ZTPとは何ですか？

ゼロタッチプロビジョニング（ZTP）とは、ルーター、スイッチ、SD-WANアプライアンスといった新しいネットワーク機器を、現場の技術者が手動で設定を入力することなく、自動的に起動・設定するプロセスです。機器の電源が入ると、ステージングサーバーに接続し、認証を行った後、設定情報を自動的に受信します。

主なポイント

• ZTPは、手動での設定を一切必要とせず、デバイスを自動的に起動・設定します。
• このデバイスは、電源が入るとすぐにステージングサーバーに接続します。
• PKI証明書は、多くの場合TPMチップに保存されており、デバイスの認証を行います。
• Versa グローバル、URLベース、CLI、USB、およびcloud-initによるZTP方式に対応しています。
• ZTPは、遠隔地での出張対応や手動によるCLI設定に取って代わります。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ ZTP およびVersa · よくある質問

ZTPはなぜ重要なのでしょうか？

手動でデバイスをプロビジョニングする――コンソールケーブルを接続し、IPアドレスやルーティング、セキュリティ設定を1項目ずつ入力していく――という方法は、数カ所の拠点を超える規模では対応できません。SD-WANやSASE アプライアンスを数百の支店に展開する企業では、すべての拠点にエンジニアを派遣することは不可能です。また、手動での入力は入力ミスを招き、遅延の原因となり、その結果、拠点が数日間オフラインの状態に陥る恐れがあります。

ZTPでは、人がクリティカルパスから除外されます。デバイスはメーカーから支社へ直接出荷され、そこで誰かが電源とWANケーブルを接続するだけで、デバイスは中央で定義されたポリシーに基づいて自動的に設定されます。これにより、導入時間が数日から数分に短縮され、出荷前にハードウェアに認証情報をプリロードするリスクが排除されるとともに、1つの運用チームが無制限の拠点を並行して稼働させることが可能になります。

ZTPとは何ですか？

ベンダー固有の詳細を排除すれば、ZTPはどこでも同じハンドシェイク手順に従います。 デバイスは、工場出荷時のデフォルト設定以外の構成を一切行わずに電源を入れ、DHCP経由でIPアドレスを要求し、誰かが接続してくるのを待つのではなく、プロビジョニングサーバーに対して「コールホーム」と呼ばれる接続要求を送信します。サーバーは、通常は事前に登録されたシリアル番号やメーカーがインストールした証明書によってデバイスを識別し、そのデバイスがどのネットワークに属するか、どの管理ノードに報告するか、そしてどのソフトウェアが必要かを決定します。

サーバーはその設定、および必要に応じてソフトウェアイメージをデバイスにプッシュし、デバイスはそれを適用して、ローカルでキー操作を行うことなく本番ネットワークに接続します。このモデルのセキュリティは、その身元確認に依存しています。デバイスはまだ信頼していないネットワークにブートストラップするため、設定を受け入れる前に認証が行われなければなりません。

ZTPの種類

ZTPの実装は、主にデバイスがプロビジョニングサーバーをどのように見つけ、自身の身元をどのように証明するかという点で異なります。DHCP/ブートストラップファイル方式のZTPは最も古いパターンであり、DHCPオプションによって、起動直後のデバイスが起動設定を取得する場所を指定するもので、企業のLAN機器で一般的に採用されています。クラウド・コールホーム型ZTPでは、デバイスが起動時にベンダーがホストするクラウドサービスに接続します。サービスはシリアル番号によってデバイスを検証し、適切なプロビジョニングノードへリダイレクトします。これは、ほとんどのSD-WANおよびSASE のブランチアプライアンスで採用されているモデルです。標準ベースのセキュアZTPは、ハンドシェイクを暗号的に形式化しています。IETFのSZTP（RFC 8572）およびBRSKI（RFC 8995）は、署名付きバウチャーを使用するため、デバイスは設定を受け入れる前に自身の身元を証明します。ローカル／手動トリガー型ZTPは、ゼロコンフィギュレーションという特性を維持していますが、インターネットに自力では接続できない現場では、依然として担当者の立ち会いが必要です。

ZTP &Versa

Versa VOSデバイスは、以下を通じてZTPに対応しています。 いくつかの方法. グローバルZTP 電源投入時にデバイスを自動的に起動します。デバイスは、Versa Networks のクラウドステージングサーバーに接続し、そこでシリアル番号の検証が行われます。その後、デバイスは、Versa で署名された証明書（その秘密鍵はデバイスのTPMチップ内に格納されています）によって認証されたIPsecセッションを介して、まずプレステージングを経由し、次にステージングコントローラーノードへとリダイレクトされます。 URLベースのZTP 管理者は、メールで送信されたリンクを介してノートパソコンやスマートフォンからアクティベーションを完了させることができ、デバイスを特定の支店に紐づける必要がなくなります。 CLI ベースのステージング を運営している staging.py デバイス上のスクリプト、および USBを利用したステージング には次のように書かれています staging.params 挿入されたドライブからのファイル。仮想インスタンスの場合は、 cloud-init インストール、設定、およびオンボーディングを1つの起動シーケンスに統合します。デバイス、デバイスグループ、およびコントローラーは、 VOSの初期設定.

よくある質問

グローバルZTPとURLベースのZTPの違いは何ですか？

グローバルZTPは、デバイスの電源が入り、インターネットに接続された瞬間に、事前に登録されたシリアル番号を使用して自動的に有効化されます。一方、URLベースのZTPでは、サイト管理者がメールで送信された有効化リンクをクリックする必要があり、これにより物理的なデバイスと特定の支店との紐付けが解除されます。

ZTPの利用には、現場への技術者の派遣が必要ですか？

いいえ――そこが重要な点なのです。グローバルZTPとcloud-initでは、デバイスの電源を入れる以外のローカル操作は一切必要ありません。URLベース、CLI、およびUSBベースのZTPでは依然として現場での作業が必要ですが、その担当者はリンクをクリックするかドライブを挿入するだけであり、デバイスの設定を行う必要はありません。

ZTPデバイスは、ネットワークに対してどのように自身の身元を証明するのでしょうか？

ほとんどの実装では、メーカーがインストールした証明書（多くの場合、Trusted Platform Module（TPM）によって裏付けられている）や、ベンダーの在庫情報と照合された事前登録済みのシリアル番号に依存しています。SZTPやBRSKIといった標準規格では、署名付きバウチャーを用いてこれを形式化しており、デバイスが設定を受け入れる前にその認証を行います。

ZTPでは、仮想デバイスやクラウドベースのデバイスをプロビジョニングできますか？

はい。仮想ネットワークデバイスは、すべての主要なパブリッククラウドおよび仮想化プラットフォームでサポートされている業界標準のクロスプラットフォーム初期化手法である「cloud-init」を使用し、インスタンスの初回起動時に、手動での準備作業を一切行わずに、ソフトウェアの自動インストール、設定の適用、およびオンボーディングを完了します。

ZTPデバイスの設定がすでに変更されている場合はどうなりますか？

ZTPでは、デバイスが工場出荷時の設定のままの状態であることが前提となっているため、正常にオンボーディングできません。設定がすでに変更されているデバイスは、まずローカルCLIから工場出荷時の設定にリセットする必要があります。その後、ZTPのアクティベーションプロセスを正常に完了させることができます。

ZTPに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ZTPについて読んでいるなら、次はこれらもチェックしてみる価値があります。