- 目 次 - 1 はじめに 本 資 料 について 目 的 対 象 凡 例 Citrix Networking for AWS の 基 本 的 な 考 え 方 AWS で 利 用 できる Citr

Transcription

1 Citrix Networking for AWS ベスト プラクティス ガイド Ver 年 6 月 シトリックス システムズ ジャパン 株 式 会 社

2 - 目 次 - 1 はじめに 本 資 料 について 目 的 対 象 凡 例 Citrix Networking for AWS の 基 本 的 な 考 え 方 AWS で 利 用 できる Citrix のネットワーキング 製 品 NetScaler VPX CloudBridge VPX Branch Repeater for CloudBridge AWS での 利 用 方 式 従 量 課 金 方 式 BYOL (Bring Your Own License) 方 式 AWS で 実 現 可 能 なソリューション 広 域 負 荷 分 散 (GSLB) で 拠 点 の 冗 長 クラウド 間 の 接 続 および 通 信 の 高 速 化 クラウドのセキュリティを 強 化 VPC (Virtual Private Cloud) 概 要 リージョンについて AZ (Availability Zone)について VPC の 範 囲 について

3 3.2 VPC の 作 成 VPC の 構 成 CIDR Block と Public Subnet について Security Group について Elastic IP (EIP)について Route Tables について Internet Gateway について Network ACL について Elastic Network Interface (ENI)について サブネットについて IAM アカウントの 作 成 IAM アカウントとは Citrix ネットワーキング 製 品 の 制 御 に 必 要 なポリシー インスタンスの 起 動 インスタンスの 起 動 方 法 AWS Marketplace で 起 動 する 方 法 Amazon EC2 API Tools で 起 動 する 方 法 インスタンスの 種 類 インスタンスの 利 用 形 式 従 量 課 金 方 式 BYOL 方 式 インスタンスのタイプ 利 用 できるインスタンスタイプの 一 覧 AWS Marketplace でインスタンスを 作 成 する 際 の 注 意 点 Amazon EC2 API Tools でインスタンスを 起 動 するまでの 流 れ

4 5.6.1 Amazon EC2 API Tools の 準 備 Amazon EC2 API Tools の CLI コマンドを 実 行 ライセンスについて ライセンスの 取 得 ライセンスの 種 類 評 価 版 ライセンスについて 評 価 版 ライセンスの 仕 様 評 価 版 ライセンス 取 得 までの 流 れ ライセンスのインストール ライセンスの 入 替 NetScaler の 基 本 設 定 初 期 設 定 IP アドレス IP アドレス 設 定 時 の 注 意 点 デフォルトルート デフォルトルート 設 定 時 の 注 意 点 PBR (Policy Base Routing)の 設 定 MBF (Mac Base Forwarding)の 有 効 化 NetScaler/CloudBridge for AWS の 制 限 事 項 NetScaler で 負 荷 分 散 負 荷 分 散 の 概 要 負 荷 分 散 設 定 のコンポーネント 負 荷 分 散 の 構 成 例 同 じリージョン 同 じ AZ のサーバを 負 荷 分 散 同 じリージョン 異 なる AZ のサーバを 負 荷 分 散

5 8.3.3 異 なるリージョンのサーバを 負 荷 分 散 オンプレミス DC のサーバを 負 荷 分 散 NetScaler の 冗 長 構 成 冗 長 構 成 の 概 要 冗 長 構 成 例 冗 長 構 成 のポイント フェイルオーバーの 条 件 フェイルオーバーの 動 作 冗 長 構 成 の 制 限 事 項 GSLB ( 広 域 負 荷 分 散 )で 拠 点 冗 長 GSLB の 概 要 GSLB で 利 用 される 技 術 GSLB の 動 作 例 GSLB の 構 成 例 AWS AZ 間 の 拠 点 冗 長 AWS リージョン 間 の 拠 点 冗 長 AWS とオンプレミス DC 間 の 拠 点 冗 長 GSLB 設 定 のコンポーネント クラウド/データセンター 間 の 接 続 CloudBridge の 概 要 CloudBridge で 利 用 される 技 術 CloudBridge の 構 成 例 AWS のリージョン 間 を 接 続 AWS とオンプレミス DC 間 を 接 続 複 数 の 拠 点 間 を 接 続

6 11.4 CloudBridge 設 定 のポイント CloudBridge の 制 限 事 項 クラウド/データセンター 間 の 高 速 化 Branch Repeater の 概 要 Branch Repeater の 製 品 ラインナップ Branch Repeater で 使 用 される 技 術 Branch Repeater + NetScaler/CloudBridge の 動 作 例 Branch Repeater の 構 成 例 AWS のリージョン 間 の 通 信 を 高 速 化 AWS とオンプレミス DC 間 の 通 信 を 高 速 化 AWS と 複 数 のオンプレミス DC 間 の 通 信 を 高 速 化 Branch Repeater の 設 定 ポイント NetScaler の 設 定 ポイント Branch Repeater for CloudBridge の 制 限 事 項 Branch Repeater 導 入 の 効 果 ( 検 証 結 果 ) 検 証 構 成 検 証 方 法 検 証 結 果

7 1 はじめに 1.1 本 資 料 について 本 資 料 は Citrix Systems 社 のネットワーキング 製 品 を AWS に 導 入 するための ベスト プラクティス ガイドです ソリューション 別 に 設 計 思 想 推 奨 構 成 お よび 制 限 事 項 等 について 記 載 しています 具 体 的 な 設 定 方 法 等 は 別 紙 Citrix Networking for AWS ステップ バイ ステップガイド を 参 照 してください なお 本 資 料 は 弊 社 の 正 式 な 技 術 サポート 文 書 ではありません そのため この 文 書 の 記 述 に 関 して 弊 社 技 術 部 門 が 皆 様 のご 質 問 を 直 接 お 答 えすることはで きません あくまでも 皆 様 の 構 築 作 業 の 補 助 的 な 資 料 という 位 置 づけのため このような 対 応 とさせていただきます ご 了 承 の 上 本 資 料 をご 覧 になられるこ とを 理 解 ください 1.2 目 的 本 資 料 および 別 紙 Citrix Networking for AWS ステップ バイ ステップガイ ド を 活 用 することで Citrix Systems 社 のネットワーキング 製 品 を 利 用 した AWS 上 のネットワークインフラの 最 適 化 を 技 術 的 に 支 援 します 1.3 対 象 Citrix Systems 社 のネットワーキング 製 品 を 利 用 して AWS 上 のネットワークイ ンフラの 最 適 化 を 検 討 されているお 客 様 及 びパートナー 様 を 対 象 としています 尚 クラウド 及 びロードバランサの 基 本 的 な 知 識 を 有 することを 想 定 しておりま す 1.4 凡 例 7

8 2 Citrix Networking for AWS の 基 本 的 な 考 え 方 2.1 AWS で 利 用 できる Citrix のネットワーキング 製 品 NetScaler VPX アプリケーションの 配 信 を 最 適 化 する NetScaler の 仮 想 アプライアンスで す 主 に 以 下 の 機 能 を 提 供 します L4/L7 負 荷 分 散 や GSLB( 広 域 負 荷 分 散 ) 機 能 SSL オフロード 機 能 HTTP 圧 縮 やコンテンツキャッシュの 最 適 化 機 能 ハイブリッドクラウドを 構 築 する CloudBridge 機 能 SSL-VPN や WAF のセキュリティ 強 化 機 能 CloudBridge VPX クラウドやデータセンター 間 をシームレスかつセキュアに 接 続 する CloudBridge の 仮 想 アプライアンスです 主 に 以 下 の 機 能 を 提 供 します ハイブリッドクラウドを 構 築 する CloudBridge 機 能 L4/L7 負 荷 分 散 や GSLB( 広 域 負 荷 分 散 ) 機 能 SSL オフロード 機 能 Branch Repeater for CloudBridge クラウドやデータセンター 間 の 通 信 を 高 速 化 する Branch Repeater の 仮 想 アプライアンスです 主 に 以 下 の 機 能 を 提 供 します 拠 点 間 通 信 の 高 速 化 QoS 2.2 AWS での 利 用 方 式 従 量 課 金 方 式 Software および EC2 利 用 料 を AWS へお 支 払 いいただく 方 式 です 簡 単 に 始 められるメリットがありますが 国 内 で Citrix のサポートは 受 けられませ んのでご 注 意 ください サポートは 米 国 Citrix の 英 語 によるサポートです BYOL (Bring Your Own License) 方 式 Citrix Systems 社 の 代 理 店 からライセンスを 購 入 していただき EC2 利 用 8

9 料 のみを AWS へお 支 払 いいただく 方 式 です Software 利 用 料 はかかりませ ん また 国 内 で Citrix のサポートが 受 けられます 2.3 AWS で 実 現 可 能 なソリューション 広 域 負 荷 分 散 (GSLB) で 拠 点 の 冗 長 クラウド 間 の 接 続 および 通 信 の 高 速 化 クラウドのセキュリティを 強 化 9

10 3 VPC (Virtual Private Cloud) 3.1 概 要 VPC とは AWS に 構 築 できる 仮 想 プライベートクラウドです IP アドレスやル ーティング 等 を 自 由 に 設 計 することができます Citrix のネットワーキング 製 品 は 複 数 の IP アドレスを 所 有 する 必 要 があるため VPC 上 で 構 築 する 必 要 があり ます EC2-Classic では 構 築 出 来 ません リージョンについて 現 在 AWS には 世 界 中 に 8 つのリージョンが 存 在 しています どのリージ ョンで VPC を 作 成 するかを 検 討 します AZ (Availability Zone)について リージョン 内 に 存 在 する AWS の 拠 点 です 現 在 東 京 リージョンには 複 数 の AZ が 存 在 しています VPC の 範 囲 について VPC はリージョンを 跨 ぐことが 出 来 ない VPC は 複 数 の AZ に 跨 ぐことが 出 来 る 3.2 VPC の 作 成 以 下 の URL でも 詳 細 をご 確 認 頂 けます izard.html 10

11 3.2.1 VPC の 構 成 一 般 的 なロードバランサの 用 途 であれば VPC with a Single Public Subnet Only を 選 択 します CIDR Block と Public Subnet について CIDR Block は VPC 全 体 のネットワークアドレスのブロックを 指 定 します 後 から 変 更 することが 出 来 ませんのでアドレス 設 計 にご 注 意 ください Public Subnet は サブネットワークを 指 定 します CIDR Block のアドレ ス 範 囲 内 であれば 後 から 追 加 修 正 することが 可 能 です その 後 このサブネットワークが 所 属 する AZ (Availability Zone)も 指 定 し ます Security Group について Security Group では インスタンスの Inbound と Outboud のアクセス 制 御 を 行 います アクセス 制 御 では 許 可 するトラフィックを 明 示 的 に 指 定 しま す デフォルトのセキュリティグループは ローカルサブネット 内 の 通 信 の み 許 可 しています シトリックスのネットワーキング 製 品 では 以 下 の Security Group を 設 定 することを 推 奨 しています 尚 提 供 するサービスによっては 追 加 の 設 定 が 必 要 です NetScaler / CloudBridge (1) Inbound Protocols Port Source 備 考 SSH /0 HTTP /0 HTTPS /0 TCP /0 HA/GSLB の 制 御 パケット 用 TCP /0 UDP /0 UDP /0 UDP /0 UDP /0 UDP /0 UDP /0 HA のハートビート 用 11

12 (2) Outbound Protocols Port Source 備 考 ALL /0 Branch Repeater for CloudBridge (1) Inbound Protocols Port Source 備 考 ALL /0 (2) Outbound Protocols Port Source 備 考 ALL / Elastic IP (EIP)について Elastic IP とは インスタンスに 紐 付 けることが 可 能 なグローバル IP アド レスです NetScaler / CloudBridge では 以 下 の 用 途 で 一 般 的 に 2 つの Elastic IP が 必 要 です (1) VIP (Virtual IP) クライアントからのリクエストを 受 けるサービス 提 供 用 の IP アドレス です 一 般 的 には FQDN に 紐 付 いたグローバル IP アドレスです (2) NSIP (NetScaler IP) NetScaler の 管 理 IP アドレスです インターネットから 直 接 NetScaler の 管 理 コンソールへログインする 場 合 に 必 要 です また 冗 長 構 成 での フェイルオーバー 時 には AWS の API サーバとの 通 信 で 利 用 します Elastic IP は VPC/EC2 の 管 理 コンソールで 制 御 します Citrix のネ ットワーキング 製 品 側 ではプライベート IP アドレスのみ 設 定 します VPC/EC2 側 で 自 動 的 にプライベート IP グローバル IP の 変 換 が 行 わ れます デフォルトでは 1AWS アカウントにつき 5 つの EIP を 作 成 できます 追 加 で 必 要 な 場 合 は AWS へ 上 限 規 制 緩 和 を 申 請 する 必 要 があります Elastic IP の 代 替 手 段 として NAT インスタンスを 利 用 することも 可 12

13 能 です Route Tables について Route Tables では VPC のルーティングを 管 理 します デフォルトでは 以 下 のルーティングテーブルが 存 在 します Destination Target CIDR Block で 指 定 したアドレスレンジ Local /0 Internet Gateway VPC の 異 なる AZ 間 のルーティングは VPC ルータがルーティングします Internet Gateway について インターネットおよび 他 のリージョンや VPC と 通 信 するためには Internet Gateway を 利 用 する 必 要 があります VPC 作 成 時 に Internet Gateway が 自 動 的 に 作 成 され デフォルトゲートウェイとして 設 定 されます Network ACL について Network ACL はサブネットに 適 用 されるアクセス 制 御 です 明 示 的 に 許 可 および 拒 否 するルールを 作 成 します ステートレスのため 戻 りのトラフィ ック 用 のルールも 作 成 する 必 要 があります デフォルトでは 以 下 の Network ACL が 設 定 されています (1) Inbound Rule Port Protocol Source Allow/Deny 100 ALL ALL /0 Allow * ALL ALL /0 Deny (2) Outbound Rule Port Protocol Source Allow/Deny 100 ALL ALL /0 Allow * ALL ALL /0 Deny Elastic Network Interface (ENI)について Elastic Network Interface とは インスタンスに 紐 付 いた Network Interface です あるインスタンスの ENI を 別 のインスタンスに 紐 付 け ることも 可 能 です (デフォルト ENI は 変 更 不 可 ) 13

14 Elastic Network Interface の 構 成 要 素 は 以 下 の 通 りです (1) Primary のプライベート IP アドレスが 設 定 されている (2) 複 数 の Secondary のプライベート IP アドレスも 設 定 できる (3) Elastic IP アドレスを 紐 付 けられる (4) MAC アドレスを 有 する (5) 特 定 の Security Group に 所 属 する (6) Description( 説 明 ) (7) Source / Destination check flag がデフォルトで 有 効 インスタンスに 紐 付 けられる ENI の 数 および ENI 毎 に 設 定 可 能 なプラ イベート IP アドレスは インスタンスタイプによって 異 なります ENI の 追 加 変 更 ( 付 け 替 え) 削 除 は 以 下 の 手 順 で 行 う 必 要 があります 1 インスタンスの 停 止 2 ENI の 追 加 削 除 3 インスタンスの 起 動 ある AZ の ENI は 別 の AZ に 所 属 するインスタンスに 付 け 替 えるこ とは 出 来 ません サブネットについて NetScaler/CloudBridge は 3 つのサブネットに 分 けて 構 成 することを 推 奨 し ています 全 てのサブネットは 同 一 の AZ に 所 属 している 必 要 があります (1) 3 つのサブネットで 構 成 推 奨 構 成 管 理 用 サブネット 管 理 用 アクセスおよび 冗 長 構 成 時 の 通 信 制 御 用 セグメント 14

15 クライアント 側 サブネット クライアントからのリクエストを 受 けるサービス 提 供 用 セグメント サーバ 側 サブネット バックエンドのサーバが 存 在 するセグメント (2) 2 つのサブネットで 構 成 管 理 用 サブネット 管 理 用 アクセスおよび 冗 長 構 成 時 の 通 信 制 御 用 セグメント クライアント/サーバ 側 サブネット クライアント 側 とサーバ 側 を 同 一 のサブネットで 構 成 15

16 (3) 1 つのサブネットで 構 成 管 理 用 /クライアント/サーバ 側 サブネット 全 てを 同 一 サブネットで 構 成 冗 長 構 成 が 組 めない Branch Repeater では 1 つのサブネットのみ 構 成 可 能 です (1) 1 つのサブネットで 構 成 NetScaler / CloudBridge のバックエンドに 相 当 するサーバ 側 セグメン トで 構 成 管 理 アクセスも 同 セグメントで 行 う 16

17 4 IAM アカウントの 作 成 4.1 IAM アカウントとは AWS で Citrix ネットワーキング 製 品 を 利 用 するためには IAM アカウントを 作 成 する 必 要 があります IAM アカウントとは ポリシーによって 特 定 のオペレ ーションが 許 可 されているユーザおよびグループです 4.2 Citrix ネットワーキング 製 品 の 制 御 に 必 要 なポリシー ec2-attachnetworkinterface ec2-describeinstances ec2-describenetworkinterfaces ec2-detachnetworkinterface 17

18 5 インスタンスの 起 動 5.1 インスタンスの 起 動 方 法 インスタンスは 以 下 の 方 法 で 起 動 することが 出 来 ます AWS Marketplace で 起 動 する 方 法 AWS Marketplace でインスタンスを 起 動 することが 出 来 ます ウィザード 形 式 で 進 められるため インスタンス 起 動 までのプロセスが 非 常 にわかりや すいです しかし 起 動 するインスタンスの ENI の 数 は 2 つまでしか 指 定 出 来 ません 従 って 3 つ 以 上 の ENI が 必 要 な NetScaler/CloudBridge は インスタン ス 起 動 後 に ENI を 追 加 する 必 要 があります Amazon EC2 API Tools で 起 動 する 方 法 Amazon EC2 API Tools でインスタンスを 起 動 することが 出 来 ます Windows /Linux 端 末 に API Tools や 各 種 キーをインストール 後 CLI コマ ンドでインスタンスを 起 動 します 初 回 は 事 前 準 備 が 必 要 ですが 次 回 以 降 は 非 常 に 簡 単 にインスタンスを 起 動 出 来 ます また 3 つ 以 上 の ENI を 指 定 してインスタンスを 起 動 出 来 ます 5.2 インスタンスの 種 類 AWS で 利 用 出 来 る Citrix ネットワーキング 製 品 のインスタンスは 以 下 の 通 りで す NetScaler VPX CloudBridge VPX Branch Repeater for CloudBridge 最 新 の 情 報 は 以 下 のリンク 先 でご 確 認 ください d5e1d5aca7 5.3 インスタンスの 利 用 形 式 従 量 課 金 方 式 Customer Licensed の 記 載 がないインスタンスです Branch Repeater 18

19 for CloudBridge は 従 量 課 金 方 式 では 利 用 できません BYOL 方 式 Customer Licensed の 記 載 があるインスタンスです Branch Repeater for CloudBridge は BYOL 方 式 のみご 利 用 できます 従 量 課 金 または BYOL で 起 動 したインスタンスの 利 用 方 式 を 後 から 変 更 することは 出 来 ません 新 しくインスタンスを 起 動 し 直 す 必 要 があります 5.4 インスタンスのタイプ 利 用 できるインスタンスタイプの 一 覧 2vCPU と 2GB RAM が 必 須 です Branch Repeater for CloudBridge は M1.large のみ 対 応 しています インスタンス 起 動 後 インスタンスタイプの 変 更 は 可 能 です 5.5 AWS Marketplace でインスタンスを 作 成 する 際 の 注 意 点 作 成 できる ENI の 数 は 2 つ 以 下 です (3 つ 以 上 必 要 な 場 合 は インスタンス 作 成 後 に 追 加 します) Software / EC2 の 料 金 体 系 を 確 認 します インスタンスを 起 動 するリージョンに 注 意 します Launch with EC2 Console のみ 対 応 しています(1-Click Launch には 対 応 し ていません) 必 ず EC2-VPC で 起 動 します EC2-Classic では 起 動 できません 5.6 Amazon EC2 API Tools でインスタンスを 起 動 するまでの 流 れ 19

20 詳 細 は 以 下 のリンク 先 でもご 確 認 頂 けます mi-gui-cli-con.html Amazon EC2 API Tools の 準 備 (1) Amazon EC2 API Tools のダウンロード (2) X.509 証 明 書 ファイルと X.509 秘 密 鍵 のダウンロード (3) Windows/Linux 端 末 に Amazon EC2 API Tools 環 境 を 設 定 Amazon EC2 API Tools の CLI コマンドを 実 行 ( 例 ) ec2-run-instances ami-bd2986d4 -n 1 -t m1.large -k abc_keypair -a :0:subnet-15fa057e:"NSIP": a :1:subnet-1547ba7e:"CLIENT-SIDE :::: , , , , , , , , a :2:subnet-cc47baa7:"SERVER-SIDE": :::: , , , , , , , , コマンド/オプション パラメータ( 例 ) インスタンスを 起 動 するコマンド ec2-run-instances ami-bd2986d4 インスタンスを 起 動 するコマンド -n 1 インスタンスの 数 -t m1.large インスタンスタイプ -k abc_keypair Key pair ファイル -a 0 作 成 する ENI subnet-15fa057e "NSIP" 所 属 する Subnet ニックネーム IP アドレス 必 要 な ENI 分 を 同 様 に 作 成 20

21 6 ライセンスについて 6.1 ライセンスの 取 得 ライセンスは Citrix Systems 社 の 代 理 店 よりご 購 入 ください 6.2 ライセンスの 種 類 製 品 エディション 備 考 CloudBridge VPX 10 - Branch Repeater VPX 10 付 属 CloudBridge VPX Branch Repeater VPX 45 付 属 NetScaler VPX 10 Standard Enterprise Platinum Branch Repeater VPX 10 付 属 NetScaler VPX 200 Standard Enterprise Platinum Branch Repeater VPX 45 付 属 NetScaler VPX 1000 Standard Enterprise Platinum Branch Repeater VPX 100 付 属 6.3 評 価 版 ライセンスについて NetScaler の 評 価 を 目 的 とした 評 価 版 ライセンスもご 利 用 頂 けます 評 価 版 ライセンスの 仕 様 製 品 名 :NetScaler VPX 1000 Platinum Edition 有 効 期 間 :90 日 間 評 価 版 ライセンス 取 得 までの 流 れ (1) My Account( 旧 MyCitrix)の 作 成 (2) 下 記 に 必 要 事 項 を 入 力 (3) My Account( 旧 MyCitrix)にログイン 21

22 ツールボックスの 選 択 ライセンス 管 理 割 り 当 て 製 品 が 表 示 されない 場 合 ポップアップウインドウに 入 手 したライセンスコードを 入 力 ホスト ID を 入 力 ホスト ID は 以 下 の 53 ページ Obtaining the Host ID ライセンスのインストール ライセンスは GUI または CLI からインストールできます 詳 細 は 別 紙 ステッ プ バイ ステップ ガイド を 参 照 してください 6.5 ライセンスの 入 替 ライセンスを 入 れ 替 えることで インスタンスの 機 能 強 化 およびパフォーマンス を 上 げることが 出 来 ます ライセンスをインストール 後 再 起 動 することで 新 し いライセンスが 適 用 されます 22

23 7 NetScaler の 基 本 設 定 7.1 初 期 設 定 ホスト 名 パスワード Time Zone 等 の 初 期 設 定 は 別 紙 ステップ バイ ステ ップ ガイド または Citrix のオンラインマニュアルを 参 照 してください IP アドレス 以 下 の IP アドレスを 設 定 します (1) NSIP (NetScaler IP) NetScaler の 管 理 IP アドレスです 管 理 アクセスやシステム 制 御 用 に 利 用 します また 冗 長 構 成 でのフェイルオーバー 時 には AWS の API サーバとの 通 信 で 利 用 します (2) VIP (Virtual IP) クライアントからのリクエストを 受 けるサービス 提 供 用 の IP アドレス です 一 般 的 には FQDN に 紐 付 いたグローバル IP アドレスです (3) SNIP (Subnet IP) NetScaler/CloudBridge がバックエンドのサーバと 通 信 する 際 に 利 用 す る 送 信 元 IP アドレスです 複 数 のサブネットが 存 在 する 場 合 サブネ ット 毎 に SNIP を 設 定 します AWS では 同 一 AZ/VPC 上 のインスタ ンスとの 通 信 時 に 送 信 元 IP アドレスとして 利 用 されます (4) MIP (Mapped IP) NetScaler/CloudBridge がバックエンドのサーバと 通 信 する 際 に 利 用 す る 送 信 元 IP アドレスです AWS では 異 なる AZ/VPC 上 のインスタン スとの 通 信 時 に 送 信 元 IP アドレスとして 利 用 されます 23

24 7.2.1 IP アドレス 設 定 時 の 注 意 点 第 4 オクテットの x.x.x.1~.4 は AWS で 予 約 済 みのため 使 用 できません EIP には 関 知 しません AWS の 管 理 コンソールで 制 御 する 必 要 がありま す (Citrix ネットワーキング 製 品 にはプライベート IP のみ 設 定 ) 7.3 デフォルトルート デフォルトルートは 管 理 用 サブネットまたはクライアント 側 サブネットの VPC ルータを 指 定 します 推 奨 構 成 は 管 理 用 サブネットのルータを Next Hop とするデフォルトルートを 作 成 します 次 項 の 注 意 点 に 対 処 するため VIP 用 通 信 に PBR を 作 成 します 24

25 7.3.1 デフォルトルート 設 定 時 の 注 意 点 特 定 のサブネットに 属 する IP アドレスを 送 信 元 とする 場 合 そのサブネ ットに 属 する VPC ルータのみデフォルトルートとして 使 用 可 能 例 :NetScaler がクライアントへレスポンスを 帰 すときの 送 信 元 IP はクラ イアント 側 サブネットに 属 する VIP となる その 場 合 クライアント 側 サ ブネットの VPC ルータのみをデフォルトルートとして 使 用 可 能 ( 管 理 用 サブネットの VPC ルータをデフォルトルートとして 使 用 出 来 ない) 第 4 オクテットが x.x.x.1 の IP アドレスは 各 サブネットのデフォルトゲ ートウェイとなり 得 る AWS 側 のルータです PBR (Policy Base Routing)の 設 定 ポリシーに 基 づいて 強 制 的 にルーティングを 制 御 します PBR はルーティ ングテーブルよりも 優 先 されます 1 デフォルトルートがクライアント 側 サブネットの 場 合 2 デフォルトルートが 管 理 用 サブネットの 場 合 25

26 7.3.3 MBF (Mac Base Forwarding)の 有 効 化 NetScaler が 入 力 トラフィックのインタフェースや MAC アドレスを 記 録 す ることで 戻 りのトラフィックも 同 じインタフェースから 出 力 させることが できる 機 能 です 1 デフォルトルートがクライアント 側 サブネットの 場 合 2 デフォルトルートが 管 理 用 サブネットの 場 合 7.4 NetScaler/CloudBridge for AWS の 制 限 事 項 以 下 の 機 能 は 利 用 出 来 ません L2 モード Tagged VLAN GARP クラスタリング 26

27 8 NetScaler で 負 荷 分 散 8.1 負 荷 分 散 の 概 要 NetScaler の 中 心 的 な 機 能 が L4/L7 負 荷 分 散 機 能 です 8.2 負 荷 分 散 設 定 のコンポーネント (1) Virtual Server VIP + ポート 番 号 + プロトコル のエンティティです 負 荷 分 散 メソッ ドやパーシステンス 様 々なポリシーを 設 定 します 原 則 として 全 てのク ライアントは Virtual Server にリクエストを 送 信 します (2) Service サーバの IP アドレス + ポート 番 号 + プロトコル のエンティティです ヘルスチェックやサーバ 固 有 の 設 定 をします Service は Virtual Server に 紐 付 けます (3) Server サーバの IP アドレスです Server は Service に 紐 付 いています 8.3 負 荷 分 散 の 構 成 例 同 じリージョン 同 じ AZ のサーバを 負 荷 分 散 27

28 最 もシンプルな 構 成 遅 延 が 非 常 に 少 ない AZ 内 の 通 信 はデータ 転 送 料 が 不 要 同 じリージョン 異 なる AZ のサーバを 負 荷 分 散 AZ 間 は AWS の 専 用 線 で 接 続 されているため 遅 延 は 少 ない AZ 間 の 通 信 にはデータ 転 送 料 が 発 生 AZ 間 の 通 信 には MIP の 設 定 が 必 要 異 なるリージョンのサーバを 負 荷 分 散 28

29 リージョン 間 はインターネット 接 続 となるため 遅 延 が 大 きい リージョン 間 の 通 信 にはデータ 転 送 料 が 発 生 リージョン 間 の 通 信 には MIP の 設 定 が 必 要 非 推 奨 構 成 (GSLB の 利 用 を 推 奨 ) オンプレミス DC のサーバを 負 荷 分 散 AWS とオンプレミスのロケーション 次 第 では 遅 延 が 発 生 ハイブリッドクラウドを 実 現 29

30 9 NetScaler の 冗 長 構 成 9.1 冗 長 構 成 の 概 要 NetScaler では Primary / Secondary の 冗 長 構 成 を 組 むことが 可 能 です 正 常 時 は Primary がトラフィックを 処 理 し 障 害 時 にはフェイルオーバーしてセカン ダリへ 切 替 わります 9.2 冗 長 構 成 例 9.3 冗 長 構 成 のポイント デフォルト ENI は 管 理 セグメントに 所 属 Secondary は 管 理 セグメントのみに 接 続 ハートビート 送 信 やコンフィグ 同 期 等 は 管 理 セグメントのみで 行 われる 管 理 セグメントにはサービス 用 のトラフィックを 流 さないこと NSIP は 外 部 の AWS API サーバとの 接 続 性 が 必 要 NetScaler に AccessKey/SecretKey が 入 っていること フェイルオーバーには 約 20~40 秒 かかる 9.4 フェイルオーバーの 条 件 Primary / Secondary 間 で 相 互 にハートビートを Hello Interval の 間 隔 で 送 信 し 続 けます Secondary が Hold Timer 経 過 後 もハートビートを 受 信 しなくなった 30

31 ら フェイルオーバーが 開 始 されます ハートビート - Hello Interval : 200msec(デフォルト 値 ) - Hold Timer : 3sec(デフォルト 値 ) 仮 に 元 Primary が 復 旧 しても 自 動 的 なフェイルバックは 発 生 しません 手 動 で 切 戻 す 必 要 があります 9.5 フェイルオーバーの 動 作 (1) 死 活 監 視 で Primary の 異 常 を 検 知 (2) AWS API サーバへ ENI の 移 行 を 依 頼 (3) ENI の 移 行 が 行 われる デフォルト ENI は 変 更 なし 31

32 (4) フェイルオーバーの 完 了 9.6 冗 長 構 成 の 制 限 事 項 Primary/Secondary は 同 一 の AZ 内 に 存 在 する 必 要 あり 2 つ 以 上 のサブネットを 構 成 する 必 要 あり(1 つは 管 理 用 ) 冗 長 構 成 を 設 定 する 場 合 Primary に 2 つ 以 上 の ENI が 必 要 冗 長 構 成 を 解 除 する 場 合 Secondary 側 から 行 うこと INC (Independent Network Configuration )モードは 正 常 に 動 作 しない 32

33 10 GSLB ( 広 域 負 荷 分 散 )で 拠 点 冗 長 10.1 GSLB の 概 要 NetScaler の GSLB 機 能 を 使 うことで AWS のリージョンや AZ 間 およびオ ンプレミスのデータセンター 間 で 拠 点 冗 長 を 実 現 できます また DR 対 策 とし て 活 用 することも 可 能 です 10.2 GSLB で 利 用 される 技 術 GSLB は DNS ベースのソリューションです クライアントが WEB アクセスす る 前 に DNS の 名 前 解 決 が 行 われます NetScaler は 最 適 な 拠 点 の IP アドレス をクライアントに 返 すことで GSLB を 実 現 しています GSLB では 各 拠 点 の NetScaler が 相 互 に MEP (Metric Exchange Protocol)を 使 ってサイトの 状 況 やパーシステンス 情 報 等 を 共 有 しています 10.3 GSLB の 動 作 例 10.4 GSLB の 構 成 例 AWS AZ 間 の 拠 点 冗 長 33

34 AWS リージョン 間 の 拠 点 冗 長 AWS とオンプレミス DC 間 の 拠 点 冗 長 34

35 10.5 GSLB 設 定 のコンポーネント 35

36 11 クラウド/データセンター 間 の 接 続 11.1 CloudBridge の 概 要 NetScaler の CloudBridge 機 能 または CloudBridge 仮 想 アプライアンスを 使 う ことで AWS のリージョンや VPC 間 およびオンプレミスのデータセンター 間 をシームレス 且 つセキュアに 接 続 することが 出 来 ます NetScaler の CloudBridge 機 能 は Platinum エディションで 提 供 されます 11.2 CloudBridge で 利 用 される 技 術 GRE (Generic Routing Encapsulation)で 拠 点 間 を L2/L3 レベルでトンネリング して IPsec で 通 信 を 暗 号 化 します 11.3 CloudBridge の 構 成 例 AWS のリージョン 間 を 接 続 AWS の 各 リージョンに NetScaler または CloudBridge の VPX を 導 入 AWS とオンプレミス DC 間 を 接 続 36

37 AWS とオンプレミス DC に 各 々NetScaler または CloudBridge を 導 入 オ ンプレミス 側 は 専 用 のハードウェアアプライアンス(MPX/SDX)でも 可 能 複 数 の 拠 点 間 を 接 続 複 数 の 拠 点 間 を 接 続 することも 可 能 です 拠 点 毎 に CloudBridge のトンネ ルを 設 定 します 11.4 CloudBridge 設 定 のポイント Source/Dest Check の 設 定 を 無 効 化 トンネルインタフェース 用 IP アドレスの 設 定 対 向 サブネット 向 けスタティックルートの 追 加 11.5 CloudBridge の 制 限 事 項 AWS では L3 レベルのトンネリングのみ 対 応 (AWS 側 の L2 制 約 のため) 37

38 12 クラウド/データセンター 間 の 高 速 化 12.1 Branch Repeater の 概 要 Branch Repeater を 導 入 することで AWS のリージョンや AZ 間 およびオン プレミスのデータセンター 間 の 通 信 を 高 速 化 します 12.2 Branch Repeater の 製 品 ラインナップ 2013 年 5 月 現 在 Branch Repeater for CloudBridge として BYOL モデルのみ 提 供 しています 製 品 ラインナップは 以 下 の 3 種 類 となります Branch Repeater VPX 10 (10Mbps) Branch Repeater VPX 45 (45Mbps) Branch Repeater VPX 100 (100Mbps) 12.3 Branch Repeater で 使 用 される 技 術 圧 縮 キャッシュやプロトコル 最 適 化 等 の 技 術 を 使 用 します 12.4 Branch Repeater + NetScaler/CloudBridge の 動 作 例 38

39 12.5 Branch Repeater の 構 成 例 AWS で Branch Repeater を 導 入 する 場 合 必 ず NetScaler または CloudBridge と 併 用 する 必 要 があります AWS のリージョン 間 の 通 信 を 高 速 化 AWS とオンプレミス DC 間 の 通 信 を 高 速 化 39

40 AWS と 複 数 のオンプレミス DC 間 の 通 信 を 高 速 化 12.6 Branch Repeater の 設 定 ポイント Source/Dest Check の 設 定 を 無 効 化 SNMP の 設 定 Tuning で 以 下 の 項 目 を 確 認 Virtual Inline: Return to Ethernet Sender TCP Maximum Segment Size (MSS): 1300 対 向 の Branch Repeater と 設 定 を 合 わせる 必 要 があります 12.7 NetScaler の 設 定 ポイント Source/Dest Check の 設 定 を 無 効 化 ANY / ANY の Virtual Server / Service を 設 定 MBF USIP L3 モードを 有 効 化 Forward ICMP fragments を 有 効 化 Prefer Direct Route の 無 効 化 Dynamic Load Balancing wizard for Citrix Branch Repeater を 利 用 すれば BR への 通 信 リダイレクト 設 定 やヘルスチェック 等 を 最 適 化 できます 12.8 Branch Repeater for CloudBridge の 制 限 事 項 NetScaler/CloudBridge と 併 用 して 導 入 する 必 要 あり AMI のインスタンスタイプは M1.Large のみ Branch Repeater のインタフェースは 1 つのみ NetScaler/CloudBridge で 複 数 の BR を 登 録 することは 不 可 Branch Repeater Plug-in は 未 対 応 12.9 Branch Repeater 導 入 の 効 果 ( 検 証 結 果 ) 40

41 検 証 構 成 検 証 方 法 AWS 東 京 リージョンの FTP クライアントが AWS シンガポールリージョン の FTP サーバから 100MB のファイルをダウンロード AWS 東 京 リージョ ン~AWS シンガポールリージョン 間 の RTT は 約 210 ミリ 秒 検 証 結 果 (1) Branch Repeater なしの 場 合 (2) Branch Repeater ありの 場 合 41

42 (2-1) クライアント 側 Branch Repeater のステータス (2-2) サーバ 側 Branch Repeater のステータス 以 上 42