TAFS Advent Calendar

VMware SD-WANの備忘録　その２ VMware SD-WANのプロファイル VMware SD-WAN Edgeの設定テンプレートのようなものです。拠点間VPNで通信制御したい場合にも異なるプロファイルを「隔離」することで実現できます。Edgeに設定されているプロファイルを異なるプロファイルに変更することもできます。Edgeの個別設定からプロファイルの設定を上書きすることもできます。ファイアウォールやビジネスポリシーでは、プロファイルのルールの上にEdgeの個別ルールが設定されます。 VMware SD-WANのセグメント セグメントは、VRF、VLANのような通信範囲を隔離するVMware SD-WANの機能です。 セグメントごとにルーティングやVPN設定が異なります。セグメント間のルーティングはできません。セグメントに対応している機能としていない機能があります。 VMware SD-WAN Edgeのビジネスポリシー ビジネスポリシーは、QoSの機能です。あらかじめアプリケーションごとに割り当てられている重みづけを利用して優先度を変更します。また、ルールに該当するトラフィックを任意のWANへローカルブレイクアウトしたり、複数のWANで分散してトラフィックを流すこともできます。ビジネスポリシーのルールの中でWANリンクのアグリゲーションなどDMPOを利用する機能はVCMPトンネルを利用するトラフィックで利用できます。 ビジネスポリシーの適用順は、FW＞ルーティングの後です。そのため、ルーティングによっては意図しない動作になる場合があります。 VMware SD-WAN Edgeのファイアウォール ステートフル、ステートレスファイアウォールを利用できます。 最新のバージョンでは、EFS（Enhanced Firewall Service）というIDPSも利用できます。 今後、機能拡張されるかもしれませんので最新情報をチェックしてください。 VMware SD-WAN EdgeのNAT VMware SD-WANのNATは3つあります。 ファイアウォールNAT LAN側NAT ビジネスポリシーNAT ファイアウォールNATは1:1NATやポートフォワードなど公開サーバーなどで必要なインターネット側からLAN側へのNATを設定できます。LAN側NATは、オーバ...

VMware SD-WAN はじめに 今まで数年間携わってきたVMware SD-WANから離れることになりました。 月日と共に知識や記憶は風化していき、VMware SD-WANのことを忘れてしまうと思いますので、ここに備忘録として残しておきたいと思います。というか、忘れないと新しいこと覚えられない、、。※SD-WANのVCP取りたいので、そのときのための振り返り用、、 VMware SD-WANとは？ VMware が2017年にVeloCloudというSD-WANベンダーを買収したSD-WAN製品です。 ガートナーのSD-WANマジッククアドラントではリーダーポジションの常連です。 VMware SD-WANの基本要素 VMware SD-WANの基本要素について、以下の順でご紹介します。 VMware SD-WANを構成する３要素 VMware SD-WAN３つのユーザー VMware SD-WAN Edgeを利用するには VMware SD-WAN Edgeのソフトウェアバージョン VMware SD-WAN Edgeのインターフェイス VMware SD-WAN EdgeとGatewayとの４つの接続種類 VMware SD-WAN Edgeが利用するトンネルVCMPとDMPO VMware SD-WANのルーティング VMware SD-WANのVPN VMware SD-WANを構成する３要素 VMware SD-WANは、以下の要素で構成されます。 VMware SD-WAN Orchestrator VMware SD-WAN Gateway VMware SD-WAN Edge VMware SD-WAN Orchestratorは、カスタマーにVMware SD-WAN Edgeなどコンポーネントを集中管理するためのUIを提供します。VMware SD-WAN Gatewayは、Edgeの①コントローラーおよび②トラフィックのゲートウェイを兼務します。Gatewayは、世界中に展開されており、Gatewayプールという単位でカスタマーに割り当てられます。VMware SD-WAN Edgeは、拠点やクラウドに展開するネットワークノードです。物理と仮想の２種類が提供されています。 VMware SD-WAN３つのユーザー VMware SD-W...

私は「人は、仕事によって磨かれる」、と云う言葉が好きで、そう信じています。 これは、伊藤忠商事の元社長である丹羽宇一郎さんの著書である「人は仕事で磨かれる」の一文です。 本には、 『仕事をしていく上では、「見える報酬」と「見えざる報酬」というものがある。見える報酬とは給料です。 では、見えざる報酬とは何か。それは、自分の成長です。』 と書かれています。 「見えざる報酬」が「自分の成長」なのか、とピンとこない感じがしますが、 丹羽さんは 『人は、仕事によって磨かれる。仕事で悩み、苦しむからこそ人間的に立派になるんです。 だから、「こんなつらい仕事をやらせて」とゴチャゴチャ不満を言う前に、それを与えられたことを喜ぶべき なんです。もちろん、嫌な仕事を引き受けたからといって、それと自分の成長はイコールとは限りません。 しかし、周りが嫌がる仕事を引き受けて、それを前向きにとらえるところにグレードアップの可能性があるんです。 給料だけでは量れないもの、それが、「見えざる報酬」なんです。』 と云っています。 人は、問題が難しければ難しいほど必死になり、それを、乗り越えるために、あらゆる手を尽くします。 こんな経験をすることで、自分で考え、問題を解決する知恵を磨くことができると思います。 自分が成長した証として、「頭の引き出し」の中身が増えて、 いざとなった時には役に立つヒントが思い浮かぶものです。

キーワードは、コンソリと可視化 Palo Altoの「シングルベンダーSASEサミット」というセミナーに参加してきました。 SASEは、ガートナーが提唱したものです。ガートナーは、IT製品やサービスごとに「マジッククアドラント」という市場調査レポートを公表していますが、最近までSASEのマジッククアドラントは存在しませんでした。今年、とうとう「シングルベンダーSASE」のマジッククアドラントが公表されたのですが、数あるベンダーの中で唯一リーダーポジションにノミネートされたのが「Palo Alto」でした。そのPalo Altoが「シングルベンダーSASE」という名でセミナーを開催するというので参加してきました。 当日のアジェンダ 当日のアジェンダはこんな感じでした。 開会のご挨拶         パロアルトネットワークス株式会社 SASEの最新動向とユーザー企業の今後のチャレンジ         ガートナージャパン株式会社 池田 氏 セキュリティとネットワークの統合とAIによるNext Step         パロアルトネットワークス株式会社 SASEから始めるセキュリティトランスフォーメーション         パロアルトネットワークス株式会社 ユーザー対談：SASE を活用した基盤の統合と次なる          株式会社セブン&アイ・ホールディングス          パロアルトネットワークス株式会社  会場の雰囲気 私は、セミナー会場の参加者はそのプロダクトや製品を扱う層を表すと思っています。 インフラ系はスーツやビジネスカジュアルの人がほとんどですし、AWSなどは私服の人の方が多い印象です。Palo Altoのセミナーは大半がスーツで来ている人でした。 ※何が言いたいのかと言うと、イベントに合わせて服装選ばないと会場で目立ちます。（AWS系にスーツでいくと逆に目立つことがある） ガートナーのセッションの中でユーザー企業なのか、リセラーなのか、挙...

背景 AmazonLinux2上で利用していたSplunkを AmazonLinux2023上でも同じような設定で動くのかを検証しました。 その検証でAmazonLinux2とAmazonLinux2023との仕様変更により 躓いた点と解決策についてまとめてみました。 今回の構成 構成は下図のような構成とし、クラスターの管理をしているコンポーネントである Cluster Masterとデータの保管、インデクシングを行うIndexerClusterを構築。 ※Splunkバージョン：9.0.2 実施内容 ClusterMasterからS3バケットにインデックスを格納する処理(SmartStore)を 構築する設定を記載した設定ファイルをIndexerClusterに配布。 このときに設定ファイルを配布する処理は動いたもののIndexer側でメタデータ取得ができない事象が発生しました。 ①bundle applyで作成されたチェックサム：下4桁 2784 ②正常に配布処理が完了すると各クラスターメンバーのバンドルチェックサムも 　配布時に生成されたチェックサムと一致します。今回は配布できていなため一致していません。 原因 今回の配布処理が適用されていなかったのは IndexerCluster側でIMDSv2を有効ではなかったことが原因でした。 (デフォルトでSplunk側ではIMDSv1が有効になっている) IMDSv2を有効にすることで、AmazonLinux2023上のメタデータ取得が 正常に行われS3とEC2インスタンス間の通信が行われます。 IMDS(インスタンスメタデータサービス)とは IMDSはEC2内から実行中のインスタンス情報(インスタンスIDやIPアドレス等)を 取得できる仕組みのこと。バージョン1,2が存在します。※1 バージョン1・・・リンクローカルIPで動作しており仕組みにHTTPリクエストを送ることで誰でも取得可能。 バージョン2・・・バージョン1での照会方法をURLだけでなくトークンを合わせて利用することでセキュリティ強化。 AmazonLinux2023からの仕様変更 AmazonLinux2ではIMDSv1 or IMDSv2どちらも利用可能だったのですが AmazonLinux2023ではIMDSv2のみ使用するようになっており、Spl...

はじめに 本記事では構成管理ツールであるAnsibleを用いたインフラ構築について説明します。 今さら!?って思われる方もいるかもしれませんが、筆者はその今さらAnsiblerの内の1人(歴3年)なので同じような方をターゲットに今回紹介させてもらいます。 概要編 Ansibleとは RedHat社が開発/提供する構成管理ツールで、IaC(Infrastructure as Code)に属するもの。 サーバを立ち上げる際、あらかじめ用意した設定ファイルに従って、ソフトウェアのインストールや設定を自動的に実行することができます。 そのため、OSの設定やソフトウェアのインストールを手動で行う必要がなく、また後述する冪等性の特徴からAnsibleで定義したサーバの状態に保つことが可能です。 Ansibleのメリット 構成管理ツールであるAnsibleはChefやPuppetと比較されることが多いので、本記事でも紹介しましょう。 この比較表から分かるように、まずAnsible はエージェントレスで管理対象のサーバにエージェントを導入する必要がない点が大きな利点です。 また、Chef やPuppetのようにプログラミング言語で作成する必要がなく比較的書きやすく読みやすい構造となっています。 冪等性(べきとうせい)について Ansibleを語る上(Ansibleだけじゃないですが)で、欠かせないのが冪等性です。 冪等性という言葉を調べてみると「同じ操作を何度繰り返しても、同じ結果が得られる概念」と出てきます。 ただ、これではピンとこないですよね。 Ansibleにおける冪等性を簡単に言うと「あるべき姿に保つこと」です。 Ansibleではプレイブック(YAML)というファイルにサーバ等のあるべき姿を記載します。 ...