トンネル仮想インターフェース（TVI）とは何ですか？

トンネル仮想インターフェース（TVI）とは、物理ポートではなく、IPsec、GRE、VXLAN、またはSD-WANオーバーレイパスなどのトンネルを終端する、tvi-という接頭辞が付いた論理VOSインターフェースのことです。ワークフローテンプレートは、コントローラーへのコントロールプレーン・トンネルや、SD-WANデバイス間のデータプレーン・トンネルについて、テナントごとにこれらを自動的に作成し、番号を割り当てます。

主なポイント

• TVIとは、トンネルを終端させる論理インターフェースであり、ポートではありません。
• TVIには「tvi-」という接頭辞が付けられ、テナント組織ごとに番号が割り当てられます。
• ワークフローテンプレートは、TVIを自動的に作成し、デフォルトのIPアドレスを割り当てます。
• TVIインターフェースは /31 サブネットに対応しており、アドレス競合を避けるために再割り当てが可能です。
• ペアになったTVIは、マイクロセグメンテーションゾーンを仮想ルーターに接続します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ TVI およびVersa · よくある質問

TVIはなぜ重要なのでしょうか？

すべてのSD-WANオーバーレイおよびサイト間VPNでは、トンネルが確立されると、トラフィックの送受信を行うための宛先が必要となります。つまり、ルーティングテーブルが指し示す対象となり、ファイアウォールゾーンが紐付けられ、静的ルートやBGPセッションが到達できるインターフェースです。TVIは、VOSデバイスにおけるその紐付けポイントです。TVIがなければ、トンネルは単なる暗号化された経路に過ぎず、デバイスの転送ロジックにおいて位置づけられる場所がありません。

TVIは物理的なものではなく論理的なものであるため、1台のVOSデバイスは、物理ポート数に関係なく、ポリシーとライセンスの許容範囲内であれば、任意の数のトンネルを終端させることができます。 これにより、単一のブランチデバイスが、耐障害性に優れたデュアルコントローラーへの到達性、異なるハブへの複数のサイト間トンネル、およびSASE ゲートウェイへのマイクロセグメンテーション経路を、すべて同時に維持することが可能になります。各トンネルには、独自のTVI、独自のアドレス、そしてルーティングおよびゾーンポリシー内での独自の位置が割り当てられます。

TVIとは何ですか？

TVIは、VOSデバイス上のトンネルの片端を表します。 ルーティングやポリシーの観点では、他のレイヤー3インターフェースと同様に動作します。つまり、仮想ルーターに属したり、静的ルートやBGPで学習したルートを伝送したり、セキュリティゾーンに配置されたりすることができます。ただし、物理的なケーブルの代わりに、その「リンク」となるのはトンネルそのものです。具体的には、IPsec、GRE、VXLAN、あるいは別のVOSデバイスへのSD-WANデータプレーンパスなどが該当します。

TVIの名称は、 tvi-<slot>/<number> 例えば、大会など tvi-0/101 または tvi-15/100. 番号付けはテナント組織ごとに適用され、使用される具体的なスロットは（tvi-0 対 tvi-15) また、番号の範囲は導入モデルによって異なります。ワークフローテンプレートによって生成されたインターフェースは独自の範囲を確保しているため、手動で設定されたTVIはそれらとの重複を避けることができます。

TVIのアドレス指定方式

ほとんどのTVIはIPアドレスを自動的に取得します。ワークフローテンプレートでブランチデバイス向けのIPsecを設定すると、Versa Directorは169.254.0.0/24の範囲からアドレスを自動割り当てし、トンネルの両端にペアとなるTVIを作成します。一般的なケースでは、手動でアドレスを設定する手順は不要です。

手動設定および再割り当てされたTVIは、2つの状況において重要です。第一に、そのデフォルト範囲はテナントのLAN VRF内に存在するため、組織全体で一意である必要があります。2つの支店または2つのサイト間トンネルが、TVIアドレスが重複した状態で同じVOSゲートウェイに接続された場合、ゲートウェイはその設定を拒否し、TVIのアドレスを再割り当てする必要があります。Versa では、このために/31サブネットをサポートしており、各トンネルのアドレス空間を最小限に抑えることができます。 第二に、一部の設計では、2つのTVIを意図的にペアで構成する場合があります。1つのTVIはLANネットワークに接続し、もう1つは信頼できるネットワークを検出するために使用される仮想ルーターに接続し、両方がテナントのLAN-VRおよびクライアント向けゾーンに同時に追加されます。これは、マイクロセグメンテーションのために、キャプティブポータルを経由してセキュアアクセストラフィックをルーティングするために使用されるパターンです。

TVI &Versa

TVIは、VOSデバイスがトンネルを終端する場所ならどこにでも出現します。 SD-WANとSSEハブの統合, Concertoが管理するゲートウェイ（VCG）では、サイト間トンネルが設定されるとデフォルトでTVIの番号割り当てが行われますが、Director側のSSEハブにおけるTVIの番号割り当ては顧客が管理します。通常は tvi-15/<number> 範囲、最大 tvi-15/19999 – また、EBGPはTVIのIPアドレスを介して直接ピアリングを行い、アクティブ・スタンバイまたはアクティブ・アクティブのトラフィックパスを構築します。

In Secure SD-WAN Versa SSE との連携, ブランチデバイスの IPsec 設定を VCG に適用すると、 tvi-0/<number> 169.254.0.x のアドレスが自動割り当てされるインターフェース。このデフォルトのアドレス範囲が組織内の既存のアドレスと競合する場合、そのブランチとその静的ルートをまとめて再設定する必要があります。 SD-LAN向けのEIPベースのマイクロセグメンテーション, ペアになったTVIは、クライアント向けのLANネットワークとその「信頼済みネットワーク検出」仮想ルーターをSASE ゲートウェイに接続し、ペアになったTVIを経由する静的ルートによって経路が完成します。

よくある質問

インターフェース名の「tvi-」という接頭辞は何を意味するのでしょうか？

これにより、そのインターフェースがトンネル仮想インターフェース（物理ポートではなく、トンネルの論理的なエンドポイント）として指定されます。スラッシュの後の数字（例： tvi-0/101, 同一デバイス上の複数のTVIを区別し、テナントごとに適用範囲が設定されます。

TVIには手動でのIPアドレス設定が必要ですか？

通常はそうではありません。ワークフローテンプレートでは、支店やゲートウェイのIPsecを設定する際、通常は169.254.0.0/24の範囲からTVIアドレスが自動的に割り当てられます。手動でのアドレス設定や再割り当てが必要となるのは、主に、そのデフォルトの範囲が組織内の他の場所で既に使用されている場合に、アドレス競合を解決するためです。

なぜ2つのTVIインターフェースのアドレスを再設定する必要があるのでしょうか？

TVIアドレスは、テナントのLAN VRF内で一意である必要があります。2つの支店、または同じゲートウェイに接続する2つのサイト間トンネルが、どちらも同じデフォルトの範囲を自動割り当てされた場合、ゲートウェイは重複する設定を拒否するため、競合するTVIを別の一意なアドレス範囲に移動する必要があります。

ペアードTVIインターフェースとは何ですか？

ペア構成のTVIでは、2つのTVIを組み合わせて使用します。1つはLANネットワークを仮想ルーターに接続し、もう1つは、その仮想ルーターを信頼済みネットワーク検出パスに接続します。これら2つは、テナントのLAN-VRおよび関連するゾーンに追加され、マイクロセグメンテーションによるセキュアアクセスルーティングに用いられる構成です。

TVIは、静的ルートだけでなくBGPも伝送できますか？

はい。TVIはルーティング可能なレイヤー3インターフェースであるため、トンネルを介してネクストホップへの静的ルートを伝送したり、TVI自身のIPアドレスをネイバーアドレスとして使用してEBGPでピアリングしたりすることができます。これは、SD-WANゲートウェイとSSEハブ間の動的ルーティングで使用されるモデルです。

TVIに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

TVIについて調べているなら、次はこれらもぜひチェックしてみてください。