Netskope GREとCisco IOS - Netskopeナレッジポータル

Netskopeは、トラフィック制御方法として、汎用ルートカプセル化（GRE）トンネルをサポートしています。GREトンネルを使用すると、ウェブトラフィック（ポート80および443）をNetskopeにルーティングできます。 Netskope GREゲートウェイで終端する論理トンネルインターフェイス。 NetskopeでGREトンネルを作成する際、トンネルの設定に必要なパラメータが提供されます。以下のGRE設定では、Cisco IOS XEのコマンドと概念を使用しています。

このガイドでは、Netskopeと以下のCiscoルーター間でGREトンネルを設定する方法を説明します。

Cisco CSR 1000v (VXE)、IOS XEバージョン17.03.03を実行中
Cisco ISR 3900 (C3900-UNIVERSALK9-M) でIOS XEバージョン15.4(3)M3を実行中

GREトンネルのインターフェースとフェイルオーバー方法を定義する必要があります。お客様個々のSLAや要件を満たすために、インターフェース、タイムアウト、しきい値などの特定のパラメータを変更できます。Cisco IOS XE の CLI 手順の詳細については、 Cisco のドキュメントを参照してください。

前提条件

GREを設定する前に、ガイドラインと前提条件を確認してください。

NetskopeでGREトンネルを作成する

Netskope UIでCiscoルーター用のGREトンネルを作成するには、「GREサイトの作成」を参照してください。

プライマリトンネルインターフェースの定義

Ciscoルーターにログインしてください。
設定モードに入ります:
```
#configure terminal
```
IDを指定してトンネルインターフェースを作成します。
```
#Interface Tunnel1
```
インターフェースのIPアドレスを入力してください。どれでもお好きなものを選んでください。
```
(config-if)#ip address 192.168.100.2 255.255.255.254
```
一意のIPアドレスを設定せずにIPパケットを処理したい場合は、代わりにIP unnumberedコマンドを使用できます。
```
(config-if)#ip unnumbered GigabitEthernet1
```
インターフェースのMSS値を入力してください。この値の計算方法については、 GRE を参照してください。
```
(config-if)#ip tcp adjust-mss 1436
```
トンネルのソースインターフェースを設定します。これは、トンネルが接続されているインターフェースです。通常はルーターのパブリックインターフェースです。
```
(config-if)#tunnel source GigabitEthernet1
```
トンネル宛先を「 Creating GRE Tunnels in Netskope」でコピーしたプライマリのNetskope POPのIPアドレスに設定してください:
```
(config-if)#tunnel destination 66.151.135.64
```

ルーター上でプライマリトンネルインターフェイスが稼働していることを確認するには、 show ip interface briefコマンドを入力します。configurationが成功した場合、 StatusとProtocolはUPになります。

Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet1       10.2.10.85      YES DHCP   up                    up
GigabitEthernet2       10.2.16.139     YES NVRAM  up                    up
Tunnel1                192.168.100.2   YES TFTP   up  up
Tunnel2                192.168.100.4   YES TFTP   up                    up
VirtualPortGroup0      192.168.35.101  YES NVRAM  up

バックアップトンネルインターフェースの定義

IDを指定してトンネルインターフェースを作成します。
```
#Interface Tunnel2
```
インターフェースのIPアドレスを入力してください。どれでもお好きなものを選んでください。
```
(config-if)#ip address 192.168.100.4 255.255.255.254
```
一意のIPアドレスを設定せずにIPパケットを処理したい場合は、代わりにIP unnumberedコマンドを使用できます。
```
(config-if)#ip unnumbered GigabitEthernet1
```
インターフェースのMSS値を入力してください。この値の計算方法については、 GRE を参照してください。
```
(config-if)#ip tcp adjust-mss 1436
```
トンネルのソースインターフェースを設定します。これは、トンネルが接続されているインターフェースです。通常はルーターのパブリックインターフェースです。
```
(config-if)#tunnel source GigabitEthernet1
```
トンネル宛先をバックアップのNetskope POPのIPアドレスに設定してください。これは NetskopeでGREトンネルを作成する際にコピーしたものです:
```
(config-if)#tunnel destination 163.116.136.185
```

ルーター上でバックアップトンネルインターフェイスが稼働していることを確認するには、 show ip interface briefコマンドを入力します。設定が成功した場合、 StatusとProtocolはUPになります。

Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet1       10.2.10.85      YES DHCP   up                    up
GigabitEthernet12      10.2.16.139     YES NVRAM  up                    up
Tunnel1                192.168.100.2   YES TFTP   up  up
Tunnel2                192.168.100.4   YES TFTP   up                    up
VirtualPortGroup0      192.168.35.101  YES NVRAM  up

ACLとルートマップの設定

ルートマップを変更して、ポート80と443のウェブトラフィックのみをGREトンネル経由でルーティングできます。

アクセス制御リスト（ACL）とルートマップを設定するには：

一致させたいトラフィックに対してACLを作成し、ルートマップを適用します。
```
(config)#access-list 10 permit tcp any any eq www
(config)#access-list 20 permit tcp any any eq 443
```
トラフィックを照合するためのルートマップを定義します。
```
(config)#route-map netskope permit 10
```
ステップ2で作成したルートマップにアクセスリストを割り当てます。
```
(config-route-map)#match ip address 2000
```
トンネルインターフェースを優先順位順に設定します。
```
(config-route-map)#set interface Tunnel1 Tunnel2
```
トラフィックの経路変更元となるインターフェースにルートマップを適用します。
```
(config-route-map)#Interface GigabitEthernet2
(config-if)#ip policy route-map netskope
```

フェイルオーバーオプションの設定

Ciscoは、プライマリGREトンネルとバックアップGREトンネル間のフェイルオーバーを自動化するための2つのオプションを提供しています。トンネル上でキープアライブを設定するか、IP SLAと組み込みイベントマネージャ（EEM）を組み合わせてフェイルオーバーを自動化できます。Netskope GREキープアライブを推奨します。設定が簡単だからです。

GREキープアライブの設定

キープアライブ用にトンネルインターフェースを設定してください（パラメータ20と5はデモンストレーション目的のみです）。それらはあなたの環境と閾値に合わせて調整する必要があります。最初のパラメータはキープアライブ期間、2番目のパラメータはキープアライブが再び成功するまでトンネルがダウン状態に移行するまでのキープアライブ再試行回数です。

Cisco GREキープアライブ規格に従って、GREキープアライブにも外部IPと内部IPが必要です。Ciscoのドキュメントを参照してください。

(config)#interface tunnel1
(config-if)#keepalive 20 5
(config-if)#interface tunnel2
(config-if)#keepalive 20 5

キープアライブを使用した GRE トンネルの監視の詳細については、 GRE を参照してください。

IP SLAとEEMを組み合わせる

プライマリおよびバックアッププローブのIPアドレスへのホストルートを、それぞれのトンネルインターフェース経由で設定します。
```
(config)#ip route 10.138.6.209 255.255.255.255 Tunnel1
(config)#ip route 10.132.6.209 255.255.255.255 Tunnel2
```
プローブにpingを実行して、到達可能性をテストしてください。

IP SLAオブジェクトを設定します。

(config)#ip sla 1
(config-ip-sla)#icmp-echo 10.138.6.209 source-interface Tunnel1
(config-ip-sla-echo)#threshold 500
(config-ip-sla-echo)#frequency 5
(config)#ip sla schedule 1 life forever start-time now
(config)#ip sla 2
(config-ip-sla)#icmp-echo 10.132.6.209 source-interface Tunnel2
(config-ip-sla-echo)#threshold 500
(config-ip-sla-echo)#frequency 5
(config)#ip sla schedule 2 life forever start-time now

IP SLAオブジェクトを追跡する。イベントマネージャーはこれを使用してフェイルオーバーをトリガーします。
```
(config)#track 1 ip sla 1
(config-track)#delay down 10 up 15
(config)#track 2 ip sla 2
(config-track)#delay down 10 up 15
```

プライマリトンネルのIP SLAに基づいてバックアップトンネルへのフェイルオーバーを可能にし、プライマリトンネルが正常に戻ったときに再開するイベントマネージャアプレットを設定します。プライマリトンネルが正常に戻ったときに再開します。

(confg)#event manager applet Primary_Tunnel_State_Down
(config-applet)#event track 1 state down
(config-applet)#action 1 wait 3
(config-applet)#action 2 cli command “enable”
(config-applet)#action 3 cli command “config t”
(config-applet)#action 4 cli command "route-map netskope-tunnel"
(config-applet)#action 5 cli command “no set interface Tunnel1 Tunnel2”
(config-applet)#action 5 cli command “set interface Tunnel2”
(confg)#event manager applet Primary_Tunnel_State_Up
(config-applet)#event track 1 state up
(config-applet)#action 1 wait 3
(config-applet)#action 2 cli command “enable”
(config-applet)#action 3 cli command “config t”
(config-applet)#action 4 cli command "route-map netskope-tunnel"
(config-applet)#action 5 cli command “no set interface Tunnel2”
(config-applet)#action 5 cli command “set interface Tunnel1 Tunnel2”

これら2つのアプレットは、主トンネルが上昇または下降する場合にのみ適用されます。フェイルオーバートンネルの状態が変化した場合、または両方のトンネルの状態がダウンした場合に実行されるアプレットをさらに定義できます。

サンプルCLI設定

以下は、Ciscoルーター向けのCLI GREトンネル設定の例です。

interface GigabitEthernet1 
 ip address dhcp
 ip nat outside
 negotiation auto
 no mop enabled
 no mop sysid
!
interface GigabitEthernet2
 ip address 10.2.16.139 255.255.255.0
 ip policy route-map netskope
 negotiation auto
 no mop enabled
 no mop sysid
!
interface Tunnel1 
 description "Primary GRE Tunnel"
 ip unnumbered GigabitEthernet1
 ip tcp adjust-mss 1436
 keepalive 20 5
 tunnel source GigabitEthernet1 
 tunnel destination 66.151.135.64
!
interface Tunnel2
 description "Backup GRE Tunnel"
 ip unnumbered GigabitEthernet1
 ip tcp adjust-mss 1436
 keepalive 20 5
 tunnel source GigabitEthernet1 
 tunnel destination 163.116.136.185
!
ip access-list extended 2000
 10 permit tcp any any eq 443
 20 permit tcp any any eq www
!
route-map netskope permit 10
 match ip address 2000
 set interface Tunnel1 Tunnel2

その他のEEMアプレットの例