SD-WAN ルーティングを使った BOVPN 仮想インターフェイス

ポリシーにより、常に特定の BOVPN 仮想インターフェイスを介してトラフィックがルーティングされるように、ポリシーで SD-WAN ルーティングを構成できます。

この構成例では、企業に BOVPN 仮想インターフェイストンネルによって接続された 2 つのサイトがあります。サイト A には 1 つの外部ネットワーク接続があります。サイト B にはレイテンシーが異なる 2 つの外部ネットワーク接続があります。この企業は SD-WAN を使って VoIP トラフィックなどのレイテンシー感度の高いトラフィックを、低レイテンシートンネルを介して送信することを希望しています。

この例では損失、レイテンシーおよびジッターメトリックに基づく SD-WAN ルーティングとフェールオーバーを示していません。フェールオーバーでのメトリックに基づく SD-WAN ルーティングの例を表示するには、BOVPN 仮想インターフェイストンネルへの MPLS リンクからの SD-WAN フェールオーバーを参照してください。

この例で示された構成には Fireware v12.4 以降が必要です。

Fireware v12.3 以降では、ポリシーベースのルーティングが SD-WAN に置き換えられています。Fireware v12.2.1 以前では、トラフィックを別の外部インターフェイスにルーティングする場合は、ポリシーベースのルーティングを使用する必要があります。Fireware v12.3 以降にアップグレードすると、フェールオーバーなしのポリシーベースのルーティングが、単一のインターフェイスの SD-WAN アクションに変換されます。フェイルオーバーありのポリシーベースのルーティングは、複数インターフェイスの SD-WAN アクションに変換されます。Fireware OS 旧バージョンとの後方互換性のために、Policy Manager でポリシーベースのルーティング設定を引き続き使用することができます。ポリシーベースのルーティングの詳細については、WatchGuard ナレッジベースの Fireware v12.2.1 以前でポリシーベースのルーティングを構成するを参照してください。

ネットワークトポロジ

この図はこの構成例のネットワークトポロジを示しています。

ネットワークトポロジ図

仕組み

この例では、各 Firebox にピア Firebox への 2 つの BOVPN 仮想インターフェイスがあるとします。各 Firebox のカスタム SIP パケットフィルタポリシーは、レイテンシーが最も低い BOVPN 仮想インターフェイスを介して VoIP トラフィックをルーティングします。SD-WAN ルーティングは、他の複数 WAN (マルチ WAN) または BOVPN 仮想インターフェイスのルートよりも優先されます。

構成

BOVPN 仮想インターフェイスを構成する (サイト A)

サイト A の Firebox で、低レイテンシートンネルに対し以下の設定を指定します：

インターフェイス名— この例では BovpnVif.low-latency の名前を使用します。
リモート Endpoint タイプ — Firebox
ゲートウェイアドレスファミリー — IPv4 アドレス
認証メソッド — 事前共有キーの使用
ゲートウェイ Endpoint
- インターフェイス — 外部
- ローカルゲートウェイ — この Firebox の外部インターフェイスの IP アドレスこの例では 203.0.113.2 を使用します。
- リモートゲートウェイ — サイト B の Firebox における 外部-1 インターフェイスの IP アドレスこの例では 198.51.100.2 を使用します。これがサイト B での低レイテンシー接続のインターフェイスです。
VPN ルート タブ — 仮想インターフェイスの IP アドレスを指定しますが、これは BOVPN 仮想インターフェイスを Link Monitor に追加する前に行う必要があります。ローカル IP アドレスはサイト B の Firebox で構成されたピア IP アドレスに一致する必要があります。ピア IP アドレスはサイト B の Firebox で構成されたローカル IP アドレスに一致する必要があります。仮想インターフェイスの IP アドレスがいかなる外部または内部ネットワークにも属さないようにしてください。

Screen shot of the Site A BOVPN virtual interface for the low latency connection

Screen shot of the virtual interface IP address settings

サイト A の Firebox で、高レイテンシートンネルに対し以下の設定を指定します：

インターフェイス名— この例では BovpnVif.high-latency の名前を使用します。
リモート Endpoint タイプ — Firebox
ゲートウェイアドレスファミリー — IPv4 アドレス
認証メソッド — 事前共有キーの使用
ゲートウェイ Endpoint
- インターフェイス — 外部
- ローカルゲートウェイ — この Firebox の外部インターフェイスの IP アドレス (203.0.113.2))。
- リモートゲートウェイ — サイト B の Firebox における 外部-1 インターフェイスの IP アドレスこの例では 192.0.2.2 を使用します。
VPN ルート タブ — 仮想インターフェイスの IP アドレスを指定しますが、これは BOVPN 仮想インターフェイスを Link Monitor に追加する前に行う必要があります。ローカル IP アドレスはサイト B の Firebox で構成されたピア IP アドレスに一致する必要があります。ピア IP アドレスはサイト B の Firebox で構成されたローカル IP アドレスに一致する必要があります。仮想インターフェイスの IP アドレスがいかなる外部または内部ネットワークにも属さないようにしてください。

Screen shot of the Site A BOVPN virtual interface for the high latency connection

Screen shot of the virtual interfaces addresses at Site A

BOVPN 仮想インターフェイスを構成する (サイト B)

低レイテンシートンネルに以下の設定を指定します：

インターフェイス名 — BovpnVif.low-latency
リモート Endpoint タイプ — Firebox
ゲートウェイアドレスファミリー — IPv4 アドレス
認証メソッド — 事前共有キー
ゲートウェイ Endpoint
- インターフェイス — 外部-1
- ローカルゲートウェイ — この Firebox の 外部-1 インターフェイスの IP アドレス (198.51.100.2))
- リモートゲートウェイ — サイト A の Firebox における外部インターフェイスの IP アドレス (203.0.113.2)
VPN ルート タブ — 仮想インターフェイス IP アドレスを指定します。仮想 IP アドレスを設定しない限り、BOVPN 仮想インターフェイスを Link Monitor に追加することはできません。ローカル IP アドレスはサイト A の Firebox で構成されたピア IP アドレスに一致する必要があります。ピア IP アドレスはサイト A の Firebox で構成されたローカル IP アドレスに一致する必要があります。仮想インターフェイスの IP アドレスがいかなる外部または内部ネットワークにも属さないようにしてください。

Screen shot of the Site B BOVPN virtual interface for the low latency connection

Screen shot of the virtual IP address settings

高レイテンシートンネルに以下の設定を指定します：

インターフェイス名— BovpnVif.high-latency
リモート Endpoint タイプ — Firebox
ゲートウェイアドレスファミリー — IPv4 アドレス
認証メソッド — 事前共有キー
ゲートウェイ Endpoint
- インターフェイス — 外部-2
- ローカルゲートウェイ — サイト B の Firebox における 外部-2 インターフェイスの IP アドレス (192.0.2.2)。
- リモートゲートウェイ — サイト A の Firebox における外部インターフェイスの IP アドレス (203.0.113.2)。
VPN ルート タブ — 仮想インターフェイス IP アドレスを指定します。仮想 IP アドレスを設定しない限り、BOVPN 仮想インターフェイスを Link Monitor に追加することはできません。ローカル IP アドレスはサイト A の Firebox で構成されたピア IP アドレスに一致する必要があります。ピア IP アドレスはサイト A の Firebox で構成されたローカル IP アドレスに一致する必要があります。仮想インターフェイスの IP アドレスがいかなる外部または内部ネットワークにも属さないようにしてください。