド

VMware, Inc. 463

4 編集するユーザーを選択します。

5 [編集 (Edit)]（ または ）アイコンをクリックします。

6 必要な変更を実行します。

7 [終了 (Finish)] をクリックして、変更内容を保存します。

ユーザー ロールの変更

admin ユーザーを除くすべてのユーザーについて、ロールの割り当てを変更できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [ユーザーとドメイン (Users and Domains)] の順に移動します。

2 [ユーザー (Users)] タブが開かれていることを確認します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

4 ロールを編集するユーザーを選択します。

5 [編集 (Edit)]（ または ）アイコンをクリックします。

6 必要な変更を実行します。

7 [終了 (Finish)] をクリックして、変更内容を保存します。

ユーザー アカウントを無効または有効にする

ユーザー アカウントを無効にして、そのユーザーが NSX Manager にログインできないようにすることができま

す。admin ユーザーまたは現在 NSX Manager にログインしているユーザーを無効にできません。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [ユーザーとドメイン (Users and Domains)] の順に移動します。

2 [ユーザー (Users)] タブが開かれていることを確認します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

4 ユーザーを選択して、[有効 (Enable)] または [無効 (Disable)] アイコンをクリックします。

ユーザー アカウントの削除

作成したユーザー アカウントは削除できます。admin アカウントは削除できません。削除されたユーザーに対する

監査レコードは、データベースに保持され、監査ログ レポートで参照できます。

NSX 管理ガイド

VMware, Inc. 464

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [ユーザーとドメイン (Users and Domains)] の順に移動します。

2 [ユーザー (Users)] タブが開かれていることを確認します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

4 ユーザーを選択して、[削除 (Delete)]（ または ）アイコンをクリックします。

5 削除を実行するため、[削除 (Delete)] または [はい] をクリックします。

vCenter Server のユーザー アカウントを削除する場合、NSX Manager 用のロール割り当てだけが削除され

ます。vCenter Server 上のユーザー アカウントは削除されません。

NSX 管理ガイド

VMware, Inc. 465

ネットワークおよびセキュリティ オブジェクト 22このセクションでは、カスタム ネットワークとセキュリティ コンテナについて説明します。これらのコンテナは、

分散ファイアウォールと Service Composer で使用できます。Cross-vCenter NSX 環境では、ユニバーサル分

散ファイアウォール ルールで使用するユニバーサル ネットワークとセキュリティ コンテナを作成できます。ユニバ

ーサル ネットワークおよびセキュリティ オブジェクトを Service Composer で使用することはできません。

注： ユニバーサル スコープを持つグループを作成する場合には、重複する名前も使用できます。次のグループを作

成するときに、[このオブジェクトをユニバーサル同期の対象としてマーク (Mark this object for Universal Synchronization)] オプションを選択すると、重複する名前を指定できます。

n IP アドレス グループ（IP セット）

n MAC アドレス グループ（MAC セット）

n セキュリティ グループ

n サービスおよびサービス グループ

この章には、次のトピックが含まれています。

n IP アドレス グループの操作

n MAC アドレス グループの操作

n IP アドレス プールの操作

n セキュリティ グループの操作

n サービスおよびサービス グループの操作

IP アドレス グループの操作

IP アドレス グループ（IP セット）は、IP アドレスのリストまたは IP アドレス範囲をグループ化したものです。

Edge ファイアウォール ルールや分散ファイアウォール ルールを定義する際に、IP アドレス グループを使用できま

す。

IP アドレス グループを作成するには、IP アドレスを手動で入力するか、IP アドレスのカンマ区切りのリストを含

む .csv ファイルまたは .txt ファイルをインポートします。また、既存の IP アドレス グループを IP アドレスの

カンマ区切りリストとして .txt ファイルにエクスポートすることもできます。

VMware, Inc. 466

IP アドレス グループの作成

IP アドレス グループを作成してから、このグループを送信元または宛先としてファイアウォール ルールに追加でき

ます。このルールにより、仮想マシンから物理マシンを、または物理マシンから仮想マシンを保護することができま

す。

前提条件

n 各仮想マシンへ VMware Tools をインストールします。

n IP アドレスの代わりにグループ オブジェクトを使用する場合は、IP アドレスの検出方法（DHCP スヌーピン

グ、ARP スヌーピング、またはその両方など）を有効にします。詳細については、仮想マシンの IP アドレス検

出を参照してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [IP セット (IP Sets)] に移動します。

n NSX 6.4.1 以降では、[IP セット (IP Sets)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [IP セット (IP Sets)] タブの順に移動

します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル IP アドレス グループの管理が必要な場合は、プライマリ NSX Manager を選択します。

4 [追加 (Add)] または [追加 (Add)]（ ）アイコンをクリックします。

5 アドレス グループの名前を入力します。

6 （オプション） アドレス グループの説明を入力します。

7 グループに含める IP アドレスまたは IP アドレス範囲を入力します。

注意： IP セットに IPv6 アドレス範囲を入力する場合は、アドレス範囲を /64 に分割します。この設定を行

わないと、ファイアウォール ルールの発行に失敗します。

8 （オプション） [継承 (Inheritance)] または [継承を有効にし、下層にある範囲で表示できるようにする

(Enable inheritance to allow visibility at underlying scopes.)] を選択します。

継承を有効にすると、グローバル スコープで作成されたグループ オブジェクトが、データセンターや Edge などの派生スコープからアクセス可能になります。

9 （オプション） ユニバーサル IP アドレス グループを作成するには、次の手順に従います。

u NSX 6.4.1 以降では、[ユニバーサル同期 (Universal Synchronization)] トグル ボタンをクリックし、

[有効 (On)] にします。

u NSX 6.4.0 では、[このオブジェクトをユニバーサル同期の対象としてマーク (Mark this object for Universal Synchronization)] を選択します。

NSX 管理ガイド

VMware, Inc. 467

10 [追加 (Add)] または [OK] をクリックします。

IP アドレス グループの編集

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [IP セット (IP Sets)] に移動します。

n NSX 6.4.1 以降では、[IP セット (IP Sets)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [IP セット (IP Sets)] タブの順に移動

します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル IP アドレス グループの管理が必要な場合は、プライマリ NSX Manager を選択します。

4 編集するグループを選択して、[編集 (Edit)] （ または ）アイコンをクリックします。

5 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

IP アドレス グループの削除

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [IP セット (IP Sets)] に移動します。

n NSX 6.4.1 以降では、[IP セット (IP Sets)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [IP セット (IP Sets)] タブの順に移動

します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル IP アドレス グループの管理が必要な場合は、プライマリ NSX Manager を選択します。

4 削除するグループを選択し、[削除 (Delete)]（ または ）アイコンをクリックします。

MAC アドレス グループの操作

NSX 管理ガイド

VMware, Inc. 468

MAC アドレス グループの作成

一定範囲の MAC アドレスで設定される MAC アドレス グループ（MAC セット）を作成してから、そのグループ

を分散ファイアウォール ルールに送信元または宛先として追加できます。このルールにより、仮想マシンから物理マ

シンを、または物理マシンから仮想マシンを保護することができます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [MAC セット (MAC Sets)] に移動します。

n NSX 6.4.1 以降では、[MAC セット (MAC Sets)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [MAC セット (MAC Sets)] タブの

順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル MAC アドレス グループを管理するには、プライマリ NSX Manager を選択する必要があり

ます。

4 [追加 (Add)] または [追加 (Add)]（ ）アイコンをクリックします。

5 アドレス グループの名前を入力します。

6 （オプション） アドレス グループの説明を入力します。

7 グループに含める MAC アドレスを入力します。

8 （オプション） [継承 (Inheritance)] または [継承を有効にし、下層にある範囲で表示できるようにする

(Enable inheritance to allow visibility at underlying scopes.)] を選択します。

継承を有効にすると、グローバル スコープで作成されたグループ オブジェクトが、データセンターや Edge などの派生スコープからアクセス可能になります。

9 （オプション） ユニバーサル MAC アドレス グループを作成する場合は、[ユニバーサル同期 (Universal Synchronization)] または [このオブジェクトをユニバーサル同期の対象としてマーク (Mark this object for Universal Synchronization)] を選択します。

10 [追加 (Add)] または [OK] をクリックします。

MAC アドレス グループの編集

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [MAC セット (MAC Sets)] に移動します。

n NSX 6.4.1 以降では、[MAC セット (MAC Sets)] タブに移動します。

NSX 管理ガイド

VMware, Inc. 469

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [MAC セット (MAC Sets)] タブの

順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル MAC アドレス グループを管理するには、プライマリ NSX Manager を選択する必要があり

ます。

4 編集するグループを選択して、[編集 (Edit)] （ または ）アイコンをクリックします。

5 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

MAC アドレス グループの削除

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [MAC セット (MAC Sets)] に移動します。

n NSX 6.4.1 以降では、[MAC セット (MAC Sets)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [MAC セット (MAC Sets)] タブの

順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル MAC アドレス グループを管理するには、プライマリ NSX Manager を選択する必要があり

ます。

4 削除するグループを選択し、[削除 (Delete)]（ または ）アイコンをクリックします。

IP アドレス プールの操作

IP アドレス プールを作成して、IP アドレスの範囲を指定できます。

IP アドレス プールの作成

IP アドレス プールに含める IP アドレス範囲を追加できます。すでにネットワークで使用されている IP アドレス範

囲または IP アドレスが IP アドレス プールに含まれていないことを確認します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [IP アドレス プール (IP Pools)] に移動します。

n NSX 6.4.1 以降では、[IP アドレス プール (IP Pools)] タブに移動します。

NSX 管理ガイド

VMware, Inc. 470

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [IP アドレス プール (IP Pools)] タブ

の順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

4 [追加 (Add)] または [新規 IP アドレス プールの追加 (Add New IP Pool)] アイコンをクリックします。

5 IP アドレス プールの名前を入力し、デフォルト ゲートウェイとプリフィックスの長さを入力します。

6 （オプション） プライマリおよびセカンダリ DNS と、DNS サフィックスを入力します。

7 プールに含める IP アドレス範囲を入力し、[追加 (Add)] または [OK] をクリックします。

IP アドレス プールの編集

IP アドレス プールの名前と IP アドレス範囲を編集できます。ただし、IP アドレス プールを使用した後で、ゲート

ウェイとプリフィックス長を編集することはできません。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [IP アドレス プール (IP Pools)] に移動します。

n NSX 6.4.1 以降では、[IP アドレス プール (IP Pools)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [IP アドレス プール (IP Pools)] タブ

の順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

4 IP アドレス プールを選択し、[編集 (Edit)]（ または ）アイコンをクリックします。

5 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

IP アドレス プールの削除

IP アドレス プールを削除できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [IP アドレス プール (IP Pools)] に移動します。

n NSX 6.4.1 以降では、[IP アドレス プール (IP Pools)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [IP アドレス プール (IP Pools)] タブ

の順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

NSX 管理ガイド

VMware, Inc. 471

4 削除する IP アドレス プールを選択し、[削除 (Delete)]（ または ）アイコンをクリックします。

セキュリティ グループの操作

セキュリティ グループは、vSphere インベントリの資産またはグループ オブジェクトの集合です。

セキュリティ グループは、論理スイッチ、vNIC、IP セット、仮想マシン (VM) など、さまざまなタイプのオブジェ

クトを入れるためのコンテナです。セキュリティ グループには、セキュリティ タグ、仮想マシン名、または論理ス

イッチ名に基づく動的なメンバーシップ基準を含めることができます。たとえば、セキュリティ タグ「web」を持

つすべての仮想マシンは、Web サーバを対象にしたセキュリティ グループへ自動的に追加されます。セキュリティ

グループを作成した後、そのグループにセキュリティ ポリシーを適用します。

重要： 移動またはコピーで仮想マシンの仮想マシン ID が再生成された場合、セキュリティ タグは新しい仮想マシ

ン ID に伝達されません。

RDSH の Identity Firewall で使用するセキュリティ グループでは、作成時に[送信元でユーザー ID を有効にする]が選択されたセキュリティ ポリシーを使用する必要があります。RDSH の Identity Firewall で使用するセキュリ

ティ グループには、Active Directory (AD) グループのみを含める必要があります。ネストされたセキュリティ グループもすべて AD グループにする必要があります。

Identity Firewall で使用されているセキュリティ グループには、Active Directory ディレクトリ グループのみを

含めることができます。ネストされたグループには、Active Directory 以外のグループや仮想マシンなどの他の論

理エンティティを含めることができます。

詳細についてはセキュリティ グループでのファイアウォール ルールの動作を参照してください。

Cross-vCenter NSX 環境では、ユニバーサル セキュリティ グループはプライマリ NSX Manager で定義され、

セカンダリ NSX Manager とのユニバーサル同期の対象としてマークされます。アクティブ/スタンバイ環境で使

用するとマークしない限り、ユニバーサル セキュリティ グループで、動的なメンバーシップ基準を定義することは

できません。

Cross-vCenter NSX 環境でアクティブ/スタンバイ環境シナリオを使用する場合、SRM はリカバリ サイトに、ア

クティブ サイトにある保護対象のすべての仮想マシン用のプレースホルダ仮想マシンを作成します。プレースホル

ダ仮想マシンはアクティブではなく、スダンバイ モードのままになります。保護対象の仮想マシンが停止すると、リ

カバリ サイトのプレースホルダ仮想マシンがパワーオンされ、保護対象の仮想マシンのタスクを引き継ぎます。ユー

ザーは、ユニバーサル セキュリティ タグを使用したユニバーサル セキュリティ グループを含む分散ファイアウォー

ル ルールを作成します。NSX Manager は、ユニバーサル セキュリティ タグを使用したユニバーサル セキュリテ

ィ グループを含む分散ファイアウォール ルールをプレースホルダ仮想マシンにレプリケートします。プレースホル

ダ仮想マシンがパワーオンすると、ユニバーサル セキュリティ タグを使用したユニバーサル セキュリティ グループ

を含むレプリケートされたファイアウォール ルールが正しく適用されます。

注： n NSX 6.3 より前に作成されたユニバーサル セキュリティ グループを編集して、アクティブ/スタンバイ環境で

使用することはできません。

セキュリティ グループでのファイアウォール ルールの動作

ファイアウォール ルールの動作は、セキュリティ グループによって異なります。

NSX 管理ガイド

VMware, Inc. 472

表 22-1. RDSH セクションと RDSH 以外のセクションでのファイアウォール ルールの動作

ユーザー ID のセキュリティ グループを有効に

する（RDSH セクション）

ID のセキュリティ グループ（RDSH セクシ

ョン）

任意のセキュリティ グループ（RDSH 以外のセ

クション）

送信元 - SID ベースのルールがハイパーバイザ

ーに事前にプッシュされます。最初のパケット

にルールが適用されます。

送信元 - IP アドレス ベースのルール 送信元 - IP アドレス ベースのルール

宛先 - IP アドレス ベースのルール 宛先 - IP アドレス ベースのルール 宛先 - IP アドレス ベースのルール

ID ベースのセキュリティ グループの適用先 - すべてのホストに適用 ユーザー ベースの適用先

ID ベース以外のセキュリティ グループの適用先 - ユーザー ベースの適用先 ユーザー ベースの適用先

セキュリティ グループの作成

NSX Manager レベルでセキュリティ グループを作成できます。

ユニバーサル セキュリティ グループは、アクティブ環境とアクティブ/スタンバイ環境の 2 種類の Cross-vCenter NSX 環境で使用されます。アクティブ/スタンバイ環境の場合は、一度に 1 つのサイトがアクティブな環境となり、

残りのサイトはスタンバイ状態になります。

n アクティブ環境のユニバーサル セキュリティ グループには、セキュリティ グループ、IP セット、MAC セット

の対象オブジェクトのみを含めることができます。動的メンバーシップや除外されたオブジェクトは設定できま

せん。

n アクティブ/スタンバイ環境のユニバーサル セキュリティ グループには、セキュリティ グループ、IP セット、

MAC セット、ユニバーサル セキュリティ タグの対象オブジェクトを含めることができます。仮想マシン名を

のみを使用して動的メンバーシップを設定することもできます。除外されたオブジェクトは設定できません。

注： コンピュータの OS 名やコンピュータ名などの動的基準に基づいてパワーオフされた仮想マシンは、セキュリ

ティ グループに含まれません。動的基準は、仮想マシンのパワーオン時に NSX によって 1 回のみ受信されます。パ

ワーオン後は、ゲストの詳細が NSX Manager と同期され、仮想マシンがパワーオフした後も NSX Manager で維持されます。

注： NSX 6.3 より前に作成されたユニバーサル セキュリティ グループを編集して、アクティブ/スタンバイ環境

で使用することはできません。

前提条件

Active Directory グループ オブジェクトに基づいてセキュリティ グループを作成する場合、1 つ以上のドメインが

NSX Manager に登録されていることを確認します。NSX Manager は、グループ、ユーザー情報、およびこれら

の関係を登録先の各ドメインから取得します。「NSX Manager への Windows ドメインの登録」を参照してくだ

さい。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [セキュリティ グループ (Security Group)] に移動します。

n NSX 6.4.1 以降では、[セキュリティ グループ (Security Groups)] タブに移動します。

NSX 管理ガイド

VMware, Inc. 473

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [セキュリティ グループ (Security Group)] タブの順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル セキュリティ グループを管理するには、プライマリ NSX Manager を選択する必要があり

ます。

4 [追加 (Add)] または [新規セキュリティ グループの追加 (Add New Security Group)] アイコンをクリック

します。

5 セキュリティ グループの名前と説明（説明は任意）を入力します。

6 （オプション） ユニバーサル セキュリティ グループを作成する場合は、[ユニバーサル同期 (Universal Synchronization)] または [このオブジェクトをユニバーサル同期の対象としてマーク (Mark this object for universal synchronization)] を選択します。

7 （オプション） アクティブ/スタンバイ環境で使用するユニバーサル セキュリティ グループを作成する場合は、

[ユニバーサル同期/このオブジェクトをユニバーサル同期の対象としてマーク (Universal Synchronization / Mark this object for universal synchronization)] と [アクティブ/スタンバイ環境

での使用 (Use for active standby deployments)] の両方を選択します。アクティブ/スタンバイ環境で

は、仮想マシン名に基づいたユニバーサル セキュリティ グループの動的メンバーシップが使用されます。

8 [次へ (Next)] をクリックします。

9 [動的メンバーシップ] ページで、作成中のセキュリティ グループに追加するオブジェクトに必要となる基準を定

義します。これにより、フィルタ基準を定義して、検索基準を満たす仮想マシンを含めることができます。フィ

ルタ基準では、多数のパラメータがサポートされています。

注： ユニバーサル セキュリティ グループを作成する場合、アクティブ/アクティブ環境で [動的メンバーシッ

プの定義 (Define dynamic membership)] の手順は利用できません。アクティブ/スタンバイ環境では、仮

想マシン名のみに基づいて使用できます。

たとえば、指定したセキュリティ タグ（AntiVirus.virusFound など）でタグ付けされた仮想マシンのすべて

をセキュリティ グループに追加するための基準を含めることができます。セキュリティ タグでは大文字と小文

字が区別されます。

または、W2008 という名前を含むすべての仮想マシンや、論理スイッチ global_wire に含まれる仮想マシン

をセキュリティ グループに追加できます。

10 [次へ (Next)] をクリックします。

NSX 管理ガイド

VMware, Inc. 474

11 [含めるオブジェクトの選択] ページで、追加するリソースのタブを選択し、セキュリティ グループに追加するリ

ソースを 1 つ以上選択します。セキュリティ グループには次のオブジェクトを含めることができます。

表 22-2. セキュリティ グループおよびユニバーサル セキュリティ グループに含めることができるオブジェク

ト。

セキュリティ グループ ユニバーサル セキュリティ グループ

n 作成中のセキュリティ グループ内にネストされた他のセキュリテ

ィ グループ。

n クラスタ

n 論理スイッチ

n ネットワーク

n 仮想アプリケーション

n データセンター

n IP セット

n ディレクトリ グループ

注： NSX セキュリティ グループの Active Directory の設定

は、vSphere SSO の Active Directory の設定とは異なりま

す。NSX Active Directory グループの設定はゲスト仮想マシ

ンにアクセスするエンド ユーザー用であり、vSphere SSO は

vSphere および NSX を使用する管理者用です。これらのディ

レクトリ グループを使用するには、Active Directory との同期

が必要です。「12 章 Identity Firewall の概要」を参照してくだ

さい。

n MAC セット

n セキュリティ タグ

n vNIC

n 仮想マシン

n リソース プール

n 分散仮想ポート グループ

n 作成中のユニバーサル セキュリティ グループ内にネストされた

他のユニバーサル セキュリティ グループ。

n ユニバーサル IP セット

n ユニバーサル MAC セット

n ユニバーサル セキュリティ タグ（アクティブ/スタンバイ環境の

み）

ここで選択したオブジェクトは、[動的メンバーシップ] ページで以前に定義した基準を満たすかどうかにかかわ

らず、常にセキュリティ グループに含まれます。

セキュリティ グループに 1 つのリソースを追加すると、関連するすべてのリソースも自動的に追加されます。た

とえば、仮想マシンを選択すると、関連する vNIC が自動的にセキュリティ グループに追加されます。

12 [次へ (Next)] をクリックして、セキュリティ グループから除外するオブジェクトを選択します。

注： ユニバーサル セキュリティ グループを作成する場合、[除外するオブジェクトの選択] の手順は使用でき

ません。

ここで選択したオブジェクトは、動的基準を満たすかどうかにかかわらず、常にセキュリティ グループから除外

されます。

13 [次へ (Next)] をクリックします。

[設定内容の確認 (Ready to Complete)] ウィンドウが表示され、セキュリティ グループの概要が示されます。

14 [終了 (Finish)] をクリックします。

NSX 管理ガイド

VMware, Inc. 475

例

セキュリティ グループのメンバーシップは、次のように決まります。

{式の結果（[動的メンバーシップの定義 (Define dynamic membership)] から派生）+ 含まれるアイテム（[含め

るオブジェクトの選択 (Select objects to include)] で指定）} - 除外されるアイテム（[除外するオブジェクトの選

択 (Select objects to exclude)] で指定）

つまり、含まれるアイテムが最初に式の結果に追加されます。次に、除外されるアイテムが、結合された結果から差

し引かれます。

セキュリティ グループの編集

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [セキュリティ グループ (Security Group)] に移動します。

n NSX 6.4.1 以降では、[セキュリティ グループ (Security Groups)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [セキュリティ グループ (Security Group)] タブの順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル セキュリティ グループを管理するには、プライマリ NSX Manager を選択する必要があり

ます。

4 編集するグループを選択して、[編集 (Edit)] （ または ）アイコンをクリックします。

注： NSX 6.3 より前に作成されたユニバーサル セキュリティ グループを編集して、アクティブ/スタンバイ

環境で使用することはできません。

5 [セキュリティ グループの編集] ダイアログ ボックスで、必要な変更を行います。

6 [終了 (Finish)] または [OK] をクリックします。

セキュリティ グループの削除

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [セキュリティ グループ (Security Group)] に移動します。

n NSX 6.4.1 以降では、[セキュリティ グループ (Security Groups)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [セキュリティ グループ (Security Group)] タブの順に移動します。

NSX 管理ガイド

VMware, Inc. 476

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル セキュリティ グループを管理するには、プライマリ NSX Manager を選択する必要があり

ます。

4 削除するグループを選択し、[削除 (Delete)]（ または ）アイコンをクリックします。

サービスおよびサービス グループの操作

サービスはプロトコルとポートの組み合わせで、サービス グループはサービスや他のサービス グループの集合です。

サービスの作成

ファイアウォール ルールでサービスを使用できます。事前定義のサービスを使用することも、他のサービスを作成す

ることもできます。

アプリケーションが未定義であったり、標準のプロトコルを使用している場合は、デフォルト以外のポートを使用し

たサービスの作成が必要になることがあります。次はその例です。

n デフォルト以外のポートの HTTP： TCP:8080

n デフォルト以外のポートの FTP： FTP:8021

n NoMachine サーバ ポート： UDP:4000

注： Edge ファイアウォールでは、SCTP プロトコルはサポートされません。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [サービス (Services)] に移動します。

n NSX 6.4.1 以降では、[サービス (Services)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [サービス (Service)] タブの順に移動

します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル サービスを管理するには、プライマリ NSX Manager を選択する必要があります。

4 [追加 (Add)] または [追加 (Add)]（ ）アイコンをクリックします。

5 [名前 (Name)] にサービス名を入力します。

6 （オプション） [説明 (Description)] にサービスの説明を入力します。

7 [レイヤー (Layer)] を選択します。

レイヤー 7 を選択する場合、アプリケーション ID の選択が求められます。

NSX 管理ガイド

VMware, Inc. 477

8 [プロトコル (Protocol)] を選択します。

たとえば、TCP、UDP または FTP を選択します。

選択したプロトコルによっては、宛先ポートなどのその他の情報の入力を求められる場合があります。[詳細オプ

ション (Advanced Options)] を展開して、送信元ポートを入力します。

注： Edge ファイアウォールでは、SCTP プロトコルはサポートされません。

9 （オプション） [継承 (Inheritance)] または [継承を有効にし、下層にある範囲で表示できるようにする

(Enable inheritance to allow visibility at underlying scopes.)] を選択します。

継承を有効にすると、グローバル スコープで作成されたグループ オブジェクトが、データセンターや Edge などの派生スコープからアクセス可能になります。

10 （オプション） ユニバーサル サービスを作成する場合は、[ユニバーサル同期 (Universal Synchronization)] または [このオブジェクトをユニバーサル同期の対象としてマーク (Mark this object for Universal Synchronization)] を選択します。

11 [追加 (Add)] または [OK] をクリックします。

結果

サービスが [サービス] テーブルに表示されます。

サービス グループの作成

サービス グループを作成して、そのサービス グループに適用するルールを定義できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [サービス グループ (Service Groups)] に移動します。

n NSX 6.4.1 以降では、[サービス グループ (Service Groups)] タブに移動します。

n NSX 6.4.0 では、[グループ オブジェクト (Grouping Objects)] - [サービス グループ (Service Groups)] タブの順に移動します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

u ユニバーサル セキュリティ グループを管理するには、プライマリ NSX Manager を選択する必要があり

ます。

4 [追加 (Add)] または [追加 (Add)]（ ）アイコンをクリックします。

5 サービス グループを識別する [名前 (Name)] を入力します。

6 （オプション） サービス グループの [説明 (Description)] を入力します。

7 [メンバー] で、グループに追加するサービスまたはサービス グループを選択します。

NSX 管理ガイド

VMware, Inc. 478

8 （オプション） ユニバーサル サービス グループを作成する場合は、[ユニバーサル同期 (Universal Synchronization)] または [このオブジェクトをユニバーサル同期の対象としてマーク (Mark this object for Universal Synchronization)] を選択します。

9 （オプション） [継承 (Inheritance)] または [継承を有効にし、下層にある範囲で表示できるようにする

(Enable inheritance to allow visibility at underlying scopes.)] を選択します。

継承を有効にすると、グローバル スコープで作成されたグループ オブジェクトが、データセンターや Edge などの派生スコープからアクセス可能になります。

10 [追加 (Add)] または [OK] をクリックします。

サービスまたはサービス グループの編集

サービスおよびサービス グループを編集できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [サービス (Service)] タブまたは [サービス グループ (Service Groups)] タブをクリックします。

3 カスタム サービスまたはサービス グループを選択し、[編集 (Edit)] （ または ）アイコンをクリックしま

す。

4 必要な変更を行い、[保存 (Save)] または [OK] をクリックします。

サービスまたはサービス グループの削除

サービスまたはサービス グループを削除できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [グループとタグ

(Groups and Tags)] の順にクリックします。

2 [サービス (Service)] タブまたは [サービス グループ (Service Groups)] タブをクリックします。

3 カスタム サービスまたはサービス グループを選択し、[削除 (Delete)]（ または ）アイコンをクリックし

ます。

NSX 管理ガイド

VMware, Inc. 479

運用管理 23この章には、次のトピックが含まれています。

n ライセンスの追加と割り当て

n ダッシュボードの使用

n 通信チャネルの健全性の確認

n NSX Controller の管理

n 複数サイトでのコントローラ切断モード

n VXLAN ポートの変更

n カスタマー エクスペリエンス向上プログラム

n NSX のログについて

n 監査ログ

n システム イベント

n システム設定の管理

n NSX のバックアップとリストア

n NSX の監視と診断ツール

ライセンスの追加と割り当て

vSphere Web Client を使用して、ライセンスの追加や割り当てを行います。

NSX 6.4.0 以降では、ライセンスを管理するには、LicenseService.Administrators グループのメンバーである

必要があります。

VMware, Inc. 480

インストール時のデフォルト ライセンスは、NSX for vShield Endpoint です。このライセンスは、アンチウイル

ス オフロード機能のみを使用する目的で vShield Endpoint をデプロイおよび管理するために、NSX を使用でき

ます。また、ハードコーディングによって強制的にホストの準備と NSX Edge の作成をブロックすることにより、

VXLAN、ファイアウォール、および Edge サービスの使用を制限しています。論理スイッチ、分散論理ルーター、

分散ファイアウォール、NSX Edge を含む他の機能を使用する場合は、ライセンスを購入してこれらの機能を使用

するか、これらの機能を短期間使用して評価するための評価版ライセンスが必要になります。

n NSX 6.2.2 以降では、NSX for vSphere Standard、Advanced、Enterprise のライセンス キーが有効で

す。

n NSX 6.4.1 以降では、NSX Data Center Standard、Professional、Advanced、Enterprise Plus、

Remote Office Branch Office のライセンス キーが有効です。

NSX Data Center、NSX、NSX for vShield Endpoint のライセンス エディションとその関連機能の詳細につい

ては、https://kb.vmware.com/kb/2145269 を参照してください。

VMware 製品のライセンスの詳細については、http://www.vmware.com/files/pdf/vmware-product-guide.pdf を参照してください。

vSphere でのライセンス管理の詳細については、vSphere の使用バージョンの『vCenter Server およびホスト

管理』ドキュメントを参照してください。

前提条件

ライセンスを管理するすべての vCenter Server ユーザーが LicenseService.Administrators グループに属し

ていることを確認します。

同じ Platform Services Controller を使用する複数の vCenter Server システムがあり、これらの vCenter Server で複数の NSX Manager が登録されている場合、NSX Manager アプライアンスを 1 つのライセンスに結

合する必要があります。詳細については https://kb.vmware.com/s/article/53750 を参照してください。ライ

センスの結合については、https://kb.vmware.com/s/article/2006973 を参照してください。

手順

1 vSphere Web Client にログインします。

2 [管理 (Administration)] をクリックして、[ライセンス (Licenses)] をクリックします。

3 [資産 (Assets)] タブをクリックして、[ソリューション (Solutions)] タブをクリックします。

4 [ソリューション] リストで NSX for vSphere を選択します。[すべてのアクション (All Actions)] ドロップ

ダウン メニューから、[ライセンスの割り当て... (Assign license...)] を選択します。

5 [追加（ ） (Add)]アイコンをクリックします。ライセンス キーを入力して、[次へ (Next)] をクリックしま

す。ライセンスの名前を追加して、[次へ (Next)] をクリックします。[終了 (Finish)] をクリックして、ライセ

ンスを追加します。

6 新しいライセンスを選択します。

7 （オプション） [機能の表示 (View Features)] アイコンをクリックして、このライセンスで有効になっている

機能を表示します。

8 [OK] をクリックして、新しいライセンスを NSX に割り当てます。

NSX 管理ガイド

VMware, Inc. 481

ダッシュボードの使用

ダッシュボードでは、NSX コンポーネントの全体的な健全性をまとめて表示できます。ダッシュボードを使用する

と、NSX Manager、コントローラ、論理スイッチ、ホストの準備、サービスのデプロイ、バックアップ、Edge 通知など、異なる NSX コンポーネントのステータスを表示し、トラブルシューティングを容易に行うことができます。

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] をクリックします。デフォルトのトップ　ページ

に、[][ダッシュボード (Dashboard)] - [概要 (Overview)] ページが表示されます。

既存のシステム定義のウィジェットとカスタム ウィジェットを表示できます。

ウィジェット コンポーネント

システムの概要 NSX Manager：

n CPU 使用率

n NSX Manager のディスク使用率

n データベース サービス、メッセージ バス サービス、およびレプリケータ サービ

スのサービス ステータス。セカンダリ NSX Manager でのレプリケーション

エラー

n コントローラの同期ステータス

コントローラ ノード：

n コントローラ ノードのステータス

n コントローラのピア接続ステータス

n コントローラ仮想マシンのステータス（パワーオフ/削除済み）

n コントローラ　ディスク遅延アラート

外部コンポーネント：

n vSphere ESX Agent Manager (EAM) サービスのステータス

ファイアウォールの発行ステータス ファイアウォールの発行ステータスが失敗になっているホスト数。発行した分散ファ

イアウォール設定の適用に失敗したホストがある場合、ステータスは赤色になります。

論理スイッチ ステータス ステータスがエラーまたは警告の論理スイッチ数バッキングされている分散仮想ポー

ト グループが vCenter Server から削除されたことを示すフラグ

サービス デプロイ ステータス n 失敗したデプロイのインストール ステータス

n 失敗したすべてのサービスのサービス ステータス

ホストの通知 ホストのセキュリティ アラート。DHCP クライアントのハードウェア アドレスがス

プーフィングされている場合、このアラートが表示されます。DHCP で DoS (denial-of-service) 攻撃が発生している可能性があります。

ファブリックのステータス ホスト準備のステータス：

n インストール失敗、アップグレードを保留中、インストールを実行中のクラスタ

など、デプロイのステータスが表示されます。

n ファイアウォール

n ファイアウォールが無効のクラスタ数

n 分散ファイアウォールのステータス

n VXLAN

n VXLAN が設定されていないクラスタ数

n VXLAN のステータス

通信チャネルの健全性ステータス

NSX 管理ガイド

VMware, Inc. 482

ウィジェット コンポーネント

バックアップ ステータス NSX Manager のバックアップ ステータス

n バックアップ スケジュール

n 最新のバックアップ ステータス（失敗/成功/日時指定のスケジュールなし）

n 実行した最新のバックアップ（日時と詳細）

n 成功した最新のバックアップ（日時と詳細）

Edge 通知 特定のサービスのアクティブなアラームが表示されます。ここでは、重要なイベント

が監視され、問題が解決されるまで追跡されます。アラームは、リカバリ イベントが

レポートされたとき、または Edge が強制同期、再デプロイ、アップグレードされた

ときに自動的に解決されます。

ツール n フロー モニタリングのステータス

n エンドポイント監視のステータス

システムのスケール ダッシュボード スケーリングの警告とアラートの概要が表示されます。パラメータとスケール番号の

一覧を表示するには、[詳細 (Details)] をクリックして、システムのスケール ダッシ

ュボード に移動します。

カスタム ウィジェット API で作成されたカスタム ウィジェットが表示されます。

カスタム ウィジェット

REST API を使用して、ダッシュ ボードにカスタム ウィジェットを追加できます。ダッシュ ボードでは、個人閲覧

用に 5 つのカスタム ウィジェットを作成できます。

ウィジェットの設定で shared パラメータを true に設定すると、カスタム ウィジェットを他のユーザーと共有でき

ます。共有できるウィジェットの上限は 10 個です。つまり、すべてのユーザー間で共有可能なウィジェットの合計

数は 10 個までとなります。

カスタム ウィジェットの API

ダッシュボードでカスタム ウィジェットを表示、作成、変更または削除するには、次の API を使用します。

n 特定のウィジェットの設定に関する情報を表示する：GET /api/2.0/services/dashboard/ui-views/

dashboard/widgetconfigurations/<widgetconfiguration-id> API を使用します。

n カスタム ウィジェットを作成する：POST /api/2.0/services/dashboard/ui-views/dashboard/

widgetconfigurations API を使用します。

n 既存のウィジェットの設定を変更する：PUT /api/2.0/services/dashboard/ui-views/dashboard/

widgetconfigurations/<widgetconfiguration-id> API を使用します。

n 以前に作成するカスタム ウィジェットを削除する：DELETE /api/2.0/services/dashboard/ui-views/

dashboard/widgetconfigurations/<widgetconfiguration-id> API を使用します。

API の詳細については、『NSX API ガイド』を参照してください。

システムのスケール ダッシュボード

[システムのスケール (System Scale)] ダッシュボードには、システムのスケーリーングに関する情報や、サポート

対象のスケーリング パラメータの上限が表示されます。システム スケールに警告しきい値を設定して、しきい値を

NSX 管理ガイド

VMware, Inc. 483

超えた場合にアラートを生成できます。しきい値を超えるとシステム イベントが生成され、これに基づいて通知が設

定されます。この情報はログに記録され、サポート バンドルに追加されます。

値が指定のしきい値の割合を超えた場合、スケーリングの上限に近づいていることを警告するインジケータが表示さ

れます。赤いインジケータは、その設定の上限に達したことを表します。リストは、その時点のスケーリングの割合

(%) の高い順であるため、警告のインジケータは常に先頭に表示されます。

1 時間ごとにデータを収集して、しきい値を超えたかどうか 確認され、しきい値を超えている場合はインジケータが

作成されます。この情報は、1 日に 2 回 NSX Manager テクニカル サポート ログに記録されます。

次のように、条件を満たすとシステム イベントが生成されます。

n パラメータがしきい値を超えると、警告イベントが生成される。

n パラメータが、サポートされているシステム スケール設定を超えると、重大イベントが生成される。

n パラメータがしきい値を超えていない場合は、情報イベントが生成される。

すべてのパラメータのスケールしきい値の取得

GET /api/2.0/capacity-parameters/report API を使用すると、システム スケールの実際の設定とサポートさ

れている設定を確認できます。API 出力には、スケーリングの概要、現在のスケール値、サポートされるシステム スケール値、各パラメータのしきい値が表示されます。

システムのスケールしきい値の設定

システムのスケールしきい値を設定できます。

しきい値を設定するには：

1 GET /api/2.0/capacity-parameters/thresholds API を使用して、グローバル システムしきい値を取得し

ます。たとえば、API 出力で、グローバルしきい値は 80 と表示されます。つまり、[システムのスケール

(System Scale)] ダッシュボードで、[使用率の警告しきい値 (Usage Warning Threshold)] が 80% と表

示されます。

注： デフォルトでは、グローバルしきい値は 80 に設定されています。

2 システムのしきい値を変更するには、PUT /api/2.0/capacity-parameters/thresholds API を使用します。

たとえば、グローバルしきい値を 70 に変更します。これで、[システムのスケール (System Scale)] ダッシュ

ボードで、[使用量の警告のしきい値 (Usage Warning Threshold)] が 70% と表示されます。

API の詳細については、『NSX API ガイド』を参照してください。

システム スケールの詳細については、NSX 推奨設定の最大値 を参照してください。

通信チャネルの健全性の確認

NSX は、NSX Manager とファイアウォール エージェント間、NSX Manager と制御プレーン エージェント間、

および制御プレーン エージェントとコントローラ間の通信の状態を確認します。

[ファブリックのステータス] セクションで、[ネットワークとセキュリティ (Networking & Security)] - [ダッシュ

ボード (Dashboard)] の順に移動して、ダッシュボードで通信チャネルの健全性を確認することもできます。

NSX 管理ガイド

VMware, Inc. 484

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [ホストの準備 (Host Preparation)] の順に移動します。

2 通信チャネルの健全性を表示するには、次の手順に従います。

NSX バージョン 手順

NSX 6.4.1 以降 a 左側のペインからクラスタをクリックします。右側のペインで、選択したクラスタ内のホ

ストがホスト テーブルに表示されます。

b ホスト テーブルの [通信チャネル] 列で、ステータス アイコンをクリックします。

NSX 6.4.0 a 通信チャネルの健全性を表示するホストが含まれているクラスタを展開します。

b ホストをクリックし、[アクション (Actions)] - [通信チャネルの健全性

(Communication Channel Health)] の順にクリックします。

ポップアップ ウィンドウが開き、次の通信チャネルの健全性ステータスが表示されます。

n NSX Manager からファイアウォール エージェント

n NSX Manager から制御プレーン エージェント

n 制御プレーン エージェントからコントローラ

NSX Controller の管理

NSX Controller のノードの設定を変更できます。たとえば、名前やパスワードを変更したり、NTP を設定できま

す。NSX Controller ノードからテクニカル サポート情報をダウンロードすることも可能です。

コントローラ クラスタの問題のトラブルシューティングについては、『NSX トラブルシューティング ガイド』で

NSX Controller に関するセクションを参照してください。

NSX Controller 名の変更

各 NSX Controller ノードの名前を変更できます。

NSX Data Center for vSphere 6.4.0 以降では、API を使用してコントローラ名を変更できます。詳細について

は、『NSX API ガイド』を参照してください。NSX Data Center for vSphere 6.4.2 以降では、vSphere Web Client または vSphere Client を使用して、コントローラ名を変更できます。

コントローラ ノードを作成するときに、名前の入力が求められます。コントローラ ノードには、controller-X の形式でコントローラ ID が割り当てられます（例: controller-5）。いくつかの場所では、コントローラの名前と ID からコントローラの識別子が設定されます。

n ユーザー インターフェイスの [ネットワークとセキュリティ] に表示される名前は name に設定されます。

n vSphere の仮想マシン名は name-NSX-<controller_id> に設定されます。

n 仮想マシンのホスト名は nsx-controller に設定されます。

コントローラ名を更新すると、次の変更が行われます。

n ユーザー インターフェイスの [ネットワークとセキュリティ] に表示される名前が newName に変更されます。

n vSphere の仮想マシン名が newName-NSX-<controller_id> に変更されます。

NSX 管理ガイド

VMware, Inc. 485

n 仮想マシンのホスト名が newName-NSX-<controller_id> に変更されます。

注： ホスト名は、コントローラのログ エントリで使用されます。コントローラのホスト名を変更すると、ログ

エントリに新しいホスト名が表示されます。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [管理 (Management)] - [NSX Controller ノード (NSX Controller Nodes)] の順に移

動します。

2 コントローラ ノードを選択して、[アクション (Actions)] - [コントローラ名の変更 (Change Controller Name)] の順にクリックします。

3 新しい名前を入力して、[保存 (Save)] をクリックします。

コントローラ パスワードの変更

セキュリティを確保するために、NSX Controller のパスワードを変更できます。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [管理 (Management)] - [NSX Controller ノード (NSX Controller Nodes)] の順に移

動します。

2 パスワードを変更するコントローラを選択します。

3 [アクション (Actions)] - [コントローラ クラスタのパスワードの変更 (Change Controller Cluster Password)] の順にクリックします。

4 新しいパスワードを入力し、[OK] をクリックします。

これで、コントローラのパスワードが変更されました。

NSX Controller クラスタの DNS、NTP、Syslog の設定

NSX Controller クラスタに DNS、NTP、Syslog サーバを設定できます。クラスタ内のすべての NSX Controller ノードに同じ設定が適用されます。

NSX Data Center for vSphere 6.4.2 以降では、vSphere Web Client または vSphere Client を使用して、

これらの変更を実行できます。6.4 より前のバージョンでは、API でのみ NTP と Syslog の設定を変更できます。

詳細については、『NSX API ガイド』を参照してください。

重要： 到達不能な NTP サーバなど、無効な設定でコントローラをデプロイすると、コントローラ ノードのデプロ

イに失敗します。設定を確認して修正し、コントローラ ノードを再デプロイします。

NSX Controller クラスタの DNS 設定は、コントローラの IP アドレス プールの DNS 設定をオーバーライドしま

す。

NSX 管理ガイド

VMware, Inc. 486

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [管理 (Management)] - [NSX Controller ノード (NSX Controller Nodes)] の順に移

動します。

2 変更する NSX Controller ノードを管理する NSX Manager を選択します。

3 コントローラの共通属性の [の編集 (EDIT)] リンクをクリックします。

4 （オプション） DNS サーバのリストをカンマ区切りで入力します。DNS サフィックスを指定することもできま

す。

DNS の設定 値の例

DNS サーバ 192.168.110.10, 192.168.110.11

DNS サフィックス eng.example.com, corp.example.com, example.com

5 （オプション） NTP サーバのリストをカンマ区切りで入力します。

NTP サーバは、IPv4 アドレスまたは完全修飾ドメイン名 (FQDN) として入力します。FQDN を使用する場

合は、名前が解決されるように DNS を設定する必要があります。

6 （オプション） 1 台以上の Syslog サーバを設定します。

a [Syslog サーバ] パネルで [追加 (ADD)] をクリックします。

b Syslog サーバの名前またはアドレスを入力します。

Syslog サーバは、IPv4 アドレスまたは完全修飾ドメイン名 (FQDN) として入力します。FQDN を使用

する場合は、名前が解決されるように DNS を設定する必要があります。

NSX 管理ガイド

VMware, Inc. 487

c プロトコルを選択します。

TLS を選択する場合は、PEM でエンコードされた X.509 証明書を提供する必要があります。

重要： TCP または TLS を選択すると、バッファ用に追加のメモリが消費され、コントローラのパフォー

マンスが低下する可能性があります。極端な場合、バッファ内のネットワーク ログ呼び出しが排出されるま

で、コントローラの処理が停止することもあります。

注： n Syslog サーバが自己署名証明書を使用している場合は、[証明書] テキスト ボックスに、Syslog の自

己署名付き証明書の内容を貼り付けます。

n Syslog サーバが CA 署名付きの証明書を使用している場合は、中間証明書とルート証明書の内容を貼

り付けます。証明書チェーンでは、証明書の順序を次のようにする必要があります。

n 任意の数の中間 CA 証明書

n ルート CA 証明書

次の例のように、各証明書には -----BEGIN CERTIFICATE----- 行と -----END CERTIFICATE---- 行が含まれている必要があります。

-----BEGIN CERTIFICATE-----

Intermediate cert

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

Root cert

-----END CERTIFICATE-----

d （オプション） ポートを編集します。

TCP および UDP Syslog のデフォルト ポートは 514 です。TLS Syslog の場合、デフォルト ポートは

6514 です。

e （オプション） ログ レベルを選択します。

デフォルトでは、「情報」が選択されています。

NSX Controller のテクニカル サポート ログのダウンロード

テクニカル サポート ログは、NSX Controller インスタンスごとにダウンロードできます。製品固有のこれらのロ

グには、分析に使用する診断情報が含まれています。[サポート バンドル (Support Bundle)] 収集ツールを使用し

て、コントローラのサポート バンドルのデータを収集することもできます。詳細については、『NSX 管理ガイド』を

参照してください。

NSX Controller のログを収集するには、次の手順を実行します。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [管理 (Management)] - [NSX Controller ノード (NSX Controller Nodes)] の順に移

動します。

NSX 管理ガイド

VMware, Inc. 488

2 テクニカル サポート ログを生成するコントローラを選択します。

注意： 一度に 1 つのコントローラのサポート ログを生成します。同時に複数のコントローラのサポート ログ

を生成しようとすると、エラーが発生する可能性があります。

3 [サポート ログ (Support Logs)]（ または ）をクリックします。

NSX がテクニカル サポート ログの収集を開始します。ログ ファイルの生成には数分かかります。プロセスを

キャンセルして、後でサポート ログを生成するには、[キャンセル (Cancel)] をクリックします。

4 サポート ログが生成されたら、[ダウンロード (Download)] をクリックします。

サポート ログは、コンピュータに .tgz 形式の圧縮ファイルで保存されます。

結果

これで、ダウンロードしたログを分析できます。

次のステップ

診断情報を VMware のテクニカル サポートにアップロードする場合は、ナレッジベースの記事 KB2070100 を参

照してください。

複数サイトでのコントローラ切断モード

コントローラ切断オペレーション (CDO) モードにすると、プライマリ サイトが接続を失っても、複数サイト環境の

データ プレーンの接続性に影響することはありません。プライマリ サイトが停止しているか、到達できない場合は、

データ プレーンに関連する一時的な接続問題を回避するため、セカンダリ サイトで CDO モードを有効にできます。

また、プライマリ サイトで CDO モードを有効にすると、制御プレーンの障害に備えることができます。

CDO モードを有効にすることで、次のような障害が発生したときの接続の問題を回避できます。

n Cross-vCenter NSX 環境のプライマリ サイトが完全に停止している。

n WAN が停止している。

n 制御プレーンに障害が発生した。

注： NSX 6.4.0 以降では、CDO は NSX Manager レベルでサポートされますが、トランスポート ゾーン レベ

ルではサポートされません。

デフォルトでは、CDO モードは無効です。

CDO モードを有効にすると、ホストで制御プレーンの障害を検出できます。問題が見つかると、ホストが所定の時

間待機し、CDO モードに入ります。CDO モードに切り替わるまでのホストの待機時間を設定できます。デフォル

トの待機時間は 5 分間です。

NSX 管理ガイド

VMware, Inc. 489

NSX Manager で、コントローラ上で特別な CDO 論理スイッチ (4999) を作成します。特別な CDO 論理スイッ

チの VXLAN ネットワーク識別子 (VNI) は、他のすべての論理スイッチとは別の一意の識別子です。CDO モード

を有効にすると、クラスタ内の 1 台のコントローラが、すべてのトランスポート ノードからレポートされたすべての

VTEP 情報を収集し、更新された VTEP 情報を他のすべてのトランスポート ノードにレプリケートします。CDO モードを検出すると、ARP/GARP や RARP などのブロードキャスト パケットがグローバル VTEP リストに送信

されます。これにより、vCenter Server 全体での vMotion による仮想マシン アクセスが可能になり、データ プレーンでの接続性の問題を回避できます。

CDO モードを無効にすると、NSX Manager はコントローラから CDO 論理スイッチを削除します。

Controller Disconnected Operation (CDO) モードの有効化

NSX Manager の Controller Disconnected Operation (CDO) モードを有効にすることができます。CDO モードはデフォルトでは無効になっています。

前提条件

n NSX 6.4 にアップグレード後、NSX Manager は、既存のトランスポート ノードで CDO モードを無効にし

ます。アップグレード前に NSX Manager の 1 つ以上のトランスポート ノードで CDO が有効になっていた

場合には、事前定義されたグローバル VNI を使用して vSphere Distributed Switch (VDS) を設定します。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

2 必要な NSX Manager を選択します。

3 [アクション (Actions)] - [CDO モードの有効化 (Enable CDO mode)] の順にクリックします。

確認のダイアログ ボックスが表示されます。

4 [はい (Yes)] をクリックします。

選択した NSX Manager の CDO モードが有効になります。

結果

[CDO モード] 列の [状態] に [有効 (Enabled)] が表示され、[ステータス] に [成功 (Successful)] が表示されま

す。

NSX Manager は、CDO 論理スイッチをコントローラ上で作成します。CDO 論理スイッチの詳細を表示するに

は、管理者ユーザーとして NSX Manager CLI にログインし、次のコマンドを実行します。

nsxmgr> show logical-switch controller controllerID host host_IP joined-vnis

次はその例です。

nsxmgr> show logical-switch controller controller-1 host 192.168.110.54 joined-vnis

VNI Controller BUM-Replication ARP-Proxy Connections VTEPs Active

5000 192.168.110.31 Enabled Enabled 2 2 true

5004 192.168.110.31 Enabled Enabled 2 2 true

5006 192.168.110.31 Enabled Enabled 3 3 true

NSX 管理ガイド

VMware, Inc. 490

4999 192.168.110.31 Enabled Enabled 5 5 true

5003 192.168.110.31 Enabled Enabled 3 3 true

5005 192.168.110.31 Enabled Enabled 1 1 true

5007 192.168.110.31 Enabled Enabled 3 3 true

VNI 4999 の CDO 論理スイッチが作成されていることを確認します。

Controller Disconnected Operation (CDO) モードの無効化

セカンダリ サイトとの接続問題が解決したら、すでに有効になっている Controller Disconnected Operation (CDO) モードを無効にできます。CDO モードはデフォルトでは無効になっています。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

2 必要な NSX Manager を選択します。

3 [アクション (Actions)] - [CDO モードの無効化 (Disable CDO mode)] の順にクリックします。

確認のダイアログ ボックスが表示されます。

4 [はい (Yes)] をクリックします。

選択した NSX Manager の CDO モードが無効になります。

結果

[CDO モード] 列の [状態] に [無効 (Disabled)] が表示され、[ステータス] に [成功 (Successful)] が表示されま

す。

NSX Manager は、CDO 論理スイッチをコントローラから削除します。CDO 論理スイッチが削除されているかど

うかを確認するには、管理者ユーザーとして NSX Manager CLI にログインし、次のコマンドを実行します。

nsxmgr> show logical-switch controller controllerID host host_IP joined-vnis

次はその例です。

nsxmgr> show logical-switch controller controller-1 host 192.168.110.54 joined-vnis

VNI Controller BUM-Replication ARP-Proxy Connections VTEPs Active

5000 192.168.110.31 Enabled Enabled 2 2 true

5004 192.168.110.31 Enabled Enabled 2 2 true

5006 192.168.110.31 Enabled Enabled 3 3 true

5003 192.168.110.31 Enabled Enabled 3 3 true

5005 192.168.110.31 Enabled Enabled 1 1 true

5007 192.168.110.31 Enabled Enabled 3 3 true

コントローラで VNI 4999 の CDO 論理スイッチが使用できないことを確認します。

CDO 設定の再同期

CDO モードの操作が失敗する場合は、再同期機能を使用して同じ操作を実行できます。

NSX 管理ガイド

VMware, Inc. 491

例：vSphere Distributed Switch (VDS) に関連付けられている最後のクラスタが VXLAN 構成から削除される

ときに、この VDS が NSX Manager データベースから削除されます。次に、NSX Manager が VDS から CDO 関連の不透明プロパティを削除します。何らかの理由で不透明プロパティの削除に失敗した場合、不透明プロパティ

が VDS に残ります。CDO モードを無効にし、この VDS に関連付けられているホストで VXLAN を構成すると、

不透明プロパティが存在し、コントローラに VNI が存在するため、このホストで CDO が有効になります。この場

合、再同期機能を使用して、CDO モードの無効モードを再度適用します。これにより、NSX Manager が VDS から不透明プロパティを削除しようとします。

前提条件

CDO モードの有効化または無効化に失敗していること。

手順

1 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] - [管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

2 セカンダリ NSX Manager を選択して、[アクション (Actions)] - [CDO モードの有効化 (Enable CDO mode)] の順にクリックし、CDO モードを有効にします。

3 次に、必要な NSX Manager を選択して、[アクション (Actions)] - [CDO 設定モードの再同期 (Resync CDO configuration mode)] の順にクリックします。

確認のダイアログ ボックスが表示されます。

4 [はい (Yes)] をクリックします。

選択した NSX Manager の CDO モードが同期されます。

VXLAN ポートの変更

VXLAN トラフィックに使用するポートを変更できます。

NSX 6.2.3 以降では、デフォルトの VXLAN ポートは 4789 となり、標準ポートは IANA により割り当てられま

す。NSX 6.2.3 より前では、デフォルトの VXLAN UDP ポート番号は 8472 でした。

すべての新しい NSX インストール環境では、VXLAN に UDP ポート 4789 が使用されます。

NSX 6.2.2 以前のバージョンから NSX 6.2.3 以降にアップグレードする場合、アップグレード前の NSX で以前の

デフォルト (8472) またはカスタム ポート番号（8888 など）が使用されていた場合は、アップグレード後も、ユー

ザーが変更しない限り、引き続きそのポートが使用されます。

アップグレードされた NSX でハードウェア VTEP ゲートウェイ（ToR ゲートウェイ）が使用されている、または

その予定がある場合は、VXLAN ポート 4789 に切り替える必要があります。

Cross-vCenter NSX では、VXLAN ポートに 4789 を使用する必要はありませんが、同じ VXLAN ポートを使

用するように Cross-vCenter NSX 環境にあるすべてのホストを設定する必要があります。ポート 4789 に切り

替えると、Cross-vCenter NSX に追加される新しいすべての NSX インストール環境では、既存の NSX 環境と同

じポートが使用されます。

NSX 管理ガイド

VMware, Inc. 492

VXLAN ポートの変更は 3 つのプロセスで行われ、処理中に VXLAN のトラフィックが中断されることはありませ

ん。

1 NSX Manager は、古いポートと新しいポートの両方で VXLAN トラフィックを待機するようにすべてのホス

トを設定します。ホストは引き続き、古いポートで VXLAN トラフィックを送信します。

2 NSX Manager は、新しいポートでトラフィックを送信するようにすべてのホストを設定します。

3 NSX Manager は、古いポートでの待機を停止するようにすべてのホストを設定します。すべてのトラフィッ

クは新しいポートで送受信されます。

Cross-vCenter NSX 環境では、プライマリ NSX Manager でポート変更を開始する必要があります。各ステー

ジにおいて、次のステージに進む前に、Cross-vCenter NSX 環境内のすべてのホストで設定変更が行われます。

前提条件

n VXLAN に使用するポートがファイアウォールによってブロックされていないことを確認します。

n VXLAN ポートの変更時にホストの準備が実行されないことを確認します。

手順

1 VXLAN 転送の設定に移動します。

u NSX 6.4.1 以降の場合は、[ネットワークとセキュリティ (Networking & Security)] - [インストールと

アップグレード (Installation and Upgrade)] - [論理ネットワークの設定 (Logical Network Settings)] - [VXLAN 設定 (VXLAN Settings)] の順に移動します。

u NSX 6.4.0 の場合は、[ネットワークとセキュリティ (Networking & Security)] - [インストールとアッ

プグレード (Installation and Upgrade)] - [論理ネットワークの準備 (Logical Network Preparation)] - [VXLAN 転送 (VXLAN Transport)] の順に移動します。

2 [VXLAN ポート (VXLAN Port)] の横にある [編集 (Edit)] または [変更 (Change)] をクリックします。切

り替え先のポートを入力します。4789 は、IANA が VXLAN 用に割り当てているポート番号です。

すべてのホストにポートの変更が適用されるまで、少し時間がかかります。

3 （オプション） ポート変更の進捗状況を確認するには、API 要求 GET /api/2.0/vdn/config/vxlan/udp/port/taskStatus を使用します。

GET https://nsxmgr-01a/api/2.0/vdn/config/vxlan/udp/port/taskStatus

<?xml version="1.0" encoding="UTF-8"?>

<vxlanPortUpdatingStatus>

<prevPort>8472</prevPort>

<targetPort>4789</targetPort>

<taskPhase>PHASE_TWO</taskPhase>

<taskStatus>PAUSED</taskStatus>

</vxlanPortUpdatingStatus>

NSX 管理ガイド

VMware, Inc. 493

...

<?xml version="1.0" encoding="UTF-8"?>

<vxlanPortUpdatingStatus>

<prevPort>8472</prevPort>

<targetPort>4789</targetPort>

<taskPhase>FINISHED</taskPhase>

<taskStatus>SUCCEED</taskStatus>

</vxlanPortUpdatingStatus>

カスタマー エクスペリエンス向上プログラム

NSX は、VMware のカスタマー エクスペリエンス向上プログラム (CEIP) に参加しています。

CEIP を通して収集されるデータおよび VMware のその使用目的に関する詳細は、Trust & Assurance センター

(https://www.vmware.com/solutions/trustvmware/ceip.html) に記載されています。

NSX の CEIP への参加/参加中止、またはプログラム設定の編集を操作するには、カスタマー エクスペリエンス向上

プログラムのオプションの編集を参照してください。

カスタマー エクスペリエンス向上プログラムのオプションの編集

NSX Manager をインストールまたはアップグレードするときに、CEIP への参加を選択できます。後で CEIP に参

加したり、参加を中止することも可能です。また、情報の収集頻度や収集日も指定できます。

前提条件

n NSX Manager が接続されていて、vCenter Server と同期可能である。

n NSX Manager で DNS が設定されている。

n データのアップロードのために、NSX がパブリック ネットワークに接続されている。

手順

1 vSphere Web Client で、カスタマー エクスペリエンス向上プログラムの設定に移動します。

n NSX 6.4.6 以降の場合は、[ネットワークとセキュリティ] - [NSX について] の順にクリックします。

n NSX 6.4.5 以前の場合は、[ネットワークとセキュリティ] - [NSX ホーム] - [サマリ] の順にクリックしま

す。

2 [カスタマー エクスペリエンス向上プログラム] ペインで [編集 (Edit)] をクリックします。

3 CEIP プログラムに参加します。

n NSX 6.4.6 以降では、[プログラム ステータス] の横にある [参加] をクリックします。

n NSX 6.4.5 以前の場合は、[VMware カスタマー エクスペリエンス向上プログラムに参加する] チェック

ボックスをクリックします。

4 （オプション） スケジュールを設定します。

5 [保存] または [OK] をクリックします。

NSX 管理ガイド

VMware, Inc. 494

NSX のログについて

Syslog サーバを設定し、各 NSX コンポーネントのテクニカル サポート ログを表示できます。管理プレーンのログ

は NSX Manager から、データ プレーンのログは vCenter Server を通じて提供されます。そのため、Syslog サーバで環境全体のログが記録できるように、NSX コンポーネントと vCenter Server で同じ Syslog サーバを指

定することが推奨されます。

vCenter Server が管理するホストの Syslog サーバの設定については、https://docs.vmware.com にある、該

当するバージョンの vSphere ドキュメントを参照してください。

注： ログの収集や NSX 分散論理ルーター (DLR) 制御仮想マシンへのアクセスに使用する Syslog サーバまたは

ジャンプ サーバは、分散論理ルーターの論理インターフェイスに直接接続された論理スイッチ上に配置することはで

きません。

表 23-1. NSX のログ

コンポーネント 説明

ESXi のログ これらのログは、vCenter Server から生成される仮想マシン サポート バンドルの一部として収集

されます。

ESXi ログ ファイルの詳細については、vSphere のドキュメントを参照してください。

NSX Edge のログ NSX Edge CLI で show log [follow | reverse] コマンドを使用します。

NSX Edge ユーザー インターフェイスでテクニカル サポート ログ バンドルをダウンロードしま

す。

NSX Manager のログ NSX Manager CLI で show log CLI コマンドを使用します。

NSX Manager 仮想アプライアンス ユーザー インターフェイスでテクニカル サポート ログ バン

ドルをダウンロードします。

ルーティングのログ 『NSX のログ作成とシステム イベント』ガイドを参照してください。

ファイアウォールのログ 『NSX のログ作成とシステム イベント』ガイドを参照してください。

ゲスト イントロスペクションのログ 『NSX のログ作成とシステム イベント』ガイドを参照してください。

NSX Manager

Syslog サーバを指定するには、 NSX Manager の Syslog サーバの設定を参照してください。

テクニカル サポート ログをダウンロードするには、NSX のテクニカル サポート ログのダウンロードを参照してく

ださい。

NSX Edge

Syslog サーバを指定するには、 NSX Edge の Syslog サーバの設定を参照してください。

テクニカル サポート ログをダウンロードするには、 NSX Edge のテクニカル サポート ログのダウンロードを参照

してください。

NSX Controller

Syslog サーバを指定するには、NSX Controller クラスタの DNS、NTP、Syslog の設定を参照してください。

NSX 管理ガイド

VMware, Inc. 495

テクニカル サポート ログをダウンロードするには、NSX Controller のテクニカル サポート ログのダウンロードを

参照してください。

ファイアウォール

詳細については、ファイアウォールのログを参照してください。

監査ログ

チケットによって追跡された操作の監査ログにはチケット ID が含まれます。NSX チケット ロガー機能を使用し

て、行った変更をチケット ID で追跡できます。

NSX チケット ロガーの使用

NSX チケット ロガーを使用すると、インフラストラクチャに行った変更を追跡できます。すべての操作に指定した

チケット ID がタグ付けされ、これらの操作の監査ログにもチケット ID が記載されます。また、これらの操作のロ

グ ファイルにも同じチケット ID がタグ付けされます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [イベント (Events)] の順に移動します。

2 [管理 (Manage)] タブをクリックして、[NSX チケット ロガー (NSX Ticket Logger)] をクリックします。

3 [NSX チケット ロガー設定 (NSX Ticket Logger Settings)] の横にある [編集 (Edit)] をクリックします。

4 チケット ID を入力して、[オンにする (Turn On)] をクリックします。

[vSphere Web Client] ウィンドウの右側に [NSX チケット ログ] ペインが表示されます。監査ログの [操作

タグ (Operation Tags)] 列に、現在のユーザー インターフェース セッションで実行した操作のチケット ID が記載されます。

図 23-1. [NSX チケット ロガー] ペイン

vSphere Web Client で複数の vCenter Server を管理している場合は、適用可能なすべての NSX Manager のログにチケット ID が使用されます。

NSX 管理ガイド

VMware, Inc. 496

次のステップ

チケット ログはセッションに基づきます。チケット ログがオンのままユーザーがログアウトした場合、またはセッ

ションが失われた場合、デフォルトではユーザーがユーザー インターフェースに再度ログインしたときにチケット

ログがオフになります。チケットの操作が完了したら、手順 2 および 3 を繰り返して [オフにする (Turn Off)] をクリックし、ログをオフにします。

監査ログの表示

[監査ログ (Audit Logs)] タブには、すべての NSX Manager ユーザーが実行したアクションが表示されます。

NSX Manager では、最大 10 万件の監査ログが保持されます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [イベント (Events)] の順に移動します。

2 [監視 (Monitor)] タブが開かれていることを確認します。

3 [NSX Manager] ドロップダウン メニューで複数の IP アドレスが利用可能な場合は、IP アドレスを 1 つ選択

するか、デフォルトの IP アドレスを使用します。

監査ログの詳細が [監査ログ (Audit Logs)] タブに表示されます。

4 監査ログに関する詳細情報がある場合は、そのログの [操作 (Operation)] 列のテキストがクリック可能になり

ます。監査ログの詳細を表示するには、[操作 (Operation)] 列のテキストをクリックします。

5 [監査ログ変更の詳細 (Audit Log Change Details)] で、[変更された行 (Changed Rows)] を選択すると、

この監査ログ操作で値が変更されたプロパティのみが表示されます。

システム イベント

システム イベントは NSX の操作に関連したイベントです。すべての操作イベントの詳細を通知するために発行さ

れます。イベントは基本操作（情報）に関連するものと、クリティカル エラー（重大）に関連するものがあります。

システム イベントのレポートの表示

vSphere Web Client では、NSX Manager が管理しているすべてのコンポーネントのシステム イベントを確認

できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [イベント (Events)] の順に移動します。

2 [監視 (Monitor)] タブが開かれていることを確認します。

3 [システム イベント (System Events)] タブをクリックします。

列ヘッダーの矢印をクリックすると、イベントを並べ替えることができます。また、[フィルタ (Filter)] テキス

ト ボックスを使用すると、イベントをフィルタリングできます。

NSX 管理ガイド

VMware, Inc. 497

システム イベントの形式

Syslog サーバを指定すると、NSX Manager は、その Syslog サーバにすべてのシステム イベントを送信しま

す。

これらのメッセージは、以下に示すメッセージと類似した形式になっています。

Jan 8 04:35:00 NSXMGR 2017-01-08 04:35:00.422 GMT+00:00

INFO TaskFrameworkExecutor-18 SystemEventDaoImpl:133 -

[SystemEvent] Time:'Tue Nov 08 04:35:00.410 GMT+00:00 2016',

Severity:'High', Event Source:'Security Fabric', Code:'250024',

Event Message:'The backing EAM agency for this deployment could not be found.

It is possible that the VC services may still be initializing.

Please try to resolve the alarm to check existence of the agency.

In case you have deleted the agency manually, please delete the deployment

entry from NSX.', Module:'Security Fabric', Universal Object:'false

システム イベントには、次の情報が含まれています。

Event ID and Time

Severity: Possible values include informational, low, medium, major, critical, high.

Event Source: Source where you should look to resolve the reported event.

Event Code: Unique identifier for the event.

Event Message: Text containing detailed information about the event.

Module: Event component. May be the same as event source.

Universal Object: Value displayed is True or False.

アラーム

アラームは、イベント、条件のセット、またはオブジェクトの状態に応じて起動される通知です。NSX ダッシュボ

ードや vSphere Web Client ユーザー インターフェイスの他の画面で、別のアラートと一緒にアラームが表示さ

れます。

GET api/2.0/services/systemalarms API を使用すると、NSX オブジェクトでアラームを表示できます。

NSX では、アラームに次の 2 つの方法がサポートされています。

n アラームは、システム イベントに対応し、アラームの発生原因となった問題を解決するリゾルバが関連付けられ

ています。このアプローチは、ネットワークやセキュリティ ファブリック環境（EAM、メッセージ バス、プラ

グインのデプロイなど）向けに設計され、Service Composer にもサポートされています。これらのアラーム

は、イベント コードをアラーム コードとして使用します。詳細については、『NSX のログとシステム イベン

ト』のドキュメントを参照してください。

n Edge の通知アラームは、アラーム ペアをトリガし、解決できるように設定されています。この方法は、IPSec VPN、ロード バランサ、高可用性、健全性チェック、Edge ファイル システム、リソースの予約など、いくつ

かの Edge の機能で利用できます。アラームは、イベント コードとは別のアラーム コードを使用します。詳細

については、『NSX のログとシステム イベント』のドキュメントを参照してください。

通常、エラー状態が修復されると、アラームは自動的に削除されます。一部のアラームは、設定を更新する際に自動

的にクリアされません。問題が解決したら、アラームを手動でクリアする必要があります。

次に、アラームのクリアに使用する API について説明します。

NSX 管理ガイド

VMware, Inc. 498

クラスタ、ホスト、リソース プール、セキュリティ グループ、NSX Edge のアラームなど、特定の送信元にアラー

ムを個別に設定できます。送信元のアラームを表示するには、sourceId を使用します。

GET https://<<NSX-IP>>/api/2.0/services/alarms/{sourceId}

送信元のアラームをすべて解決するには、sourceId を使用します。

POST https://<<NSX-IP>>/api/2.0/services/alarms/{sourceId}?action=resolve

メッセージ バス、プラグインのデプロイ、Service Composer、Edge アラームなどの NSX アラームを確認でき

ます。

GET https://<<NSX-IP>>/api/2.0/services/systemalarms

特定の NSX アラームを表示するには、alarmId を使用します。

GET https://<<NSX-IP>>/api/2.0/services/systemalarms/<alarmId>

特定の NSX アラームを解決するには、alarmId を使用します。

POST https://<<NSX-IP>>/api/2.0/services/systemalarms/<alarmId>?action=resolve

API の詳細については、『NSX API ガイド』を参照してください。

アラームの形式

API を使用してアラームの形式を表示できます。

アラームの形式には、次の情報が含まれています。

Event ID and Time

Severity: Possible values include informational, low, medium, major, critical, high.

Event Source: Source where you should look to resolve the reported event.

Event Code: Unique identifier for the event.

Message: Text containing detailed information about the event.

Alarm ID: ID of an alarm.

Alarm Code: Event code which uniquely identifies the system alarm.

Alarm Source: Source where you should look to resolve the reported event.

SNMP トラップの操作

NSX Manager は、NSX Edge やハイパーバイザーなどから、「情報」、「警告」、および「重大」のシステム イベ

ントを受信します。SNMP エージェントは、OID を含む SNMP トラップを SNMP レシーバに転送します。

SNMP トラップは SNMPv2c バージョンを使用する必要があります。SNMP レシーバがオブジェクト識別子

(OID) を含むトラップを処理できるように、トラップが管理情報ベース (MIB) に関連付けられている必要がありま

す。

NSX 管理ガイド

VMware, Inc. 499

デフォルトでは、SNMP トラップのメカニズムは無効に設定されています。SNMP トラップを有効にすると、

SNMP マネージャが膨大な数の通知を受け取ることがないように、重大な通知および重要度の高い通知のみが有効

になります。IP アドレスまたはホスト名により、トラップのターゲットが指定されます。ホスト名がトラップのター

ゲット用として機能するには、Domain Name System (DNS) サーバに対してクエリを実行するようにデバイス

が設定されている必要があります。

SNMP サービスを有効にすると、OID 1.3.6.1.6.3.1.1.5.1 を含む coldStart トラップが最初に送信されます。その後

は、停止と開始が実行されるたびに、OID 1.3.6.1.6.3.1.1.5.2 を含む warmStart トラップが、設定されている SNMP レシーバに送信されます。

SNMP サービスが引き続き有効になっている場合は、OID 1.3.6.1.4.1.6876.4.190.0.401 を含むハートビート トラ

ップの vmwHbHeartbeat が 5 分ごとに送信されます。サービスを無効にすると、、OID 1.3.6.1.4.1.6876.90.1.2.1.0.1 を含む vmwNsxMSnmpDisabled トラップが送信されます。このプロセスは、

vmwHbHeartbeat トラップがサービスを実行したり無効にしたりしないように抑制します。

SNMP レシーバの値を追加、変更、または削除すると、OID 1.3.6.1.6.3.1.1.5.2 を含む warmStart トラップ、およ

び OID 1.3.6.1.4.1.6876.90.1.2.1.0.2 を含む vmwNsxMSnmpManagerConfigUpdated トラップが、SNMP レシーバの新規セットまたは更新されたセットに対して送信されます。

注： SNMP のポーリングはサポートされません。

SNMP の設定

SNMP 設定を有効にし、重要度が「重大」、「高」、または「情報」のトラップを宛先のレシーバが送信するように設

定します。

前提条件

n SNMP トラップのメカニズムについての知識を深めていただくことをお勧めします。SNMP トラップの操作

を参照してください。

n SNMP レシーバが設定されていることを確認します。

n SNMP レシーバが OID を含むトラップを処理できるように、NSX Manager の MIB モジュールをダウンロー

ドしてインストールします。http://kb.vmware.com/kb/1013445 を参照してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [イベント (Events)] の順に移動します。

2 [管理 (Manage)] タブをクリックします。複数の NSX Manager が使用可能な場合は、[NSX Manager]ドロップダウン メニューから NSX Manager の IP アドレスを選択します。

3 [SNMP イベント (SNMP Events)] タブが選択されていることを確認します。

NSX 管理ガイド

VMware, Inc. 500

4 [編集 (Edit)] をクリックして、SNMP を設定します。

オプション 説明

サービス SNMP トラップを送信します。

デフォルトでは、このオプションは無効です。

グループ通知 システム イベント用グループの事前定義セットで、発生したイベントをグループ化します。こ

のオプションはデフォルトで有効です。

たとえば、システム イベントが特定のグループに属する場合、これらのグループ化したイベン

トについてはトラップが保留になります。5 分ごとに、NSX Manager から受信したシステ

ム イベント数の詳細を含むトラップが送信されます。送信されるトラップ数を減らすことで、

SNMP レシーバのリソースを節約することができます。

レシーバ トラップの宛先のレシーバを最大 4 つ設定できます。

SNMP レシーバを追加するときには、次のセクションを設定する必要があります。

[レシーバ アドレス]： レシーバ ホストの IP アドレスまたは完全修飾ドメイン名です。

[レシーバ ポート]： SNMP レシーバのデフォルトの UDP ポートは 162 です。

[コミュニティ ストリング]： 通知トラップの一部として送信される情報です。

[有効]： このレシーバがトラップを送信することを示します。

5 [OK] をクリックします。

結果

SNMP サービスが有効になり、トラップがレシーバに送信されます。

次のステップ

SNMP 設定が機能するかどうかを確認します。SNMP トラップ設定の確認を参照してください。

SNMP トラップ設定の確認

既存のシステム トラップを編集する前に、新たに有効にした SNMP サービスや更新した SNMP が適切に動作して

いるかどうかを確認する必要があります。

前提条件

SNMP が設定済みであることを確認します。SNMP の設定を参照してください。

手順

1 SNMP の設定とレシーバの接続を確認します。

a [管理 (Manage)] - [SNMP イベント (SNMP Events)] タブの順にクリックします。

b [編集 (Edit)] をクリックして、SNMP を設定します。

ダイアログ ボックスの設定は変更しないでください。

c [OK] をクリックします。

OID 1.3.6.1.6.3.1.1.5.2 を含む warmStart トラップが、すべての SNMP レシーバに送信されます。

NSX 管理ガイド

VMware, Inc. 501

2 SNMP の設定またはレシーバの問題のデバッグを実行します。

a SNMP レシーバがトラップを受信しない場合は、設定したポートで　SNMP レシーバが実行されているこ

とを確認します。

b SNMP 設定セクションで、レシーバの情報が正しいことを確認します。

c SNMP レシーバが OID 1.3.6.1.4.1.6876.4.190.0.401 を含む vmwHbHeartbeat トラップを 5 分おき

に受信しなくなった場合は、NSX Manager アプライアンスまたは NSX Manager SNMP エージェント

が動作していることを確認します。

d ハートビート トラップが停止した場合は、SNMP サービスが無効になっていないかを確認し、NSX Manager と SNMP レシーバの間のネットワーク接続が動作しているかどうかをテストします。

システム トラップの編集

システム トラップを編集してトラップの重要度や有効/無効設定を変更し、これによってトラップがレシーバに送信

されるか抑制されるかを指定できます。

モジュール、SNMP OID、または SNMP のトラップが有効になっている列で、値が -- と表示されている場合は、

トラップの OID がこれらのイベントに割り当てられていないことを意味します。したがって、これらのイベントの

トラップは送信されません。

システム トラップには、システム イベントのさまざまな側面について示す複数の列が含まれます。

オプション 説明

イベント コード イベントに関連付けられている固定のイベント コードです。

説明 イベントの概要説明です。

モジュール イベントをトリガーするサブコンポーネント。

重要度 イベントのレベルは、「情報」、「低」、「中」、「メジャー」、「重大」、「高」のいずれかとなります。

デフォルトでは、SNMP サービスが有効になっているとき、即座に対応する必要のあるトラップを強調するため、重要度が「重

大」と「高」のイベントについてのみトラップが送信されます。

SNMP OID 個別の OID を示します。この OID は、システム イベントが発せられた場合に送信されます。

グループ通知はデフォルトで有効になっています。グループ通知が有効な場合、このグループの下位のイベントまたはトラップ

には、イベントまたはトラップが属するグループの OID が表示されます。

たとえば、構成グループの下に分類されたグループ通知の OID は、1.3.6.1.4.1.6876.90.1.2.0.1.0.1 となります。

有効な SNMP トラップ

このイベントについてのトラップの送信が有効か無効かを示します

アイコンを使用して、イベントまたはトラップの有効/無効設定を個別に切り替えることができます。グループ通知が有効にな

っているとき、トラップの有効/無効設定を切り替えることはできません。

フィルタ キーワードを検索して、システム トラップをフィルタリングします。

前提条件

SNMP 設定を使用できることを確認します。SNMP の設定を参照してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [システム

(System)] - [イベント (Events)] の順に移動します。

NSX 管理ガイド

VMware, Inc. 502

2 [管理 (Manage)] タブをクリックして、NSX Manager IP アドレスを選択します。

3 [システム トラップ] セクションで、システム イベントを選択します。

4 [編集 (Edit)]（ ）アイコンをクリックします。

グループ通知が有効になっているときは、トラップの有効/無効設定を編集できません。グループに属さないトラ

ップの有効/無効設定は変更できます。

5 システム イベントの重要度を、ドロップダウン メニューから選択して変更します。

6 重要度を「情報」から「重大」へ変更する場合は、[SNMP トラップとして有効にする (Enable as SNMP Trap)] チェックボックスを選択します。

7 [OK] をクリックします。

8 （オプション） システム トラップの送信を有効または無効に指定するには、ヘッダーの [有効 (Enable)]（ ）

アイコンまたは [無効 (Disable)]（ ）アイコンをクリックします。

9 （オプション） 1 つ以上のイベント行をクリップボードにコピーするには、[コピー (Copy)]（ ）アイコンを

クリックします。

システム設定の管理

初期ログイン時に指定した、vCenter Server、DNS と NTP サーバ、および Lookup サーバを編集できます。

NSX Manager では、VMware Infrastructure インベントリの詳細を取得するためには、vCenter Server およ

び DNS や NTP などのサービスと通信する必要があります。

NSX Manager 仮想アプライアンスへのログイン

NSX Manager 仮想マシンのインストールと構成が済んだら、NSX Manager 仮想アプライアンスへログインし、

インストール中に指定した設定を確認します。

手順

1 Web ブラウザ ウィンドウを開き、NSX Manager に割り当てた IP アドレスを入力します。たとえば、

https://192.168.110.42 と入力します。

NSX Manager ユーザー インターフェイスが、SSL を使用して Web ブラウザ ウィンドウで開きます。

2 セキュリティ証明書を受け入れます。

注： SSL 証明書を認証に使用できます。

NSX Manager のログイン画面が表示されます。

3 ユーザー名 admin とインストール時に設定したパスワードを使用して、NSX Manager 仮想アプライアンスに

ログインします。

4 [ログイン (Log In)] をクリックします。

NSX Manager 仮想アプライアンスのイベント

NSX 管理ガイド

VMware, Inc. 503

次のイベントは、NSX Manager 仮想アプライアンスに固有のイベントです。

表 23-2. NSX Manager 仮想アプライアンスのイベント

パワーオフ パワーオン インターフェイスの切断 インターフェイスの接続中

ローカル CLI show log follow コマンド

を実行

show log follow コマンド

を実行

show log follow コマンド

を実行

show log follow コマンド

を実行

GUI NA NA NA NA

表 23-3. NSX Manager 仮想アプライアンスのイベント

CPU メモリ ストレージ

ローカル CLI show process monitor コマンドを実

行

show system memory コマンドを実行 show filesystem コマンドを実行

GUI NA NA NA

NSX Manager の日時の編集

最初のログインのときに指定した NTP サーバは変更することができます。

手順

1 NSX Manager 仮想アプライアンスにログインします。

2 [[Appliance Management] (Appliance Management)]で、[[Manage Appliance Settings] (Manage Appliance Settings)] をクリックします。

3 [時間設定 (Time Settings)] の横にある [編集 (Edit)] をクリックします。

4 適切に変更します。

5 [OK] をクリックします。

6 NSX Manager を再起動します。

NSX Manager アプライアンスの IP アドレスの変更

NSX 6.4.0 以降では、NSX Manager アプライアンスの IP アドレスを変更できます。スタンドアロン、プライマ

リ、セカンダリのすべてのタイプの NSX Manager の IP アドレスを変更できます。

重要： NSX Manager のホスト名は変更できません。

パートナー ソリューションの構成で NSX Manager の IP アドレスが参照されているときに、NSX Manager の

IP アドレスを変更する場合、パートナー ソリューションの更新が必要になります。NSX Manager の IP アドレス

変更後のパートナー ソリューションの更新を参照してください。

Cross-vCenter NSX 環境のセカンダリ NSX Manager のネットワーク構成を変更する場合は、プライマリ NSX Manager でセカンダリ NSX Manager の設定を更新する必要があります。プライマリ NSX Manager でのセカ

ンダリ NSX Manager の更新を参照してください。

NSX 管理ガイド

VMware, Inc. 504

前提条件

n 新しい IP アドレスが DNS に追加され、関連するすべての vCenter Server、Platform Services Controller、ESXi システムから解決可能であることを確認します。

手順

1 NSX Manager 仮想アプライアンスにログインします。

Web ブラウザで NSX Manager アプライアンスの GUI（https://<nsx-manager-ip> または https://<nsx-manager-hostname>）に移動し、admin または Enterprise Administrator 役割を持つアカウント

でログインします。

2 ホーム ページで [アプライアンス設定の管理 (Manage Appliance Settings)] - [ネットワーク (Network)] の順にクリックします。

3 全般ネットワーク設定ペインで [編集 (Edit)] をクリックし、IPv4 または IPv6 の設定セクションを更新しま

す。

4 NSX Manager アプライアンスを再起動します。[アクション] ( ) をクリックして、[アプライアンスを再起

動 (Reboot Appliance)] をクリックします。

5 NSX Manager アプライアンスの再起動後、Web インターフェイスにログインして、[ホーム (Home)] - [サマリの表示 (View Summary)] の順に移動します。NSX 管理サービスが稼動中であることを確認します。

Cross-vCenter NSX 環境の場合は、NSX ユニバーサル同期サービスが稼動中であることも確認します。

NSX Manger アプライアンスの仮想マシンが実行されているときに、NSX Manager アプライアンスの

Web インターフェイスに接続できない場合は、コンピュータまたはブラウザのキャッシュに古い IP アドレス

が保存されている可能性があります。すべてのブラウザ ウィンドウを閉じて、ブラウザを再起動し、キャッシュ

をクリアしてください。または、ホスト名ではなく、新しい IP アドレスを使用してアプライアンスにアクセス

してください。

6 vSphere Web Client からログアウトして、再度ログインします。

7 [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード (Installation and Upgrade)] の順に移動します。

ネットワーク構成を変更して再起動した後、NSX Manager が vCenter Server システムに接続するまでに数

分かかる場合があります。「NSX Manager が見つかりません」というエラー メッセージが表示された場合は、

vSphere Web Client からログアウトして、数分待ってから再度ログインしてください。

8 [ホストの準備 (Host Preparation)] をクリックします。各ホスト クラスタが「準備ができていません」と表

示されます。[準備ができていません (Not Ready)] をクリックして、[すべてを解決 (Resolve all)] をクリッ

クします。

IP アドレスを変更すると、VIB にアクセスする URL も変わります。[すべてを解決 (Resolve All)] をクリック

すると、URL が更新されます。

NSX 管理ガイド

VMware, Inc. 505

次のステップ

パートナー ソリューションの構成で NSX Manager の IP アドレスを参照している場合は、パートナー ソリューシ

ョンを更新します。NSX Manager の IP アドレス変更後のパートナー ソリューションの更新を参照してくださ

い。

セカンダリ NSX Manager のネットワーク設定を変更した場合は、プライマリ NSX Manager でセカンダリ

NSX Manager の設定を更新します。プライマリ NSX Manager でのセカンダリ NSX Manager の更新を参照

してください。

NSX Manager の IP アドレス変更後のパートナー ソリューションの更新

パートナー ソリューションの構成で NSX Manager の IP アドレスが参照されているときに、NSX Manager の

IP アドレスを変更する場合、パートナー ソリューションの更新が必要になります。

前提条件

n NSX Manager の IP アドレスが変更されていることを確認します。NSX Manager アプライアンスの IP アドレスの変更を参照してください。

n パートナー ソリューションの設定で NSX Manager の IP アドレスを更新する方法については、パートナーの

ドキュメントを参照してください。

手順

1 パートナー ソリューションの設定で NSX Manager の IP アドレスが参照されている場合は、新しい NSX Manager の IP アドレスでパートナー ソリューションを更新します。

詳細については、パートナーのドキュメントを参照してください。

2 vSphere Web Client にログインします。

3 [インストールとアップグレード (Installation and Upgrade)] - [サービス デプロイ (Service Deployments)] の順に移動します。

4 パートナー サービスでゲスト イントロスペクションを使用している場合、ゲスト イントロスペクションのイン

ストール ステータス列で、[準備ができていません (Not Ready)]、[すべて解決 (Resolve all)] の順にクリッ

クします。

5 パートナー ソリューションのインストール ステータス列で、[準備ができていません (Not Ready)]、[すべて

解決 (Resolve all)] の順にクリックします。

プライマリ NSX Manager でのセカンダリ NSX Manager の更新

セカンダリ NSX Manager の IP アドレスを変更すると、プライマリ NSX Manager でセカンダリ NSX Manager の IP アドレス情報を更新するまで、プライマリ NSX Manager で同期エラーが表示されます。

前提条件

n Cross-vCenter NSX 環境のセカンダリ NSX Manager の IP アドレスが変更されたことを確認します。

NSX Manager アプライアンスの IP アドレスの変更を参照してください。

NSX 管理ガイド

VMware, Inc. 506

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] をクリックし、[インストールとアップグレード

(Installation and Upgrade)] をクリックします。

3 [管理 (Management)] タブをクリックします。NSX Manager のペインで、[アクション (Actions)] - [セカ

ンダリ NSX Manager の更新 (Update Secondary NSX Manager)] の順にクリックします。セカンダリ

NSX Manager に割り当てた新しい IP アドレスを入力します。

4 表示されたサムプリントが、セカンダリ NSX Manager の正しいサムプリントであることを確認します。[OK] をクリックします。

NSX Manager の Syslog サーバの設定

Syslog サーバを指定すると、NSX Manager は、その Syslog サーバにすべての監査ログとシステム イベントを

送信します。NSX Manager は、5 台の Syslog サーバをサポートします。

Syslog データは、トラブルシューティングや、インストールおよび構成中、ログに記録されたデータを確認する際

に役立ちます。

手順

1 NSX Manager 仮想アプライアンスにログインします。

Web ブラウザで NSX Manager アプライアンスの GUI（https://<nsx-manager-ip> または https://<nsx-manager-hostname>）に移動し、admin または Enterprise Administrator 役割を持つアカウント

でログインします。

2 ホーム ページで [アプライアンス設定の管理 (Manage Appliance Settings)] - [全般 (General)] の順にク

リックします。

3 [Syslog サーバ (Edit)] の横にある [編集 (Syslog Server)] をクリックします。

4 Syslog サーバの IP アドレス/ホスト名、ポート、およびプロトコルを指定します。

次はその例です。

5 [OK] をクリックします。

結果

NSX Manager のリモート ログが有効になり、Syslog サーバにログが保存されます。複数の Syslog サーバを構

成している場合、構成されたすべての Syslog サーバにログが保存されます。

NSX 管理ガイド

VMware, Inc. 507

次のステップ

API の詳細については、『NSX API ガイド』を参照してください。

NSX Manager での FIPS モードと TLS 設定の変更

FIPS モードを有効にすると、NSX Manager が送受信するすべてのセキュアな通信には、United States Federal Information Processing Standards (FIPS) で許可された暗号化アルゴリズムとプロトコルが使用されます。

n Cross-vCenter NSX 環境では、NSX Manager ごとに個別に FIPS モードを有効にする必要があります。

n NSX Manager のいずれかで FIPS が設定されていない場合、FIPS 標準に準拠する安全な通信手段を使用して

いることを確認する必要があります。

n ユニバーサル同期を正常に機能させるには、プライマリとセカンダリの NSX Manager は同じ TLS バージョ

ンを使用する必要があります。

重要： FIPS モードを変更すると、NSX Manager 仮想アプライアンスが再起動します。

前提条件

n パートナー ソリューションが FIPS モード認定であることを確認します。http://www.vmware.com/resources/compatibility/search.php?deviceCategory=security にある『VMware 互換性ガイド』を

参照してください。

n NSX の前のバージョンからアップグレードした場合、NSX 6.3.0 へのアップグレードが完了するまで FIPS モードを有効にしないでください。『NSX アップグレード ガイド』の「FIPS モードと NSX アップグレードにつ

いて」を参照してください。

n NSX Manager が NSX 6.3.0 以降であることを確認します。

n NSX Controller クラスタが NSX 6.3.0 以降であることを確認します。

n NSX ワークロードを実行しているすべてのホスト クラスタに NSX 6.3.0 以降が準備されていることを確認し

ます。

n すべての NSX Edge アプライアンスがバージョン 6.3.0 以降で、FIPS モードが必要な NSX Edge アプライ

アンスで有効になっていることを確認します。NSX Edge での FIPS モードの変更を参照してください。

手順

1 NSX Manager 仮想アプライアンスにログインします。

2 [[Appliance Management] (Appliance Management)]で、[[Manage Appliance Settings] (Manage Appliance Settings)] をクリックします。

3 [設定] パネルから [全般 (General)] をクリックします。

NSX 管理ガイド

VMware, Inc. 508

4 [FIPS モードと TLS の設定 (FIPS Mode and TLS settings)] の横にある [編集 (Edit)] をクリックします。

5 FIPS モードを有効にするには、[FIPS を有効にする (Enable FIPS Mode)] チェック ボックスを選択します。

6 サーバとクライアントについては、必要な TLS プロトコル バージョンのチェック ボックスを選択します。

注： n FIPS モードが有効になると、NSX Manager は、FIPS 標準に準拠していない TLS プロトコルを無効に

します。

n NSX 6.4.0 以降では、TLS 1.0 はデフォルトで無効になります。

NSX 6.4.0 以降にアップグレードすると、アップグレード前の TLS の設定は変更されず、そのまま残りま

す。

7 [OK] をクリックします。

NSX Manager アプライアンスが再起動し、FIPS が有効になります。

DNS サーバの編集

Manager のインストール時に指定した DNS サーバは変更することができます。

手順

1 NSX Manager 仮想アプライアンスにログインします。

2 [[Appliance Management] (Appliance Management)]で、[[Manage Appliance Settings] (Manage Appliance Settings)] をクリックします。

3 [SETTINGS] パネルで、[[Network] (Network)] をクリックします。

4 [DNS サーバ (DNS Servers)] の横にある [編集 (Edit)] をクリックします。

5 適切に変更します。

6 [OK] をクリックします。

Lookup Service の詳細の編集

最初のログインのときに指定した Lookup Service の詳細は変更することができます。

NSX 管理ガイド

VMware, Inc. 509

手順

1 NSX Manager 仮想アプライアンスにログインします。

2 [[Appliance Management] (Appliance Management)]で、[[Manage Appliance Settings] (Manage Appliance Settings)] をクリックします。

3 [設定] パネルで、[NSX 管理サービス (NSX Management Service)] をクリックします。

4 [Lookup Service] の横にある [編集 (Edit)] をクリックします。

5 適切に変更します。

6 [OK] をクリックします。

vCenter Server の編集

インストール時に NSX Manager を登録した vCenter Server を変更できます。この変更は、現在の vCenter Server の IP アドレスを変更する場合にのみ行ってください。

手順

1 vSphere Web Client にログインしている場合は、ログアウトします。

2 NSX Manager 仮想アプライアンスにログインします。

3 [[Appliance Management] (Appliance Management)]で、[[Manage Appliance Settings] (Manage Appliance Settings)] をクリックします。

4 [設定] パネルで、[NSX 管理サービス (NSX Management Service)] をクリックします。

5 [vCenter Server (Edit)] の横にある [編集 (vCenter Server)] をクリックします。

6 適切に変更します。

7 [OK] をクリックします。

NSX のテクニカル サポート ログのダウンロード

自分のデスクトップに NSX Manager のシステム ログと Web Manager のログをダウンロードできます。[サポ

ート バンドル (Support Bundle)] 収集ツールを使用して、NSX Manager のサポート バンドルのデータを収集す

ることもできます。詳細については、『NSX 管理ガイド』を参照してください。

手順

1 NSX Manager 仮想アプライアンスにログインします。

2 [アプライアンス管理] で、[アプライアンス設定の管理 (Manage Appliance Settings)] をクリックします。

3 をクリックし、[テクニカル サポート ログのダウンロード (Download Tech Support Log)] をクリック

します。

4 [ダウンロード (Download)] をクリックします。

5 ログの準備ができたら、[保存 (Save)] をクリックして、デスクトップにログをダウンロードします。

ログは圧縮され、ファイル拡張子 .gz が付加されます。

NSX 管理ガイド

VMware, Inc. 510

次のステップ

解凍ユーティリティを使用して、ファイルを保存したディレクトリの [すべてのファイル (All Files)] を参照してロ

グを開くことができます。

NSX Manager の SSL 証明書

NSX Manager では、NSX Manager の Web サービスの ID を認証して NSX Manager の Web サーバに送信

される情報を暗号化するために、署名付き証明書が必要です。このプロセスでは、証明書署名要求 (CSR) を生成し、

CA に署名してもらい、署名付き SSL 署名書を NSX Manager にインポートする必要があります。セキュリティの

ベスト プラクティスとしては、プライベート キーと公開鍵を生成し、NSX Manager にプライベート キーが保存

されるという証明書発行オプションを使用することを推奨します。

NSX Manager の証明書を取得するには、NSX Manager のビルトイン CSR ジェネレータを使用するか、

OpenSSL などの別のツールを使用します。

NSX Manager のビルトイン証明書署名要求ジェネレータを使用して生成された CSR には、サブジェクトの代替名

(SAN) などの拡張属性を含めることができません。拡張属性を含める場合、別の証明書署名要求生成ツールを使用す

る必要があります。OpenSSL などの別のツールを使用して証明書署名要求を生成する場合、このプロセスは 1) 証明書署名要求を生成する、2) 署名してもらう、3) NSX Manager 証明書ファイルの PKCS 12 形式への変換のセク

ションに進む、となります。

ビルトイン証明書署名要求 (CSR) ジェネレータの使用

NSX Manager 用の SSL 証明書を取得する方法の 1 つとして、ビルトイン証明書署名要求ジェネレータを使用する

方法があります。

この方法には、証明書署名要求にサブジェクトの代替名 (SAN) などの拡張属性を含めることができないという制約

があります。拡張属性を含める場合、別の証明書署名要求生成ツールを使用する必要があります。別の証明書署名要

求生成ツールを使用している場合、この手順はスキップします。

手順

1 NSX Manager 仮想アプライアンスにログインします。

2 [アプライアンス設定の管理 (Manage Appliance Settings)] をクリックします。

3 [設定] パネルで、[SSL 証明書 (SSL Certificates)] をクリックします。

4 [CSR の生成 (Generate CSR)] をクリックします。

NSX 管理ガイド

VMware, Inc. 511

5 次のフィールドに入力してフォームを完成させます。

オプション アクション

[キーのサイズ (Key Size)] 選択したアルゴリズムで使用される鍵の長さを選択します。

[共通名 (Common Name)] NSX Manager の IP アドレスまたは完全修飾ドメイン名 (FQDN) を入力します。FQDN を入力することをお勧めします。

[組織単位 (Organization Unit)] 証明書を注文する会社・組織の部署名を記入します。

[組織名 (Organization Name)] 法人名を登記通りに記入します。

[市区町村名 (City Name)] 組織の所在地（市）を記入します。

[都道府県名 (State Name)] 組織の所在地（都道府県）を記入します。

[国コード (Country Code)] アルファベット 2 文字の国識別コードを記入します。たとえば米国の場合、US となります。

6 [OK] をクリックします。

7 証明書署名要求を CA に送信して署名してもらいます。

a [CSR のダウンロード (Download CSR)] をクリックして、生成された要求をダウンロードします。

この方法を使用すると、プライベート キーが NSX Manager の外部には出ません。

b この要求を CA に送信します。

c PEM 形式の署名付き証明書、ルート CA、中間 CA 証明書を取得します。

d CER/DER 形式の証明書を PEM に変換するには、次の OpenSSL コマンドを使用します。

openssl x509 -inform der -in Cert.cer -out 4-nsx_signed.pem

e すべての証明書（サーバ、中間、ルート証明書）をテキスト ファイルで連結します。

f NSX Manager ユーザー インターフェースで [インポート (Import)] をクリックし、すべての証明書が含

まれるテキスト ファイルを参照します。

g インポートに成功すると、サーバ証明書とすべての CA 証明書が [SSL 証明書] ページに表示されます。

次のステップ

署名付き SSL 証明書を NSX Manager にインポートします。

NSX Manager 証明書ファイルの PKCS 12 形式への変換

OpenSSL などの他のツールを使用して NSX Manager 証明書を作成した場合、証明書とプライベート キーが

PKCS 12 形式であることを確認してください。NSX Manager 証明書とプライベート キーが PKCS 12 形式でな

い場合は、それらを PKCS 12 形式に変換してから、PKCS 12 証明書ファイルを NSX Manager にインポートする

必要があります。

前提条件

n OpenSSL がシステムにインストールされていることを確認します。OpenSSL は http://www.openssl.org からダウンロードできます。

NSX 管理ガイド

VMware, Inc. 512

n パブリック キーとプライベート キーのペアを生成します。たとえば、次の OpenSSL コマンドを実行します。

openssl req -x509 -days [number of days] -newkey rsa:2048 -keyout my-key.pem -out my-cert.pem

手順

u 承認済み署名者から署名付き証明書を受け取った後で、OpenSSL コマンドを使用して PKCS 12（.pfx また

は .p12）キーストア ファイルをパブリック証明書ファイルとプライベート キーから生成します。

次はその例です。

openssl pkcs12 -export -in my-cert.pem -inkey my-key.pem -out nsx-manager.p12

ここで：

n my-cert.pem は署名付き証明書です。

n my-key.pem はプライベート キーです。

n nsx-manager.p12 は、PKCS 12 形式への変換後に生成された出力ファイルの名前です。

次のステップ

PKCS 12 証明書ファイルを NSX Manager にインポートします。

SSL 証明書のインポート

以前から存在するか CA 署名の SSL 証明書をインポートして NSX Manager で使用することができます。

前提条件

証明書を NSX Manager にインストールする場合、PKCS#12 キーストア形式のみがサポートされ、1 つのプライ

ベート キーと対応する署名付き証明書または証明書チェーンが含まれている必要があります。

手順

1 NSX Manager 仮想アプライアンスにログインします。

2 [アプライアンス設定の管理 (Manage Appliance Settings)] をクリックします。

3 [設定] パネルで、[SSL 証明書 (SSL Certificates)] をクリックします。

4 [PKCS#12 キーストアのアップロード (Upload PKCS#12 Keystore)] をクリックします。

5 [ファイルの選択 (Choose File)] をクリックしてファイルを見つけます。

6 [インポート (Import)] をクリックします。

NSX 管理ガイド

VMware, Inc. 513

7 証明書を適用するには、NSX Manager アプライアンスを再起動します。

結果

証明書が NSX Manager に保存されます。

NSX のバックアップとリストア

すべての NSX Data Center for vSphere コンポーネントを正しくバックアップすることは、障害が発生した場合

にシステムを正常動作の状態にリストアするために重要です。

NSX Manager のバックアップには、コントローラ、論理スイッチ、ルーティング エンティティ、セキュリティ、

ファイアウォール ルール、および NSX Manager ユーザー インターフェイスや API でユーザーが設定したその他

のすべてを含む、あらゆる NSX Data Center for vSphere 設定が含まれます。vCenter Server データベース

と仮想スイッチのような関連要素は、別々にバックアップする必要があります。

少なくとも、定期的に NSX Manager と vCenter Server のバックアップを作成することをお勧めします。バッ

クアップの頻度とスケジュールは、ビジネス上のニーズと操作手順によって異なる場合があります。設定の変更を何

度も行う場合は、頻繁に NSX バックアップを作成することをお勧めします。

NSX Manager のバックアップは、オンデマンドで作成することも、時間単位、日単位、または週単位で作成する

こともできます。

次の場合にバックアップを作成することをお勧めします。

n NSX Data Center for vSphere または vCenter Server をアップグレードする前。

n NSX Data Center for vSphere または vCenter Server をアップグレードした後。

n NSX Controller クラスタ、論理スイッチ、分散論理ルーター、Edge Services Gateway、セキュリティお

よびファイアウォール ポリシーを作成した後など、0 日目に NSX Data Center for vSphere コンポーネン

トをデプロイして初期設定を行った後。

n インフラストラクチャまたはトポロジを変更した後。

n 2 日目に大きな変更を行った後。

任意の時点でシステム全体をロールバックできるように、NSX Data Center for vSphere コンポーネント（NSX Manager など）のバックアップを vCenter Server、クラウド管理システム、操作ツールなどの他の連携コンポー

ネントのバックアップと同時に行うことをお勧めします。

NSX Manager のバックアップとリストア

NSX Manager のバックアップおよびリストアは、NSX Manager 仮想アプライアンス Web インターフェイスか

ら、または NSX Manager API を使用して設定できます。バックアップは時間単位、日単位、週単位でスケジュー

ル設定できます。

バックアップ ファイルは、NSX Manager がアクセスできるリモート FTP または SFTP の場所に保存されます。

NSX Manager データには、構成テーブル、イベント テーブル、監査ログ テーブルが含まれます。構成テーブル

は、すべてのバックアップに含まれます。

NSX 管理ガイド

VMware, Inc. 514

リストアは、バックアップ バージョンと同じ NSX Manager バージョンでのみサポートされます。そのため、NSX アップグレードを実行する前と後にバックアップ ファイルを作成し、古いバージョンと新しいバージョンのそれぞれ

にバックアップを作成することが重要です。

NSX Manager データのバックアップ

NSX Manager データは、オンデマンド バックアップまたはスケジュール設定したバックアップを実行してバック

アップできます。

手順

1 NSX Manager 仮想アプライアンスにログインします。

2 [バックアップとリストア (Backup & Restore)] をクリックします。

3 バックアップ先を指定するには、[FTP サーバ設定] の横の [変更 (Change)] をクリックします。

a バックアップ システムの IP アドレスまたはホスト名を入力します。

b バックアップ先でサポートされるプロトコルに応じて、[転送プロトコル (Transfer Protocol)] ドロップ

ダウン メニューから [SFTP] または [FTP] を選択します。

c 必要に応じてデフォルトのポートを編集します。

d バックアップ システムにログインするために必要なユーザー名とパスワードを入力します。

e [バックアップ ディレクトリ (Backup Directory)] テキスト ボックスに、バックアップを保存する絶対パ

スを入力します。

注： バックアップ ディレクトリを指定しない場合、FTP サーバのデフォルト ディレクトリ（ホーム ディ

レクトリ）にバックアップが保存されます。

絶対パスを確認するには、FTP サーバにログインし、使用するディレクトリに移動して、現在のディレクト

リのフルパスを表示するコマンド (pwd) を実行します。次はその例です。

PS C:\Users\Administrator> ftp 192.168.110.60

Connected to 192.168.110.60.

220 server-nfs FTP server ready.

User (192.168.110.60:(none)): admin

331 Password required for admin.

Password:

230 User admin logged in.

ftp> ls

200 PORT command successful.

150 Opening BINARY mode data connection for 'file list'.

datastore-01

226 Transfer complete.

ftp: 22 bytes received in 0.00Seconds 22000.00Kbytes/sec.

ftp> cd datastore-01

250 CWD command successful.

ftp> pwd

257 "/datastore-01" is current directory.

NSX 管理ガイド

VMware, Inc. 515

f [ファイル名のプリフィックス (Filename Prefix)] に文字列を入力します。

バックアップ システム上のファイルを簡単に識別できるように、このテキストがバックアップ ファイル名

の先頭に付加されます。 たとえば ppdb と入力すると、バックアップ ファイル名は

ppdbHH_MM_SS_YYYY_Mon_Day となります。

注： バックアップ ディレクトリ内のファイル数は、100 個以下にする必要があります。ディレクトリ内の

ファイル数がこの制限を超えると、警告メッセージが表示されます。

g パスフレーズを入力して、バックアップ ファイルを保護します。

パスフレーズは、バックアップのリストアで必要になります。

h [OK] をクリックします。

次はその例です。

オプション 例

IP アドレス/ホスト名 192.168.110.60

転送プロトコル FTP

ポート 21

ユーザー名 admin

パスワード *****

バックアップ ディレクトリ /datastore-01

ファイル名のプリフィックス nsxmgr-backup

パス フレーズ *****

4 オンデマンド バックアップの場合、[バックアップ (Backup)] をクリックします。

新しいファイルが [バックアップ履歴 (Backup History)] に追加されます。

5 （必須） スケジュール設定されたバックアップの場合、スケジュールの横にある [変更 (Change)] をクリックし

ます。

a [バックアップ頻度 (Backup Frequency)] ドロップダウン メニューで、[時間単位 (Hourly)]、[日単位

(Daily)]、または [週単位 (Weekly)] を選択します。選択したバックアップ頻度よっては、[曜日]、[時間]、および [分] ドロップダウン メニューが無効になります。たとえば、[日単位] を選択すると、[曜日] ドロップダウン メニューは日次バックアップには適用されないため、無効になります。

b 週単位バックアップの場合、データをバックアップする曜日を選択します。

c 週単位バックアップまたは日単位バックアップの場合、バックアップを開始する時間を選択します。

d 開始する分数を選択して、[スケジュール設定 (Schedule)] をクリックします。

オプション 例

バックアップ頻度 毎週

曜日 金曜日

NSX 管理ガイド

VMware, Inc. 516

オプション 例

時間 15

分 45

6 ログおよびフロー データをバックアップから除外するには、[除外] の横の [変更 (Change)] をクリックしま

す。

a バックアップから除外する項目を選択します。

b [OK] をクリックします。

7 FTP サーバの IP アドレス/ホスト名、認証情報、ディレクトリの詳細、パス フレーズを保存します。この情報

は、バックアップをリストアするために必要です。

NSX Manager バックアップのリストア

NSX Manager をリストアすると、バックアップ ファイルが NSX Manager アプライアンスでロードされます。

バックアップ ファイルは、NSX Manager がアクセスできるリモート FTP または SFTP の場所に保存する必要が

あります。NSX Manager データには、構成テーブル、イベント テーブル、監査ログ テーブルが含まれます。

重要： バックアップ ファイルをリストアする前に、現在のデータをバックアップしてください。

前提条件

NSX Manager データをリストアする前に、NSX Manager アプライアンスを再インストールすることをお勧めし

ます。既存の NSX Manager アプライアンスでリストア操作を実行しても機能する可能性はありますが、サポート

されていません。既存の NSX Manager で障害が発生した場合は、新規の NSX Manager アプライアンスをデプ

ロイすることが想定されています。

ベスト プラクティスとしては、新規でデプロイする NSX Manager アプライアンスの IP アドレス情報およびバッ

クアップ場所の情報の指定に使用できるように、既存の NSX Manager アプライアンスの現在の設定をメモします。

手順

1 既存の NSX Manager アプライアンスのすべての設定をメモします。また、FTP サーバの設定も書き留めてお

きます。

2 NSX Manager アプライアンスを新規にデプロイします。

バージョンはバックアップした NSX Manager アプライアンスと同じである必要があります。

3 新規の NSX Manager アプライアンスにログインします。

4 [アプライアンス管理] で、[バックアップとリストア (Backups & Restore)] をクリックします。

5 [FTP サーバ設定] で、[変更 (Change)] をクリックして FTP サーバ設定を追加します。

バックアップ先画面の [ホスト IP アドレス (Host IP Address)]、[ユーザー名 (User Name)]、[パスワード

(Password)]、[バックアップ ディレクトリ (Backup Directory)]、[ファイル名のプリフィックス (Filename Prefix)]、[パスフレーズ (Pass Phrase)] の各フィールドで、リストアするバックアップの場所を識別する必

要があります。

NSX 管理ガイド

VMware, Inc. 517

[バックアップ履歴 (Backup History)] セクションにバックアップ フォルダが表示されます。

注： [バックアップ履歴 (Backup History)] セクションにバックアップ フォルダが表示されない場合は、FTP サーバ設定を確認します。FTP サーバに接続し、バックアップ フォルダを表示できるかどうかを確認してくだ

さい。

6 [バックアップ履歴 (Backup History)] セクションで、リストアするバックアップ フォルダを選択し、[リスト

ア (Restore)] をクリックします。

NSX Manager データのリストアが開始されます。

結果

NSX の設定が NSX Manager にリストアされます。

注意： NSX Manager のバックアップをリストアした後、NSX Edge アプライアンスと論理スイッチを正常に動

作させるため、追加のアクションが必要になる場合があります。NSX Edge のリストアおよび論理スイッチの非同

期エラーの解決を参照してください。

NSX Edge のリストア

すべての NSX Edge 設定（分散論理ルーターおよび Edge Services Gateway）は、NSX Manager データ バックアップの一環としてバックアップされます。

NSX Edge のバックアップを個別に作成することは、サポートされていません。

NSX 管理ガイド

VMware, Inc. 518

正常に構成された NSX Manager があれば、NSX Edge の再デプロイによって Edge アプライアンス仮想マシン

にアクセスできなくなった、あるいは障害が発生した場合、 Edge アプライアンス仮想マシンを再作成できます。

NSX Edge を再デプロイするには、NSX Edge を選択して、[アクション (Actions)] - [再デプロイ (Redeploy)] の順にクリックします。『NSX 管理ガイド』の「NSX Edge の再デプロイ」を参照してください。

NSX 管理ガイド

VMware, Inc. 519

注意： NSX Manager のバックアップをリストアした後、NSX Edge アプライアンスが正常に動作するには、追

加のアクションが必要になる場合があります。

n 直近のバックアップ後に作成された Edge アプライアンスはリストア中に削除されません。仮想マシンを手動

で削除する必要があります。

n 直近のバックアップ後に削除された Edge アプライアンスは、再デプロイしない限りリストアされません。

n NSX Edge を設定した場所と現在の配置場所がバックアップに 保存されていない場合、再デプロイ、移行、高

可用性の有効化や無効化などの処理に失敗します。アプライアンスの設定を編集し、正しい配置場所の情報を指

定する必要があります。PUT /api/4.0/edges/{edgeId}/appliances を使用して、アプライアンスの場所の設

定を編集します。必要に応じて、resourcePoolId、datastoreId、hostId、vmFolderId を編集します。

『NSX API ガイド』の「NSX Edge アプライアンスの設定の使用」を参照してください。

前回の NSX Manager のバックアップ後に次のいずれかの変更が行われると、リストアされた NSX Manager の設定と NSX Edge アプライアンスの現在の設定に差異が発生します。アプライアンスに対する変更を元に戻し、

NSX Edge を正常に動作させるには、NSX Edge を[強制同期 (Force Sync)]する必要があります。『NSX 管理

ガイド』の「NSX Edge と NSX Manager の強制同期」を参照してください。

n NSX Edge ファイアウォールの preRules に対して、分散ファイアウォール経由で行われた変更

n オブジェクト メンバーシップのグループ化に対する変更

前回の NSX Manager のバックアップ後に次のいずれかの変更が行われると、リストアされた NSX Manager の設定と NSX Edge アプライアンスの現在の設定に差異が発生します。アプライアンスに対する変更を元に戻し、

NSX Edge を正常に動作させるには、NSX Edge を[再デプロイ (Redeploy)]する必要があります。『NSX 管理

ガイド』の「NSX Edge の再デプロイ」を参照してください。

n Edge アプライアンスの設定に対する変更：

n 高可用性の有効化または無効化

n アプライアンスの状態の変更（デプロイ済みからデプロイ解除済み）

n アプライアンスの状態の変更（デプロイ解除済みからデプロイ済み）

n リソースの予約設定の変更

n Edge アプライアンスの vNIC 設定の変更：

n vNIC の追加、削除または切断

n ポート グループ

n トランク ポート

n フェンス パラメータ

n シェーピング ポリシー

注目: NSX 6.4.4 または 6.4.5 にアップグレードした後、Edge に新しく追加されたトランク インターフェ

イスのデフォルトの MTU 値が、誤って 1500 に設定されます。この問題は、6.4.4 または 6.4.5 の新規イン

ストールを行った後も発生します。この問題は 6.4.6 で修正されています。ただし、6.4.4 または 6.4.5 でこ

の問題を解決するには、Edge のすべてのトランク インターフェイスのデフォルトの MTU 値を 1600 に手動

で変更する必要があります。詳細については、https://kb.vmware.com/s/article/74878 にある VMware ナレッジベースの記事を参照してください。

NSX 管理ガイド

VMware, Inc. 520

論理スイッチの非同期エラーの解決

NSX Manager のバックアップの作成からリストアまでの間に論理スイッチの変更が発生すると、論理スイッチが

同期なし状態をレポートする場合があります。

手順

1 vSphere Web Client にログインします。

2 [ネットワークとセキュリティ (Networking & Security)] - [論理スイッチ (Logical Switches)] の順に移

動します。

3 [同期なし (Out of sync)] リンクが表示されている場合には、このリンクをクリックします。

4 [解決 (Resolve)] をクリックし、不足しているバッキング ポート グループを論理スイッチに再作成します。

vSphere Distributed Switch のバックアップ

vSphere Distributed Switch および分散ポート グループの設定をファイルにエクスポートできます。

VXLAN のクラスタを準備する前に、vSphere Distributed Switch の設定をエクスポートして、バックアップを

作成します。vSphere Distributed Switch の設定をエクスポートする方法については、http://kb.vmware.com/kb/2034602 を参照してください。

vCenter Server のバックアップ

NSX デプロイを保護するには、vCenter Server データベースをバックアップして仮想マシンのスナップショット

を作成することが重要です。

vCenter Server のバックアップとリストアの手順、およびベスト プラクティスについては、お使いのバージョン

の vCenter Server ドキュメントを参照してください。

vCenter Server のバックアップについては、次を参照してください。

n vSphere の使用バージョンの『vSphere のインストールとセットアップ』ドキュメント

n http://kb.vmware.com/kb/2110294

仮想マシンのスナップショットについては、http://kb.vmware.com/kb/1015180 を参照してください。

NSX の監視と診断ツール

NSX には、システムの監視や、問題の診断に役立つデータ収集を行うためのツールが用意されています。

フロー モニタリング

フロー モニタリングは、保護対象の仮想マシンへのトラフィックおよび保護対象の仮想マシンからのトラフィックの

詳細情報を提供する、トラフィック解析ツールです。

フロー モニタリングが有効な場合、その出力では、どのマシンが、どのアプリケーションを使用してデータを交換し

ているかが定義されます。このデータにはセッション数やセッションごとのパケット転送数などが含まれます。セッ

ションの詳細には、使用されている転送元、転送先、アプリケーション、ポートなどの情報が含まれます。セッショ

ンの詳細は、ファイアウォールの作成や、ルールの許可またはブロックで使用できます。TCP、UDP、ARP、ICMP

NSX 管理ガイド

VMware, Inc. 521

など、さまざまなプロトコル タイプのフロー データを表示できます。フィルタを指定すると、フローを除外できま

す。選択した vNIC（接続元または接続先）との TCP 接続および UDP 接続をライブで監視できます。ライブ フロ

ー モニタリングではフローが可視化されます。特定の vNIC に移動して、トラブルシューティングを迅速に行うこと

ができます。ライブ フロー モニタリングでは、L7 ファイアウォール ルールに一致するフローのアプリケーション

コンテキストもキャプチャされます。

フロー モニタリング データの表示

指定した期間内の仮想マシンのトラフィック セッションを表示できます。デフォルトでは過去 24 時間のデータが

表示されます。最小時間範囲は 1 時間、最大時間は 2 週間です。

注意： n フロー モニタリングが有効な場合、ダッシュ ボードに小さな黄色の警告アイコンが表示され、機能が有効であ

ることが示されます。フロー モニタリングはパフォーマンスに影響します。フロー データの監視が終了した

ら、無効にしてください。

n フロー モニタリング数が事前定義の最大数（しきい値値）を超えると、重大アラームが表示されます。このアラ

ームは環境に影響を与えません。無視してもかまいません。NSX 6.4.4 以前では、フロー モニタリングの最大

数が 200 万に設定されています。NSX 6.4.5 以降では、フロー モニタリングの最大数が 500 万に増えてい

ます。

前提条件

フロー モニタリング データは、ネットワーク仮想化コンポーネントがインストールされ、ファイアウォールが有効

になっているクラスタの仮想マシンでのみ利用できます。『NSX Data Center for vSphere インストール ガイ

ド』を参照してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [フロー モニタリング (Flow Monitoring)] の順に移動します。

2 [ダッシュボード (Dashboard)] タブを表示していることを確認します。

NSX 管理ガイド

VMware, Inc. 522

3 [フロー モニタリング (Flow Monitoring)] をクリックします。

このページのロードに数秒かかることがあります。ページの上部に、許可されたトラフィックの割合、ファイア

ウォール ルールでブロックされたトラフィック、SpoofGuard でブロックされたトラフィックが表示されま

す。環境内の各サービスのデータ フローが複数の折れ線グラフで表示されます。凡例の 1 つのサービスをポイ

ントすると、そのサービスの各点が強調表示されます。

トラフィック統計は次の 3 つのタブに表示されます。

n [トップ フロー (Top Flows)] には、（セッション/パケットではなく）合計バイト数の値に基づいて、指定

された時間におけるサービスあたりの受信トラフィックと送信トラフィックの合計が表示されます。上位 5 つのサービスが表示されます。トップ フローの計算時には、ブロックされたフローは考慮されません。

n [トップ ターゲット (Top Destinations)] には、指定された時間におけるターゲットあたりの受信トラフ

ィックが表示されます。上位 5 つのターゲットが表示されます。

n [トップ ソース (Top Sources)] には、指定された時間におけるソースあたりの送信トラフィックが表示さ

れます。上位 5 つのソースが表示されます。

4 [サービス別の詳細 (Details by Service)] タブをクリックします。

選択したサービスのすべてのトラフィックの詳細が表示されます。[許可されたフロー (Allowed Flows)] タブには許可されたトラフィック セッションが表示され、[ブロックされたフロー (Blocked Flows)] タブにはブ

ロックされたトラフィックが表示されます。

NSX 管理ガイド

VMware, Inc. 523

サービス名で検索できます。

5 そのトラフィック フローを許可またはブロックしたルールを表示するには、テーブルで項目をクリックします。

6 ルール詳細を表示するルールの [ルール ID (Rule Id)] をクリックします。

フロー モニタリング チャートの日付範囲の変更

フロー モニタリング データの日付範囲は、[ダッシュボード] タブと [詳細] タブの両方で変更できます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [フロー モニタリング (Flow Monitoring)] の順に移動します。

2 [時間間隔 (Time interval)] の横にある をクリックします。

3 期間を選択するか、新しい開始日および終了日を入力します。

トラフィック フロー データを表示できる最長期間は、過去 2 週間です。

4 [OK] をクリックします。

フロー モニタリング レポートからのファイアウォール ルールの追加または編集

トラフィック データにドリル ダウンすると、リソースの使用について評価し、セッション情報を分散ファイアウォ

ールに送信して、任意のレベルで新しい許可/拒否ルールを作成できます。

NSX 管理ガイド

VMware, Inc. 524

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [フロー モニタリング (Flow Monitoring)] の順に移動します。

2 [サービス別の詳細 (Details by Service)] タブをクリックします。

3 トラフィック フローを表示するサービスをクリックします。

選択したタブに応じて、このサービスのトラフィックを許可または拒否したルールが表示されます。

4 ルールの詳細を表示するには、ルール ID をクリックします。

5 次のいずれかを実行します。

n ルールを編集するには：

1 [アクション (Actions)] 列の [ルールの編集 (Edit Rule)] をクリックします。

2 ルールの名前、アクション、またはコメントを変更します。

3 [OK] をクリックします。

n ルールを追加するには：

1 [アクション (Actions)] 列の [ルールの追加 (Add Rule)] をクリックします。

2 フォームに入力し、ルールを追加します。ファイアウォール ルールのフォームの記入については、ファ

イアウォール ルールの追加を参照してください。

3 [OK] をクリックします。

ルールは、ファイアウォール ルール セクションの最上部に追加されます。

ライブ フローの表示

選択した vNIC（接続先または接続元）との UDP 接続および TCP 接続を表示できます。2 台の仮想マシン間のト

ラフィックを表示するために、1 台のコンピュータ上にある一方の仮想マシンと、2 台目のコンピュータ上にあるも

う一方の仮想マシンのライブ トラフィックを表示できます。ホストごとに最大 2 つの vNIC と、インフラストラク

チャごとに最大 5 つの vNIC のトラフィックを表示できます。

ライブ フローを表示すると、NSX Manager や対応する仮想マシンのパフォーマンスに影響することがあります。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [フロー モニタリング (Flow Monitoring)] の順に移動します。

2 [ライブ フロー (Live Flow)] タブをクリックします。

3 必要な vNIC を選択します。

4 [開始 (Start)] をクリックしてライブ フローの表示を開始します。

このページは 5 秒ごとに更新されます。[更新速度 (Refresh Rate)] ドロップダウンから別の頻度を選択する

ことも可能です。

NSX 管理ガイド

VMware, Inc. 525

5 デバッグやトラブルシューティングが終了したら [停止 (Stop)] をクリックして、NSX Manager や選択した

仮想マシンのパフォーマンスに影響が及ばないようにします。

フロー モニタリング データ収集の設定

収集する フロー モニタリング データを確認してフィルタリングした後で、データ収集を設定できます。

除外基準を指定すると、表示されるデータをフィルタできます。たとえば、重複するフローが表示されないようにプ

ロキシ サーバを除外することができます。また、インベントリの仮想マシンで Nessus スキャンを実行している場

合に、スキャン フローを収集から除外しないでおくことができます。特定のフローの情報がファイアウォールからフ

ロー コレクタに直接エクスポートされるように、IPFix を設定できます。フロー モニタリング のグラフには IPFix フローは含まれません。IPFix フローは、IPFix コレクタのインターフェイスに表示されます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [フロー モニタリング (Flow Monitoring)] の順に移動します。

2 [設定 (Configuration)] タブを選択します。

3 [グローバル フロー収集構成ステータス (Global Flow Collection Status)] が [有効 (Enabled)] になってい

ることを確認します。

[除外設定 (Exclusion Settings)] で指定されているオブジェクトを除いて、インベントリ全体ですべてのファ

イアウォール関連フローが収集されます。

NSX 管理ガイド

VMware, Inc. 526

4 フィルタリング基準を指定するには、[フロー除外 (Flow Exclusion)] をクリックして、次の手順を実行しま

す。

a 除外するフローに対応するタブをクリックします。

b 必要な情報を指定します。

次の項目を選択した場合は 次の情報を指定

ブロックされたフローの収集 [いいえ] を選択するとブロックされたフローが除外されます。

レイヤー 2 フローの収集 [いいえ] を選択するとレイヤー 2 のフローが除外されます。

送信元 指定した送信元のフローが収集されません。

1 [追加 (Add)]アイコンをクリックします。

2 [ビュー] で、適切なコンテナを選択します。

3 除外するオブジェクトを選択します。

宛先 指定した宛先のフローが収集されません。

1 [追加 (Add)]アイコンをクリックします。

2 [ビュー] で、適切なコンテナを選択します。

3 除外するオブジェクトを選択します。

宛先ポート 指定したポートへのフローを除外します。

除外するポート番号を入力します。

サービス 指定したサービスおよびサービス グループへのフローを除外します。

1 [追加 (Add)]アイコンをクリックします。

2 適切なサービスやサービス グループを選択します。

c [保存 (Save)] をクリックします。

5 フロー収集を設定するには、[IPFix] をクリックして、分散ファイアウォールの IPFIX の手順を実行します。

NSX 管理ガイド

VMware, Inc. 527

6 [変更の発行 (Publish Changes)] をクリックします。

IPFIX の設定

IPFIX (Internet Protocol Flow Information Export) は ETF プロトコルで、エンド デバイスから監視システム

にフロー情報をエクスポートする際の標準を定義します。NSX では、IPFIX を使用して IP フロー情報をコレクタに

エクスポートします。

次の場所で IPFIX を有効にします。

n vSphere Distributed Switch (VDS)

n 分散ファイアウォール (DFW)

vSphere 環境では、vSphere Distributed Switch がエクスポータになり、ネットワーク ベンダーから提供され

る監視ツールがコレクタになります。

IPFIX 標準では、IP フロー情報の表示方法が指定されます。また、フロー情報をエクスポータからコレクタに転送す

る方法も定義されています。

vSphere Distributed Switch で IPFIX を有効にすると、コレクタ ツールに定期的にメッセージが送信されます。

メッセージの内容はテンプレートで定義されます。テンプレートの詳細については、IPFIX テンプレート を参照して

ください。

分散ファイアウォールの IPFIX

分散ファイアウォールで IPFIX を有効にできます。分散ファイアウォールは、フローのステートフル追跡機能を実装

しており、追跡するフローには状態の変化が反映されます。IPFIX は、フローの状態データをエクスポートするため

に使用できます。追跡対象のイベントには、フローの作成、拒否、更新、削除があります。

NSX 管理ガイド

VMware, Inc. 528

論理スイッチ

仮想（オーバーレイ）

物理（アンダーレイ）

フロー コレクタ

ネットワーク

TOR1

IPFIX（分散ファイアウォール）

オーバーレイ トンネル

TOR4TOR2 TOR3

HV1/vSwitch HV2/vSwitch

分散ファイアウォールの IPFIX でフローのエクスポートを有効にするには、次の手順を実行します。

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [フロー モニタリング (Flow Monitoring)] の順に移動します。

2 [設定 (Configuration)] タブをクリックします。

3 [グローバル フロー収集構成ステータス (Global Flow Collection Status)] が [有効 (Enabled)] になってい

ることを確認します。

4 フロー収集を設定するには、IPFIX に移動します。

n NSX 6.4.1 以降では、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [IPFIX] の順に移動します。

n NSX 6.4.0 では、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [フロ

ー モニタリング (Flow Monitoring)] - [設定 (Configuration)] - [IPFIX] の順に移動します。

5 IPFIX 設定の横にある [編集 (Edit)] をクリックして、[IPFIX 設定の有効化 (Enable IPFIX Configuration)] をクリックします。

6 [観測ドメイン ID (Observation DomainID)] に、フロー コレクタのファイアウォール エクスポータを示す

32 ビットの ID を入力します。有効な範囲は、0 ～ 65535 です。

NSX 管理ガイド

VMware, Inc. 529

7 [アクティブなフロー エクスポートのタイムアウト (Active Flow Export Timeout)] に、アクティブなフロー

がフロー コレクタにエクスポートされるまでの時間（分）を入力します。デフォルト値は 5 分です。たとえば、

フローが 30 分間アクティブであり、エクスポートのタイムアウト値が 5 分の場合、フローはアクティブな期間

に 7 回エクスポートされます。アクティブな期間に 5 回エクスポートされるほか、作成と削除で 1 回ずつエク

スポートされます。

8 [保存 (Save)] をクリックします。

9 [コレクタ IP アドレス (Collector IPs)] で、[追加 (Add)] をクリックし、フロー コレクタの IP アドレスと

UDP ポートを入力します。ポート番号の確認方法については、NetFlow コレクタのドキュメントを参照して

ください。

10 [OK] をクリックします。

11 [変更の発行 (Publish Changes)] をクリックします。

IPFIX テンプレート

分散ファイアウォールは、フローのステートフル追跡機能を実装しており、追跡するフローには状態の変化が反映さ

れます。IPFIX プロトコルを使用して、フローの状態データをエクスポートできます。追跡対象のイベントには、フ

ローの作成、拒否、更新、削除があります。

IPFIX はテンプレートに基づくため、フローをエクスポートする前にエクスポータでデータの形式を宣言する必要が

あります。これにより、コレクタが受信フロー レコードの分析方法を認識できるようになります。テンプレートでは

形式が宣言されています。この形式は <type,length> の設定で、レコード内のフィールドの意味と長さを 1 つずつ

定義します。

次の表は、分散ファイアウォールの IPFIX テンプレートで使用される情報の要素を示したものです。

表 23-4. IPFIX 情報の要素

名前 データ タイプ サイズ（オクテット） 説明

sourceMacAddress macAddress 6 IEEE 802 送信元 MAC アドレス フィールド。

destinationMacAddress macAddress 6 IEEE 802 宛先 MAC アドレス フィールド。

ethernetType unsigned16 2 ペイロードで転送される MAC クライアント プロト

コルを識別するイーサネット フレームのイーサネッ

ト タイプ フィールド。

sourceIPv4Address ipv4Address 4 IP パケット ヘッダーの IPv4 送信元アドレス。

destinationIPv4Address ipv4Address 4 IP パケット ヘッダーの IPv4 宛先アドレス。

sourceIPv6Address ipv6Address 16 IP パケット ヘッダーの IPv6 送信元アドレス。

destinationIPv6Address ipv6Address 16 IP パケット ヘッダーの IPv6 宛先アドレス。

sourceTransportPort unsigned16 2 トランスポート ヘッダーの送信元ポートの ID。

destinationTransportPort unsigned16 2 トランスポート ヘッダーの宛先ポートの ID。

octetDeltaCount unsigned64 8 前回のレポート（ある場合）以降に、観測点で発生し

たフローの受信パケット数（オクテット）。オクテッ

ト数には、IP ヘッダーと IP ペイロードが含まれま

す。

packetDeltaCount unsigned64 8 前回のレポート（ある場合）以降に、観測点で発生し

たフローの受信パケット数。

NSX 管理ガイド

VMware, Inc. 530

表 23-4. IPFIX 情報の要素 （続き）

名前 データ タイプ サイズ（オクテット） 説明

flowId unsigned64 8 観測ドメイン内で一意のフロー ID。IP アドレスと

ポート番号などのフロー キーがレポートされない場

合、または異なるレコードとしてレポートされた場合

に、各フローを区別するために役立ちます。

flowStartSeconds dateTimeSeconds 4 フローの最初のパケットの絶対的なタイムスタンプ。

flowEndSeconds dateTimeSeconds 4 フローの最後のパケットの絶対的なタイムスタンプ。

protocolIdentifier unsigned8 1 IP パケット ヘッダーのプロトコル番号の値。

firewallEvent unsigned8 1 有効な値：

n 1 - フローの作成

n 2 - フローの削除

n 3 - フローの拒否

n 4 - フロー アラート（この実装では使用しませ

ん）

n 5 - フローの更新

direction unsigned8 1 観測点でフィルタに適用される有効な値：

n 0x00 - 仮想マシンへの入力方向のフロー

n 0x01 - 仮想マシンからの出力方向のフロー

icmpTypeIPv4 unsigned8 1 IPv4 ICMP メッセージのタイプ。

icmpCodeIPv4 unsigned8 1 IPv4 ICMP メッセージのコード。

icmpTypeIPv6 unsigned8 1 IPv6 ICMP メッセージのタイプ。

icmpCodeIPv6 unsigned8 1 IPv6 ICMP メッセージのコード。

ruleId unsigned32 4 ファイアウォール ルール ID - 企業固有の IE。

vmUuid string 16 仮想マシンの UUID - 企業固有の IE。

仮想マシンを一意に識別します（16 のオクテット配

列）。

vnicIndex unsigned32 4 VNIC インデックス - 企業固有の IE。

指定された仮想マシンの VNIC のインデックス。

sessionFlags unsigned8 1 セッション フラグ - 企業固有の IE。有効な値：

n 0 - 不明

n 0x1 - 確立

flowDirection unsigned8 1 フローの方向 - 企業固有の IE。有効な値：

n 0 - 不明

n 1 - 前方向

n 2 - 逆方向

algControlFlowId unsigned64 8 ALG 制御フロー ID - 企業固有の IE。有効な値：

n 0

n ALG 制御フローのフロー ID

NSX 管理ガイド

VMware, Inc. 531

表 23-4. IPFIX 情報の要素 （続き）

名前 データ タイプ サイズ（オクテット） 説明

algType unsigned8 1 ALG 制御フロー ID - エンタープライズ固有の IE。

有効な値：

n 0 - なし

n 1 - FTP

n 2 - Oracle

n 3 - SUNRPC

n 4 - DCERPC

n 5 - TFTP

algFlowType unsigned8 1 ALG 制御フロー ID - 企業固有の IE。有効な値：

n 0 - なし

n 1 - 制御フロー

n 2 - データ フロー

averageLatency unsigned32 4 TCP 平均遅延 - 企業固有の IE。

単位はマイクロ秒です。

vifUuid octetArray 16 VIF UUID - 企業固有の IE。

VIF を一意に識別します（16 のオクテット配列）。

分散ファイアウォールの次の IPFIX テンプレートは、UDP ペイロードでのみ使用できます。

UDP IPV4 テンプレート

このテンプレートに送信されるフィールドは、次のとおりです。

IPFIX_TEMPLATE_FIELD(sourceMacAddress,6)

IPFIX_TEMPLATE_FIELD(destinationMacAddress,6)

IPFIX_TEMPLATE_FIELD(sourceIPv4Address,4)

IPFIX_TEMPLATE_FIELD(destinationIPv4Address,4)

IPFIX_TEMPLATE_FIELD(sourceTransportPort,2)

IPFIX_TEMPLATE_FIELD(destinationTransportPort,2)

IPFIX_TEMPLATE_FIELD(protocolIdentifier,1)

IPFIX_TEMPLATE_FIELD(icmpTypeIPv4,1)

IPFIX_TEMPLATE_FIELD(icmpCodeIPv4,1)

IPFIX_TEMPLATE_FIELD(ethernetType,2)

IPFIX_TEMPLATE_FIELD(flowStartSeconds,4)

IPFIX_TEMPLATE_FIELD(flowEndSeconds,4)

IPFIX_TEMPLATE_FIELD(octetDeltaCount,8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount,8)

IPFIX_TEMPLATE_FIELD(firewallEvent,1)

IPFIX_TEMPLATE_FIELD(direction,1)

IPFIX_TEMPLATE_FIELD(ruleId,4)

IPFIX_TEMPLATE_FIELD(vmUUId,16)

IPFIX_TEMPLATE_FIELD(vnicIndex,4)

IPFIX_TEMPLATE_FIELD(sessionFlags,1) /* Introduced in 6.4.2 */

IPFIX_TEMPLATE_FIELD(flowDirection,1) /* Introduced in 6.4.2 */

IPFIX_TEMPLATE_FIELD(flowId,8) /* Introduced in 6.4.4 */

NSX 管理ガイド

VMware, Inc. 532

IPFIX_TEMPLATE_FIELD(algControlFlowId,8) /* Introduced in 6.4.4 */

IPFIX_TEMPLATE_FIELD(algType,1) /* Introduced in 6.4.4 */

IPFIX_TEMPLATE_FIELD(algFlowType,1) /* Introduced in 6.4.4 */

IPFIX_TEMPLATE_FIELD(averageLatency,4) /* Introduced in 6.4.4 */

UDP IPV6 テンプレート

このテンプレートに送信されるフィールドは、次のとおりです。

IPFIX_TEMPLATE_FIELD(sourceMacAddress,6)

IPFIX_TEMPLATE_FIELD(destinationMacAddress,6)

IPFIX_TEMPLATE_FIELD(sourceIPv6Address,16)

IPFIX_TEMPLATE_FIELD(destinationIPv6Address,16)

IPFIX_TEMPLATE_FIELD(sourceTransportPort,2)

IPFIX_TEMPLATE_FIELD(destinationTransportPort,2)

IPFIX_TEMPLATE_FIELD(protocolIdentifier,1)

IPFIX_TEMPLATE_FIELD(icmpTypeIPv6,1)

IPFIX_TEMPLATE_FIELD(icmpCodeIPv6,1)

IPFIX_TEMPLATE_FIELD(ethernetType,2)

IPFIX_TEMPLATE_FIELD(flowStartSeconds,4)

IPFIX_TEMPLATE_FIELD(flowEndSeconds,4)

IPFIX_TEMPLATE_FIELD(octetDeltaCount,8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount,8)

IPFIX_TEMPLATE_FIELD(firewallEvent,1)

IPFIX_TEMPLATE_FIELD(direction,1)

IPFIX_TEMPLATE_FIELD(ruleId,4)

IPFIX_TEMPLATE_FIELD(vmUUId,16)

IPFIX_TEMPLATE_FIELD(vnicIndex,4)

IPFIX_TEMPLATE_FIELD(sessionFlags,1) /* Introduced in 6.4.2 */

IPFIX_TEMPLATE_FIELD(flowDirection,1) /* Introduced in 6.4.2 */

IPFIX_TEMPLATE_FIELD(flowId,8) /* Introduced in 6.4.4 */

IPFIX_TEMPLATE_FIELD(algControlFlowId,8) /* Introduced in 6.4.4 */

IPFIX_TEMPLATE_FIELD(algType,1) /* Introduced in 6.4.4 */

IPFIX_TEMPLATE_FIELD(algFlowType,1) /* Introduced in 6.4.4 */

IPFIX_TEMPLATE_FIELD(averageLatency,4) /* Introduced in 6.4.4 */

論理スイッチの IPFIX

vSphere Distributed Switch で IPFIX を有効にできます。

NSX 管理ガイド

VMware, Inc. 533

論理スイッチ

仮想（オーバーレイ）

物理（アンダーレイ）

フロー コレクタ

ネットワーク

TOR1

IPFIX (vNIC)

オーバーレイ トンネル

TOR4TOR2 TOR3

HV1/vSwitch HV2/vSwitch

IPFIX（物理 NIC）

次のように、論理スイッチで IPFIX を有効にします。

1 NSX トランスポート ゾーン（論理スイッチ）をバッキングする vSphere Distributed Switch で、NetFlow コレクタを設定します。NetFlow コレクタの設定方法については、『vSphere ネットワーク』ガイドの

「vSphere Distributed Switch のネットフロー設定の構成」を参照してください。

2 論理スイッチに対応する分散ポート グループで、NetFlow モニタリングを有効にできます。 NSX トランスポ

ート ゾーンが複数の vSphere Distributed Switch (VDS) にまたがっている場合は、VDS/分散ポート グル

ープごとに次の手順を繰り返します。NetFlow モニタリングを有効にする方法については、『vSphere』ドキ

ュメントの「分散ポート グループまたは分散ポートでの NetFlow 監視の有効化または無効化」を参照してくだ

さい。

NSX 環境では、ESXi の NSX アップリンクを通過する、論理スイッチの仮想マシン データ トラフィックは、

VXLAN でカプセル化されます。ホストのアップリンクで NetFlow を有効にすると、カスタム IPFIX flow-record テンプレートを使用した IP フロー レコードがエクスポートされます。テンプレートには、外部の VXLAN UDP/IP ヘッダー情報とカプセル化された内部の IP パケット情報が含まれます。このようなフロー レコードによ

って、パケットをカプセル化している VTEP（外部ヘッダー）が可視化され、NSX 論理スイッチ (VXLAN) でホス

ト内トラフィック（内部ヘッダー）を生成した仮想マシンの詳細が提供されます。

vSphere Distributed Switch の IPFIX テンプレートの詳細については、IPFIX テンプレート を参照してくださ

い。

IPFIX テンプレート

IPFIX テンプレートを使用すると、VXLAN と VXLAN 以外のフローを確認できます。テンプレートには追加パラ

メータがあり、カプセル化されたトラフィックの詳細情報を提供します。

NSX 管理ガイド

VMware, Inc. 534

テンプレートは、vSphere Distributed Switch（エクスポータ）でサポートされます。vSphere Distributed Switch の IPFIX サポートにより、仮想マシン フローと VXLAN のフローに必要な可視化を実現できます。サード

パーティのコレクタ ツール ベンダーを使用している場合、テンプレートの追加情報を使用して、内部/外部フローと

ポート接続を関連付け、相関分析を行うことができます。

次の表に、論理スイッチの IPFIX テンプレートで使用される情報の要素を示します。

表 23-5. IPFIX 情報の要素

名前 データ タイプ サイズ（オクテット） 説明

sourceIPv4Address ipv4Address 4 IP パケット ヘッダーの IPv4 送信元アドレス。

destinationIPv4Address ipv4Address 4 IP パケット ヘッダーの IPv4 宛先アドレス。

sourceIPv6Address ipv6Address 16 IP パケット ヘッダーの IPv6 送信元アドレス。

destinationIPv6Address ipv^Address 16 IP パケット ヘッダーの IPv6 宛先アドレス。

octetDeltaCount unsigned64 8 前回のレポート（ある場合）以降に、観測点で発生し

たフローの受信パケットのオクテット数。オクテッ

ト数には、IP ヘッダーと IP ペイロードが含まれま

す。

packetDeltaCount unsigned64 8 前回のレポート（ある場合）以降に、観測点で発生し

たフローの受信パケット数。

flowStartSysUpTime unsigned32 8 フローの最初のパケットの相対的なタイムスタンプ。

IPFIX デバイスが最後に再初期化されてからのミリ

秒数 (sysUpTime)。

flowEndSysUpTime unsigned32 8 フローの最後のパケットの相対的なタイムスタンプ。

IPFIX デバイスが最後に再初期化されてからのミリ

秒数 (sysUpTime)。

sourceTransportPort unsigned16 2 トランスポート ヘッダーの送信元ポートの ID

destinationTransportPort unsigned16 2 トランスポート ヘッダーの宛先ポートの ID

ingressInterface unsigned32 4 フローのパケットを受信する IP インターフェイスの

インデックス。

egressInterface unsigned32 4 フローのパケットを送信する IP インターフェイスの

インデックス。

vxlanId unsigned64 8 オーバーレイ ネットワークのレイヤー 2 ネットワー

ク セグメントの ID。最上位バイトは、レイヤー 2 ネットワークのオーバーレイ ネットワーク カプセル化

の種類を表します。

n 0x00 予約済み

n 0x01 VxLAN

n 0x02 NVGRE

最下位の 3 バイトには、レイヤー 2 のオーバーレイ

ネットワーク セグメント ID が格納されます。

次はその例です。

n 24 ビットのセグメント ID VXLAN ネットワ

ーク識別子 (VNI)

n NVGRE の 24 ビット テナント ネットワーク

識別子 (TNI)

NSX 管理ガイド

VMware, Inc. 535

表 23-5. IPFIX 情報の要素 （続き）

名前 データ タイプ サイズ（オクテット） 説明

protocolIdentifier unsigned8 1 IP パケット ヘッダーのプロトコル番号の値。

flowEndReason unsigned8 1 フローの終了理由。有効な値：

n 0x01 - アイドル タイムアウト

n 0x02 - アクティブ タイムアウト

n 0x03 - フローの終わりを検出

n 0x04 - 強制終了

n 0x05 - リソース不足

tcpFlags unsigned8 1 フローのパケットで確認された TCP 制御ビット。

この情報は、ビット フィールドとしてエンコードさ

れます。TCP 制御ビットごとに 1 ビットが使用され

ます。確認されたフロー パケットのいずれかの

TCP 制御ビットが 1 に設定されている場合、このビ

ットは 1 に設定されます。それ以外の場合は、0 にク

リアされます。

IPv4TOS unsigned8 1 IPv4 パケット ヘッダーの TOS フィールドの値。

IPv6TOS unsigned8 1 IPv6 パケット ヘッダーのトラフィック クラス フィ

ールドの値。

maxTTL unsigned8 1 フローの任意のパケットで確認された TTL の最大

値。

flowDir unsigned8 1 観測点で確認されたフローの方向。有効な値：

n 0x00 - 入力方向のフロー

n 0x01 - 出力方向のフロー

ingressInterfaceAttr unsigned16 2 入力方向のインターフェイス属性には、ポートのタイ

プに基づいて次の値を使用します。

n IPFIX_UPLINK_PORT 0X01

n IPFIX_ACCESS_PORT 0X02

n IPFIX_VXLAN_TUNNEL_PORT 0X03

egressInterfaceAttr unsigned16 2 出力方向のインターフェイス属性には、ポートのタイ

プに基づいて次の値を使用します。

n IPFIX_UPLINK_PORT 0X01

n IPFIX_ACCESS_PORT 0X02

n IPFIX_VXLAN_TUNNEL_PORT 0X03

vxlanExportRole unsigned8 1 エクスポータが ESXi ホストか、他のネットワーク

デバイスかを定義します。

IPFIX_END_POINT 0X01 は、ホストがデータを

エクスポートしていることを意味します。

他のデバイスが IPFIX テンプレートをエクスポート

した場合、このフィールドの値は異なる可能性があり

ます（未定義の場合）。

paddingOctets OctetArray 1 0x00 値のシーケンス。

tenantSourceIPv4 ipv4Address 4 テナント パケットの IP ヘッダーにある IPv4 送信

元アドレス。これは IP パケット内にあります。

NSX 管理ガイド

VMware, Inc. 536

表 23-5. IPFIX 情報の要素 （続き）

名前 データ タイプ サイズ（オクテット） 説明

tenantDestIPv4 ipv4Address 4 テナント パケットの IP ヘッダーにある IPv4 宛先

アドレス。これは IP パケット内にあります。

tenantSourceIPv6 ipv6Address 16 テナント パケットの IP ヘッダーにある IPv6 送信

元アドレス。これは IP パケット内にあります。

tenantDestIPv6 ipv6Address 16 テナント パケットの IP ヘッダーにある IPv6 宛先

アドレス。これは IP パケット内にあります。

tenantSourcePort unsigned16 2 テナント パケットのトランスポート ヘッダーにある

送信元ポート ID。これは IP パケット内にあります。

tenantDestPort unsigned16 2 テナント パケットのトランスポート ヘッダーにある

宛先ポートの ID。これは IP パケット内にあります。

tenantProtocol unsigned8 1 テナント パケットの IP ヘッダーにあるプロトコル

番号の値。これは IP パケット内にあります。

IPv4 テンプレート

IPFIX_TEMPLATE_START(IPFIX_FLOW_TYPE_IPv4)

IPFIX_TEMPLATE_FIELD(sourceIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(destinationIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(octetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(flowStartSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(flowEndSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(sourceTransportPort, 2)

IPFIX_TEMPLATE_FIELD(destinationTransportPort, 2)

IPFIX_TEMPLATE_FIELD(ingressInterface, 4)

IPFIX_TEMPLATE_FIELD(egressInterface, 4)

IPFIX_TEMPLATE_FIELD(vxlanId, 8)

IPFIX_TEMPLATE_FIELD(protocolIdentifier, 1)

IPFIX_TEMPLATE_FIELD(flowEndReason, 1)

IPFIX_TEMPLATE_FIELD(tcpFlags, 1)

IPFIX_TEMPLATE_FIELD(IPv4TOS, 1)

IPFIX_TEMPLATE_FIELD(maxTTL, 1)

IPFIX_TEMPLATE_FIELD(flowDir, 1)

// Specify the Interface port- Uplink Port, Access port,N.A

IPFIX_VMW_TEMPLATE_FIELD(ingressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(egressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(vxlanExportRole, 1)

IPFIX_TEMPLATE_PADDING(paddingOctets, 1)

IPFIX_TEMPLATE_END()

IPv4 VXLAN テンプレート

IPFIX_TEMPLATE_START(IPFIX_FLOW_TYPE_IPv4_VXLAN)

IPFIX_TEMPLATE_FIELD(sourceIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(destinationIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(octetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount, 8)

NSX 管理ガイド

VMware, Inc. 537

IPFIX_TEMPLATE_FIELD(flowStartSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(flowEndSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(sourceTransportPort, 2)

IPFIX_TEMPLATE_FIELD(destinationTransportPort, 2)

IPFIX_TEMPLATE_FIELD(ingressInterface, 4)

IPFIX_TEMPLATE_FIELD(egressInterface, 4)

IPFIX_TEMPLATE_FIELD(protocolIdentifier, 1)

IPFIX_TEMPLATE_FIELD(flowEndReason, 1)

IPFIX_TEMPLATE_FIELD(tcpFlags, 1)

IPFIX_TEMPLATE_FIELD(IPv4TOS, 1)

IPFIX_TEMPLATE_FIELD(maxTTL, 1)

IPFIX_TEMPLATE_FIELD(flowDir, 1)

IPFIX_TEMPLATE_FIELD(vxlanId, 8)

IPFIX_VMW_TEMPLATE_FIELD(tenantSourceIPv4, 4)

IPFIX_VMW_TEMPLATE_FIELD(tenantDestIPv4, 4)

IPFIX_VMW_TEMPLATE_FIELD(tenantSourcePort, 2)

IPFIX_VMW_TEMPLATE_FIELD(tenantDestPort, 2)

IPFIX_VMW_TEMPLATE_FIELD(tenantProtocol, 1)

// Specify the Interface port- Uplink Port, Access port,N.A

IPFIX_VMW_TEMPLATE_FIELD(ingressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(egressInterfaceAttr, 2)

// TUNNEL-GW or no.

IPFIX_VMW_TEMPLATE_FIELD(vxlanExportRole, 1)

IPFIX_TEMPLATE_END()

IPv4 ICMP VXLAN テンプレート

IPFIX_TEMPLATE_START(IPFIX_FLOW_TYPE_IPv4_ICMP_VXLAN)

IPFIX_TEMPLATE_FIELD(sourceIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(destinationIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(octetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(flowStartSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(flowEndSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(sourceTransportPort, 2)

IPFIX_TEMPLATE_FIELD(destinationTransportPort, 2)

IPFIX_TEMPLATE_FIELD(ingressInterface, 4)

IPFIX_TEMPLATE_FIELD(egressInterface, 4)

IPFIX_TEMPLATE_FIELD(protocolIdentifier, 1)

IPFIX_TEMPLATE_FIELD(flowEndReason, 1)

IPFIX_TEMPLATE_FIELD(IPv4TOS, 1)

IPFIX_TEMPLATE_FIELD(maxTTL, 1)

IPFIX_TEMPLATE_FIELD(flowDir, 1)

IPFIX_TEMPLATE_FIELD(vxlanId, 8)

IPFIX_VMW_TEMPLATE_FIELD(tenantSourceIPv4, 4)

IPFIX_VMW_TEMPLATE_FIELD(tenantDestIPv4, 4)

IPFIX_VMW_TEMPLATE_FIELD(tenantProtocol, 1)

// Specify the Interface port- Uplink Port, Access port,N.A

IPFIX_VMW_TEMPLATE_FIELD(ingressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(egressInterfaceAttr, 2)

// TUNNEL-GW or no.

IPFIX_VMW_TEMPLATE_FIELD(vxlanExportRole, 1)

IPFIX_TEMPLATE_PADDING(paddingOctets, 1)

IPFIX_TEMPLATE_END()

NSX 管理ガイド

VMware, Inc. 538

IPv4 ICMP テンプレート

IPFIX_TEMPLATE_START(IPFIX_FLOW_TYPE_IPv4_ICMP)

IPFIX_TEMPLATE_FIELD(sourceIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(destinationIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(octetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(flowStartSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(flowEndSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(ingressInterface, 4)

IPFIX_TEMPLATE_FIELD(egressInterface, 4)

IPFIX_TEMPLATE_FIELD(protocolIdentifier, 1)

IPFIX_TEMPLATE_FIELD(flowEndReason, 1)

IPFIX_TEMPLATE_FIELD(IPv4TOS, 1)

IPFIX_TEMPLATE_FIELD(maxTTL, 1)

IPFIX_TEMPLATE_FIELD(flowDir, 1)

IPFIX_TEMPLATE_FIELD(vxlanId, 8)

// Specify the Interface port- Uplink Port, Access Port,or NA.

IPFIX_VMW_TEMPLATE_FIELD(ingressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(egressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(vxlanExportRole, 1)

IPFIX_TEMPLATE_PADDING(paddingOctets, 2)

IPFIX_TEMPLATE_END()

IPv6 ICMP VXLAN テンプレート

IPFIX_TEMPLATE_START(IPFIX_FLOW_TYPE_IPv6_ICMP_VXLAN)

IPFIX_TEMPLATE_FIELD(sourceIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(destinationIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(octetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(flowStartSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(flowEndSysUpTime, 8)

IPFIX_VMW_TEMPLATE_FIELD(sourceTransportPort, 2)

IPFIX_VMW_TEMPLATE_FIELD(destinationTransportPort, 2)

IPFIX_TEMPLATE_FIELD(ingressInterface, 4)

IPFIX_TEMPLATE_FIELD(egressInterface, 4)

IPFIX_TEMPLATE_FIELD(protocolIdentifier, 1)

IPFIX_TEMPLATE_FIELD(IPv6TOS, 1)

IPFIX_TEMPLATE_FIELD(maxTTL, 1)

IPFIX_TEMPLATE_FIELD(flowDir, 1)

IPFIX_TEMPLATE_FIELD(flowEndReason, 1)

//VXLAN Specific

IPFIX_TEMPLATE_FIELD(vxlanId, 8)

IPFIX_VMW_TEMPLATE_FIELD(tenantSourceIPv6, 16)

IPFIX_VMW_TEMPLATE_FIELD(tenantDestIPv6, 16)

IPFIX_VMW_TEMPLATE_FIELD(tenantProtocol, 1)

// Specify the Interface port- Uplink Port, Access Port, or NA.

IPFIX_VMW_TEMPLATE_FIELD(ingressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(egressInterfaceAttr, 2)

// TUNNEL-GW or no.

IPFIX_VMW_TEMPLATE_FIELD(vxlanExportRole, 1)

IPFIX_TEMPLATE_PADDING(paddingOctets, 1)

IPFIX_TEMPLATE_END()

NSX 管理ガイド

VMware, Inc. 539

IPv6 ICMP テンプレート

IPFIX_TEMPLATE_START(IPFIX_FLOW_TYPE_IPv6_ICMP)

IPFIX_TEMPLATE_FIELD(sourceIPv6Address, 16)

IPFIX_TEMPLATE_FIELD(destinationIPv6Address, 16)

IPFIX_TEMPLATE_FIELD(octetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(flowStartSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(flowEndSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(ingressInterface, 4)

IPFIX_TEMPLATE_FIELD(egressInterface, 4)

IPFIX_TEMPLATE_FIELD(protocolIdentifier, 1)

IPFIX_TEMPLATE_FIELD(flowEndReason, 1)

IPFIX_TEMPLATE_FIELD(IPv6TOS, 1)

IPFIX_TEMPLATE_FIELD(maxTTL, 1)

IPFIX_TEMPLATE_FIELD(flowDir, 1)

IPFIX_TEMPLATE_FIELD(vxlanId, 8)

// Specify the Interface port- Uplink Port, Access Port,or NA.

IPFIX_VMW_TEMPLATE_FIELD(ingressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(egressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(vxlanExportRole, 1)

IPFIX_TEMPLATE_PADDING(paddingOctets, 2)

IPFIX_TEMPLATE_END()

IPv6 テンプレート

IPFIX_TEMPLATE_START(IPFIX_FLOW_TYPE_IPv6)

IPFIX_TEMPLATE_FIELD(sourceIPv6Address, 16)

IPFIX_TEMPLATE_FIELD(destinationIPv6Address, 16)

IPFIX_TEMPLATE_FIELD(octetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(flowStartSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(flowEndSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(sourceTransportPort, 2)

IPFIX_TEMPLATE_FIELD(destinationTransportPort, 2)

IPFIX_TEMPLATE_FIELD(ingressInterface, 4)

IPFIX_TEMPLATE_FIELD(egressInterface, 4)

IPFIX_TEMPLATE_FIELD(vxlanId, 8)

IPFIX_TEMPLATE_FIELD(protocolIdentifier, 1)

IPFIX_TEMPLATE_FIELD(flowEndReason, 1)

IPFIX_TEMPLATE_FIELD(tcpFlags, 1)

IPFIX_TEMPLATE_FIELD(IPv6TOS,1)

IPFIX_TEMPLATE_FIELD(maxTTL, 1)

IPFIX_TEMPLATE_FIELD(flowDir, 1)

// Specify the Interface port- Uplink Port, Access Port, or NA.

IPFIX_VMW_TEMPLATE_FIELD(ingressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(egressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(vxlanExportRole, 1)

IPFIX_TEMPLATE_PADDING(paddingOctets, 1)

IPFIX_TEMPLATE_END()

NSX 管理ガイド

VMware, Inc. 540

IPv6 VXLAN テンプレート

IPFIX_TEMPLATE_FIELD(sourceIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(destinationIPv4Address, 4)

IPFIX_TEMPLATE_FIELD(octetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(packetDeltaCount, 8)

IPFIX_TEMPLATE_FIELD(flowStartSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(flowEndSysUpTime, 8)

IPFIX_TEMPLATE_FIELD(sourceTransportPort, 2)

IPFIX_TEMPLATE_FIELD(destinationTransportPort, 2)

IPFIX_TEMPLATE_FIELD(ingressInterface, 4)

IPFIX_TEMPLATE_FIELD(egressInterface, 4)

IPFIX_TEMPLATE_FIELD(protocolIdentifier, 1)

IPFIX_TEMPLATE_FIELD(flowEndReason, 1)

IPFIX_TEMPLATE_FIELD(tcpFlags, 1)

IPFIX_TEMPLATE_FIELD(IPv6TOS, 1)

IPFIX_TEMPLATE_FIELD(maxTTL, 1)

IPFIX_TEMPLATE_FIELD(flowDir, 1)

//VXLAN specific

IPFIX_TEMPLATE_FIELD(vxlanId, 8)

IPFIX_VMW_TEMPLATE_FIELD(tenantSourceIPv6, 16)

IPFIX_VMW_TEMPLATE_FIELD(tenantDestIPv6, 16)

IPFIX_VMW_TEMPLATE_FIELD(tenantSourcePort, 2)

IPFIX_VMW_TEMPLATE_FIELD(tenantDestPort, 2)

IPFIX_VMW_TEMPLATE_FIELD(tenantProtocol, 1)

// Specify the Interface port- Uplink Port, Access Port,or NA.

IPFIX_VMW_TEMPLATE_FIELD(ingressInterfaceAttr, 2)

IPFIX_VMW_TEMPLATE_FIELD(egressInterfaceAttr, 2)

// TUNNEL-GW or no.

IPFIX_VMW_TEMPLATE_FIELD(vxlanExportRole, 1)

IPFIX_TEMPLATE_END()

vSphere Distributed Switch の IPFIX で監視されるフロー

前述の図は、2 台の異なるホストで実行されている 2 台の仮想マシン間の通信と、vSphere Distributed Switch の IPFIX 機能によって監視されるフローを表しています。

NSX 管理ガイド

VMware, Inc. 541

図 23-2. ホスト 1 のフロー

vSphere

tenantProtocol：TCP

tenantSourceIPv4：IP1

tenantDestIPv4：IP2

tenantSourcePort：10000

tenantDestPort：80

IngressInterfaceAttr：0x03 - 管理ポート

EgressIngerfaceAttr：0x01 - dvuplink

vxlanExportRole：01

VTEP1 VTEP2

フロー 1：IPv4 テンプレート

標準的な要素...

IngressInterfaceAttr：0x02 - ポート 1

EgressIngerfaceAttr：0x03 - 管理ポート

vxlanExportRole：01

フロー 2： IPv4 VXLAN テンプレート

標準的な要素...

vxlanID：5003

物理スイッチ

VDS

1312

2

IP2

VDS

1110

1

IP1

ホスト 2ホスト 1

vSphere

図 23-2. ホスト 1 のフローでは、フローはホスト 1 から収集されています。IPv4 テンプレートには、入力方向と出

力方向のポートと、標準的な要素に関する追加情報が含まれています。

ingressInterfaceAttr テキスト ボックスは 0x02 になっています。これは、仮想マシンが接続するアクセス ポー

トであることを表しています。アクセス ポートの番号は、テンプレートの ingressInterface パラメータに割り当て

られます。

egressInterfaceAttr の値は 0x03 になっています。これは VXLAN トンネル ポートで、このポート番号が管理

用の VMKNic ポートであることを意味します。このポート番号は、テンプレートの egressInterface パラメータ

に割り当てられます。

NSX 管理ガイド

VMware, Inc. 542

もう一方の IPv4 VXLAN テンプレートには、VXLAN ID、内部の送信元と宛先のアドレス、ポート、およびプロ

トコルに関する追加情報が含まれます。入力方向と出力方向のインターフェイスは、それぞれ VXLAN トンネル ポート と dvuplink ポートになります。

図 23-3. ホスト 2 のフロー

tenantProtocol：TCP

tenantSourceIPv4：IP1

tenantDestIPv4：IP2

tenantSourcePort：10000

tenantDestPort：80

IngressInterfaceAttr：0x01 - dvuplink

EgressIngerfaceAttr：0x03 - 管理ポート

vxlanExportRole：01

VTEP1 VTEP2

物理スイッチ

フロー 4：IPv4 テンプレート

標準要素...

IngressInterfaceAttr：0x03 - 管理ポート

EgressIngerfaceAttr：0x02 - ポート 3

vxlanExportRole：01

フロー 3： IPv4 VXLAN テンプレート

標準的な要素...

vxlanID：5003

ホスト 2

VDS

1312

3

IP2

vSphere

ホスト 1

VDS

1110

1

IP1

vSphere

図 23-2. ホスト 1 のフローは、ホスト 2 上のフローを表しています。

図 23-2. ホスト 1 のフローのテンプレートと 図 23-2. ホスト 1 のフローのテンプレートで異なる点は、入力方向お

よび出力方向の属性とポート番号のみです。

このテンプレートで提供される追加情報により、コレクター ツールのベンダーは、外部の VXLAN フローと内部の

仮想マシン フローを関連付けて分析できます。

NSX 管理ガイド

VMware, Inc. 543

コレクタ ツール ベンダーに関連する情報

vSphere Distributed Switch の IPFIX サポートにより、仮想マシン フローと VXLAN のフローに必要な可視化

を実現できます。コレクタ ツール ベンダーを使用している場合、テンプレートの追加情報を使用して、内部/外部フ

ローとポート接続を関連付け、相関分析を行うことができます。

次のセクションでは、VXLAN テンプレートに追加された新しいパラメータをデコードする方法について説明しま

す。IANA は、IPFIX 情報の要素 (Element) と、そのエレメント ID (Element ID) を定義しています。標準的な

エレメント ID のリストは、http://www.iana.org/assignments/ipfix/ipfix.xml で確認できます。

VXLAN テンプレートで定義されている新しい要素にはすべて、新しいエレメント ID が定義されています。

これらのカスタム パラメータまたは要素が、VXLAN と内部フローに関する追加情報を提供します。新しい要素と

そのエレメント ID は次のとおりです。

表 23-6. カスタム パラメータ

エレメント ID パラメータ名 データ タイプ 単位

880 tenantProtocol unsigned8 1 バイト

881 tenantSourceIPv4 ipv4Address 4 バイト

882 tenantDestIPv4 ipv4Address 4 バイト

883 tenantSourceIPv6 ipv6Address 16 バイト

884 tenantDestIPv6 ipv6Address 16 バイト

886 tenantSourcePort unsigned16 2 バイト

887 tenantDestPort unsigned16 2 バイト

888 egressInterfaceAttr unsigned16 2 バイト

889 vxlanExportRole unsigned8 1 バイト

890 ingressInterfaceAttr unsigned16 2 バイト

注： 上で設定したカスタム要素には、エンタープライズ ID が追加されます。VMware のエンタープライズ ID は、6876 です。

次の表は、エレメント ID の完全リストの一例です。標準的なエレメント ID のデータ タイプとユニットは、http://www.iana.org/assignments/ipfix/ipfix.xml で確認できます。

エレメント ID パラメータ名

1 octetDeltaCount

2 packetDeltaCount

4 protocolIdentifier

5 IPv4TOS

5 IPv6TOS

6 tcpFlags

7 sourceTransportPort

8 sourceIPv4Address

NSX 管理ガイド

VMware, Inc. 544

エレメント ID パラメータ名

10 ingressInterface

11 destinationTransportPort

12 destinationIPv4Address

14 egressInterface

15 nextHopIPv4

27 sourceIPv6Address

28 destinationIPv6Address

53 maxTTL

61 flowDir

136 flowEndReason

152 flowStartSysUpTime

153 flowEndSysUpTime

210 paddingOctets

351 vxlanId

880 tenantProtocol

881 tenantSourceIPv4

882 tenantDestIPv4

883 tenantSourceIPv6

884 tenantDestIPv6

886 tenantSourcePort

887 tenantDestPort

888 egressInterfaceAttr

889 vxlanExportRole

890 ingressInterfaceAttr

Application Rule Manager

Application Rule Manager (ARM) ツールをは、既存のアプリケーション用にセキュリティ グループとファイア

ウォール ルールを作成することで、アプリケーションのマイクロセグメンテーションを簡素化します。

システム全体での長期的データ収集にはフロー モニタリングが使用されますが、1 個のアプリケーションを対象とす

るモデリングには Application Rule Manager が使用されます。フロー モニタリング フェーズで、ARM はプロ

ファイルを作成しているアプリケーション間のフローとアプリケーション層間のフローを学習します。また、検出し

たフローのレイヤー 7 アプリケーション ID も学習します。

NSX 管理ガイド

VMware, Inc. 545

Application Rule Manager のワークフローには 3 つのステップがあります。

1 アプリケーションを設定する仮想マシンで、監視する必要があるものを選択します。設定後、仮想マシン上の定

義済み vNIC（仮想ネットワーク インターフェイス カード）のセットに送受信するすべてのフローが監視対象と

なります。一度に最大 5 つのセッションでフローを収集できます。

2 監視を停止してフロー テーブルを生成します。フローを分析して、仮想マシン間の相互作用を明らかにします。

フローをフィルタリングして、フロー レコードを限られた作業セットにすることができます。フローの分析後、

ARM は次のものを自動的に推奨します。

n フロー パターンとサービスに基づくワークフローのセキュリティ グループと IP セット

n 特定の ARM セッションの分析結果に基づくファイアウォール ポリシー

n フローのレイヤー 7 アプリケーション ID

3 フローが分析され、セキュリティ グループとポリシーが推奨されると、特定のアプリケーションのポリシーをフ

ァイアウォール ルール テーブルのセクションとして発行できます。推奨されるファイアウォール ルールは、ア

プリケーションに関連付けられている仮想マシンに適用範囲が制限されています。また、ユーザーはルールを変

更できます。たとえば、グループやルールの名前をわかりやすい名前に変更できます。

監視セッションの作成

監視セッションでは、1 つのセッションで最大 30 個の vNIC が送受信するすべてのフローを収集します。

前提条件

監視セッションを開始する前に、監視の対象となる仮想マシンと vNIC を定義する必要があります。

最新の VMware Tools が Windows デスクトップ仮想マシンで実行されている必要があります。

選択した仮想マシンは、ファイアウォールが有効になっているクラスタ内に置く必要があります。除外リストに加え

ることはできません。

監視セッション期間のデフォルトのファイアウォール ルールとして「許可」のルールを作成し、これをの選択した

vNIC に適用する必要があります。これにより、vNIC が送受信するフローがその他のファイアウォール ルールによ

ってドロップされないようにします。

手順

1 vSphere Web Client にログインして、アプリケーション ルール マネージャに移動します。

n NSX 6.4.1 以降では、[ネットワークとセキュリティ (Networking & Security)] - [セキュリティ

(Security)] - [アプリケーション ルール マネージャ (Application Rule Manager)] の順に移動します。

n NSX 6.4.0 では、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [フロ

ー モニタリング (Flow Monitoring)] - [アプリケーション ルール マネージャ (Application Rule Manager)] の順に移動します。

2 [新規セッションの開始 (Start New Session)] をクリックします。

3 [新規セッションの開始 (Start New Session)] ダイアログ ボックスに、セッションの名前を入力します。

4 オブジェクト タイプとして vNIC または仮想マシンを選択します。

[使用可能なオブジェクト (Available Objects)] 列に、使用可能なオブジェクトが表示されます。

NSX 管理ガイド

VMware, Inc. 546

5 監視する vNIC または仮想マシンを選択します。選択した vNIC または仮想マシンが [選択したオブジェクト

(Selected Objects)] 列に移動します。

6 [OK] をクリックして収集フローを開始します。

ステータスは [データを収集しています (Collecting Data)] になります。収集された最新のフローのセットが

フロー テーブルに表示されます。

7 [停止 (Stop)] をクリックして収集フローを終了します。

結果

選択した vNIC および仮想マシン用にフロー モニタリング セッションが作成されました。

次のステップ

フロー収集の後、フローを分析します。

フローの分析と自動推奨

フロー モニタリング セッションの収集後に結果が分析されます。この結果をフィルタリングして、オブジェクトや

ファイアウォール ルールのグループ化に使用できます。ARM は、フローの分析結果に基づいてファイアウォール ルールとセキュリティ グループを自動的に推奨します。

分析後のフローをフィルタリングして、1 つの作業セット内のフロー数を制限することができます。フィルタ オプシ

ョン アイコンは、右側の [処理されたビュー] ドロップダウン メニューの横にあります。

前提条件

分析前に、選択した vNIC または仮想マシンからフロー モニタリング セッションを収集する必要があります。

手順

1 フローの収集後、[分析 (Analyze)] をクリックします。

定義済みサービスが解決され、IP アドレスから仮想マシンへの変換が開始されて、重複が削除されます。

2 分析によって、フロー用に次のデータが提供されます。

フィールド オプション

方向 流入：フローは、入力シードの一部として選択した仮想マシンと vNIC のうちの 1 つに入ります。

流出：フローは、入力シードの一部として選択した仮想マシンと vNIC のうちの 1 つから生成されます。

内部：フローは、入力シードの一部として選択した仮想マシンと vNIC の間で発生します。

送信元 仮想マシン名：フロー レコードの送信元 IP アドレスが NSX インベントリ内の 1 台の仮想マシンに解決される場合。IP アドレスが仮想マシンに解決できるのは、VMware Tools がこれらの仮想マシンで有効になっている場合のみです。

Raw IP：この送信元 IP アドレスに対応する仮想マシンが NSX インベントリ内に見つからない場合。マルチキャスト IP アドレスおよびブロードキャスト IP アドレスは、仮想マシンに解決されません。

仮想マシンの数（例：仮想マシン 2 台）：IP アドレスが、異なるネットワークに置かれている複数の仮想マシンにマッピング

された重複する IP アドレスである場合、このフロー レコードを関連する正しい仮想マシンに解決する必要があります。

NSX 管理ガイド

VMware, Inc. 547

フィールド オプション

宛先 [ソース] フィールドと同じ値です。

サービス プロトコル/ポート用の NSX 定義のサービス。

Raw プロトコル/ポート：NSX Manager で定義されたサービスがない場合。

サービスの数：複数のサービスが同じプロトコル/ポートにマッピングされている場合、ユーザーは、そのフロー レコードに

該当する 1 つのサービスに解決する必要があります。

3 [ファイアウォール ルール (Firewall Rules)] タブでは、ARM が自動的に推奨したグループ ワークフローとポ

リシーの作成や、選択したフローに基づいて作成されたファイアウォール ルールを確認できます。ユーザーは、

推奨されたルールを変更できます。たとえば、グループやルールの名前をわかりやすい名前に変更できます。

フローの分析後、ARM は次のものを自動的に推奨します。

n フロー パターンとサービスに基づいたワークフローのグループ化と IP セットを推奨します。たとえば、3 層アプリケーションの場合、4 つのセキュリティ グループが推奨されます。各アプリケーション層ごとに 1 つのグループと、このアプリケーションのすべての仮想マシンに 1 つのグループを推奨します。また、ARM は、アプリケーション仮想マシンが使用するサービスに基づいて宛先の IP セットを推奨します。たとえば、

宛先 IP アドレスが vCenter Server のドメイン内にない場合、DNS または NTP サーバの IP セットを

推奨します。

n 分析したフロー データに基づいてセキュリティ グループを推奨します。3 層アプリケーションの場合、ロ

ード バランサから Web への https ルール、Web からアプリケーションへの http ルール、アプリケー

ションからデータベースへの MYSQL ルール、DNS などのインフラ サービスの共通ルールの 4 つのルー

ルを推奨します。

n アプリケーション層間のフローに対するアプリケーション コンテキスト（レイヤー 7）を識別します。たと

えば、使用されている TCP/UDP ポートに関係なく、実行中の L7 アプリケーションを識別します。また、

https で使用されている TLS バージョンも識別します。

4 [発行 (Publish)] をクリックして、ファイアウォール ルール テーブルのセクションとして特定のアプリケーシ

ョンのポリシーを発行します。または、必要に応じてルールを変更します。推奨されるファイアウォール ルール

は、アプリケーションに関連付けられている仮想マシンに適用範囲が制限されています。ファイアウォール ルー

ル セクションの名前を入力し、チェック ボックスをクリックして、次のオプションのパラメータを有効にしま

す。

オプション 説明

TCP Strict を有効にする 各ファイアウォール セクションに TCP Strict を設定できます。

ステートレス ファイアウォールを有効にする 各ファイアウォール セクションでステートレス ファイアウォールを

有効にします。

フローの統合とカスタマイズ

システム分析が完了すると、[処理されたビュー (Processed View)] に分析後のフロー テーブルが表示されます。

[送信元]、[宛先]、[サービス] フィールドを変更して、さらにフローを統合できます。フロー レコードでのサービス

のカスタマイズおよびフロー レコードの送信元および宛先のカスタマイズ を参照してください。

処理されたビュー

NSX 管理ガイド

VMware, Inc. 548

収集されたフローはテーブルに表示されます。このテーブルには次の列があります。

フィールド オプション

方向 IN：フローは、入力シードの一部として選択した仮想マシンまたは vNIC のうちの 1 つに入ります。

OUT：フローは、入力シードの一部として選択した仮想マシンまたは vNIC のうちの 1 つから生成されます。

INTRA：フローは、入力シードの一部として選択した仮想マシンまたは vNIC 間で発生します。

送信元 仮想マシン名：フロー レコードの送信元 IP アドレスが NSX インベントリ内の 1 台の仮想マシンに解決される場合。

Raw IP：この送信元 IP アドレスに対応する仮想マシンが NSX インベントリ内に見つからない場合。マルチキャスト IP アドレ

スおよびブロードキャスト IP アドレスは、仮想マシンに解決されません。

仮想マシンの数：IP アドレスが、異なるネットワークに置かれている複数の仮想マシンにマッピングされており、重複する IP アドレスである場合。ユーザーは、複数の仮想マシンを、このフロー レコードに関連する 1 台の仮想マシンに解決する必要がありま

す。

宛先 [ソース] フィールドと同じ値です。

サービス プロトコル/ポート用の NSX 定義のサービス。

Raw プロトコル/ポート：NSX Manager で定義されたサービスがない場合。

サービスの数：複数のサービスが同じプロトコル/ポートにマッピングされている場合、ユーザーは、そのフロー レコードに該当

する 1 つのサービスに解決する必要があります。

フロー テーブルを編集して、フローを統合し、ルールを作りやすくすることができます。たとえば、ソース フィー

ルドを任意の値で置き換えることができます。複数の仮想マシンが HTTP および HTTPS 経由でフローを受け取っ

ている場合は、これらの仮想マシンを、HTTP サービスと HTTPS サービスの両方を含む「WEB-Service」サービ

ス グループに置き換えることができます。これにより、同じようなフローが複数できあがり、ファイアウォール ルールに変換しやすいフロー パターンが明確になってきます。

フロー テーブルのセルは編集できますが、値が自動で入力されるわけではない点に注意してください。たとえば、

DHCP サーバの IP セットに IP アドレス 196.1.1.1 が指定されていても、次にこの IP アドレスを使用する場合に自

動入力が行われて DHCP サーバ グループが表示されるわけではありません。その IP アドレスのすべてのインスタ

ンスをこの IP セットで置き換えるかどうかを確認するプロンプトが表示されます。これにより、複数の IP セットの

IP アドレス部分を柔軟にグループ化できるようになります。

統合ビュー

統合ビューを表示するには、右上にあるドロップダウン リストを使用します。統合ビューでは、重複するフローが省

かれ、必要最小限のフローだけが表示されます。このビューは、ファイアウォール ルールの作成に使用できます。

[方向] 列の左隅にある矢印をクリックすると、次の対応する関連の Raw フロー情報が表示されます。

n INTRA フローについて、Raw データを含む対応する IN フローと OUT フローが表示されます

n レコードに統合されたすべての Raw フローの元の送信元 IP アドレス、宛先 IP アドレス、ポート、およびプロ

トコル情報

n ALG フローについて、管理フローの対応するデータ フローが表示されます

フロー レコードでのサービスのカスタマイズ

サービス フロー セルは、セルごとにユーザーが個別にカスタマイズできます。

フロー分析後、ユーザーは未定義のプロトコル/ポートの組み合わせを関連付け、サービスを作成できます。サービス

グループは、収集されたフローにリストされているサービス用に作成できます。フロー レコードの変更の詳細につい

ては、フローの統合とカスタマイズを参照してください。

NSX 管理ガイド

VMware, Inc. 549

前提条件

フロー データが、一連の vNIC および仮想マシンから収集されている必要があります。監視セッションの作成を参照

してください。

手順

u フローの状態が [分析完了 (Analysis Completed)] になると、[処理されたビュー (Processed View)] のフ

ロー テーブルにデータが入力されます。セル データをカスタマイズするには、セルの上にカーソルを置きます。

セルの右隅に歯車アイコンが表示されます。[サービス (Service)] 列の歯車アイコンをクリックし、次のいずれ

かのオプションを選択します。

オプション 説明

サービスを解決 ポートとプロトコルが複数のサービスに変換されている場合は、このオプションを使用して正

しいサービスを選択します。

サービスを作成して置き換え サービスを追加するには、次の手順を実行します。

a サービスの [名前 (name)] を入力します。

b ドロップダウン リストからプロトコルを選択します。

c サービスの宛先ポートを入力します。

d [詳細オプション (Advanced options)] をクリックして、サービスのソース ポートを

入力します。このソース ポートは、新しい受信接続およびデータ ストリームの追跡に使

用されます。

e オプション： 個別の Edge のレベルで再使用できる共通のグループまたは基準を作成す

るには、[継承を有効にし、下層にある範囲で表示できるようにする (Enable inheritance to allow visibility at underlying scopes)] を選択します。

f [OK ] をクリックすると、新しいサービスが作成され、[サービス] 列に入力されます。同

じ未定義のポートとプロトコルの組み合わせを使用する別のフロー レコードがある場合

は、それらすべてを新しく作成されたサービスに置き換えるかどうかを尋ねられます。こ

の処理は、未定義のサービスが分析フェーズで見つかったフローにのみ発生します。

サービス グループを作成して置き換え フローからのサービスが含まれている新しいサービス グループを作成できます。次に、新しい

サービス グループがそのサービスと置き換えられます。サービス グループを追加するには、

次の手順を実行します。

a サービス グループの [名前 (name)] を入力します。

b （オプション）サービス グループの説明を入力します。

c [オブジェクト タイプ (Object type)] を選択します。

d サービス グループに追加する使用可能なオブジェクトを選択し、矢印をクリックして、オ

ブジェクトを [選択したオブジェクト] 列に移動します。

e 新しいサービス グループが作成され、サービス列に入力されます。

サービスをいずれかで置き換え 特定のサービスを任意のサービスで置換します。

サービスをサービス グループで置き換え 選択したサービスが複数のサービス グループのメンバーである場合は、適用するサービス グループを選択します。

a 使用可能なオブジェクトのリストから、目的のサービス グループをクリックします。

b [OK] をクリックします。

プロトコルとポートを戻す セルの変更を元のデータに戻します。

NSX 管理ガイド

VMware, Inc. 550

結果

変更されたフロー レコードには、横にピンクのバーが表示されます。変更されたセルにカーソルを合わせると、緑色

のチェックマークが表示されます。このチェックマークをクリックすると、ポップアップ ウィンドウにそのセルの以

前の値と新しい値が表示されます。変更されたフロー レコードは、ファイアウォール ルールに簡単に変換できます。

次のステップ

次に、フロー レコードを使用してファイアウォール ルールを作成できます。

変更後のフローをさらにグループ化して、一意の最小の作業セットにすることができます。[処理されたビュー

(Processed View)] を使用して、サービス グループと IP セットを作成し、フローを変更します。[統合ビュー

(Consolidated view)] では、それらの変更後のフローをさらに圧縮して、ファイアウォール ルールを簡単に作成

できるようにします。

フロー レコードの送信元および宛先のカスタマイズ

送信元および宛先のフロー セルは、セルごとにユーザーが個別にカスタマイズできます。

フロー分析の完了後、ユーザーはフロー セルをカスタマイズできます。

前提条件

フロー データが、一連の vNIC および仮想マシンから収集されている必要があります。監視セッションの作成 を参

照してください。

手順

u フローの状態が [分析完了 (Analysis Completed)] になると、フロー テーブルにデータが入力されます。セル

データをカスタマイズするには、セルの上にカーソルを置きます。セルの右隅に歯車アイコンが表示されます。

[送信元 (Source)] 列または [宛先 (Destination)] 列の歯車アイコンをクリックし、次のいずれかのオプショ

ンを選択します。

オプション 説明

仮想マシンを解決 複数の仮想マシンの IP アドレスが同じである場合は、このオプションを選択できます。この

オプションを使用して、フロー レコードの該当する仮想マシン名を選択します。

任意の IP アドレスと置き換え すべての人が送信元にアクセスできる場合は、どの送信元 IP アドレスも使用できます。それ

以外の場合は、ソース アドレスを指定する必要があります。宛先 IP アドレスのターゲット値

として任意の値を許可することは推奨されません。

メンバーシップで置き換え セキュリティ グループに属する仮想マシンはここに表示され、仮想マシン名を置換できます。

NSX 管理ガイド

VMware, Inc. 551

オプション 説明

セキュリティ グループの作成 a セキュリティ グループの名前と説明（オプション）を入力します。

b [次へ (Next)] をクリックします。

c 作成中のセキュリティ グループに追加するオブジェクトの基準を定義します。これによ

り、フィルタ基準を定義して、検索基準を満たす仮想マシンを含めることができます。フ

ィルタ基準では、多数のパラメータがサポートされています。

d セキュリティ グループに追加するリソースを 1 つ以上選択します。セキュリティ グルー

プに 1 つのリソースを追加すると、関連するすべてのリソースも自動的に追加されます。

たとえば、仮想マシンを選択すると、関連する vNIC が自動的にセキュリティ グループに

追加されます。セキュリティ グループには次のオブジェクトを含めることができます。

クラスタ

論理スイッチ

レガシー ポート グループ

vApp

データセンター

e [次へ (Next)] をクリックします。

f セキュリティ グループから除外するオブジェクトを選択します。ここで選択したオブジ

ェクトは、動的基準を満たすかどうかにかかわらず、常にセキュリティ グループから除外

されます。

g [次へ (Next)] をクリックします。

h [設定の確認 (Ready to complete)] ウィンドウで、セキュリティ グループの詳細を確

認します。[終了 (Finish)] をクリックします。

既存のセキュリティ グループに追加して置き

換え

仮想マシンの場合、選択した仮想マシンが複数のセキュリティ グループのメンバーである場合

は、適用するセキュリティ グループを選択します。このオプションは、IP アドレスが送信元

フィールドまたは宛先フィールドにある場合は使用できません。Raw IP アドレスの場合、[既存の IP セットに追加して置き換え] オプションを使用します。

a 使用可能なオブジェクトのリストから、目的のサービス グループをクリックします。

b [OK] をクリックします。

IP セットを作成して置き換え IP セットを作成すると、IP アドレスのセット全体に、一度にファイアウォール ルールを適用

できます。

a IP セットの名前を入力します。

b （オプション）説明を入力します。

c 新しい IP セットの IP アドレスまたは IP アドレス範囲を入力します。

d [OK] をクリックします。

既存の IP セットに追加して置き換え 1 つの IP アドレスが複数の IP セットに含まれている場合があります。このオプションを使用

すると、表示されている IP アドレスを別の IP アドレスに置き換えることができます。

a 使用可能なオブジェクトから目的の IP セットを選択します。

b [OK] をクリックします。

初期データに戻す セルの変更を元のデータに戻します。

次のステップ

フロー モニタリングに基づいてファイアウォール ルールを作成します。

アプリケーション ルール マネージャでのファイアウォール ルールの作成

Application Rule Manager で、ファイアウォール ルールを編集、削除、上に移動、下に移動できます。

NSX 管理ガイド

VMware, Inc. 552

前提条件

フロー レコードの分析後、ARM がファイアウォール ルールを自動的に推奨します。推奨ルールを変更することも、

新しいファイアウォール ルールを作成することもできます。

手順

1 フロー セッションを開きます。[ 処理されたビュー (Processed View)] を表示している場合、単一のフロー

セルを右クリックするか、Shift キーを押しながら最初のセル、最後のセルの順にクリックして複数のセルを選

択し、右クリックします。[統合ビュー (Consolidated View)] を表示している場合、フロー セルを選択し、

[アクション (Action)] アイコンをクリックします。[ファイアウォール ルールの作成 (Create Firewall rule)] を選択します。

[新規ファイアウォール ルール (New Firewall Rule)] ポップアップ ウィンドウが開き、選択した行のデータに

基づいてすべてのセルの内容が入力されます。複数のセルが選択されていた場合は、送信元、宛先、サービスの

各オブジェクトがすべて、ルールの対応するフィールドに追加されます。

2 新しいルールの名前を入力します。

3 （オプション） 別の送信元または宛先を選択するには、[送信元] または [宛先] のボックスの横にある [選択

(Select)] をクリックします。使用可能なオブジェクトから新しい送信元または宛先を指定し、[OK] をクリッ

クします。

4 （オプション） 別のサービスを選択するには、[サービス] のボックスの横にある [選択 (Select)] をクリックし

ます。分散ファイアウォールでは、FTP、CIFS、ORACLE TNS、MS-RPC、SUN-RPC のプロトコルの ALG（アプリケーション レベル ゲートウェイ）がサポートされています。Edge では、FTP の ALG のみがサポー

トされています。使用可能なオブジェクトから新しいサービスを指定し、[OK] をクリックします。

5 （オプション） ルールを別のスコープに適用するには、[適用先] のボックスの横にある [選択 (Select)] をクリ

ックします。次の表の説明に従って適切な選択を行い、[OK] をクリックします。デフォルトで、ルールは最初

に右クリックした vNIC に適用されます。

ルールの適用先 操作

環境内の準備ができているすべてのクラスタ [分散ファイアウォールがインストールされているすべてのクラスタに

このルールを適用します (Apply this rule on all clusters on which Distributed Firewall is enabled)] を選択します。[OK] をクリックすると、このルールの [適用先] 列に [分散ファイアウォー

ル (Distributed Firewall)] が表示されます。

1 つ以上のクラスタ、データセンター、分散仮想ポート グループ、NSX Edge、ネットワーク、仮想マシン、vNIC、または論理スイッチ

1 [コンテナ タイプ (Container type)] で、適切なオブジェクトを

選択します。

2 [使用可能 (Available)] リストで、1 つ以上のオブジェクトを選

択し、 をクリックします。

ルールの送信元フィールドと宛先フィールドに仮想マシンと vNIC が含まれる場合、ルールを正常に動作させる

には、[適用先 (Applied To)] に送信元と宛先の両方の仮想マシンと vNIC を追加する必要があります。

NSX 管理ガイド

VMware, Inc. 553

6 次の表で説明する [アクション (Action)] を選択します。

アクション 結果

許可 指定した送信元、宛先、サービスの送受信トラフィックを許可します。

ブロック 指定した送信元、宛先、サービスの送受信トラフィックをブロックします。

却下 許可されないパケットに対する拒否メッセージを送信します。

TCP 接続では、RST パケットが送信されます。

UDP、ICMP およびその他の IP 接続では、管理上禁止されたコードが含まれる ICMP メッセ

ージが送信されます。

7 ドロップダウンの矢印をクリックして、ルールの [方向 (Direction)] を指定します。

8 [OK] をクリックします。

次のステップ

ファイアウォール ルールを発行します。アプリケーション ルール マネージャでのファイアウォール ルールの発行

と管理を参照してください。

アプリケーション ルール マネージャでのファイアウォール ルールの発行と管理

Application Rule Manager を使用してファイアウォール ルールを編集および発行できます。

作成されたファイアウォール ルールは、Application Rule Manager の [ファイアウォール ルール (Firewall Rules)] タブで管理できます。

前提条件

フロー セッションを分析して、推奨のファイアウォール ルールを自動的に作成します。あるいは、フロー モニタリ

ング セッションから独自のファイアウォール ルールを作成します。

NSX 管理ガイド

VMware, Inc. 554

手順

u ファイアウォール ルールは、[ファイアウォール ルール (Firewall Rules)]タブに表示されます。次のオプショ

ンのいずれかを選択します。

オプション 説明

発行 a 作成したファイアウォール ルールを発行するには、[発行 (Publish)] をクリックします。

ルールは、新しいセクションとして発行されます。

b ファイアウォール ルールの [セクション名 (Section Name)] に入力して、次のオプシ

ョン パラメータのチェック ボックスをクリックして有効にします。

オプション 説明

TCP Strict を有効にする 各ファイアウォール セクションに TCP Strict を設定できます。

ステートレス ファイアウォールを有効に

する

各ファイアウォール セクションでステー

トレス ファイアウォールを有効にします。

c 既存のファイアウォール設定で、新しいファイアウォール セクションを挿入する場所を選

択します。

d [OK] をクリックします。

編集 ファイアウォール ルールを編集するには、鉛筆アイコンを選択します。

削除 ファイアウォール ルールを削除するには、赤い X アイコンを選択します。

下矢印 ルールを下方向に移動するには、下矢印アイコンを選択します。

上矢印 ルールを上方向に移動するには、上矢印アイコンを選択します。

注： ファイアウォール ルールを [アプリケーション ルール マネージャ (Application Rule Manager)] から

発行した場合、[発行 (Publish)] ボタンには、そのセクション名が追加されます。その後、[Application Rule Manager] から発行を行うと、ファイアウォール設定内の既存のセクションが、そのときに [Application Rule Manager] で使用可能なルールでオーバーライドされます。

ホストの健全性ステータスの監視

NSX Data Center では、ホストの全体的な健全性ステータスを診断できます。ホスト全体の健全性ステータスに

は、ホストの物理 NIC、トンネル、ホストと制御プレーン間の接続、ホストと管理プレーン間の接続のステータスが

含まれます。

ホストの健全性ステータスを監視するには NSX API を使用します。この診断機能は、vCenter Server の UI では

使用できません。

ホストの健全性ステータスには、次のサブステータスが含まれます。

n 物理 NIC のステータス

n トンネルのステータス

n 制御プレーンのステータス

n 管理プレーンのステータス

次の表では、これらのサブステータスについて説明します。

NSX 管理ガイド

VMware, Inc. 555

サブステータス 説明

物理 NIC のステータス このステータスは、物理レイヤーから取得されます。物理 NIC がリンク

集約グループ (LAG) に属している場合、ステータスは「接続中」、「切

断」、「低下」のいずれかになります。

n LAG のすべての物理 NIC が稼動している場合、LAG のステータス

は「接続中」になります。

n LAG のすべての物理 NIC が停止している場合、LAG のステータス

は「切断」になります。

n LAG の物理 NIC のいずれかが停止している場合、LAG のステータ

スは「低下」になります。

物理 NIC が LAG に属していない場合、ステータスは「接続中」か「切

断」のいずれかになります。

トンネルのステータス これは、ホスト間の VTEP から VTEP へのトンネル接続のステータス

です。トンネルのステータスは、「接続中」、「切断」、「低下」のいずれか

になります。

n ホストのすべてのトンネルが稼動している場合、トンネルのステータ

スは「接続中」になります。

n ホストのすべてのトンネルが停止すると、トンネルのステータスは

「切断」になります。

n ホストのトンネルのいずれかが停止している場合、トンネルのステー

タスは「低下」になります。

制御プレーンのステータス これは、ホストと NSX Controller 間の接続のステータスです。

管理プレーンのステータス これは、ホストと NSX 管理プレーン間の接続のステータスです。

管理プレーンは、ホストの全体的なステータスを次のように判断します。

n すべてのサブステータスが「接続中」になっている場合、ホスト全体のステータスは「接続中」になります。

n いずれかのサブステータスが停止している場合、ホスト全体のステータスは「切断」になります。

n 1 つ以上のサブステータスが「低下」になっている場合、「接続中」または「切断」のサブステータスがあれば、

ホスト全体のステータスは「低下」になります。

ホストの健全性ステータスの監視の有効化

ホストの健全性ステータスの監視を有効にするには、ホストとグローバル BFD (Bidirectional Forwarding Detection) でグローバル物理 NIC のステータス チェックを有効にする必要があります。次の PUT API を実行し

ます。

ホストでグローバル物理 NIC のステータス チェックを有効にします

PUT <NSX_Manager_IP>/api/2.0/vdn/pnic-check/configuration/global

グローバル BFD の有効化

PUT <NSX_Manager_IP>/api/2.0/vdn/bfd/configuration/global

NSX 6.4.6 以前では、グローバル BFD を有効にすると、トンネルの遅延とトンネルの健全性の監視が同時に有効

になります。トンネルの遅延とトンネルの健全性の監視を個別に有効または無効にすることはできません。

NSX 6.4.7 以降では、グローバル BFD 構成 API には、トンネルの健全性とトンネルの遅延の監視を個別に有効ま

たは無効にする 2 つのパラメータが追加されています。

NSX 管理ガイド

VMware, Inc. 556

BFD が無効になっている場合、トンネルの遅延とトンネルの健全性の監視を有効にすることはできません。BFD が有効になっている場合、トンネルの健全性とトンネルの遅延の監視を個別に有効にすることができます。これにより、

柔軟性が向上し、ネットワーク内のホスト数が増加してもパフォーマンスの問題を回避することができます。

グローバル BFD パラメータの設定方法については、『NSX API ガイド』を参照してください。

ホストの健全性ステータスの表示

ホストの健全性ステータスとトンネルの詳細を診断するには、次の API を実行します。

n GET <NSX_Manager_IP>/api/2.0/vdn/pnic-check/configuration/global

n GET <NSX_Manager_IP>/api/2.0/vdn/host/status

n GET <NSX_Manager_IP>/api/2.0/vdn/host/{hostId}/status

n GET <NSX_Manager_IP>/api/2.0/vdn/host/{hostId}/tunnel

n GET <NSX_Manager_IP>/api/2.0/vdn/host/{hostId}/remote-host-status

パラメータの説明や API 応答の例など、これらの API の詳細については、『NSX API ガイド』を参照してくださ

い。

ネットワーク遅延のモニタリング

ネットワーク管理者は、ネットワーク パフォーマンスのボトルネックを診断して問題を解決するために、仮想ネット

ワークの遅延をモニタリングする必要があります。

たとえば、NSX がインストールされ、VXLAN ベースのネットワークが展開されている場合、次のような遅延が発

生します。

n vNIC から pNIC（送信元のハイパーバイザー）

n pNIC から vNIC（宛先のハイパーバイザー）

n vNIC から vNIC

n トンネル遅延（VTEP から VTEP）

n データパス全体の遅延

ESXi ホストのネットワーク操作エージェント (netopa) が、vSphere、NSX など、さまざまな情報源からネット

ワーク遅延に関する情報を収集します。管理者が、vRealize Network Insight (vRNI) などの外部コレクタ ツール

を設定して、これらのコレクタに遅延情報をエクスポートする場合があります。最後に、ネットワーク固有の問題を

解決できるように、遅延情報を分析します。

注： netopa エージェントは、ネットワーク遅延情報を vRNI にのみエクスポートできます。現在、他のコレクタ

ツールはサポートされていません。

NSX が遅延メトリックを計算できるように設定し、NSX REST API を使用する必要があります。NSX が遅延メト

リックを正しく計算できるように、異なるホストの時計が NTP (Network Time Protocol) 経由で同期されている

ことを確認します。

NSX 管理ガイド

VMware, Inc. 557

トンネル遅延

ESXi ホスト間のトンネル遅延または VTEP 間の遅延を計算するため、NSX は各トンネルで双方向フロー検出

(BFD) パケットを定期的に転送します。BFD グローバル設定パラメータを設定するには、

PUT /api/2.0/vdn/bfd/configuration/global API を実行する必要があります。

BFD グローバル設定パラメータの詳細については、『NSX API ガイド』を参照してください。

全体的な遅延

NSX 6.4.5 以降では、同じまたは異なる ESXi ホスト間でトラフィックが移動するため、NSX でデータ パス全体

の遅延を計算できます。ただし、両方の仮想マシンが同じ論理スイッチ（サブネット）に接続している必要がありま

す。

注： データ トラフィックが分散論理ルーターを介して仮想マシン間でルーティングされる場合、NSX は全体の遅

延情報を計算できません。これは、仮想マシンが別の論理スイッチまたはサブネットに接続しているためです。

データ パス全体の遅延を計算するために、NSX はハイパーバイザー内のデータ パス パケットのタイムスタンプ属

性を使用します。データ パス全体の遅延は、データ パス内の複数のセグメントの遅延（vNIC から pNIC、pNIC から vNIC）に基づいて計算されます。

たとえば、同じホスト上の仮想マシン間でトラフィックが移動すると、vNIC 間の遅延が計算されます。トラフィッ

クが異なる ESXi ホスト上の仮想マシン間で移動する場合、送信元ハイパーバイザーで vNIC から pNIC の遅延が計

算され、宛先のハイパーバイザーで pNIC から vNIC の遅延が計算されます。ESXi ホスト間のトラフィックで、

BFD グローバル設定パラメータが設定されている場合、NSX はトンネル遅延のみを計算します。

特定の vSphere Distributed Switch と特定のホストでの遅延パラメータの設定方法については、『NSX API ガイ

ド』の次のセクションを参照してください。

n 特定の vSphere Distributed Switch の遅延設定の操作

n 特定のホストの遅延設定の操作

エンドポイントの監視データの収集

エンドポイントの監視では、ゲスト OS 内の特定のプロセスとそのプロセスが使用しているネットワーク接続をマッ

ピングできます。

データの収集後、毎日午前 2 時にデータの消去が実行されます。データを消去するときに、すべてのセッションのフ

ロー レコード数が確認され、レコードの件数が 2,000 万を超えるか、合計サイズが 4 GB を超えている場合、レコ

ードが削除されます。削除は、最も古いセッションから開始し、データベース内のフロー レコードの数が 1,500 万を下回るまで継続します。セッションでデータの消去が実行されているときに、レコードの一部が失われる可能性が

あります。

注意: エンドポイントの監視が有効な場合、ダッシュ ボードに小さな黄色の警告アイコンが表示され、機能が有効

であることが示されます。エンドポイントの監視はパフォーマンスに影響します。データの収集が終了したら、無効

にしてください。

前提条件

n エンドポイントの監視は、次の Windows オペレーティング システムでサポートされます：

NSX 管理ガイド

VMware, Inc. 558

Windows Vista、Windows 7、Windows 8、Windows 8.1、Windows 2008、Windows 2008 R2、

Windows 2012、Windows 10、Windows 2016。Linux ではサポートされません。

n 仮想マシンにゲスト イントロスペクションがインストールされている必要があります。

n 最新の VMware Tools が Windows デスクトップ仮想マシンで実行されている必要があります。

n 20 台以下の仮想マシンを含むセキュリティ グループは、エンドポイントの監視が開始する前のデータ収集に必

要です。詳細についてはセキュリティ グループの作成を参照してください。

n エンドポイント監視レポートを実行する前に、vCenter Server 上の 1 台以上の仮想マシンでデータ収集を有効

にする必要があります。レポートを実行する前に、有効にした仮想マシンがアクティブであり、ネットワーク トラフィックを生成していることを確認してください。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [エンドポイントの監視 (Endpoint Monitoring)] の順に移動します。

2 [サマリ] タブで、[データ収集の開始 (Start Collecting Data)] をクリックします。

3 [セキュリティ グループのデータ収集の開始] ポップアップ ウィンドウで、データ収集の対象となるセキュリテ

ィ グループを選択します。[OK] をクリックします。

仮想マシンがフィールド ボックスに一覧表示されます。

4 データ収集を [有効 (ON)] にします。

5 [OK] をクリックします。

メインのエンドポイント監視画面が表示されます。左隅のステータスは [データの収集] になります。

6 [データ収集の停止 (Stop Collecting Data)] をクリックしてデータ収集を終了します。

[サマリ] タブにデータが入力された状態で、エンドポイント監視画面が表示されます。

エンドポイントの監視

エンドポイントの監視では、特定のアプリケーションのプロセスとそのプロセスに関連するネットワーク接続を可視

化できます。

[サマリ] タブ

データ収集の完了後、サマリ画面には、NSX Manager の詳細、セキュリティ グループ、収集されたデータのタイ

ム スロットが表示されます。実行中の仮想マシンの台数と、トラフィックを生成しているプロセスの総数が、最初の

ボックスに表示されます。実行中の仮想マシンの台数をクリックすると、次に説明する [仮想マシンのフロー] タブが

開きます。トラフィックを生成しているプロセスの数をクリックすると、次に説明する [プロセスのフロー] タブが開

きます。

2 番目のボックスには、フローの総数を示すドーナツ形の図が表示されます。フローは、ネットワーク トラフィック

の一意のストリームであり、パケット タイプ、送信元 IP アドレス、宛先 IP アドレス、およびポートで識別されま

す。各セクションの上にカーソルを置くと、セキュリティ グループ内外のフロー数が表示されます。

NSX 管理ガイド

VMware, Inc. 559

[仮想マシンのフロー] タブ

この画面には、仮想マシン内のフローの詳細が表示されます。

n 仮想マシン名：監視対象の仮想マシンの名前

n セキュリティ グループ内のフロー：送信元または宛先が監視対象のセキュリティ グループ内にある、仮想マシ

ン間のトラフィック フロー

n セキュリティ グループ外のフロー：送信元または宛先が監視対象のセキュリティ グループ外にある、仮想マシ

ン間のトラフィック フロー

n グループ外の共有サービス フロー：監視対象のセキュリティ グループ外の共有サービス フロー（DHCP、

LDAP、DNS、NTP など）

n セキュリティ グループ内の共有サービス フロー：監視対象のセキュリティ グループ内の共有サービス

（DHCP、LDAP、DNS、NTP など）

表内の特定の仮想マシン名をクリックすると、次の情報を示すバブル グラフが表示されます。

n 同じセキュリティ グループ内の仮想マシン間のフロー

n 共有サービスを含むフロー

n 異なるセキュリティ グループ間のフロー

バブルをクリックすると、仮想マシンの詳細が表示されます。詳細フロー ビューには、プロセス名、バージョン、各

プロセスで生成されているフローの数が表示されます。共有サービスが含まれる場合は、特別なアイコンが表示され

ます。2 個の仮想マシン バブルの間の線をクリックすると、それらの仮想マシン間のフローのプロセス フローの詳

細が表示されます。

n 送信元のプロセス：トラフィックを生成しフローを開始するアプリケーション/実行可能ファイルの名前

n 送信元のバージョン：送信元のファイル バージョン

n プロトコル：TCP

n 宛先プロセス：フローの宛先となるプロセスのサーバ アプリケーション/実行可能ファイルの名前

n 宛先ポート：宛先のポート番号

[プロセスのフロー] タブ

この画面には、フローを生成しているすべてのアプリケーションのリストが表示されます。表には次の内容が表示さ

れます。

n プロセス名：トラフィックを生成しているアプリケーションの名前

n 仮想マシン名

n セキュリティ グループ内のフロー：送信元または宛先が監視対象のセキュリティ グループ内にある、仮想マシ

ン間のトラフィック フロー

n セキュリティ グループ外のフロー：送信元または宛先が監視対象のセキュリティ グループ外にある、仮想マシ

ン間のトラフィック フロー

n セキュリティ グループ内の共有フロー：監視対象のセキュリティ グループ内にある共有フロー

NSX 管理ガイド

VMware, Inc. 560

n セキュリティ グループ外の共有フロー：監視対象のセキュリティ グループ外にある共有フロー

バブル グラフは、選択した仮想マシン上のプロセスまたはアプリケーションで発生しているフローをアンカーとして

表します。バブルをクリックすると、プロセス名とバージョンが示されます。線をクリックすると、次の情報が表示

されます。

n 送信元仮想マシン：クライアント プロセスをホストしているクライアント仮想マシンの名前

n 送信元 IP アドレス：フローの IP アドレス

n プロトコル：TCP

n ターゲット仮想マシン：サーバ プロセスをホストしているサーバ仮想マシンの名前

n 宛先 IP アドレス：宛先の IP アドレス

n 宛先ポート：宛先のポート番号

[Active Directory ユーザー フロー] タブ

この画面には、セキュリティ グループ内で Active Directory に参加している、すべての仮想マシンの Active Directory ユーザーのフロー情報が表示されます。次の 3 つのテーブルがあります。

n Active Directory ユーザー テーブル：選択したセキュリティ グループの仮想マシンとネットワーク フローを

開始したすべてのユーザーが表示されます。

n Active Directory セッション テーブル：Active Directory ユーザー テーブルで選択したユーザーが作成し

たすべてのセッションが表示されます。ユーザーと送信元仮想マシンの IP アドレスのペアが一意のセッション

が表示されます。

n Active Directory ユーザー フロー テーブル：ユーザーがセッションをクリックすると、このページが開き、

フローの詳細情報が表示されます。

トレースフロー

トレースフローは、パケットを挿入し、そのパケットが物理ネットワークおよび論理ネットワークを通過するときの

通り道を観察する機能を提供するトラブルシューティングのためのツールです。これを観察することで、ダウンして

いるノードや、パケットがターゲットに届くのを妨げているファイアウォール ルールを特定するなど、ネットワーク

に関する情報を判断できます。

トレースフローについて

トレースフローは、オーバーレイ ネットワークおよびアンダーレイ ネットワークの物理エンティティや論理エンテ

ィティ（ESXi ホスト、論理スイッチ、分散論理ルーターなど）をトラバースするときに、パケットを vSphere Distributed Switch (VDS) ポートに挿入し、パケットのパスに沿ったさまざまな観測ポイントを提供します。こ

れにより、パケットが宛先に到達するまでに経由する 1 つ以上のパスを特定できます。つまり、逆にパケットが途中

でドロップされた場所を特定することができます。エンティティごとに入出力のパケット処理が報告されるため、パ

ケットの受信時に問題が発生したのか、パケットの転送時に問題が発生したのかがわかります。

NSX 管理ガイド

VMware, Inc. 561

トレースフローは、ゲスト仮想マシンのスタック間でやりとりされる ping の要求/応答と同じではないことに留意し

てください。トレースフローは、オーバーレイ ネットワークを経由するマーク付けされたパケットを観察します。各

パケットがオーバーレイ ネットワークを経由して宛先ゲスト仮想マシンに到達し、配信可能状態になるまでの様子が

観察されます。ただし、挿入されたトレースフロー パケットは、実際には宛先ゲスト仮想マシンに配信されません。

これは、ゲスト仮想マシンがパワーオフの状態でもトレースフローが正常に動作することを意味します。

トレースフローでは、次のトラフィック タイプがサポートされています。

n レイヤー 2 ユニキャスト

n レイヤー 3 ユニキャスト

n レイヤー 2 ブロードキャスト

n レイヤー 2 マルチキャスト

カスタム ヘッダ フィールドやパケット サイズを指定してパケットを構築できます。トレースフローのソースは、常

に仮想マシンの仮想 NIC (vNIC) です。ターゲット エンドポイントは、NSX オーバーレイまたはアンダーレイの任

意のデバイスにすることができます。ただし、NSX Edge Services Gateway (ESG) のアップリンクの先にある

宛先を選択することはできません。宛先は、同じサブネット上に存在しているか、または NSX 分散論理ルーターを

経由して到達できる必要があります。

送信元 vNIC と宛先 vNIC が同じレイヤー 2 ドメイン内に存在する場合、トレースフロー操作はレイヤー 2 と見な

されます。NSX の場合、これは、VXLAN ネットワーク識別子（VNI またはセグメント ID）が同じであることを

意味します。これは、2 台の仮想マシンが同じ論理スイッチに接続されている場合などに発生します。

NSX ブリッジが設定されている場合、未知のレイヤー 2 パケットは常にブリッジに送信されます。通常、ブリッジ

はこれらのパケットを VLAN に転送し、トレースフロー パケットを送信済みとして報告します。パケットが配信済

みと報告されたからといって、必ずしもトレース パケットが指定された宛先に配信されたことを意味するわけではあ

りません。

レイヤー 3 トレースフロー ユニキャスト トラフィックの場合、2 つのエンド ポイントは、別々の論理スイッチ上に

あり、異なる VNI が設定されていて、分散論理ルーター (DLR) に接続されています。

マルチキャスト トラフィックの場合、送信元は仮想マシン vNIC で、宛先はマルチキャスト グループ アドレスにな

ります。

トレースフローの観察では、ブロードキャストされたトレースフロー パケットが対象に含まれることがあります。

ESXi ホストは、宛先ホストの MAC アドレスが不明な場合にトレースフロー パケットをブロードキャストします。

ブロードキャスト トラフィックの場合、ソースは仮想マシン vNIC になります。ブロードキャスト トラフィックの

レイヤー 2 ターゲット MAC アドレスは FF:FF:FF:FF:FF:FF です。ファイアウォール検査の有効なパケットを作

成するために、ブロードキャスト トレースフロー操作では、サブネット プリフィックスの長さが必要になります。

サブネット マスクにより、NSX はパケットの IP ネットワーク アドレスを計算できます。

注意： デプロイの論理ポート数によっては、マルチキャストおよびブロードキャスト トレースフロー操作で大量の

トラフィックが生成される可能性があります。

トレースフローを使用する方法は、API と GUI の 2 種類があります。API は、GUI で使用される API と同じです

が、API ではパケットを詳細に設定することができます。GUI の設定はより限定的です。

NSX 管理ガイド

VMware, Inc. 562

GUI では、次の値を設定できます。

n プロトコル --- TCP、UDP、ICMP。

n 存続時間 (TTL)。デフォルトは 64 ホップです。

n TCP や UDP の送信元および宛先ポート数。デフォルト値は 0 です。

n TCP フラグ。

n ICMP ID およびシーケンス番号。どちらもデフォルトは 0 です。

n トレースフロー操作の有効期限切れタイムアウト（ミリ秒単位）。デフォルトは 10,000 ミリ秒です。

n イーサネット フレーム サイズ。デフォルトは 128 バイト/フレームです。最大フレーム サイズは 1000 バイ

ト/フレームです。

n ペイロード エンコード。デフォルトは Base64 です。

n ペイロード値。

トラブルシューティングのためのトレースフローの使用

トレースフローが役立つシナリオには、以下のように複数のシナリオがあります。

トレースフローは以下のシナリオで役立ちます。

n 正確なトラフィックの経由パスを確認することによるネットワーク障害のトラブルシューティング

n リンクの使用率を確認することによるパフォーマンス監視

n ネットワークが本番環境にあるときの動作を確認することよるネットワーク計画

前提条件

n トレースフローの操作には、vCenter Server、NSX Manager、NSX Controller クラスタ、およびホスト

上の netcpa ユーザー ワールド エージェント間の通信が必要です。

n トレースフローを期待どおりに動作させるには、コントローラ クラスタが接続され、健全な状態であることを確

認します。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [トレースフロー (Traceflow)] の順に移動します。

2 トラフィックのタイプ（ユニキャスト、マルチキャストまたは L2 ブロードキャスト）を選択します。

3 送信元の仮想マシン vNIC を選択します。

その仮想マシンが、トレースフローの実行元と同じ vCenter Server 上で管理されている場合、リストから仮

想マシンと vNIC を選択できます。

注： 論理スイッチがマルチキャスト レプリケーション モードの場合、この論理スイッチに接続されている仮

想マシンはリストに表示されないため、トレース フローの送信元または宛先として選択できません。

NSX 管理ガイド

VMware, Inc. 563

4 ユニキャスト トレースフローの場合、宛先 vNIC 情報を入力します。

宛先として、ホスト、仮想マシン、分散論理ルーター、Edge Services Gateway などの NSX オーバーレイ

または NSX アンダーレイ内の任意のデバイスの vNIC を指定できます。宛先が VMware Tools の実行元の

仮想マシンであり、トレースフローの実行元と同じ vCenter Server によって管理されている場合、リストか

ら仮想マシンと vNIC を選択できます。

そうでない場合、宛先 IP アドレス（さらに、ユニキャスト レイヤー 2 トレースフローの場合は MAC アドレ

ス）を入力する必要があります。この情報は、デバイス コンソール、または SSH セッション内のデバイス自体

から収集できます。たとえば、このマシンが Linux 仮想マシンの場合、IP アドレスと MAC アドレスは、Linux ターミナルで ifconfig コマンドを実行することで取得できます。分散論理ルーターまたは Edge Services Gateway の場合、この情報は show interface CLI コマンドで収集できます。

5 マルチキャスト トレースフローの場合、マルチキャスト グループ アドレスを入力します。

パケットは、MAC アドレスのみに基づいてスイッチされます。

IP パケットが有効であるためには、送信元 IP アドレスおよび宛先 IP アドレスの両方が必要です。マルチキャ

ストの場合、MAC アドレスは IP アドレスから推定されます。

6 レイヤー 2 ブロードキャスト トレースフローの場合、サブネットのプリフィックスの長さを入力します。

パケットは、MAC アドレスのみに基づいてスイッチされます。宛先の MAC アドレスは FF:FF:FF:FF:FF:FF です。

IP パケットがファイアウォール検査に有効であるためには、送信元 IP アドレスおよび宛先 IP アドレスの両方

が必要です。

7 その他の必須およびオプション設定を行います。

8 [トレース (Trace)] をクリックします。

パケット キャプチャ

パケット キャプチャ ツールを使用すると、NSX Manager で必要なホストのパケット キャプチャ セッションを作

成できます。パケットのキャプチャ後、ファイルをダウンロードできます。ホストが良好な状態でないことがダッシ

ュボードに表示されている場合、このホストのパケットをキャプチャして、さらにトラブルシューティングを行うこ

とができます。

ホストの各セッションでのパケット キャプチャ ファイルの上限は 20 MB、キャプチャ時間の上限は 10 分です。セ

ッションは、10 分間あるいはキャプチャ ファイルが 20 MB または 20,000 パケットのいずれかに達するまで、

アクティブ状態を維持します（先に満たした条件が適用されます）。いずれかの上限に達すると、セッションが停止し

ます。UI では、最大で 16 個のパケット キャプチャ セッションを作成できます。NSX 管理プレーンは、すべてのセ

ッションのキャプチャ ファイルの合計サイズを 400 MB に制限しています。パケット ファイルの合計サイズ

400 MB に達すると、新しいキャプチャ セッションは作成されません。ただし、以前のパケット キャプチャ セッ

ションのファイルはダウンロードできます。400 MB のファイル サイズの上限に達した後に新しいセッションを開

始するには、古いセッションをクリアする必要があります。セッションが作成されてから 1 時間後に既存のセッショ

ンが削除されます。NSX を再起動すると、既存のセッションがすべてクリアされます。

NSX 仮想マシン インターフェイスはキャプチャできません。

次の手順を実行します。

NSX 管理ガイド

VMware, Inc. 564

オプション 説明

NSX Manager パケット キャプチャ セッションを作成する NSX Manager を選択し

ます。

セッションの作成 新しいパケット キャプチャ セッションを開始するには、[セッションの作

成 (CREATE SESSION)] をクリックします。詳細については、パケッ

ト キャプチャ セッションの作成を参照してください。

停止 すでに開始しているセッションを選択して、[停止 (STOP)] をクリック

します。確認のダイアログ ボックスが表示されます。処理中の同じセッ

ションを停止するには、[はい (YES)] をクリックします。

再起動 必要なセッションを選択し、[再起動 (RESTART)] をクリックします。

確認のダイアログ ボックスが表示されます。同じセッションをもう一度

再起動するには、[はい (YES)] をクリックします。

再起動すると、現在のセッションが削除され、キャプチャされたファイル

がクリアされます。さらに、同じ設定パラメータで新しいセッションを開

始します。

クリア 必要なセッションを選択し、[クリア (CLEAR)] をクリックします。確認

のダイアログ ボックスが表示されます。セッションをクリアするには、

[はい (YES)] をクリックします。

すべてクリア すべてのセッションをクリアするには、[すべてクリア (CLEAR ALL)] をクリックします。確認のダイアログ ボックスが表示されます。表示さ

れているすべてのセッションをクリアするには、[はい (YES)] をクリッ

クします。

ダウンロード 必要なセッションを選択し、[ダウンロード (DOWNLOAD)] をクリッ

クします。ダウンロード アイコンをクリックすることもできます。確認

のダイアログ ボックスが表示されます。キャプチャ セッションをダウン

ロードするには、[はい (YES)] をクリックします。

アクティブ セッションの数とファイルの合計サイズを確認できます。セッションのステータスは次のとおりです。

n 開始：セッションの完了を待機しています。

n エラー：エラーの詳細を表示するには、リンクをクリックします。

n 完了：セッションの終了後、セッションのダウンロードが可能になります。セッションを再起動またはクリアす

ることもできます。

n 停止：セッションが強制的に停止されています。セッションを再起動またはクリアすることもできます。

パケット キャプチャ セッションの作成

ホストが良好な状態でないことがダッシュボードに表示されている場合、このホストのパケットをキャプチャして、

さらにトラブルシューティングを行うことができます。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [パケット キャプチャ (Packet Capture)] の順に移動します。

NSX 管理ガイド

VMware, Inc. 565

2 新しいパケット キャプチャ セッションを作成するには、[セッションの作成 (CREATE SESSION)] をクリック

します。

[セッションの作成 (Create Session)] ウィンドウが表示されます。さらに、説明に従って必要な詳細を入力し

ます。

パラメータ 説明

[全般 (General)] タブ [全般 (General)] タブはデフォルトのタブです。さらに、説明に従っ

て必要な詳細を入力します。

セッション名 セッションのタイプ名。

ホスト 必要なホストをリストから選択します。

アダプタ [アダプタ (Adapter)] または [フィルタ (Filter)] のいずれかを選択

できます。

選択したアダプタ タイプに基づいてアダプタ タイプを選択するには、

アダプタの名前を選択します。アダプタ タイプを選択する場合は、[フィルタのタイプ (Filter Type)] または [フィルタ モード (Filter Mode)] は選択しないでください。

dvPort は、選択したホストの [VdrPort] 専用になります。他のポー

トはサポートされていません。

フィルタのタイプ 選択したホストに基づくリストからフィルタのタイプを選択します。

リストの内容は、設定済みのファイアウォール ルールによって異なり

ます。

フィルタ モード 次のフィルタ モードを選択します。

n [前 (Pre)]：フィルタの適用前にパケットをキャプチャする場合。

n [後 (Post)]: フィルタの適用後にパケットをキャプチャする場

合。

トラフィック タイプ トラフィック タイプに [受信 (Incoming)] または [送信

(Outgoing)] を選択します。

仮想スイッチについて、フローの方向に基づいてパケットがキャプチ

ャされます。

[詳細 (Advanced)] タブ キャプチャ パケットをフィルタリングする追加オプションを設定する

には、[詳細 (Advanced)] タブをクリックして、必要な詳細を入力し

ます。

3 セッションを作成するには、[保存 (SAVE)] をクリックします。

パケット キャプチャ セッションが開始されます。

結果

セッションの状態を確認できます。

次のステップ

n 完了後にキャプチャ セッションをダウンロードすることも、Wireshark などのツールを使用してファイルを表

示することもできます。

n ファイルをダウンロードした後は、セッションをクリアできます。

n 処理中のセッションは、必要に応じて停止できます。

NSX 管理ガイド

VMware, Inc. 566

サポート バンドル収集ツール

NSX Manager、ホスト、Edge、コントローラなどの NSX コンポーネントのサポート バンドル データを収集で

きます。これらのサポート バンドルは、NSX 関連の問題のトラブルシューティングで必要になります。サポート バンドルをまとめてダウンロードしたり、リモート サーバにバンドルを直接アップロードできます。データ収集の全体

的なステータスや各コンポーネントのステータスを確認できます。

また、API を使用して、バンドルの生成、ダウンロード、削除、バンドル収集のキャンセルを行うことができます。

要求されたログがすべて生成される前に NSX のサイズ制限に達すると、残りのログの生成はスキップされます。バ

ンドルは部分的なログが生成され、ローカルにダウンロードしたり、FTP でアップロードすることが可能になりま

す。スキップされたログのステータスが表示されます。

新しいログ収集要求を行うと、古いバンドルが削除されます。バンドルがリモート サーバにアップロードされた後、

バンドルが削除されます。あるいは、ログの生成処理がキャンセルされます。

注： 集計されたサポート バンドルでは、ノード（NSX Manager、NSX Edge、ホスト、NSX Controller を含

む）の最大数は 200 台以下にする必要があります。

コンポーネントとログ タイプ

コンポーネント ログ タイプ ログ

NSX Manager 該当なし NSX Manager のログ

ホスト 該当なし n VMkernel のログ

n vsfwd ログ

n netcpa のログ

n Syslog

n 全般的なシステム情報

ホスト ゲスト イントロスペクション n ゲスト イントロスペクション ホスト モジ

ュール (MUX)

n ゲスト イントロスペクション サービス仮

想マシン

ホスト ファイアウォール n vsfwd ログ

n netcpa のログ

NSX Edge 該当なし 選択した Edge の Edge ログ

NSX Controller 該当なし 選択したコントローラのコントローラ ログ

次のログは収集されません。

n vSphere ESX Agent Manager (EAM) のログ

n 仮想マシン ゲスト ログ

注： サポート バンドルには、ホストの問題のトラブルシューティングで必要になるホスト ログ ファイルがすべて

含まれるわけではありません。完全なホストのログを収集するには、vCenter Server を使用します。vSphere ログ ファイルの収集方法については、『vSphere 監視とパフォーマンス』を参照してください。

NSX 管理ガイド

VMware, Inc. 567

ユーザー ロールと権限

ユーザー ロール 許可される操作

NSX Administrator すべて

Security Administrator すべて

Enterprise Administrator すべて

監査 ステータスの表示とバンドルのダウンロード

サポート バンドルの作成

NSX コンポーネントのデータをバンドルとして収集できます。NSX の問題のトラブルシューティングで、

VMware のテクニカル サポートにバンドルを提供できます。データ収集のステータスを確認し、バンドルをダウン

ロードしたり、構成済みのリモート サーバからバンドルを収集できます。

前提条件

この機能を使用するには、NSX 6.4.0 以降が必要です。

手順

1 vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] - [ツール (Tools)] - [サポート バンドル (Support Bundle)] の順に移動します。

2 リストから必要な NSX Manager を選択します。

3 次のように、サポート ログに含めるコンポーネントを選択します。

a NSX Manager ログを含めるには、[NSX Manager のログを含める (Include NSX Manager logs)] チェック ボックスを選択します。

b 必要なオブジェクト タイプをリストから選択します。[ホスト (Hosts)]、[Edge (Edges)]、[コントロー

ラ (Controllers)] を選択できます。

c 選択したオブジェクト タイプに基づき、使用可能なコンポーネントが [使用可能なオブジェクト

(Available Objects)] 列に表示されます。

n ログに含めるコンポーネントの横にあるチェック ボックスを選択し、矢印キー ( ) をクリックして、

コンポーネントを [選択したオブジェクト (Selected Objects)] リストに移動します。

n 選択したオブジェクトを削除するには、削除するコンポーネントの横にあるチェック ボックスを選択

し、矢印キー ( ) をクリックして、コンポーネントを [使用可能なオブジェクト (Available Objects)] リストに移動します。

d [ホスト (Hosts)] では、追加のログ オプションとして [ゲスト イントロスペクション (Guest Introspection)] と [ファイアウォール (Firewall)] を選択できます。

4 選択したオブジェクトごとに、リストからバンドル収集プロセスのデフォルトのタイムアウト（分）を設定しま

す。

NSX 管理ガイド

VMware, Inc. 568

5 [リセット (RESET)] をクリックしてすべての選択を消去し、もう一度開始します。

注： サポート バンドルをダウンロードするか、リモート サーバにアップロードできます。バンドルをリモー

ト サーバにアップロードしない場合、生成後にバンドルがダウンロード可能になります。

6 バンドルをリモート サーバにアップロードするには、次の手順を行います。

a [リモート ファイル サーバにサポート バンドルをアップロード (Upload support bundle to remote file server)] チェック ボックスを選択します。

b 転送プロトコルとして、[SFTP] または[FTP] サーバを選択します。

c 次のように、サーバの詳細を入力します。

n [ホスト名/IP アドレス (Hostname/IP)]：リモート サーバのホスト名または IP アドレスを入力しま

す。

n [ユーザー名 (Username)] と [パスワード (Password)]：リモート サーバのユーザー名とパスワード

を入力します。

n [ポート (Port)]：デフォルトでは、ポート番号が追加されています。必要に応じてポート番号を変更で

きます。番号を変更するには、矢印キーをクリックします。

n [バックアップ ディレクトリ (Backup Directory)]：バックアップ ディレクトリの名前を入力します。

7 [バンドルの収集を開始 (Start Bundle Collection)] をクリックします。

結果

バンドルの詳細を表示するには、[バンドルの詳細を表示 (View Bundle Details)] リンクをクリックします。

全体の進行状況 (%) と各コンポーネントのステータスを確認できます。リモート サーバにアップロードされるバン

ドルの進行状況 (%) を確認できます。次のようなステータスが表示されます。

n [保留中 (Pending)]：プロセスの開始を待機しています。

n [処理中 (In Progress)]：進行中のプロセスが完了するまでの状態です。

n [スキップされました (Skipped)]：ディスク容量が制限されていると、このステータスが表示される場合があり

ます。一部のログを使用したバンドルが生成されます。バンドルはローカルにダウンロード可能になるか、リモ

ート サーバにアップロードされます。スキップされたログのステータスが表示されます。

n [失敗 (Failed)]：接続の問題やタイムアウト エラーなど、さまざまな理由でログの収集に失敗しています。[新たに開始 (START NEW)] をクリックして、もう一度データ収集を開始します。

n [完了 (Completed)]：バンドルをダウンロードしたり、リモート サーバで確認できます。

n [中止 (Aborted)]：バンドルの生成プロセスがキャンセルされています。

n [一部完了 (Partially Completed)]：ログが部分的に収集されます。

次のタスクのいずれかの後にバンドルが削除されます。

n バンドルがリモート サーバにアップロードされた。

n 新しいログ収集要求を開始した。

NSX 管理ガイド

VMware, Inc. 569

次のステップ

n 生成後に サポート バンドルのダウンロードできます。あるいは、構成済みのリモート サーバにアップロードさ

れたファイル名を確認できます。

n [新たに開始 (START NEW)] をクリックして、もう一度データ収集を開始します。確認のダイアログ ボックス

が表示されます。[はい (Yes)] をクリックして、新しいデータ生成要求を開始します。

サポート バンドルのダウンロード

データ収集プロセスが完了したら、サポート バンドルをダウンロードできます。

前提条件

データ収集プロセスが 100% 完了します。

手順

1 [サポート バンドル (Support Bundle)] ページに移動します。

2 [ダウンロード (DOWNLOAD)] をクリックします。

3 ファイル名が tar.gz で終わるサポート バンドルがデフォルトのダウンロード フォルダにダウンロードされま

す。一部のブラウザでファイル拡張子が変更される場合があります。

たとえば、サポート バンドルのファイル名は、VMware-NSX-TechSupport-Bundle-YYYY-MM-DD_HH-MM-SS.tar.gz のようなになります。

4 [サポート バンドルを削除 (DELETE SUPPORT BUNDLE)] リンクをクリックします。

確認のダイアログ ボックスが表示されます。

5 [はい (Yes)] をクリックします。この要求で生成されたログ ファイルが削除されます。

次のステップ

ダウンロードしたサポート バンドルを VMware テクニカル サポートを提供します。

サポート バンドル生成プロセスのキャンセル

処理中または保留中のサポート バンドル データ収集プロセスをキャンセルできます。プロセスをキャンセルした後

にサポート バンドルを削除する必要があります。

前提条件

サポート バンドルの生成中であること。

手順

1 [サポート バンドル (Support Bundle)] ページに移動します。

2 ログの生成中の場合、プロセスをキャンセルできます。[生成の中止 (ABORT GENERATION)] をクリックし

ます。

確認のダイアログ ボックスが表示されます。

NSX 管理ガイド

VMware, Inc. 570

3 [OK] をクリックして、プロセスをキャンセルします。

[サポート バンドル (Support Bundle)] ページで、データ収集が [中止 (Aborted)] として表示されます。

4 [サポート バンドルを削除 (DELETE SUPPORT BUNDLE)] リンクをクリックします。

確認のダイアログ ボックスが表示されます。

5 [はい (Yes)] をクリックします。この要求で生成されたログ ファイルが削除されます。

結果

サポート バンドルのデータ収集プロセスがキャンセルされます。

次のステップ

[新たに開始 (START NEW)] をクリックして、もう一度データ収集を開始します。確認のダイアログ ボックスが表

示されます。[はい (Yes)] をクリックして、新しいデータ生成を開始します。

NSX 管理ガイド

VMware, Inc. 571

Cross-vCenter NSX でのディザスタ リカバリのシナリオ 24ACME Enterprise 社では、米国で 2 つのプライベート データセンター サイトを所有しています。1 つはパロアル

ト、もう 1 つはオースティンにあります。パロアルトのサイトで、予定のメンテナンスが実施されたり、予期しない

障害が発生すると、すべてのアプリケーションがオースティンのサイトにリカバリされます。

ACME Enterprise 社では現在、このディザスタ リカバリが従来型の方法で実施されています。次の作業は手動で

行われています。

n IP アドレスの再マッピング

n セキュリティ ポリシーの同期

n DNS、セキュリティ ポリシー、他のサービスなど、アプリケーションの IP アドレスを使用するサービスの更新

この従来型のディザスタ リカバリでは、オースティンのサイトでリカバリを 100% 完了するまで、かなり時間がか

かります。ダウンタイムを最小限に抑え、ディザスタ リカバリを高速で行うため、ACME Enterprise 社は、次の

論理トポロジ図に示すように、Cross-vCenter 環境に NSX Data Center 6.4.5 以降を導入することにしました。

VMware, Inc. 572

図 24-1. アクティブ/パッシブ モードでのマルチサイト Cross-vCenter NSX トポロジと Local Egress の無効

化

ESG（アクティブ）

ユニバーサルコントローラ

クラスタ

サイト 1（プライマリ） 物理

ルーター

サイト 2（セカンダリ）

ユニバーサル分散論理ルーター (UDLR)

ファイアウォール

BGP ピアリング

BGP ピアリング

BGP ピアリング

BGP ピアリング

vCenterServer 1

NSXManager 1プライマリ

WAN

DLRESG

（パッシブ）

ユニバーサルコントローラ

クラスタ

BGP ピアリング

BGP ピアリング

BGP ピアリング

BGP ピアリング

vCenterServer 2

NSXManager 2セカンダリ

ユニバーサル論理スイッチで中継

ローカル ストレージ ローカル ストレージ

共有ストレージ

VMware ESXi VMware ESXi

ESXi ホスト ESXi ホスト

ユニバーサル トランスポート ゾーン

ユニバーサル分散ファイアウォール (UDFW)

管理クラスタ

Edge クラスタ

コンピューティング クラスタ

VMware ESXiVMware ESXi

ESXi ホスト ESXi ホスト

管理クラスタ

Edge クラスタ

コンピューティング クラスタ

ファイアウォール

ユニバーサル論理スイッチ 2

ユニバーサル論理スイッチ 1

物理ルーター

NSX 管理ガイド

VMware, Inc. 573

このトポロジーでは、パロアルトのサイト 1 がプライマリ（保護）データセンターで、オースティンのサイト 2 がセ

カンダリ（リカバリ）データセンターです。各サイトには、独自の NSX Manager とペアになっている単一の

vCenter Server があります。サイト 1（パロアルト）の NSX Manager には プライマリ NSX Manager のロー

ルが割り当てられ、サイト 2（オースティン）の NSX Manager には、セカンダリ NSX Manager のロールが割

り当てられています。

ACME Enterprise 社では、両方のサイト間にアクティブ/パッシブ モードで Cross-vCenter NSX を展開してい

ます。パロアルトのサイト 1 ですべてのアプリケーション（ワークロード）が実行され、オースティンのサイト 2 で実行されているアプリケーションはありません。つまり、デフォルトでは、サイト 2 はパッシブまたはスタンバイ モードになっています。

両方のサイトのローカルに独自のコンピューティング クラスタ、Edge クラスタ、管理クラスタ、ESG があります。

ユニバーサル分散論理ルーターで Local Egress が無効になっているため、プライマリ サイトに展開されているの

はユニバーサル分散論理ルーター制御仮想マシンは 1 台だけになります。ユニバーサル分散論理ルーター制御仮想

マシンは、ユニバーサル中継論理スイッチに接続されています。

NSX 管理者が、サイト 1 とサイト 2 で 2 つの vCenter Server ドメインにまたがるユニバーサル オブジェクトを

作成します。ユニバーサル論理ネットワークでは、ユニバーサル論理スイッチ (ULS)、ユニバーサル分散論理ルータ

ー (UDLR)、ユニバーサル分散ファイアウォール (UDFW) などのユニバーサル ネットワークとセキュリティ オブ

ジェクトが使用されています。

管理者がサイト 1 で次の設定タスクを行います。

n プライマリ NSX Manager からユニバーサル トランスポート ゾーンを作成します。

n 3 台のコントローラ ノードを含むユニバーサル コントローラ クラスタを展開します。

n プライマリ NSX Manager からユニバーサル トランスポート ゾーンにローカルのコンピューティング クラス

タ、Edge クラスタ、管理クラスタを追加します。

n ユニバーサル分散論理ルーターの制御仮想マシン（Edge アプライアンスの仮想マシン）で、Local Egress を無効にし、ECMP を有効にします。さらに、グレースフル リスタートを有効にします。

n Edge Services Gateway (ESG) とユニバーサル分散論理ルーターの制御仮想マシンの間で BGP による動

的ルーティングを設定します。

n 両方の ESG で ECMP を無効にし、グレースフル リスタートを有効にします。

n ユニバーサル分散論理ルーターの制御仮想マシンで ECMP を有効にして、すべてのトラフィックを許可するた

め、両方の ESG でファイアウォールを無効にします。

以下の図に、サイト 1 の ESG とユニバーサル分散論理ルーターでのアップリンク インターフェイスとダウンリンク

インターフェイスの設定例を示します。

NSX 管理ガイド

VMware, Inc. 574

図 24-2. サイト 1：インターフェイスの設定例

ESG（アクティブ）

サイト 1

172.16.2.1/24

172.16.1.1/24

172.16.1.2/24

192.168.1.1/24 192.168.1.2/24

192.168.1.3/24

172.16.1.3/24

ユニバーサル分散論理ルーター (UDLR)

物理ルーター

ユニバーサル論理スイッチで中継

管理者がサイト 2 で次の設定タスクを行います。

n セカンダリ NSX Manager からユニバーサル トランスポート ゾーンにローカルのコンピュート クラスタ、

Edge クラスタ、管理クラスタを追加します。

n サイト 1 の ESG で設定されたとおりに、ESG で同様のダウンリンク インターフェイスを指定します。

n サイト 1 の ESG で設定されたとおりに、ESG で同様の BGP 構成を指定します。

n サイト 1 がアクティブになっている場合、セカンダリ サイトの ESG をパワーオフします。

それでは、次のシナリオで NSX 管理者がディザスタ リカバリを行う手順をみてみましょう。

n シナリオ 1：サイト 1 全体の停止（予定のメンテナンス）

NSX 管理ガイド

VMware, Inc. 575

n シナリオ 2：サイト 1 全体の停止（予期しない障害）

n シナリオ 3：サイト 1 全体のフェイルバック

この章には、次のトピックが含まれています。

n シナリオ 1：サイト全体の停止（予定のメンテナンス）

n シナリオ 2：サイト全体の停止（予期しない障害）

n シナリオ 3：プライマリ サイトへの完全なフェイルバック

シナリオ 1：サイト全体の停止（予定のメンテナンス）

このシナリオでは、NSX 管理者が、サイト 1 のネットワーク インフラストラクチャに計画されたメンテナンスを実

施します。スケジュール設定されたメンテナンス ウィンドウで、管理者はサイト 1 をシャットダウンし、セカンダリ

サイト 2 にフェイルオーバーします。

NSX 管理者の主な達成目標は次のとおりです。

n サイト 2 で、サイト全体のフェイルオーバーを最小限のダウンタイムで行う。

n フェイルオーバー後も、サイト 2 でサイト 1 のアプリケーションの IP アドレスを維持する。

n サイト 2 で、すべての Edge インターフェイスの設定と BGP プロトコルの設定を自動的に復旧する。

注： n 管理者は、vSphere Web Client を使用するか、NSX REST API を実行して、フェイルオーバー タスクを手

動で実行できます。また、フェイルオーバー中に実行される API を含むスクリプト ファイルを実行して、いく

つかのフェイルオーバー タスクを自動化できます。このシナリオでは、vSphere Web Client を使用してフェ

イルオーバーを手動で行う手順について説明します。CLI または NSX REST API のいずれかが必要になる場

合には、適切な手順を説明します。

n このシナリオで使用するディザスタ リカバリのワークフローは、以前に説明したトポロジに固有のものです。こ

のトポロジは、プライマリ NSX Manager と 1 つのセカンダリ NSX Manager から構成されています。複数

のセカンダリ NSX Manager を使用するワークフローは、このシナリオの範囲外です。

重要： セカンダリ サイト 2 へのフェイルオーバーの進行中か、部分的に完了している場合は、サイト 1 で NSX Manager をパワーオンして、プライマリ サイト 1 へのフェイルバックを行わないでください。まず、このシナリオ

の手順に従って、フェイルオーバー プロセスが完了していることを確認します。セカンダリ サイト 2 へのフェイル

オーバーが正常に完了している場合にのみ、すべてのワークロードを元のプライマリ サイト 1 にリストアまたはフェ

イルバックします。フェイルバック プロセスの詳しい手順については、シナリオ 3：プライマリ サイトへの完全な

フェイルバックを参照してください。

前提条件

n サイト 1 とサイト 2 の両方に NSX Data Center 6.4.5 以降がインストールされている。

n サイト 1 とサイト 2 の vCenter Server が拡張リンク モードで展開されている。

NSX 管理ガイド

VMware, Inc. 576

n サイト 1 とサイト 2 が次の条件を満たしている。

n NSX 以外のファイアウォールが存在する場合、そのファイアウォールにアプリケーション固有のセキュリ

ティ ポリシーが設定されていない。

n NSX 以外のファイアウォールが存在する場合、そのファイアウォールにアプリケーション固有のファイア

ウォール ルールが設定されていない。

n ユニバーサル分散論理ルーターで ECMP を有効にして、すべてのトラフィックを許可するため、両方の

ESG でファイアウォールが無効になっている。

n サイト 2 で、フェイルオーバー前に次の条件を満たしている。

n サイト 1 の構成と同じように、ESG で類似のダウンリンク インターフェイスが手動で設定されている。

n サイト 1 の設定と同じように、ESG で類似の BGP 設定が手動で行われている。

n プライマリ サイト 1 がアクティブまたは実行中の場合に、ESG がパワーダウン状態になっている。

手順

1 予定日にサイト 1 をシャットダウンします。

a プライマリ NSX Manager をパワーオフします。プライマリ NSX Manager に関連付けられている 3 台のコントローラ ノードもすべてパワーオフします。

b [インストールとアップグレード] ページで、[管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

n 現在のブラウザ セッションで [NSX Manager] ウィンドウを更新すると、プライマリ NSX Manager のロールが Unknown に変わります。

n vSphere Web Client からログアウトして再度ログインする場合や、新しい vSphere Web Client ブラウザ セッションを開始する場合、[NSX Manager] ウィンドウにプライマリ NSX Manager が表示されなくなります。

c [ネットワークとセキュリティ (Networking & Security)] - [ダッシュボード (Dashboard)] - [概要

(Overview)] の順にクリックします。

n 現在のブラウザ セッションで [ダッシュボード] ウィンドウを更新すると、次のエラー メッセージが表

示されます。「NSX Manager と接続を確立できません。管理者に連絡してください。。このエラーは、プライ

マリ NSX Manager が到達可能ではないことを意味します。

n vSphere Web Client からログアウトして再度ログインする場合や、新しい vSphere Web Client ブラウザ セッションを開始する場合、[NSX Manager] ドロップダウン メニューでプライマリ NSX Manager を選択できなくなります。

d [ネットワークとセキュリティ (Networking & Security)] - [インストールとアップグレード

(Installation and Upgrade)] - [管理 (Management)] - [NSX Controller ノード (NSX Controller Nodes)] の順に移動します。セカンダリ NSX Manager を選択して、3 台のコントローラ ノードのステ

ータスがすべて「切断」になっていることを確認します。

e すべての NSX Edge とユニバーサル分散論理ルーター (UDLR) 制御仮想マシンをパワーオフします。

NSX 管理ガイド

VMware, Inc. 577

2 セカンダリ NSX Manager をプライマリ ロールに昇格させます。

a [インストールとアップグレード] ページで、[管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

b セカンダリ NSX Manager を選択します。

c [アクション (Actions)] - [プライマリ NSX Manager から接続解除 (Disconnect from Primary NSX Manager)] の順にクリックします。切断操作の続行を確認するメッセージが表示されたら、[はい (Yes)] をクリックします。

セカンダリ NSX Manager がプライマリ NSX Manager から切断され、移行ロールに切り替わります。

d [アクション (Actions)] - [プライマリ ロールの割り当て (Assign Primary Role)] の順にクリックしま

す。

サイト 2 のセカンダリ NSX Manager がプライマリ ロールに昇格します。

注意： ユニバーサル分散論理ルーターで Local Egress が無効になっているため、ユニバーサル分散論理ルー

ターの制御仮想マシン（Edge アプライアンスの仮想マシン）は元のプライマリ サイト（サイト 1）にのみ展開

されます。サイト 1 で障害が発生するまで、ユニバーサル分散論理ルーターの制御仮想マシンはセカンダリ サイ

ト（サイト 2）で使用できません。このサイトはプライマリに昇格しています。このため、NSX Controller クラスタを再展開する前に、昇格したプライマリ サイト（サイト 2）でユニバーサル分散論理ルーターの制御仮想

マシンを再展開します。

ユニバーサル分散論理ルーターの制御仮想マシンを展開する前にコントローラ ノードが展開されている場合、ユ

ニバーサル分散論理ルーターのフォワーディング テーブルがフラッシュされます。このため、最初のコントロー

ラ ノードがサイト 2 に展開された直後にダウンタイムが発生します。さらに、通信が停止する可能性がありま

す。この状況を回避するには、NSX Controller ノードを展開する前にユニバーサル分散論理ルーターの制御仮

想マシンを展開します。

3 パワーダウン状態の NSX Edge をパワーオンして、セカンダリ サイト 2（昇格したプライマリ）でユニバーサ

ル分散論理ルーターの制御仮想マシン（Edge アプライアンスの仮想マシン）を展開します。

ユニバーサル分散論理ルーターの制御仮想マシンの展開手順については、『 NSXCross-vCenter インストール

ガイド』を参照してください。

ユニバーサル分散論理ルーターの制御仮想マシンを展開するときに、次のリソース設定を行います。

n データセンターに サイト 2 を選択します。

n クラスタ/リソース プールを選択します。

n データストアを選択します。

注： ユニバーサル分散論理ルーターの制御仮想マシンを展開すると、サイト 2 で次の設定が自動的にリカバリ

されます。

n BGP プロトコルのルーティング設定

n BGP パスワードの設定

n アップリンクと内部インターフェイスの設定

NSX 管理ガイド

VMware, Inc. 578

4 サイト 2（昇格したプライマリ）に 3 台の NSX Controller クラスタ ノードを展開します。

NSX Controller の展開手順については、『NSX Cross-vCenter インストール ガイド』を参照してください。

5 NSX Controller クラスタの状態を更新します。

a [インストールとアップグレード] ページで、[NSX Manager (NSX Managers)] をクリックします。

b 昇格したプライマリ NSX Manager を選択します。

c [アクション (Actions)] - [コントローラ状態の更新 (Update Controller State)] の順に選択します。

6 サイト 2 で、各クラスタでのルーティング サービスを強制的に同期します。

a [インストールとアップグレード] 画面で、[ホストの準備 (Host Preparation)] をクリックします。

b 昇格したプライマリ NSX Manager を選択します。

c 一度に 1 つのクラスタを選択し、[アクション (Actions)] - [サービスの強制同期 (Force Sync Services)] の順にクリックします。

d [ルーティング (Routing)] を選択して、[OK] をクリックします。

7 サイト 1 から サイト 2 にワークロード仮想マシンを移行します。

注： ワークロード仮想マシンは引き続きサイト 1 に存在します。このため、ワークロード仮想マシンをサイト

2 に手動で移行する必要があります。

結果

NSX のコンポーネントの手動リカバリと、プライマリ サイト（サイト 1）からセカンダリ サイト（サイト 2）への

フェイルオーバーが完了します。

次のステップ

サイト 2（昇格したプライマリ サイト）で次の操作を行い、サイト 2 へのフェイルオーバーが 100% 完了している

かどうか確認します。

1 NSX Manager がプライマリ ロールを持っているかどうか確認します。

2 ユニバーサル分散論理ルーターに制御仮想マシン（Edge アプライアンスの仮想マシン）が展開されているかど

うか確認します。

3 すべてのコントローラ クラスタ ノードのステータスが「接続中」になっているかどうか確認します。

4 ホストの準備のステータスが緑色になっているかどうか確認します。

5 ユニバーサル分散論理ルーターの制御仮想マシン（Edge アプライアンスの仮想マシン）の CLI コンソールにロ

グインして、次の操作を行います。

a show ip bgp neighbors コマンドを実行して、すべての BGP ネイバーが確立され、ステータスが UP になっているかどうか確認します。

b show ip route bgp コマンドを実行して、すべての BGP ルートがすべての BGP ネイバーから学習さ

れているかどうか確認します。

NSX 管理ガイド

VMware, Inc. 579

サイト 2 へのフェイルオーバーが完了すると、セカンダリ サイト（昇格したプライマリ）ですべてのワークロード

が実行され、サイト 2 のユニバーサル分散論理ルーターと NSX Edge を介してトラフィックがルーティングされま

す。

スケジュールされたメンテナンスが完了したら、管理者がプライマリ サイト 1 で NSX Manager とコントローラ

クラスタ ノードをパワーオンして、元のプライマリ サイト 1 にすべてのワークロードをリストアします。プライマ

リ サイトへの手動フェイルバックの詳細については、シナリオ 3：プライマリ サイトへの完全なフェイルバックを

参照してください。

シナリオ 2：サイト全体の停止（予期しない障害）

このシナリオでは、パロアルトにあるプライマリ サイト 1 が自然災害に遭い、サイト 1 が完全に停止した場合につい

て考えます。NSX 管理者が、オースティンにあるセカンダリ サイト 2 へのフェイルオーバーを手動で行います。

プライマリ サイトが予期しない状況で突然停止したため、管理者は、障害の発生前にフェイルオーバーの準備を行う

ことができません。

NSX 管理者の主な達成目標は次のとおりです。

n サイト 2 で、サイト全体のフェイルオーバーを最小限のダウンタイムで行う。

n フェイルオーバー後も、サイト 2 でサイト 1 のアプリケーションの IP アドレスを維持する。

n サイト 2 で、すべての Edge インターフェイスの設定と BGP プロトコルの設定を自動的に復旧する。

注： n 管理者は、vSphere Web Client を使用するか、NSX REST API を実行して、フェイルオーバー タスクを手

動で実行できます。また、フェイルオーバー中に実行される API を含むスクリプト ファイルを実行して、いく

つかのフェイルオーバー タスクを自動化できます。このシナリオでは、vSphere Web Client を使用してフェ

イルオーバーを手動で行う手順について説明します。CLI または NSX REST API のいずれかが必要になる場

合には、適切な手順を説明します。

n このシナリオで使用するディザスタ リカバリのワークフローは、以前に説明したトポロジに固有のものです。こ

のトポロジは、プライマリ NSX Manager と 1 つのセカンダリ NSX Manager から構成されています。複数

のセカンダリ NSX Manager を使用するワークフローは、このシナリオの範囲外です。

重要： セカンダリ サイト 2 へのフェイルオーバーの進行中にプライマリ サイト 1 がパワーオンされた場合は、こ

のシナリオの手順に従って、フェイルオーバー プロセスが完了していることを確認します。セカンダリ サイト 2 へのフェイルオーバーが正常に完了している場合にのみ、すべてのワークロードを元のプライマリ サイト 1 にリストア

またはフェイルバックします。フェイルバック プロセスの詳しい手順については、シナリオ 3：プライマリ サイト

への完全なフェイルバックを参照してください。

前提条件

n サイト 1 とサイト 2 の両方に NSX Data Center 6.4.5 以降がインストールされている。

n サイト 1 とサイト 2 の vCenter Server が拡張リンク モードで展開されている。

NSX 管理ガイド

VMware, Inc. 580

n サイト 1 とサイト 2 が次の条件を満たしている。

n NSX 以外のファイアウォールが存在する場合、そのファイアウォールにアプリケーション固有のセキュリ

ティ ポリシーが設定されていない。

n NSX 以外のファイアウォールが存在する場合、そのファイアウォールにアプリケーション固有のファイア

ウォール ルールが設定されていない。

n ユニバーサル分散論理ルーターで ECMP を有効にして、すべてのトラフィックを許可するため、両方の

ESG でファイアウォールが無効になっている。

n サイト 2 で、フェイルオーバー前に次の条件を満たしている。

n サイト 1 の構成と同じように、ESG で類似のダウンリンク インターフェイスが手動で設定されている。

n サイト 1 の設定と同じように、ESG で類似の BGP 設定が手動で行われている。

n プライマリ サイト 1 がアクティブまたは実行中の場合に、ESG がパワーダウン状態になっている。

手順

1 サイト 1 のプライマリ NSX Manager が停止していることを確認します。

a [インストールとアップグレード] ページで、[管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

n 現在のブラウザ セッションで [NSX Manager] ウィンドウを更新すると、プライマリ NSX Manager のロールが Unknown に変わります。

n vSphere Web Client からログアウトして再度ログインする場合や、新しい vSphere Web Client ブラウザ セッションを開始する場合、[NSX Manager] ウィンドウにプライマリ NSX Manager が表示されなくなります。

b [ネットワークとセキュリティ (Networking & Security)] - [ダッシュボード (Dashboard)] - [概要

(Overview)] の順にクリックします。

n 現在のブラウザ セッションで [ダッシュボード] ウィンドウを更新すると、次のエラー メッセージが表

示されます。「NSX Manager と接続を確立できません。管理者に連絡してください。。このエラーは、プライ

マリ NSX Manager が到達可能ではないことを意味します。

n vSphere Web Client からログアウトして再度ログインする場合や、新しい vSphere Web Client ブラウザ セッションを開始する場合、[NSX Manager] ドロップダウン メニューでプライマリ NSX Manager を選択できなくなります。

2 セカンダリ NSX Manager をプライマリ ロールに昇格させます。

a [インストールとアップグレード] ページで、[管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

b セカンダリ NSX Manager を選択します。

NSX 管理ガイド

VMware, Inc. 581

c [アクション (Actions)] - [プライマリ NSX Manager から接続解除 (Disconnect from Primary NSX Manager)] の順にクリックします。切断操作の続行を確認するメッセージが表示されたら、[はい (Yes)] をクリックします。

セカンダリ NSX Manager がプライマリ NSX Manager から切断され、移行ロールに切り替わります。

d [アクション (Actions)] - [プライマリ ロールの割り当て (Assign Primary Role)] の順にクリックしま

す。

サイト 2 のセカンダリ NSX Manager がプライマリ ロールに昇格します。

注意： ユニバーサル分散論理ルーターで Local Egress が無効になっているため、ユニバーサル分散論理ルー

ターの制御仮想マシン（Edge アプライアンスの仮想マシン）は元のプライマリ サイト（サイト 1）にのみ展開

されます。サイト 1 で障害が発生するまで、ユニバーサル分散論理ルーターの制御仮想マシンはセカンダリ サイ

ト（サイト 2）で使用できません。このサイトはプライマリに昇格しています。このため、NSX Controller クラスタを再展開する前に、昇格したプライマリ サイト（サイト 2）でユニバーサル分散論理ルーターの制御仮想

マシンを再展開します。

ユニバーサル分散論理ルーターの制御仮想マシンを展開する前にコントローラ ノードが展開されている場合、ユ

ニバーサル分散論理ルーターのフォワーディング テーブルがフラッシュされます。このため、最初のコントロー

ラ ノードがサイト 2 に展開された直後にダウンタイムが発生します。さらに、通信が停止する可能性がありま

す。この状況を回避するには、NSX Controller ノードを展開する前にユニバーサル分散論理ルーターの制御仮

想マシンを展開します。

3 パワーダウン状態の NSX Edge をパワーオンして、セカンダリ サイト 2（昇格したプライマリ）でユニバーサ

ル分散論理ルーターの制御仮想マシン（Edge アプライアンスの仮想マシン）を展開します。

ユニバーサル分散論理ルーターの制御仮想マシンの展開手順については、『 NSXCross-vCenter インストール

ガイド』を参照してください。

ユニバーサル分散論理ルーターの制御仮想マシンを展開するときに、次のリソース設定を行います。

n データセンターに サイト 2 を選択します。

n クラスタ/リソース プールを選択します。

n データストアを選択します。

注： ユニバーサル分散論理ルーターの制御仮想マシンを展開すると、サイト 2 で次の設定が自動的にリカバリ

されます。

n BGP プロトコルのルーティング設定

n BGP パスワードの設定

n アップリンクと内部インターフェイスの設定

4 サイト 2（昇格したプライマリ）に 3 台の NSX Controller クラスタ ノードを展開します。

NSX Controller の展開手順については、『NSX Cross-vCenter インストール ガイド』を参照してください。

NSX 管理ガイド

VMware, Inc. 582

5 NSX Controller クラスタの状態を更新します。

a [インストールとアップグレード] ページで、[NSX Manager (NSX Managers)] をクリックします。

b 昇格したプライマリ NSX Manager を選択します。

c [アクション (Actions)] - [コントローラ状態の更新 (Update Controller State)] の順に選択します。

6 サイト 2 で、各クラスタでのルーティング サービスを強制的に同期します。

a [インストールとアップグレード] 画面で、[ホストの準備 (Host Preparation)] をクリックします。

b 昇格したプライマリ NSX Manager を選択します。

c 一度に 1 つのクラスタを選択し、[アクション (Actions)] - [サービスの強制同期 (Force Sync Services)] の順にクリックします。

d [ルーティング (Routing)] を選択して、[OK] をクリックします。

7 サイト 1 から サイト 2 にワークロード仮想マシンを移行します。

注： ワークロード仮想マシンは引き続きサイト 1 に存在します。このため、ワークロード仮想マシンをサイト

2 に手動で移行する必要があります。

結果

NSX のコンポーネントの手動リカバリと、プライマリ サイト（サイト 1）からセカンダリ サイト（サイト 2）への

フェイルオーバーが完了します。

次のステップ

サイト 2（昇格したプライマリ サイト）で次の操作を行い、サイト 2 へのフェイルオーバーが 100% 完了している

かどうか確認します。

1 NSX Manager がプライマリ ロールを持っているかどうか確認します。

2 ユニバーサル分散論理ルーターに制御仮想マシン（Edge アプライアンスの仮想マシン）が展開されているかど

うか確認します。

3 すべてのコントローラ クラスタ ノードのステータスが「接続中」になっているかどうか確認します。

4 ホストの準備のステータスが緑色になっているかどうか確認します。

5 ユニバーサル分散論理ルーターの制御仮想マシン（Edge アプライアンスの仮想マシン）の CLI コンソールにロ

グインして、次の操作を行います。

a show ip bgp neighbors コマンドを実行して、すべての BGP ネイバーが確立され、ステータスが UP になっているかどうか確認します。

b show ip route bgp コマンドを実行して、すべての BGP ルートがすべての BGP ネイバーから学習さ

れているかどうか確認します。

サイト 2 へのフェイルオーバーが完了すると、セカンダリ サイト（昇格したプライマリ）ですべてのワークロード

が実行され、サイト 2 のユニバーサル分散論理ルーターと NSX Edge を介してトラフィックがルーティングされま

す。

NSX 管理ガイド

VMware, Inc. 583

シナリオ 3：プライマリ サイトへの完全なフェイルバック

このシナリオでは、計画されたメンテナンスまたは突然の電源障害でプライマリ サイト 1 が停止した場合について考

えてみます。すべてのワークロードがセカンダリ サイト 2（昇格したプライマリ サイト）で実行され、トラフィッ

クがサイト 2 のユニバーサル分散論理ルーターと NSX Edge 経由でルーティングされます。元のプライマリ サイ

ト 1 が再起動した後、NSX 管理者が NSX コンポーネントを復旧し、すべてのワークロードを元のプライマリ サイ

ト 1 にリストアします。

NSX 管理者の主な達成目標は次のとおりです。

n 最小限のダウンタイムで、サイト 2 から元のプライマリ サイト 1 にすべてのワークロードを完全にフェイルバ

ックする。

n サイト 1 へのフェイルバック後もアプリケーションの IP アドレスを維持する。

n サイト 1 で、すべての Edge インターフェイスの設定と BGP プロトコルの設定を自動的に復旧する。

注： n 管理者は、vSphere Web Client を使用するか、NSX REST API を実行して、フェイルバック タスクを手動

で実行できます。また、フェイルバック中に実行される API を含むスクリプト ファイルを実行して、いくつか

のフェイルバック タスクを自動化できます。このシナリオでは、vSphere Web Client を使用してフェイルバ

ックを手動で行う手順について説明します。CLI または NSX REST API のいずれかが必要になる場合には、適

切な手順を説明します。

n このシナリオで使用するディザスタ リカバリのワークフローは、以前に説明したトポロジに固有のものです。こ

のトポロジは、プライマリ NSX Manager と 1 つのセカンダリ NSX Manager から構成されています。複数

のセカンダリ NSX Manager を使用するワークフローは、このシナリオの範囲外です。

前提条件

n サイト 1 とサイト 2 の両方に NSX Data Center 6.4.5 以降がインストールされている。

n サイト 1 とサイト 2 の vCenter Server が拡張リンク モードで展開されている。

n サイト 1 とサイト 2 が次の条件を満たしている。

n NSX 以外のファイアウォールが存在する場合、そのファイアウォールにアプリケーション固有のセキュリ

ティ ポリシーが設定されていない。

n NSX 以外のファイアウォールが存在する場合、そのファイアウォールにアプリケーション固有のファイア

ウォール ルールが設定されていない。

n ユニバーサル分散論理ルーターで ECMP を有効にして、すべてのトラフィックを許可するため、両方の

ESG でファイアウォールが無効になっている。

n サイト 2（プライマリに昇格）で、フェイルバック プロセスの前にユニバーサル論理スイッチが変更されていな

い。

NSX 管理ガイド

VMware, Inc. 584

手順

1 プライマリ サイト 1 が再起動したら、NSX Manager とコントローラ クラスタ ノードがパワーオンされ、実

行中であることを確認します。

a [ネットワークとセキュリティ (Networking & Security)] - [ダッシュボード (Dashboard)] - [概要

(Overview)] の順にクリックします。

b ドロップダウン メニューからプライマリ NSX Manager を選択します。

c [システムの概要] ペインで、NSX Manager とコントローラ クラスタ ノードのステータスを確認します。

NSX Manager とコントローラ ノードの横にある緑色のドットは、両方の NSX コンポーネントがパワー

オンされ、実行されていることを意味します。

2 フェイルバック プロセスを開始する前に、次のことを確認します。

a [インストールとアップグレード] ページで、[管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動し、両方のサイトの NSX Manager にプライマリ ロールがあることを確認しま

す。

b [NSX Controller ノード] ページで、両方のサイトにユニバーサル コントローラ クラスタ (UCC) ノード

が存在することを確認します。

3 サイト 2（昇格したプライマリ）に関連付けられた 3 台の UCC ノードをすべてシャットダウンします。

4 [NSX Controller ノード] ページで、サイト 2（昇格したプライマリ）に関連付けられた 3 台の UCC ノード

をすべて削除します。

ヒント: NSX REST API を使用すると、コントローラ ノードを 1 台ずつ削除できます。この操作を行うには、

https://NSX_Manager_IP/api/2.0/vdn/controller/{controllerID} API 呼び出しを実行します。ただ

し、最後のコントローラ ノードを強制的に削除するには、 https://NSX_Manager_IP/api/2.0/vdn/

controller/{controllerID}?forceRemoval=true API 呼び出しを実行します。

5 次の手順に進む前に、サイト 2（昇格したプライマリ）でユニバーサル コンポーネントが変更されていないこと

を確認します。

6 サイト 2（昇格したプライマリ）の NSX Manager でプライマリ ロールを削除します。

a [インストールとアップグレード] ページで、[管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

b サイト 2 の NSX Manager を選択して、[アクション (Actions)] - [プライマリ ロールの削除 (Remove Primary Role)] の順に選択します。

メッセージが表示され、プライマリ ロールを削除する前にサイト 2 の NSX Manager が所有するコント

ローラが削除されていることを確認するように求められます。

c [はい (Yes)] をクリックします。

サイト 2 の NSX Manager が移行ロールに切り替わります。

NSX 管理ガイド

VMware, Inc. 585

7 サイト 1 のプライマリ NSX Manager で、関連するセカンダリ NSX Manager を削除します。

a [NSX Manager] 画面で、サイト 1 に関連付けられている NSX Manager を選択します。

b [アクション (Actions)] - [セカンダリ NSX Manager の削除 (Remove Secondary Manager)] の順

にクリックします。

c [NSX Manager にアクセスできない場合でも操作を実行 (Perform Operation even if NSX Manager is inaccessible)] チェック ボックスを選択します。

d [削除 (Remove)] をクリックします。

8 サイト 1 のプライマリ NSX Manager のセカンダリとしてサイト 2 の NSX Manager（移行モード）を登録

します。

注意： ユニバーサル分散論理ルーターの制御仮想マシン（Edge アプライアンスの仮想マシン）で Local Egress が無効になっているため、制御仮想マシンが自動的に削除されます。したがって、セカンダリ ロールを

持つサイト 2 の NSX Manager（現在は移行ロール）を登録する前に、サイト 2 のコントローラ クラスタ ノードが削除されていることを確認します。コントローラ クラスタ ノードが削除されていないと、ネットワーク

トラフィックの中断が発生します。

a [インストールとアップグレード] 画面で、[管理 (Management)] - [NSX Manager (NSX Managers)] の順に移動します。

b サイト 1 に関連付けられている NSX Manager を選択します。

c [アクション (Actions)] - [セカンダリ NSX Manager の追加 (Add Secondary Manager)] の順にク

リックします。

d サイト 2 に関連付けられている NSX Manager を選択します。

e サイト 2 の NSX Manager のユーザー名とパスワードを入力し、セキュリティ証明書を受け入れます。

f [追加 (Add)] をクリックします。

これらすべての手順が完了したら、次の結果を確認します。

n サイト 1 の NSX Manager がプライマリ ロールで、サイト 2 の NSX Manager がセカンダリ ロールに

なっている。

n サイト 2 の NSX Manager で、3 台のシャドウ コントローラ ノードのステータスが「切断」と表示され

ます。次のメッセージが表示されます。プライマリ NSX Manager またはスタンドアローン NSX Manager での

み、コントローラ クラスタのプロパティの読み取りまたは更新を行うことができます。

このメッセージは、サイト 2 のセカンダリ NSX Manager がサイト 1 のプライマリ NSX Manager のユ

ニバーサル コントローラ クラスタ ノードと接続できないことを意味します。ただし、数秒後に接続が再度

確立し、ステータスが「接続中」に変わります。

NSX 管理ガイド

VMware, Inc. 586

9 サイト 1 でユニバーサル分散論理ルーターと NSX Edge の制御仮想マシン（Edge アプライアンスの仮想マシ

ン）をパワーオンします。

a [ネットワーク (Networking)] - [仮想マシン (VMs)] - [仮想マシン (Virtual Machines)] の順に移動し

ます。

b ユニバーサル分散論理ルーターの制御仮想マシンの仮想マシン名（仮想マシン ID）を右クリックし、[パワ

ーオン (Power on)] をクリックします。

c パワーオンする Edge 仮想マシンに手順 (b) を繰り返します。

d 次の手順に進む前に、ユニバーサル分散論理ルーターの制御仮想マシンと Edge 仮想マシンが起動し、実行

されるまで待機します。

10 サイト 2 のセカンダリ NSX Manager に関連付けられているユニバーサル分散論理ルーターの制御仮想マシ

ン（Edge アプライアンスの仮想マシン）が自動的に削除されたことを確認します。

a [ネットワークとセキュリティ (Networking & Security)] - [NSX Edge (NSX Edges)] の順に移動し

ます。

b セカンダリ NSX Manager 選択して、ユニバーサル分散論理ルーターをクリックします。

c [ステータス] ページで、ユニバーサル分散論理ルーターに Edge アプライアンス仮想マシンが展開されて

いないことを確認します。

11 コントローラ サービスがセカンダリ サイト 2 と同期するように、プライマリ サイト 1 で NSX Controller の状態を更新します。

a [インストールとアップグレード] 画面で、[NSX Manager (NSX Managers)] をクリックします。

b サイト 1 のプライマリ NSX Manager を選択します。

c [アクション (Actions)] - [コントローラ状態の更新 (Update Controller State)] の順に選択します。

12 サイト 2 から サイト 1 にワークロード仮想マシンを移行します。

注： ワークロード仮想マシンは引き続きサイト 2 に存在します。このため、ワークロード仮想マシンをサイト

1 に手動で移行する必要があります。

結果

セカンダリ サイト（サイト 2）からプライマリ サイト（サイト 1）にすべての NSX コンポーネントが手動でフェイ

ルバックされました。

次のステップ

サイト 1 で次の操作を行い、プライマリ サイト 1 へのフェイルバックが 100% 完了しているかどうか確認します。

1 NSX Manager がプライマリ ロールを持っているかどうか確認します。

2 ユニバーサル分散論理ルーターに制御仮想マシン（Edge アプライアンスの仮想マシン）が展開されているかど

うか確認します。

3 すべてのコントローラ クラスタ ノードのステータスが「接続中」になっているかどうか確認します。

NSX 管理ガイド

VMware, Inc. 587

4 NSX に準備されたホスト クラスタごとに通信の健全性チェックを実行します。

a [インストールとアップグレード (Installation and Upgrade)] - [ホストの準備 (Host Preparation)] の順に移動します。

b サイト 1 の NSX Manager を選択します。

c 一度に 1 つのクラスタを選択して、クラスタの通信チャネルの健全性ステータスが UP になっているかどう

かを確認します。

d クラスタ内のホストごとに、ホストの通信チャネルの健全性ステータスが UP になっているかどうか確認し

ます。

e ホストの準備のステータスが Green になっているかどうか確認します。

5 ユニバーサル分散論理ルーターの制御仮想マシン（Edge アプライアンスの仮想マシン）の CLI コンソールにロ

グインして、次の操作を行います。

a show ip bgp neighbors コマンドを実行して、すべての BGP ネイバーが確立され、ステータスが UP になっているかどうか確認します。

b show ip route bgp コマンドを実行して、すべての BGP ルートがすべての BGP ネイバーから学習さ

れているかどうか確認します。

サイト 1 へのフェイルバックが完了すると、プライマリ サイト 1 ですべてのワークロードが実行され、サイト 1 のユ

ニバーサル分散論理ルーターと NSX Edge を介してトラフィックがルーティングされます。

NSX 管理ガイド

VMware, Inc. 588