Cisco 300-415: コントローラーのオンボーディング、証明書、セキュアなコントロール接続 — 学習ガイド

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

こちらの一部です： Cisco SD-WAN 300-415 ENSDWI — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

Cisco SD-WANは、証明書ベースのコントロールプレーンを使用して、コントローラとWANエッジデバイスをセキュアにオンボーディングし、NAT境界を越え、暗号化された制御接続を維持します。vBondオーケストレータの役割、証明書のライフサイクル、デバイスインベントリ、NAT戦略を正しく設計することで、予測可能なオンボーディングと耐障害性の高い制御が保証されます。運用チームは、制御接続の状態とアラームを認識し、証明書や接続性の障害に対する復旧計画を持つ必要があります。

オーケストレーションとセキュアな制御接続

vBondオーケストレータは、すべてのWANエッジにとって最初のコントロールプレーンのタッチポイントです。vBondは、3つの重要な機能を実行します。

アドミッションとIDチェック：デバイスのID（許可リストに対するシリアル/シャーシ）を検証し、organization-nameの一致を強制します。
NATディスカバリとランデブー：各ピアのパブリック/プライベートアドレス・ポートのタプルとNATタイプを学習し、両サイドに通知して直接の制御接続を形成できるようにします。
初期接続交換：WANエッジに到達可能なvSmartおよびvManageコントローラのアドレスを提供し、永続的な制御チャネルを構築できるようにします。

主要なプロパティと動作：

パブリックIPでの到達可能性：vBondは、パブリックIP上（推奨）または一貫したインバウンドマッピングを持つ1:1の静的NATの背後に配置する必要があります。これにより、未知または制限の厳しいNAT環境にあるデバイスからの到達可能性が保証されます。
永続的なコントローラピアリング：vBondはvSmartコントローラへの永続的な接続を維持し、常に最新のランデブー情報を保持します。
データパスには介在しない：初期交換を促進した後、vBondはフローから外れます。その後の制御は、WANエッジとvSmart/vManageの間で直接行われます。

DTLS/TLSトランスポートとポート：

コントロールプレーン接続のデフォルトプロトコルは、UDP 12346上のDTLSです。TCP 23456上のTLSも利用可能で、TCPインスペクション/プロキシが標準的なデータセンターではしばしば好まれます。
コントローラ証明書が使用され、代替ポートが設定されていない場合、vBondはデフォルトでポート12346を使用します。
以下のアウトバウンドおよびリターントラフィックを許可します。
- UDP 12346 (DTLSコントロールプレーン)
- TCP 23456 (TLSコントロールプレーン)
データプレーンのIPsec NAT-TはUDP 4500を使用し、コントロールプレーンの選択とは独立しています。

NATに関する考慮事項：

フルコーンNATおよび制限NATは通常、DTLSホールパンチングで動作します。シンメトリックNATが最も困難です。両端がシンメトリックNATの場合、TLS（TCP 23456）を使用するか、ポートマッピングを維持するようにアウトバウンドポリシーを変更するか、片側がパブリック/制限NATであることを確認してください。
NATの背後にあるvBondには、12346/UDP（TLSを使用する場合は23456/TCPも）に対する1:1の静的マッピングが必要です。vBondでの動的PATはサポートされていません。
古いNATバインディングは、制御トンネルを切断する可能性があります。キープアライブを調整し、VPN 0で一貫した出力インターフェイスを確保してください。

設計のヒント：

耐障害性のために、少なくとも2つのvBondインスタンスを異なるパブリックリージョンに配置します。
厳格な出力制御や広範なUDPスロットリングがある環境ではTLSを優先します。コントローラとWANエッジ全体で一貫した設定を確保してください。

ID、証明書、および組織の検証

すべてのコントローラとWANエッジデバイスは、同じ信頼されたルートにチェーンする証明書を提示する必要があり、organization-nameはオーバーレイ全体で一致する必要があります。

証明書の役割とソース：

コントローラ（vManage, vSmart, vBond）：選択したルート（エンタープライズCAまたはパブリックCA）によって署名されたコントローラ証明書を要求してインストールします。vManageがそのライフサイクルをオーケストレーションします。
WANエッジのID：
- vEdgeハードウェア：工場でインストールされた証明書と共に出荷されます。
- IOS XE SD-WAN (cEdge)：PnP IDにCisco SUDIを使用し、その後、コントローラが使用するのと同じルートで署名されたコントローラ証明書を取得します。
クラウドホスト型コントローラ：プロバイダー署名付き証明書と既知の信頼チェーンと共に提供されます。WANエッジはこのチェーンを信頼する必要があります。信頼アンカーが一致しない場合は、クラウドCAに合わせてデバイス制御証明書を再発行する必要があります。

ライフサイクルフェーズ：

登録：コントローラのCSRはvManageで生成され、選択されたCAによって署名されます。WANエッジはZTP/PnP中に自動的に登録されるか、手動のブートストラップを介して登録されます。
検証：ハンドシェイク中に、ピアは証明書チェーン、有効期限、失効状態（設定されている場合）、およびorganization-nameを検証します。
更新と失効：vManageは有効期限を監視し、更新できます。侵害された、または廃止されたデバイスの証明書は失効させるべきです。再参加を防ぐために、それらを許可されたシリアルリストから削除します。

一般的な検証の失敗：

Organization-nameの不一致：制御接続が失敗します。状態は、組織名の不一致または証明書が未検証であることを示します。
混合した信頼チェーン：異なるルートによって署名されたコントローラとエッジは、制御セッションを形成できません。
時刻のずれ：証明書がまだ有効でない、または有効期限が切れているように見えます。VPN 0でのNTPは必須です。
FQDN/SANの問題（TLS）：TLSが強制され、FQDN検証が有効になっている場合、SAN/CNの不一致は接続の失敗を引き起こします。

デバイスのオンボーディング、PnP/ZTP、およびインベントリ制御

オンボーディングとは、デバイスのID検証、ゼロタッチプロビジョニング、および証明書ベースの自動コントロール接続を組み合わせたものです。

インベントリと認可:

認可済みシリアルリスト: vManageは、許可されたWAN Edgeデバイスのリストを保存します。Smart Accountの同期を介して入力するか、Smart Account Syncを使用しない場合は、認可済みシリアル番号ファイルをvManageに手動でアップロードします。
シリアル番号とシャーシ番号: 両方とも、デバイスを一意に識別し、スプーフィングを防止するために使用されます。手動オンボーディング中にvEdge用のトークンが必要になる場合があります。

ゼロタッチフロー:

vEdge ZTP: デバイスは工場出荷時のプロファイルを使用してZTPサービスに到達し、vBondオーケストレーターを学習し、IDチェックとランデブーのためにvBondへのDTLS/TLSを開始します。その後、vSmartとのOMP対応コントロール接続と、vManageへの管理接続を確立します。
IOS XE SD-WAN (cEdge) PnP: デバイスはSUDIを使用してHTTPS経由でCisco Plug and Playに認証し、コントローラーの到達可能性情報を取得します。代替手段として、DHCP option 43/DNSを介したオンプレミスPnPや、day-0 USBブートストラップを使用することもできます。vBondによる許可後、デバイスはテンプレートをアタッチするためにvManageにリダイレクトされます。
コントロール接続が確立されると、vManageがテンプレートをプッシュし、vSmartがOMPピアリングを開始して、ルート、ポリシー、および暗号鍵を配布します。

運用上のチェックポイント:

システム設定のorganization-nameがオーバーレイと完全に一致することを確認します。
VPN 0のIPルーティング、DNS（FQDNを使用する場合）、およびNTPを検証します。
vBond/vSmart/vManageへの必要なポートを開き、リターントラフィックを許可します。

オーケストレーターでの最小限のvBond指定:

system
 vbond 203.0.113.10 local
 organization MyCompany

運用: 状態、アラーム、検証、およびリカバリ

コントロール接続の状態とアラーム:

一般的な状態: down, connecting/handshake, authenticated, up。障害時には、証明書エラー、組織の不一致、応答なし、NAT障害などが表示されることがあります。
vManageの一般的なアラームには、Control Connection Down、OMP Peer Down、Certificate Expiring/Expired、Device Not in Authorized List、Organization Mismatchが含まれます。

検証コマンド (IOS XE SD-WAN):

show sdwan control connections
show sdwan control local-properties
show sdwan omp peers
show sdwan certificate status
show sdwan software

検証コマンド (vEdge):

show control connections
show control local-properties
show omp peers
show certificate installed

トラブルシューティングとリカバリのワークフロー:

IDと組織名 (org-name):
- vManageのインベントリにデバイスが正しいシリアル/シャーシ番号で表示されていることを確認します。
- すべてのノードでシステムのorganization-nameを検証します。
時刻と信頼 (trust):
- VPN 0でのNTPの到達可能性を確保し、証明書の有効期限を再確認します。
- コントローラーとエッジで証明書チェーンを検証し、ルートが異なる場合は再発行します。
接続性とNAT:
- WAN EdgeのegressからvBondへのUDP 12346およびTCP 23456での到達可能性を確認します。
- Symmetric NATがDTLSを妨げる場合は、TLSを強制するか、egressポリシーを調整してアウトバウンドマッピングを固定します。
再登録と更新:
- デバイス証明書が破損または期限切れの場合は、vManageで失効させ、承認済みリストから削除し、再追加して再登録（PnP/ZTPまたは手動インストール）をトリガーします。
- クラウドホスト型への移行の場合、コントローラーとWAN Edgeの証明書をクラウドCAに再発行してトラストアンカーを整合させ、コントロール接続を再起動します。
運用上の健全性 (Operational hygiene):
- コントローラークラスターを健全な状態に保ちます（例: スケール用のvManageクラスター）。
- FQDNベースのコントローラーアドレッシングには一貫したDNSを維持し、コントローラーの名前変更やIP再割り当ての際にはSANを更新します。

NATとポートのトレードオフ:

DTLS (UDP) はオーバーヘッドが低く、多くの場合パフォーマンスが優れていますが、レート制限されたUDPやSymmetric NATの影響を受けやすいです。TLS (TCP) は、潜在的なヘッドオブラインブロッキングを犠牲にして、厳格なファイアウォールを容易に通過できます。
vBondは高い到達可能性を維持する必要があります。そのパブリックな到達可能性やインバウンドマッピングを損なうことは、オンボーディング失敗の頻繁な根本原因となります。

実践的な問題シナリオ

Acme Retail社は、多くがISP管理のSymmetric NAT配下にある600の支店を、新しいCisco SD-WANファブリックにオンボーディングしています。初期のパイロット導入では、コントロールプレーンの確立が断続的に行われ、DTLSの障害が頻発しています。

アプローチ:

冗長なパブリックvBondオーケストレーターをデプロイする
- 理由: 2つのvBondインスタンスを異なるパブリックIP（別々のリージョン/ISP）に配置することで、初期の到達可能性を最大化し、NAT検出を加速します。パブリックアドレッシングは、プロバイダーのNATによって生じる曖昧さを回避し、予測可能なリターントラフィックをサポートします。
NATが多いリージョンではコントロールプレーンにTLSを強制する
- 理由: Symmetric NATを使用する支店は、UDPホールパンチングに苦労します。TCP 23456上のTLSは、ステートフルファイアウォールやISPのCGNを安定して通過できるため、OMPや鍵配布に影響を与えることなく、DTLS関連のフラップを削減します。
organization-nameとコントローラーのトラストアンカーを標準化する
- 理由: すべてのコントローラーとWAN Edgeを同じルートCA（Acme社が選択したエンタープライズPKI）に合わせます。vManage、vSmart、vBond、およびすべてのデバイステンプレートで、システムのorganization-nameを同一に設定し、組織の不一致による拒否を防ぎます。
vManageに承認済みシリアルリストをプリロードし、PnP/ZTPを自動化する
- 理由: Smart Account同期を介して完全なデバイスインベントリをインポートし、各デバイスがvBondでのIDチェックに合格するようにします。cEdgeにはSUDIを使用したCisco PnPを使用し、vEdgeハードウェアにはトークンとシリアルが存在することを確認します。これにより、手動エラーを排除し、立ち上げを加速します。
VPN 0の到達可能性と時刻同期を強化する
- 理由: VPN 0で一貫したデフォルトルート/DNSを定義し、NTPを各支店から到達可能なパブリックまたは企業のサーバーに向けます。正しい時刻は、TLSハンドシェイクを停止させる「まだ有効でない/期限切れ」の証明書エラーを防ぎます。
ファイアウォールルールとNATの動作を正規化する
- 理由: vBond/vSmart/vManageのIPへのアウトバウンドTCP 23456およびUDP 12346を許可する、有効期間の長いマッピングを持つブランチのegressポリシーを公開します。ISPがSymmetric NATを強制する場所では、少なくとも1つのコントローラーパスがTCPトラバーサルをサポートするようにします。
対象を絞った検証とアラームで運用を計装化する
- 理由: Day-1スクリプトに「show sdwan control connections」および「show sdwan certificate status」のチェックを埋め込みます。vManageでは、Control Connection DownおよびCertificate Expiringアラームをサブスクライブします。これにより、設定ミスのあるサイトを迅速に表面化させ、有効期限が切れる前に更新を通知します。
証明書または接続性の障害に対するリカバリ手順書を確立する
- 理由: vManageでデバイス証明書を失効/再発行し、必要に応じてシリアルを再アップロードし、緩和策としてDTLS/TLSを切り替える手順を定義します。サービスに影響を与えずにコントローラー証明書をローテーションする手順や、vBondインスタンス間でフェイルオーバーする手順も含めます。これにより、ピーク時の展開中のMTTRを最小限に抑えます。

パブリックに到達可能なvBond、NATが制限的な場所でのTLSコントロールプレーン、厳格なID管理、および運用上のガードレールを組み合わせることで、Acme Retail社はSD-WANコントロールプレーンのセキュリティと回復性を維持しながら、大規模で確定的なオンボーディングを実現します。

← Cisco SD-WAN ファブリックアーキテクチャとプレーン · すべてのドメイン · OMP、ルート、トランスポートロケーター →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

試験に合格する →