![見出し画像](https://assets.st-note.com/production/uploads/images/40347030/rectangle_large_type_2_e831ca8c22a7e3bae092643bca3264e7.jpg?width=1200)
3日PoC環境の構築(2/3)vSocket on ESXi
こんにちは。
株式会社フーバーブレイン SE の香取です。
ESXi 上に仮想アプライアンスである vSocket をインストールして、3日PoC環境を構築します。ESXi環境の必要から、中古PCを買ってきました!
![画像1](https://assets.st-note.com/production/uploads/images/40345862/picture_pc_c3d652b7ed950583a169d9f1fe314797.png?width=1200)
第4世代 Core i7(Haswell)でちょっと古いのですが、メモリを 32GB,SSD 500GB を DVDドライブの形をしたマウンタで取り付けて検証PCの出来上がりです。
VMware vSphere Hypervisor 7.0(ESXi)をインストールしました。Cato Socket の VM を作り、3日PoC を行ってみたいと思います。
![画像2](https://assets.st-note.com/production/uploads/images/40345905/picture_pc_68939fe29cc69e0bd55d5acdcbc5ce5f.png?width=1200)
Cato Socket の仕様
Cato vSocket のセットアップ前に。
前回「3. ホームネットワーク型」として、NAPT を使用しているネットワークからも Cato Socket で SD-WAN への接続ができることを書きました。
一般的に Site-to-Site の VPN では IPSec が用いられ、NAPTの環境では NAT Traversal を設定しないと、うまく VPN 接続が出来ません。
ところが、Cato Socket は特にこの設定をしなくても、Cato Cloud に接続し Site-to-Site(Site-to-PoP)の VPN を展開できてしまいます。なぜでしょう?
Cato Networks の資料 Cato Networks Security as a Service を参照すると、この様に書かれています。
P.5
The Cato Socket dynamically connects to the nearest PoP across a DTLS tunnel for optimum security and efficiency.
“Cato Socket は最適なセキュリティと効率を実現するために、DTLS トンネルを介して最も近い PoP に動的に接続します。”
なるほど。DTLS を使用しているのですね。
この DTLS Tunnel のパケット構造を図にして、IPSec と比べてみましょう。
![画像3](https://assets.st-note.com/production/uploads/images/40346104/picture_pc_69c67a1cfc0eec2de49497238a0ce5fc.png?width=1200)
NAPT 環境下で IPSec を使うと「暗号化された TCP/UDP ヘッダから、NAPTで使用しているポート番号を読み出せない」という厄介な問題があります。
そのため NAT Traversal では「新UDPヘッダ」を付加し、そこにNAPTで使用しているポート番号を含めます。
DTLS Tunnel も「新UDPヘッダ(暗号化の対象外)にポート番号を含む事ができるので、NAPT 環境下でも Site-to-PoP の VPN を構築できる」と、言えますね! 実際の通信を見てみます。
![画像18](https://assets.st-note.com/production/uploads/images/40374941/picture_pc_60090562c24ee8dd93ca4df518caaed2.png?width=1200)
Socket - PoP 間に DTLSv1.2(443/udp)を使用していることが分かります。
Cato vSocket 環境の構築
先ほどセットアップした ESXi に環境を構築しました。
![画像5](https://assets.st-note.com/production/uploads/images/40346151/picture_pc_d6743ef25146c1296174d7ae7d586996.png?width=1200)
vSocket が利用可能になるまでの流れは、この様になります。
![画像6](https://assets.st-note.com/production/uploads/images/40346171/picture_pc_a7caa551157d260c6ca28058508d1119.png?width=1200)
Cato Cloud の大きな特長はクラウド側(ポータル)から、ローカルの vSocket を設定できることです。vSocket を起動すると DHCP でIPアドレスを取得して、最寄りの PoP に自動的に接続します。
まずは SD-WAN に接続。その後に詳細設定をする。
従来型の VPN 構築手順とは真逆で、何だか変な気分ですね。
しかし、慣れてしまうと Cato Cloud の方式が余程自然ですし、リモート拠点の追加時も本当に楽で気に入っています。
例えば、IT管理者の居ない支店に Cato Socket を送り、担当の方と10分ほど電話をしながら WAN 接続ということも出来てしまいます。「出張して、アプライアンスを設置して、なぜか VPN 接続がうまく行かず…」こういうのは、もう昔の話です。
1. 拠点を追加
Socketを使用するPoC、拠点・帯域をご契約いただいた際は、ポータルから拠点を追加できる様になっています。
![画像7](https://assets.st-note.com/production/uploads/images/40346239/picture_pc_152d5725ae8583606382f90074ee5fa4.png?width=1200)
+ ボタン(Add a new Site)をクリックして拠点を追加します。
![画像8](https://assets.st-note.com/production/uploads/images/40346290/picture_pc_50294335bb8d0dcf2a60080c4d30ab1c.png)
この様に拠点を追加します。今回は PoC / デモ用のブランチで、ESXi 用の vSocket を指定しています。また、Cato Clooud に接続する拠点 LAN は 10.10.10.0/24 にしました。
2. シリアル番号を確認する
クラウドに拠点の vSocket を登録したので、そのシリアル番号を取得します。Cato Cloud はこのシリアル番号により、インターネットに接続された Socket / vSocket が「どの契約の、どの拠点のもの?」を識別しています。
先ほどのポータル画面でスパナのアイコン(Edit Sites)をクリックします。
![画像9](https://assets.st-note.com/production/uploads/images/40346332/picture_pc_0068ac59d9d451d538447bbc43785ae3.png?width=1200)
図中の「XX-XX-XX-XX-XX-XX」がシリアル番号です。Cato vSocket のセットアップ時に必要となるため、控えておきます。
3. vSocket ダウンロード
Knowledge Base で「vSocket Download」で検索して見つけた「Configuring an ESXi vSocket Site」というページの解説を読み、vSocket の OVA をダウンロードしました。
![画像10](https://assets.st-note.com/production/uploads/images/40346412/picture_pc_e03adcc72dd71637c7109148fd06002f.png?width=1200)
私がダウンロードしたものは 60MB くらいでした(ファイルサイズは、その時点のバージョンにより異なります)。
4. ネットワークの追加
vSocket をインストールする前に、ESXi にネットワークを追加しておきましょう。先ほど設定した 10.10.10.0/24 を使用するネットワークです。
ESXi のネットワークの追加は、仮想スイッチ→ポートグループの順ですね。よって、この様にしました。
【仮想スイッチ】vSwitchCato
【ポートグループ】Cato Network
![画像11](https://assets.st-note.com/production/uploads/images/40346439/picture_pc_0317ab43a88557e40c40fc22b832b4ba.png?width=1200)
5. vSocket 構築
引き続き ESXi で「仮想マシン / 仮想マシンの作成/登録」を実行します。OVA ファイルから、vSocket を構築しましょう。
![画像12](https://assets.st-note.com/production/uploads/images/40346470/picture_pc_4d935519d13e57546799c68974ce0b60.png?width=1200)
仮想マシン名を付け(私は vSocket としました)OVA をアップロードし、セットアップ先のストレージを選択…と進めて行きます。
そして、ネットワークの設定です。
【LAN1】Cato Cloud から見たときの vSocket(10.10.10.1)
【LAN2】マネージメント用
【WAN1】インターネット
【WAN2】インターネット(今回は未使用)
この様に使用しますので、私の設定は下図の通りです。
![画像13](https://assets.st-note.com/production/uploads/images/40346497/picture_pc_61e9e9352d220121ac81d9728021acdd.png?width=1200)
少しややこしいですね。特に LAN2!「LAN なのに WAN と同じネットワーク?」と混乱します。
これは通常使用している LAN(VM Network : NAPT 環境)に、更に Cato Cloud 用の LAN を構築しているためです。
「5 その他の設定」でシリアル番号を登録します。先ほどの「XX-XX-XX-XX-XX-XX」です。うっかり設定し忘れて構築をしてしまうと、仮想マシンを消して最初からやり直すことになります。忘れずに設定しておきましょう(実は1回、この操作を飛ばしてしまい…)。
![画像14](https://assets.st-note.com/production/uploads/images/40346513/picture_pc_a8cfc3a02d9a6edced8bde9194870c65.png?width=1200)
構築完了です!起動してみましょう。vSocket の ESXi からの操作は基本的に起動とシャットダウンくらいです。
![画像19](https://assets.st-note.com/production/uploads/images/40425747/picture_pc_0c26a0566af571195f3c314ec3acc339.png?width=1200)
6. 確認
管理ポータルにアクセスします。いま構築した vSocket があります!
拠点を選択し、Configuration で vSocket の管理画面にアクセスして詳細設定をします。
![画像15](https://assets.st-note.com/production/uploads/images/40346573/picture_pc_d6a9e1c4498065861888e5cbf3f6e361.png?width=1200)
先ほど述べた「まず、SD-WAN に接続。その後に詳細設定をする」というのが、これです。vSocket は手元にあるのに、クラウドを経由して…と考えると変ですが、手元では無い遠隔地にあると考えれば、これはとても便利です。
![画像16](https://assets.st-note.com/production/uploads/images/40346628/picture_pc_2ded84d1e891dcae25a452a516776ee1.png?width=1200)
![画像17](https://assets.st-note.com/production/uploads/images/40346634/picture_pc_eab99ef0cd3aa1936c8585f3f5074726.png)
LAN 02, WAN 01(共に VM Network)が DHCP から受け取ったIPアドレスでしたので、固定のプライベートアドレスに変更しました。
実は Cato Cloud を介さなくても、直接 vSocket の管理画面にアクセスできます。場面に応じて使い分けが可能です。
その後も良い感じで動作しています。3日PoC環境の構築が完了です!
次回はモバイルクライアントから、この拠点にアクセスをしてみます。
Cato Cloud PoC 用の環境設計やシナリオの作成支援など、ぜひお気軽にご相談ください。
![画像18](https://assets.st-note.com/production/uploads/images/40346768/picture_pc_08ca49dc2050aa6e1642be93746e1803.png)
この記事が気に入ったらサポートをしてみませんか?