- 目 次 - 1 はじめに... 7 1.1 本 資 料 について... 7 1.2 目 的... 7 1.3 対 象... 7 1.4 凡 例... 7 2 Citrix Networking for AWS の 基 本 的 な 考 え 方... 8 2.1 AWS で 利 用 できる Citr

Citrix Networking for AWS ベスト プラクティス ガイド Ver1.1 2013 年 6 月 シトリックス システムズ ジャパン 株 式 会 社

- 目 次 - 1 はじめに... 7 1.1 本 資 料 について... 7 1.2 目 的... 7 1.3 対 象... 7 1.4 凡 例... 7 2 Citrix Networking for AWS の 基 本 的 な 考 え 方... 8 2.1 AWS で 利 用 できる Citrix のネットワーキング 製 品... 8 2.1.1 NetScaler VPX... 8 2.1.2 CloudBridge VPX... 8 2.1.3 Branch Repeater for CloudBridge... 8 2.2 AWS での 利 用 方 式... 8 2.2.1 従 量 課 金 方 式... 8 2.2.2 BYOL (Bring Your Own License) 方 式... 8 2.3 AWS で 実 現 可 能 なソリューション... 9 2.3.1 広 域 負 荷 分 散 (GSLB) で 拠 点 の 冗 長... 9 2.3.2 クラウド 間 の 接 続 および 通 信 の 高 速 化... 9 2.3.3 クラウドのセキュリティを 強 化... 9 3 VPC (Virtual Private Cloud)... 10 3.1 概 要... 10 3.1.1 リージョンについて... 10 3.1.2 AZ (Availability Zone)について... 10 3.1.3 VPC の 範 囲 について... 10 2

3.2 VPC の 作 成... 10 3.2.1 VPC の 構 成... 11 3.2.2 CIDR Block と Public Subnet について... 11 3.2.3 Security Group について... 11 3.2.4 Elastic IP (EIP)について... 12 3.2.5 Route Tables について... 13 3.2.6 Internet Gateway について... 13 3.2.7 Network ACL について... 13 3.2.8 Elastic Network Interface (ENI)について... 13 3.2.9 サブネットについて... 14 4 IAM アカウントの 作 成... 17 4.1 IAM アカウントとは... 17 4.2 Citrix ネットワーキング 製 品 の 制 御 に 必 要 なポリシー... 17 5 インスタンスの 起 動... 18 5.1 インスタンスの 起 動 方 法... 18 5.1.1 AWS Marketplace で 起 動 する 方 法... 18 5.1.2 Amazon EC2 API Tools で 起 動 する 方 法... 18 5.2 インスタンスの 種 類... 18 5.3 インスタンスの 利 用 形 式... 18 5.3.1 従 量 課 金 方 式... 18 5.3.2 BYOL 方 式... 19 5.4 インスタンスのタイプ... 19 5.4.1 利 用 できるインスタンスタイプの 一 覧... 19 5.5 AWS Marketplace でインスタンスを 作 成 する 際 の 注 意 点... 19 5.6 Amazon EC2 API Tools でインスタンスを 起 動 するまでの 流 れ... 19 3

5.6.1 Amazon EC2 API Tools の 準 備... 20 5.6.2 Amazon EC2 API Tools の CLI コマンドを 実 行... 20 6 ライセンスについて... 21 6.1 ライセンスの 取 得... 21 6.2 ライセンスの 種 類... 21 6.3 評 価 版 ライセンスについて... 21 6.3.1 評 価 版 ライセンスの 仕 様... 21 6.3.2 評 価 版 ライセンス 取 得 までの 流 れ... 21 6.4 ライセンスのインストール... 22 6.5 ライセンスの 入 替... 22 7 NetScaler の 基 本 設 定... 23 7.1 初 期 設 定... 23 7.2 IP アドレス... 23 7.2.1 IP アドレス 設 定 時 の 注 意 点... 24 7.3 デフォルトルート... 24 7.3.1 デフォルトルート 設 定 時 の 注 意 点... 25 7.3.2 PBR (Policy Base Routing)の 設 定... 25 7.3.3 MBF (Mac Base Forwarding)の 有 効 化... 26 7.4 NetScaler/CloudBridge for AWS の 制 限 事 項... 26 8 NetScaler で 負 荷 分 散... 27 8.1 負 荷 分 散 の 概 要... 27 8.2 負 荷 分 散 設 定 のコンポーネント... 27 8.3 負 荷 分 散 の 構 成 例... 27 8.3.1 同 じリージョン 同 じ AZ のサーバを 負 荷 分 散... 27 8.3.2 同 じリージョン 異 なる AZ のサーバを 負 荷 分 散... 28 4

8.3.3 異 なるリージョンのサーバを 負 荷 分 散... 28 8.3.4 オンプレミス DC のサーバを 負 荷 分 散... 29 9 NetScaler の 冗 長 構 成... 30 9.1 冗 長 構 成 の 概 要... 30 9.2 冗 長 構 成 例... 30 9.3 冗 長 構 成 のポイント... 30 9.4 フェイルオーバーの 条 件... 30 9.5 フェイルオーバーの 動 作... 31 9.6 冗 長 構 成 の 制 限 事 項... 32 10 GSLB ( 広 域 負 荷 分 散 )で 拠 点 冗 長... 33 10.1 GSLB の 概 要... 33 10.2 GSLB で 利 用 される 技 術... 33 10.3 GSLB の 動 作 例... 33 10.4 GSLB の 構 成 例... 33 10.4.1 AWS AZ 間 の 拠 点 冗 長... 33 10.4.2 AWS リージョン 間 の 拠 点 冗 長... 34 10.4.3 AWS とオンプレミス DC 間 の 拠 点 冗 長... 34 10.5 GSLB 設 定 のコンポーネント... 35 11 クラウド/データセンター 間 の 接 続... 36 11.1 CloudBridge の 概 要... 36 11.2 CloudBridge で 利 用 される 技 術... 36 11.3 CloudBridge の 構 成 例... 36 11.3.1 AWS のリージョン 間 を 接 続... 36 11.3.2 AWS とオンプレミス DC 間 を 接 続... 36 11.3.3 複 数 の 拠 点 間 を 接 続... 37 5

11.4 CloudBridge 設 定 のポイント... 37 11.5 CloudBridge の 制 限 事 項... 37 12 クラウド/データセンター 間 の 高 速 化... 38 12.1 Branch Repeater の 概 要... 38 12.2 Branch Repeater の 製 品 ラインナップ... 38 12.3 Branch Repeater で 使 用 される 技 術... 38 12.4 Branch Repeater + NetScaler/CloudBridge の 動 作 例... 38 12.5 Branch Repeater の 構 成 例... 39 12.5.1 AWS のリージョン 間 の 通 信 を 高 速 化... 39 12.5.2 AWS とオンプレミス DC 間 の 通 信 を 高 速 化... 39 12.5.3 AWS と 複 数 のオンプレミス DC 間 の 通 信 を 高 速 化... 40 12.6 Branch Repeater の 設 定 ポイント... 40 12.7 NetScaler の 設 定 ポイント... 40 12.8 Branch Repeater for CloudBridge の 制 限 事 項... 40 12.9 Branch Repeater 導 入 の 効 果 ( 検 証 結 果 )... 40 12.9.1 検 証 構 成... 41 12.9.2 検 証 方 法... 41 12.9.3 検 証 結 果... 41 6

1 はじめに 1.1 本 資 料 について 本 資 料 は Citrix Systems 社 のネットワーキング 製 品 を AWS に 導 入 するための ベスト プラクティス ガイドです ソリューション 別 に 設 計 思 想 推 奨 構 成 お よび 制 限 事 項 等 について 記 載 しています 具 体 的 な 設 定 方 法 等 は 別 紙 Citrix Networking for AWS ステップ バイ ステップガイド を 参 照 してください なお 本 資 料 は 弊 社 の 正 式 な 技 術 サポート 文 書 ではありません そのため この 文 書 の 記 述 に 関 して 弊 社 技 術 部 門 が 皆 様 のご 質 問 を 直 接 お 答 えすることはで きません あくまでも 皆 様 の 構 築 作 業 の 補 助 的 な 資 料 という 位 置 づけのため このような 対 応 とさせていただきます ご 了 承 の 上 本 資 料 をご 覧 になられるこ とを 理 解 ください 1.2 目 的 本 資 料 および 別 紙 Citrix Networking for AWS ステップ バイ ステップガイ ド を 活 用 することで Citrix Systems 社 のネットワーキング 製 品 を 利 用 した AWS 上 のネットワークインフラの 最 適 化 を 技 術 的 に 支 援 します 1.3 対 象 Citrix Systems 社 のネットワーキング 製 品 を 利 用 して AWS 上 のネットワークイ ンフラの 最 適 化 を 検 討 されているお 客 様 及 びパートナー 様 を 対 象 としています 尚 クラウド 及 びロードバランサの 基 本 的 な 知 識 を 有 することを 想 定 しておりま す 1.4 凡 例 7

2 Citrix Networking for AWS の 基 本 的 な 考 え 方 2.1 AWS で 利 用 できる Citrix のネットワーキング 製 品 2.1.1 NetScaler VPX アプリケーションの 配 信 を 最 適 化 する NetScaler の 仮 想 アプライアンスで す 主 に 以 下 の 機 能 を 提 供 します L4/L7 負 荷 分 散 や GSLB( 広 域 負 荷 分 散 ) 機 能 SSL オフロード 機 能 HTTP 圧 縮 やコンテンツキャッシュの 最 適 化 機 能 ハイブリッドクラウドを 構 築 する CloudBridge 機 能 SSL-VPN や WAF のセキュリティ 強 化 機 能 2.1.2 CloudBridge VPX クラウドやデータセンター 間 をシームレスかつセキュアに 接 続 する CloudBridge の 仮 想 アプライアンスです 主 に 以 下 の 機 能 を 提 供 します ハイブリッドクラウドを 構 築 する CloudBridge 機 能 L4/L7 負 荷 分 散 や GSLB( 広 域 負 荷 分 散 ) 機 能 SSL オフロード 機 能 2.1.3 Branch Repeater for CloudBridge クラウドやデータセンター 間 の 通 信 を 高 速 化 する Branch Repeater の 仮 想 アプライアンスです 主 に 以 下 の 機 能 を 提 供 します 拠 点 間 通 信 の 高 速 化 QoS 2.2 AWS での 利 用 方 式 2.2.1 従 量 課 金 方 式 Software および EC2 利 用 料 を AWS へお 支 払 いいただく 方 式 です 簡 単 に 始 められるメリットがありますが 国 内 で Citrix のサポートは 受 けられませ んのでご 注 意 ください サポートは 米 国 Citrix の 英 語 によるサポートです 2.2.2 BYOL (Bring Your Own License) 方 式 Citrix Systems 社 の 代 理 店 からライセンスを 購 入 していただき EC2 利 用 8

料 のみを AWS へお 支 払 いいただく 方 式 です Software 利 用 料 はかかりませ ん また 国 内 で Citrix のサポートが 受 けられます 2.3 AWS で 実 現 可 能 なソリューション 2.3.1 広 域 負 荷 分 散 (GSLB) で 拠 点 の 冗 長 2.3.2 クラウド 間 の 接 続 および 通 信 の 高 速 化 2.3.3 クラウドのセキュリティを 強 化 9

3 VPC (Virtual Private Cloud) 3.1 概 要 VPC とは AWS に 構 築 できる 仮 想 プライベートクラウドです IP アドレスやル ーティング 等 を 自 由 に 設 計 することができます Citrix のネットワーキング 製 品 は 複 数 の IP アドレスを 所 有 する 必 要 があるため VPC 上 で 構 築 する 必 要 があり ます EC2-Classic では 構 築 出 来 ません 3.1.1 リージョンについて 現 在 AWS には 世 界 中 に 8 つのリージョンが 存 在 しています どのリージ ョンで VPC を 作 成 するかを 検 討 します 3.1.2 AZ (Availability Zone)について リージョン 内 に 存 在 する AWS の 拠 点 です 現 在 東 京 リージョンには 複 数 の AZ が 存 在 しています 3.1.3 VPC の 範 囲 について VPC はリージョンを 跨 ぐことが 出 来 ない VPC は 複 数 の AZ に 跨 ぐことが 出 来 る 3.2 VPC の 作 成 以 下 の URL でも 詳 細 をご 確 認 頂 けます http://docs.aws.amazon.com/ja_jp/amazonvpc/latest/gettingstartedguide/w izard.html 10

3.2.1 VPC の 構 成 一 般 的 なロードバランサの 用 途 であれば VPC with a Single Public Subnet Only を 選 択 します 3.2.2 CIDR Block と Public Subnet について CIDR Block は VPC 全 体 のネットワークアドレスのブロックを 指 定 します 後 から 変 更 することが 出 来 ませんのでアドレス 設 計 にご 注 意 ください Public Subnet は サブネットワークを 指 定 します CIDR Block のアドレ ス 範 囲 内 であれば 後 から 追 加 修 正 することが 可 能 です その 後 このサブネットワークが 所 属 する AZ (Availability Zone)も 指 定 し ます 3.2.3 Security Group について Security Group では インスタンスの Inbound と Outboud のアクセス 制 御 を 行 います アクセス 制 御 では 許 可 するトラフィックを 明 示 的 に 指 定 しま す デフォルトのセキュリティグループは ローカルサブネット 内 の 通 信 の み 許 可 しています シトリックスのネットワーキング 製 品 では 以 下 の Security Group を 設 定 することを 推 奨 しています 尚 提 供 するサービスによっては 追 加 の 設 定 が 必 要 です NetScaler / CloudBridge (1) Inbound Protocols Port Source 備 考 SSH 22 0.0.0.0/0 HTTP 80 0.0.0.0/0 HTTPS 443 0.0.0.0/0 TCP 3008-3011 0.0.0.0/0 HA/GSLB の 制 御 パケット 用 TCP 4001 0.0.0.0/0 UDP 67 0.0.0.0/0 UDP 123 0.0.0.0/0 UDP 161 0.0.0.0/0 UDP 500 0.0.0.0/0 UDP 4500 0.0.0.0/0 UDP 3003 0.0.0.0/0 HA のハートビート 用 11

(2) Outbound Protocols Port Source 備 考 ALL - 0.0.0.0/0 Branch Repeater for CloudBridge (1) Inbound Protocols Port Source 備 考 ALL - 0.0.0.0/0 (2) Outbound Protocols Port Source 備 考 ALL - 0.0.0.0/0 3.2.4 Elastic IP (EIP)について Elastic IP とは インスタンスに 紐 付 けることが 可 能 なグローバル IP アド レスです NetScaler / CloudBridge では 以 下 の 用 途 で 一 般 的 に 2 つの Elastic IP が 必 要 です (1) VIP (Virtual IP) クライアントからのリクエストを 受 けるサービス 提 供 用 の IP アドレス です 一 般 的 には FQDN に 紐 付 いたグローバル IP アドレスです (2) NSIP (NetScaler IP) NetScaler の 管 理 IP アドレスです インターネットから 直 接 NetScaler の 管 理 コンソールへログインする 場 合 に 必 要 です また 冗 長 構 成 での フェイルオーバー 時 には AWS の API サーバとの 通 信 で 利 用 します Elastic IP は VPC/EC2 の 管 理 コンソールで 制 御 します Citrix のネ ットワーキング 製 品 側 ではプライベート IP アドレスのみ 設 定 します VPC/EC2 側 で 自 動 的 にプライベート IP グローバル IP の 変 換 が 行 わ れます デフォルトでは 1AWS アカウントにつき 5 つの EIP を 作 成 できます 追 加 で 必 要 な 場 合 は AWS へ 上 限 規 制 緩 和 を 申 請 する 必 要 があります Elastic IP の 代 替 手 段 として NAT インスタンスを 利 用 することも 可 12

能 です 3.2.5 Route Tables について Route Tables では VPC のルーティングを 管 理 します デフォルトでは 以 下 のルーティングテーブルが 存 在 します Destination Target CIDR Block で 指 定 したアドレスレンジ Local 0.0.0.0/0 Internet Gateway VPC の 異 なる AZ 間 のルーティングは VPC ルータがルーティングします 3.2.6 Internet Gateway について インターネットおよび 他 のリージョンや VPC と 通 信 するためには Internet Gateway を 利 用 する 必 要 があります VPC 作 成 時 に Internet Gateway が 自 動 的 に 作 成 され デフォルトゲートウェイとして 設 定 されます 3.2.7 Network ACL について Network ACL はサブネットに 適 用 されるアクセス 制 御 です 明 示 的 に 許 可 および 拒 否 するルールを 作 成 します ステートレスのため 戻 りのトラフィ ック 用 のルールも 作 成 する 必 要 があります デフォルトでは 以 下 の Network ACL が 設 定 されています (1) Inbound Rule Port Protocol Source Allow/Deny 100 ALL ALL 0.0.0.0/0 Allow * ALL ALL 0.0.0.0/0 Deny (2) Outbound Rule Port Protocol Source Allow/Deny 100 ALL ALL 0.0.0.0/0 Allow * ALL ALL 0.0.0.0/0 Deny 3.2.8 Elastic Network Interface (ENI)について Elastic Network Interface とは インスタンスに 紐 付 いた Network Interface です あるインスタンスの ENI を 別 のインスタンスに 紐 付 け ることも 可 能 です (デフォルト ENI は 変 更 不 可 ) 13

Elastic Network Interface の 構 成 要 素 は 以 下 の 通 りです (1) Primary のプライベート IP アドレスが 設 定 されている (2) 複 数 の Secondary のプライベート IP アドレスも 設 定 できる (3) Elastic IP アドレスを 紐 付 けられる (4) MAC アドレスを 有 する (5) 特 定 の Security Group に 所 属 する (6) Description( 説 明 ) (7) Source / Destination check flag がデフォルトで 有 効 インスタンスに 紐 付 けられる ENI の 数 および ENI 毎 に 設 定 可 能 なプラ イベート IP アドレスは インスタンスタイプによって 異 なります ENI の 追 加 変 更 ( 付 け 替 え) 削 除 は 以 下 の 手 順 で 行 う 必 要 があります 1 インスタンスの 停 止 2 ENI の 追 加 削 除 3 インスタンスの 起 動 ある AZ の ENI は 別 の AZ に 所 属 するインスタンスに 付 け 替 えるこ とは 出 来 ません 3.2.9 サブネットについて NetScaler/CloudBridge は 3 つのサブネットに 分 けて 構 成 することを 推 奨 し ています 全 てのサブネットは 同 一 の AZ に 所 属 している 必 要 があります (1) 3 つのサブネットで 構 成 推 奨 構 成 管 理 用 サブネット 管 理 用 アクセスおよび 冗 長 構 成 時 の 通 信 制 御 用 セグメント 14

クライアント 側 サブネット クライアントからのリクエストを 受 けるサービス 提 供 用 セグメント サーバ 側 サブネット バックエンドのサーバが 存 在 するセグメント (2) 2 つのサブネットで 構 成 管 理 用 サブネット 管 理 用 アクセスおよび 冗 長 構 成 時 の 通 信 制 御 用 セグメント クライアント/サーバ 側 サブネット クライアント 側 とサーバ 側 を 同 一 のサブネットで 構 成 15

(3) 1 つのサブネットで 構 成 管 理 用 /クライアント/サーバ 側 サブネット 全 てを 同 一 サブネットで 構 成 冗 長 構 成 が 組 めない Branch Repeater では 1 つのサブネットのみ 構 成 可 能 です (1) 1 つのサブネットで 構 成 NetScaler / CloudBridge のバックエンドに 相 当 するサーバ 側 セグメン トで 構 成 管 理 アクセスも 同 セグメントで 行 う 16

4 IAM アカウントの 作 成 4.1 IAM アカウントとは AWS で Citrix ネットワーキング 製 品 を 利 用 するためには IAM アカウントを 作 成 する 必 要 があります IAM アカウントとは ポリシーによって 特 定 のオペレ ーションが 許 可 されているユーザおよびグループです 4.2 Citrix ネットワーキング 製 品 の 制 御 に 必 要 なポリシー ec2-attachnetworkinterface ec2-describeinstances ec2-describenetworkinterfaces ec2-detachnetworkinterface 17

5 インスタンスの 起 動 5.1 インスタンスの 起 動 方 法 インスタンスは 以 下 の 方 法 で 起 動 することが 出 来 ます 5.1.1 AWS Marketplace で 起 動 する 方 法 AWS Marketplace でインスタンスを 起 動 することが 出 来 ます ウィザード 形 式 で 進 められるため インスタンス 起 動 までのプロセスが 非 常 にわかりや すいです しかし 起 動 するインスタンスの ENI の 数 は 2 つまでしか 指 定 出 来 ません 従 って 3 つ 以 上 の ENI が 必 要 な NetScaler/CloudBridge は インスタン ス 起 動 後 に ENI を 追 加 する 必 要 があります 5.1.2 Amazon EC2 API Tools で 起 動 する 方 法 Amazon EC2 API Tools でインスタンスを 起 動 することが 出 来 ます Windows /Linux 端 末 に API Tools や 各 種 キーをインストール 後 CLI コマ ンドでインスタンスを 起 動 します 初 回 は 事 前 準 備 が 必 要 ですが 次 回 以 降 は 非 常 に 簡 単 にインスタンスを 起 動 出 来 ます また 3 つ 以 上 の ENI を 指 定 してインスタンスを 起 動 出 来 ます 5.2 インスタンスの 種 類 AWS で 利 用 出 来 る Citrix ネットワーキング 製 品 のインスタンスは 以 下 の 通 りで す NetScaler VPX CloudBridge VPX Branch Repeater for CloudBridge 最 新 の 情 報 は 以 下 のリンク 先 でご 確 認 ください https://aws.amazon.com/marketplace/seller-profile?id=fb9c6078-b60f-47f6-86 22-49d5e1d5aca7 5.3 インスタンスの 利 用 形 式 5.3.1 従 量 課 金 方 式 Customer Licensed の 記 載 がないインスタンスです Branch Repeater 18

for CloudBridge は 従 量 課 金 方 式 では 利 用 できません 5.3.2 BYOL 方 式 Customer Licensed の 記 載 があるインスタンスです Branch Repeater for CloudBridge は BYOL 方 式 のみご 利 用 できます 従 量 課 金 または BYOL で 起 動 したインスタンスの 利 用 方 式 を 後 から 変 更 することは 出 来 ません 新 しくインスタンスを 起 動 し 直 す 必 要 があります 5.4 インスタンスのタイプ 5.4.1 利 用 できるインスタンスタイプの 一 覧 2vCPU と 2GB RAM が 必 須 です Branch Repeater for CloudBridge は M1.large のみ 対 応 しています インスタンス 起 動 後 インスタンスタイプの 変 更 は 可 能 です 5.5 AWS Marketplace でインスタンスを 作 成 する 際 の 注 意 点 作 成 できる ENI の 数 は 2 つ 以 下 です (3 つ 以 上 必 要 な 場 合 は インスタンス 作 成 後 に 追 加 します) Software / EC2 の 料 金 体 系 を 確 認 します インスタンスを 起 動 するリージョンに 注 意 します Launch with EC2 Console のみ 対 応 しています(1-Click Launch には 対 応 し ていません) 必 ず EC2-VPC で 起 動 します EC2-Classic では 起 動 できません 5.6 Amazon EC2 API Tools でインスタンスを 起 動 するまでの 流 れ 19

詳 細 は 以 下 のリンク 先 でもご 確 認 頂 けます http://support.citrix.com/proddocs/topic/netscaler-vpx-10/nsvpx-launch-aws-a mi-gui-cli-con.html 5.6.1 Amazon EC2 API Tools の 準 備 (1) Amazon EC2 API Tools のダウンロード (2) X.509 証 明 書 ファイルと X.509 秘 密 鍵 のダウンロード (3) Windows/Linux 端 末 に Amazon EC2 API Tools 環 境 を 設 定 5.6.2 Amazon EC2 API Tools の CLI コマンドを 実 行 ( 例 ) ec2-run-instances ami-bd2986d4 -n 1 -t m1.large -k abc_keypair -a :0:subnet-15fa057e:"NSIP":10.20.15.21 -a :1:subnet-1547ba7e:"CLIENT-SIDE 10.20.10.21::::10.20.10.22,10.20.10.23,10.20.10.24,10.20.10.25,10.20.10.26,10.2 0.10.27,10.20.10.28,10.20.10.29,10.20.10.30 -a :2:subnet-cc47baa7:"SERVER-SIDE":10.20.1.21::::10.20.1.22,10.20.1.23,10.2 0.1.24,10.20.1.25,10.20.1.26,10.20.1.27,10.20.1.28,10.20.1.29,10.20.1.30 コマンド/オプション パラメータ( 例 ) インスタンスを 起 動 するコマンド ec2-run-instances ami-bd2986d4 インスタンスを 起 動 するコマンド -n 1 インスタンスの 数 -t m1.large インスタンスタイプ -k abc_keypair Key pair ファイル -a 0 作 成 する ENI subnet-15fa057e "NSIP" 所 属 する Subnet ニックネーム 10.20.15.21 IP アドレス 必 要 な ENI 分 を 同 様 に 作 成 20

6 ライセンスについて 6.1 ライセンスの 取 得 ライセンスは Citrix Systems 社 の 代 理 店 よりご 購 入 ください 6.2 ライセンスの 種 類 製 品 エディション 備 考 CloudBridge VPX 10 - Branch Repeater VPX 10 付 属 CloudBridge VPX 200 - Branch Repeater VPX 45 付 属 NetScaler VPX 10 Standard Enterprise Platinum Branch Repeater VPX 10 付 属 NetScaler VPX 200 Standard Enterprise Platinum Branch Repeater VPX 45 付 属 NetScaler VPX 1000 Standard Enterprise Platinum Branch Repeater VPX 100 付 属 6.3 評 価 版 ライセンスについて NetScaler の 評 価 を 目 的 とした 評 価 版 ライセンスもご 利 用 頂 けます 6.3.1 評 価 版 ライセンスの 仕 様 製 品 名 :NetScaler VPX 1000 Platinum Edition 有 効 期 間 :90 日 間 6.3.2 評 価 版 ライセンス 取 得 までの 流 れ (1) My Account( 旧 MyCitrix)の 作 成 http://support.citrix.com/article/ctx132531 (2) 下 記 に 必 要 事 項 を 入 力 http://try.citrix.com/nsvpxdiy (3) My Account( 旧 MyCitrix)にログイン 21

https://secureportal.citrix.com/mycitrix/login/home.aspx ツールボックスの 選 択 ライセンス 管 理 割 り 当 て 製 品 が 表 示 されない 場 合 ポップアップウインドウに 入 手 したライセンスコードを 入 力 ホスト ID を 入 力 ホスト ID は 以 下 の 53 ページ Obtaining the Host ID http://support.citrix.com/article/ctx122426 6.4 ライセンスのインストール ライセンスは GUI または CLI からインストールできます 詳 細 は 別 紙 ステッ プ バイ ステップ ガイド を 参 照 してください 6.5 ライセンスの 入 替 ライセンスを 入 れ 替 えることで インスタンスの 機 能 強 化 およびパフォーマンス を 上 げることが 出 来 ます ライセンスをインストール 後 再 起 動 することで 新 し いライセンスが 適 用 されます 22

7 NetScaler の 基 本 設 定 7.1 初 期 設 定 ホスト 名 パスワード Time Zone 等 の 初 期 設 定 は 別 紙 ステップ バイ ステ ップ ガイド または Citrix のオンラインマニュアルを 参 照 してください http://support.citrix.com/proddocs/topic/infocenter/ic-how-to-use.html 7.2 IP アドレス 以 下 の IP アドレスを 設 定 します (1) NSIP (NetScaler IP) NetScaler の 管 理 IP アドレスです 管 理 アクセスやシステム 制 御 用 に 利 用 します また 冗 長 構 成 でのフェイルオーバー 時 には AWS の API サーバとの 通 信 で 利 用 します (2) VIP (Virtual IP) クライアントからのリクエストを 受 けるサービス 提 供 用 の IP アドレス です 一 般 的 には FQDN に 紐 付 いたグローバル IP アドレスです (3) SNIP (Subnet IP) NetScaler/CloudBridge がバックエンドのサーバと 通 信 する 際 に 利 用 す る 送 信 元 IP アドレスです 複 数 のサブネットが 存 在 する 場 合 サブネ ット 毎 に SNIP を 設 定 します AWS では 同 一 AZ/VPC 上 のインスタ ンスとの 通 信 時 に 送 信 元 IP アドレスとして 利 用 されます (4) MIP (Mapped IP) NetScaler/CloudBridge がバックエンドのサーバと 通 信 する 際 に 利 用 す る 送 信 元 IP アドレスです AWS では 異 なる AZ/VPC 上 のインスタン スとの 通 信 時 に 送 信 元 IP アドレスとして 利 用 されます 23

7.2.1 IP アドレス 設 定 時 の 注 意 点 第 4 オクテットの x.x.x.1~.4 は AWS で 予 約 済 みのため 使 用 できません EIP には 関 知 しません AWS の 管 理 コンソールで 制 御 する 必 要 がありま す (Citrix ネットワーキング 製 品 にはプライベート IP のみ 設 定 ) 7.3 デフォルトルート デフォルトルートは 管 理 用 サブネットまたはクライアント 側 サブネットの VPC ルータを 指 定 します 推 奨 構 成 は 管 理 用 サブネットのルータを Next Hop とするデフォルトルートを 作 成 します 次 項 の 注 意 点 に 対 処 するため VIP 用 通 信 に PBR を 作 成 します 24

7.3.1 デフォルトルート 設 定 時 の 注 意 点 特 定 のサブネットに 属 する IP アドレスを 送 信 元 とする 場 合 そのサブネ ットに 属 する VPC ルータのみデフォルトルートとして 使 用 可 能 例 :NetScaler がクライアントへレスポンスを 帰 すときの 送 信 元 IP はクラ イアント 側 サブネットに 属 する VIP となる その 場 合 クライアント 側 サ ブネットの VPC ルータのみをデフォルトルートとして 使 用 可 能 ( 管 理 用 サブネットの VPC ルータをデフォルトルートとして 使 用 出 来 ない) 第 4 オクテットが x.x.x.1 の IP アドレスは 各 サブネットのデフォルトゲ ートウェイとなり 得 る AWS 側 のルータです 7.3.2 PBR (Policy Base Routing)の 設 定 ポリシーに 基 づいて 強 制 的 にルーティングを 制 御 します PBR はルーティ ングテーブルよりも 優 先 されます 1 デフォルトルートがクライアント 側 サブネットの 場 合 2 デフォルトルートが 管 理 用 サブネットの 場 合 25

7.3.3 MBF (Mac Base Forwarding)の 有 効 化 NetScaler が 入 力 トラフィックのインタフェースや MAC アドレスを 記 録 す ることで 戻 りのトラフィックも 同 じインタフェースから 出 力 させることが できる 機 能 です 1 デフォルトルートがクライアント 側 サブネットの 場 合 2 デフォルトルートが 管 理 用 サブネットの 場 合 7.4 NetScaler/CloudBridge for AWS の 制 限 事 項 以 下 の 機 能 は 利 用 出 来 ません L2 モード Tagged VLAN GARP クラスタリング 26

8 NetScaler で 負 荷 分 散 8.1 負 荷 分 散 の 概 要 NetScaler の 中 心 的 な 機 能 が L4/L7 負 荷 分 散 機 能 です 8.2 負 荷 分 散 設 定 のコンポーネント (1) Virtual Server VIP + ポート 番 号 + プロトコル のエンティティです 負 荷 分 散 メソッ ドやパーシステンス 様 々なポリシーを 設 定 します 原 則 として 全 てのク ライアントは Virtual Server にリクエストを 送 信 します (2) Service サーバの IP アドレス + ポート 番 号 + プロトコル のエンティティです ヘルスチェックやサーバ 固 有 の 設 定 をします Service は Virtual Server に 紐 付 けます (3) Server サーバの IP アドレスです Server は Service に 紐 付 いています 8.3 負 荷 分 散 の 構 成 例 8.3.1 同 じリージョン 同 じ AZ のサーバを 負 荷 分 散 27

最 もシンプルな 構 成 遅 延 が 非 常 に 少 ない AZ 内 の 通 信 はデータ 転 送 料 が 不 要 8.3.2 同 じリージョン 異 なる AZ のサーバを 負 荷 分 散 AZ 間 は AWS の 専 用 線 で 接 続 されているため 遅 延 は 少 ない AZ 間 の 通 信 にはデータ 転 送 料 が 発 生 AZ 間 の 通 信 には MIP の 設 定 が 必 要 8.3.3 異 なるリージョンのサーバを 負 荷 分 散 28

リージョン 間 はインターネット 接 続 となるため 遅 延 が 大 きい リージョン 間 の 通 信 にはデータ 転 送 料 が 発 生 リージョン 間 の 通 信 には MIP の 設 定 が 必 要 非 推 奨 構 成 (GSLB の 利 用 を 推 奨 ) 8.3.4 オンプレミス DC のサーバを 負 荷 分 散 AWS とオンプレミスのロケーション 次 第 では 遅 延 が 発 生 ハイブリッドクラウドを 実 現 29

9 NetScaler の 冗 長 構 成 9.1 冗 長 構 成 の 概 要 NetScaler では Primary / Secondary の 冗 長 構 成 を 組 むことが 可 能 です 正 常 時 は Primary がトラフィックを 処 理 し 障 害 時 にはフェイルオーバーしてセカン ダリへ 切 替 わります 9.2 冗 長 構 成 例 9.3 冗 長 構 成 のポイント デフォルト ENI は 管 理 セグメントに 所 属 Secondary は 管 理 セグメントのみに 接 続 ハートビート 送 信 やコンフィグ 同 期 等 は 管 理 セグメントのみで 行 われる 管 理 セグメントにはサービス 用 のトラフィックを 流 さないこと NSIP は 外 部 の AWS API サーバとの 接 続 性 が 必 要 NetScaler に AccessKey/SecretKey が 入 っていること フェイルオーバーには 約 20~40 秒 かかる 9.4 フェイルオーバーの 条 件 Primary / Secondary 間 で 相 互 にハートビートを Hello Interval の 間 隔 で 送 信 し 続 けます Secondary が Hold Timer 経 過 後 もハートビートを 受 信 しなくなった 30

ら フェイルオーバーが 開 始 されます ハートビート - Hello Interval : 200msec(デフォルト 値 ) - Hold Timer : 3sec(デフォルト 値 ) 仮 に 元 Primary が 復 旧 しても 自 動 的 なフェイルバックは 発 生 しません 手 動 で 切 戻 す 必 要 があります 9.5 フェイルオーバーの 動 作 (1) 死 活 監 視 で Primary の 異 常 を 検 知 (2) AWS API サーバへ ENI の 移 行 を 依 頼 (3) ENI の 移 行 が 行 われる デフォルト ENI は 変 更 なし 31

(4) フェイルオーバーの 完 了 9.6 冗 長 構 成 の 制 限 事 項 Primary/Secondary は 同 一 の AZ 内 に 存 在 する 必 要 あり 2 つ 以 上 のサブネットを 構 成 する 必 要 あり(1 つは 管 理 用 ) 冗 長 構 成 を 設 定 する 場 合 Primary に 2 つ 以 上 の ENI が 必 要 冗 長 構 成 を 解 除 する 場 合 Secondary 側 から 行 うこと INC (Independent Network Configuration )モードは 正 常 に 動 作 しない 32

10 GSLB ( 広 域 負 荷 分 散 )で 拠 点 冗 長 10.1 GSLB の 概 要 NetScaler の GSLB 機 能 を 使 うことで AWS のリージョンや AZ 間 およびオ ンプレミスのデータセンター 間 で 拠 点 冗 長 を 実 現 できます また DR 対 策 とし て 活 用 することも 可 能 です 10.2 GSLB で 利 用 される 技 術 GSLB は DNS ベースのソリューションです クライアントが WEB アクセスす る 前 に DNS の 名 前 解 決 が 行 われます NetScaler は 最 適 な 拠 点 の IP アドレス をクライアントに 返 すことで GSLB を 実 現 しています GSLB では 各 拠 点 の NetScaler が 相 互 に MEP (Metric Exchange Protocol)を 使 ってサイトの 状 況 やパーシステンス 情 報 等 を 共 有 しています 10.3 GSLB の 動 作 例 10.4 GSLB の 構 成 例 10.4.1 AWS AZ 間 の 拠 点 冗 長 33

10.4.2 AWS リージョン 間 の 拠 点 冗 長 10.4.3 AWS とオンプレミス DC 間 の 拠 点 冗 長 34

10.5 GSLB 設 定 のコンポーネント 35

11 クラウド/データセンター 間 の 接 続 11.1 CloudBridge の 概 要 NetScaler の CloudBridge 機 能 または CloudBridge 仮 想 アプライアンスを 使 う ことで AWS のリージョンや VPC 間 およびオンプレミスのデータセンター 間 をシームレス 且 つセキュアに 接 続 することが 出 来 ます NetScaler の CloudBridge 機 能 は Platinum エディションで 提 供 されます 11.2 CloudBridge で 利 用 される 技 術 GRE (Generic Routing Encapsulation)で 拠 点 間 を L2/L3 レベルでトンネリング して IPsec で 通 信 を 暗 号 化 します 11.3 CloudBridge の 構 成 例 11.3.1 AWS のリージョン 間 を 接 続 AWS の 各 リージョンに NetScaler または CloudBridge の VPX を 導 入 11.3.2 AWS とオンプレミス DC 間 を 接 続 36

AWS とオンプレミス DC に 各 々NetScaler または CloudBridge を 導 入 オ ンプレミス 側 は 専 用 のハードウェアアプライアンス(MPX/SDX)でも 可 能 11.3.3 複 数 の 拠 点 間 を 接 続 複 数 の 拠 点 間 を 接 続 することも 可 能 です 拠 点 毎 に CloudBridge のトンネ ルを 設 定 します 11.4 CloudBridge 設 定 のポイント Source/Dest Check の 設 定 を 無 効 化 トンネルインタフェース 用 IP アドレスの 設 定 対 向 サブネット 向 けスタティックルートの 追 加 11.5 CloudBridge の 制 限 事 項 AWS では L3 レベルのトンネリングのみ 対 応 (AWS 側 の L2 制 約 のため) 37

12 クラウド/データセンター 間 の 高 速 化 12.1 Branch Repeater の 概 要 Branch Repeater を 導 入 することで AWS のリージョンや AZ 間 およびオン プレミスのデータセンター 間 の 通 信 を 高 速 化 します 12.2 Branch Repeater の 製 品 ラインナップ 2013 年 5 月 現 在 Branch Repeater for CloudBridge として BYOL モデルのみ 提 供 しています 製 品 ラインナップは 以 下 の 3 種 類 となります Branch Repeater VPX 10 (10Mbps) Branch Repeater VPX 45 (45Mbps) Branch Repeater VPX 100 (100Mbps) 12.3 Branch Repeater で 使 用 される 技 術 圧 縮 キャッシュやプロトコル 最 適 化 等 の 技 術 を 使 用 します 12.4 Branch Repeater + NetScaler/CloudBridge の 動 作 例 38

12.5 Branch Repeater の 構 成 例 AWS で Branch Repeater を 導 入 する 場 合 必 ず NetScaler または CloudBridge と 併 用 する 必 要 があります 12.5.1 AWS のリージョン 間 の 通 信 を 高 速 化 12.5.2 AWS とオンプレミス DC 間 の 通 信 を 高 速 化 39

12.5.3 AWS と 複 数 のオンプレミス DC 間 の 通 信 を 高 速 化 12.6 Branch Repeater の 設 定 ポイント Source/Dest Check の 設 定 を 無 効 化 SNMP の 設 定 Tuning で 以 下 の 項 目 を 確 認 Virtual Inline: Return to Ethernet Sender TCP Maximum Segment Size (MSS): 1300 対 向 の Branch Repeater と 設 定 を 合 わせる 必 要 があります 12.7 NetScaler の 設 定 ポイント Source/Dest Check の 設 定 を 無 効 化 ANY / ANY の Virtual Server / Service を 設 定 MBF USIP L3 モードを 有 効 化 Forward ICMP fragments を 有 効 化 Prefer Direct Route の 無 効 化 Dynamic Load Balancing wizard for Citrix Branch Repeater を 利 用 すれば BR への 通 信 リダイレクト 設 定 やヘルスチェック 等 を 最 適 化 できます 12.8 Branch Repeater for CloudBridge の 制 限 事 項 NetScaler/CloudBridge と 併 用 して 導 入 する 必 要 あり AMI のインスタンスタイプは M1.Large のみ Branch Repeater のインタフェースは 1 つのみ NetScaler/CloudBridge で 複 数 の BR を 登 録 することは 不 可 Branch Repeater Plug-in は 未 対 応 12.9 Branch Repeater 導 入 の 効 果 ( 検 証 結 果 ) 40

12.9.1 検 証 構 成 12.9.2 検 証 方 法 AWS 東 京 リージョンの FTP クライアントが AWS シンガポールリージョン の FTP サーバから 100MB のファイルをダウンロード AWS 東 京 リージョ ン~AWS シンガポールリージョン 間 の RTT は 約 210 ミリ 秒 12.9.3 検 証 結 果 (1) Branch Repeater なしの 場 合 (2) Branch Repeater ありの 場 合 41

(2-1) クライアント 側 Branch Repeater のステータス (2-2) サーバ 側 Branch Repeater のステータス 以 上 42