SD-LANとは何ですか？

SD-LANは、VersaONE のユニバーサルSASE プラットフォームを構成するセキュアなローカルエリアネットワーク（LAN）コンポーネントであり、SD-WAN、NGFW、SASE 、SSEと統合され、ユーザー、デバイス、ワークロード、ネットワークを安全に接続します。これはVOSベースのイーサネットスイッチ上で動作し、スイッチポート、セキュリティプロファイル、アクセスポリシーを定義するDirectorのワークフローテンプレートを通じて設定されます。

主なポイント

• SD-LANは、SD-WANやSSEと並んで、VersaONEのセキュアLANを支える柱の一つです。
• VOSスイッチ（CSX4300、CSX4500、およびCSX8300シリーズ）で動作します。
• ディレクターのワークフローテンプレートでは、ポート、プロファイル、およびACLポリシーを設定します。
• EVPN-VXLAN、802.1X認証、およびスイッチのマルチホーミングに対応しています。
• ZT Edgeと組み合わせることで、VersaのゼロトラストLANソリューションを構成します。

このページの内容： その重要性 ・ 仕組み ・ SD-LANの構成要素 ・ SD-LAN とVersaONE · よくある質問

SD-LANはなぜ重要なのでしょうか？

従来、キャンパスおよび支店のLANスイッチングは、WANやセキュリティスタックとは別個に管理されてきました。つまり、異なるコンソール、異なるポリシーモデルが使用され、多くの場合、スイッチごとに個別にCLI操作を行う必要がありました。SD-LANは、イーサネットスイッチングを、すでにSD-WANを実行しているのと同じVOSソフトウェア、Directorテンプレート、およびヘッドエンドのアーキテクチャ に統合することで、この隔たりを解消します。これにより、単一のチームと単一の運用モデルで、広域ネットワークとローカルネットワークの両方をカバーできるようになります。

また、セキュリティをユーザーやデバイスが実際に接続する場所、つまりアクセスポートへと移行させます。 ポートレベルの802.1X認証とACLポリシーにより、スイッチは建物内のあらゆるものを信頼して後でフィルタリングを行うのではなく、エッジでID認証とアクセス制御を強制することができます。このアクセス層での強制こそが、VersaのゼロトラストLAN設計の基盤となっており、テンプレート駆動型の導入により、SD-WANを大規模に管理可能にしたのと同じ運用スケール（再利用可能な設定を多数のスイッチに展開）を実現しています。

SD-LANとは何ですか？

SD-LAN の設定は、Director ノード上のワークフローテンプレートから開始されます。管理者は、スイッチのモデル（CSX4300、CSX4500、CSX8300、または VM フォームファクタ）、組織およびサブ組織（ある場合）、スイッチを管理する Controller ノード（1 つまたは複数）、ライセンスソリューションのティア、およびログを受信する Analytics クラスターを選択します。 Director の設定ウィザードが各手順を順を追って案内し、完成したテンプレートをデプロイしてスイッチをアクティブ化します。

そこから、物理ポートは、VLANが割り当てられたレイヤ2スイッチングインターフェース（アクセスモードまたはトランクモード）として、あるいは静的またはDHCPで割り当てられたIPv4/IPv6アドレスを持つレイヤ3ルーティングインターフェースとして設定されます。また、レイヤ3ポートではVXLANを有効にすることもでき、インターフェースとそのネットワークをEVPN/VXLANファブリックにアドバタイズすることで、レイヤ2ドメインをルーティングされたコアを経由してサイト間で拡張することが可能になります。

SD-LANの構成要素

テンプレートの構成要素は、3つのグループに分類されます。ポートとは、物理および仮想のインターフェースのことです。具体的には、レイヤ2およびレイヤ3の物理ポート、LACPリンクアグリゲーションによって構築されたアグリゲートされたイーサネットインターフェース、リモート管理用のスイッチ管理インターフェース、およびレイヤ3ネットワークとレイヤ2ブリッジドメインの間でルーティングを行うIRBインターフェースが含まれます。

プロファイルとは、ポートに紐付けられた再利用可能な設定のことです。これには、ポートベースの認証を行う802.1Xプロファイル、アクセススイッチが複数のアップストリームデバイスに冗長接続できるようにするマルチホーミングプロファイル（MC-LAG）、およびPower over EthernetやLLDPなどの機能を扱う物理ポートプロファイルなどがあります。ポリシーとは、ポートやスイッチがどのトラフィックを通過させるかを制御するACLルールです。 その基盤となるのがスイッチのハードウェアそのものです。VersaのCSXファミリーは、エッジおよびアクセスアプライアンスから、アグリゲーションおよびコアスイッチングの役割に至るまでを網羅しています。

SD-LAN &VersaONE

SD-LANは、VersaONEの統合型基盤の一つであり、SD-WANをオーケストレーションするものと同じVOSソフトウェアおよびDirector-Controller-Analyticsヘッドエンド上に構築されています。Directorテンプレートがスイッチを設定し、Controllerノードがそれを管理し、Analyticsクラスターがそのテレメトリデータを収集します。これは、ブランチルーティングの代わりにLANスイッチングに適用された、まったく同じ運用モデルです。

SD-LANはZT Edgeと組み合わせることで、VersaのゼロトラストLAN（ZT-LAN）ソリューションを構成し、キャンパスネットワークや支店ネットワーク向けにゼロトラスト・ネットワーク・アクセスとマイクロセグメンテーションを実現します。エンドポイント情報プロファイル（EIP）に基づくマイクロセグメンテーションにより、この機能はさらに拡張され、Versa SASE のクライアントがゲートウェイ支援型の信頼済みネットワークモードで接続できるようになるため、リモートアクセスとオンプレミスアクセスにおいて、同一のID認識型ポリシーが適用されます。

よくある質問

SD-LANとSD-WANの違いは何ですか？

SD-WANは広域ネットワーク層です。支店およびハブのVOSデバイスは、多様な伝送経路を介してコントローラーへのIPsecおよびMP-BGPトンネルを構築します。SD-LANはローカルエリア層です。サイト内のVOSベースのスイッチにおけるイーサネットスイッチポート、VLAN、およびアクセスポリシーを指します。両者とも、同じ「ディレクター・コントローラー・アナリティクス」というヘッドエンドモデルを共有しています。

Versa のSD-LANは、どのようなスイッチハードウェアで動作しますか？

VersaVOSベースのイーサネットスイッチであるCSXファミリーは、SD-LANを実行しており、CSX4300、CSX4500、CSX8300の各モデルに加え、仮想環境向けのVMフォームファクタも用意されています。さらに、CSX2000、CSX4000、CSX8000シリーズがラインナップを拡充し、エッジ、アクセス、アグリゲーション、コアの各スイッチング役割をカバーしています。

SD-LANはどのように設定するのですか？

管理者は、Directorノード上のガイド付き設定ウィザードを使用して、スイッチのモデル、組織、ライセンス、およびコントローラーの割り当てを反映したワークフローテンプレートを作成します。その後、物理ポートおよび仮想ポートの設定、セキュリティプロファイルの割り当て、ACLポリシーの適用を行い、テンプレートをスイッチに展開します。

SD-LANとゼロトラストLANの関係はどのようなものですか？

ゼロトラストLAN（ZT-LAN）は、Versaが提供する、より広範なオンプレミスLANソリューションです。これは、Secure SD-LANとZT Edgeを組み合わせることで、VOSベースのスイッチおよびアクセスポイント上に、ゼロトラストネットワークアクセス、マイクロセグメンテーション、およびソフトウェア定義のキャンパス・ブランチネットワークを実現します。SD-LANは、ZT-LANのポリシーモデルが動作するスイッチング層を提供します。

SD-LANはVXLANおよびEVPNに対応していますか？

はい。SD-LANのレイヤ3ポートでは、ルーティングされたIPネットワーク上でイーサネットVPN（EVPN）トラフィックを伝送するデータプレーンカプセル化技術であるVXLANを有効にできます。これを有効にすると、そのポートのインターフェースとネットワークがEVPN/VXLANファブリックにアドバタイズされ、ルーティングされたコアネットワークを介してレイヤ2ドメインが拡張されます。

SD-LANに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SD-LANについてお読みの方は、次にこれらもぜひチェックしてみてください。