Cisco 300-415: データプレーンのトンネル、BFD、アプリケーションアウェアルーティング — 学習ガイド

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

こちらの一部です： Cisco SD-WAN 300-415 ENSDWI — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

Cisco SD-WANは、コントロールプレーンをデータプレーンから分離し、暗号化され、ポリシー主導のオーバーレイを、異なるトランスポートにまたがって構築します。vSmartコントローラーは、オーバーレイのコントロールプレーンとWAN Edgeの接続を管理し、OMPを介してルート、セキュリティキー、およびインテントを配布します。WAN Edgeルーターは、他のWAN EdgeへのセキュアなIPsecデータプレーントンネルを形成し、一方、vSmart、vBond、vManageへのコントロール接続には、デフォルトでDTLS（またはTLS）が使用されます。パスの活性と品質はBFDで継続的に測定され、その情報はApplication-Aware Routing (AAR) ポリシーに供給され、損失、遅延、ジッター、またはMOSに基づくSLAクラスに従って、最もパフォーマンスの高いトンネルにアプリケーションを誘導します。

オーバーレイとデータプレーンの基礎

コントロールプレーンとデータプレーン
- コントロールプレーン: WAN Edgeは、vBond（NATトラバーサルとオーケストレーション用）、vSmart（OMPによるポリシーとルート交換用）、およびvManage（管理、デバイス設定、証明書保管用）へのセキュアなDTLS/TLSコントロール接続を確立します。ステージング状態では、デバイスはコントロール接続を形成しますが、データトンネルは確立しません。
- データプレーン: WAN Edgeは、ユーザートラフィックのために他のWAN Edgeへ直接IPsecトンネルを形成します。データプレーンは転送を担当し、コントロールプレーンのポリシーによって伝えられたトラフィックエンジニアリングの決定を強制します。
IPsecデータプレーントンネルとTLOC
- Transport Locator (TLOC) は、WANトランスポートのアタッチメントを一意に識別し、タプル{system-IP, color, encapsulation}によって定義されます。カプセル化はIPsecまたはGREです。ほとんどの展開やIOS XE SD-WAN (cEdge) では、IPsecが使用されます。
- カラーは、アンダーレイのタイプとNATプロパティ（例: mpls, biz-internet, public-internet, lte, private1–private6）のためのセマンティックなラベルです。パブリックカラーは通常、vBondの支援によるNATトラバーサルを意味します。
- トンネルは、制限されていない限り、到達可能なTLOCのすべてのペア間に形成されます。2つのサイトがあり、それぞれに1つのWAN Edgeと2つのパブリックTLOCがあり、restrict属性がない場合、4つのIPsecトンネルが形成されます（カラーペア間のフルメッシュ）。
- TLOC拡張により、サイト内の2つの冗長なWAN Edgeがクロスリンクを介してトランスポートを共有でき、シャーシごとに物理回線を複製することなくトランスポートの冗長性を実現できます。
トランスポートラベルとサービスラベル
- vSmartはOMPを使用してルートとTLOCをアドバタイズし、オーバーレイヘッダーで運ばれるラベルを割り当てます。トランスポートラベルは、オーバーレイ全体でトラフィックを逆多重化するためにリモートTLOCを識別します。サービスラベルは、宛先サービスVPNまたはチェーニングされたサービスを識別します。これらのラベルはSD-WANオーバーレイ内部のものであり、MPLSアンダーレイのラベルではありません。
運用上のトレードオフと障害モード
- トランスポートのカラー設定ミス（例: MPLSをpublic-internetとしてマークする）は、最適でないトンネル形成やNATトラバーサルの失敗を引き起こす可能性があります。
- restrict属性は、不要なフルメッシュの増大を防ぎます。インターネットカラーでこれを省略すると、過剰なトンネルスケールと不要なプロービングのオーバーヘッドにつながる可能性があります。
- 証明書やクロックの問題は、コントロールプレーンの接続（DTLS/TLS）を妨げます。vSmartへのコントロールプレーンのコンバージェンスがなければ、データプレーンのキーは交換されず、IPsecトンネルは形成されません。

BFDパスの活性と品質測定

BFDの動作
- Cisco SD-WANは、すべてのデータプレーントンネルでBFDを実行し、ほぼリアルタイムの活性検出と品質測定を提供します。BFDは、軽量な定期helloを使用してアップ/ダウン状態（ブラックアウト）を検出し、アクティブプローブを使用して遅延、ジッター、損失（ブラウンアウト）を測定します。
- 主要なタイマーと間隔
  - Hello間隔: 一般的に1000 ms（カラーごとまたはグローバルに設定可能）。
  - Multiplier: 一般的に6（設定可能）。これにより、hello-interval × multiplierの検出時間（例: 約6秒）が得られます。
  - AARパフォーマンスサンプリング用のApp-probe間隔: 通常1秒（設定可能）。一時的なスパイクを平滑化するために、短いウィンドウで移動平均が計算されます。
- BFDの測定項目
  - 遅延: 各トンネルでのプローブのラウンドトリップ時間。
  - ジッター: プローブ間の遅延の変動。
  - 損失: 返ってこなかったプローブの割合。
  - MOS: 音声の適合性のために、遅延、ジッター、損失から導出されます。
ブラウンアウトとブラックアウトの処理
- ブラックアウト: BFDセッションがダウン（接続なし）すると、フォワーディングからパスが即座に削除されます。トラフィックは、AARの評価を待たずに、次に利用可能なトンネルの優先順位に従ってシフトされます。
- ブラウンアウト: BFDはアップのままですが、測定されたメトリクスがSLAのしきい値に違反します。AARは、元のトンネルが他のトラフィックを運び続けている間でも、特定のアプリケーションフローをSLAを満たす代替トンネルに誘導できます。
設計ガイダンスとトレードオフ
- 積極的なタイマー設定はフェイルオーバーを高速化しますが、特に大規模なメッシュではCPUと帯域幅のオーバーヘッドを増加させます。helloとプローブの間隔は、スケールとトランスポートの安定性とのバランスを取ります。
- 非対称なパス特性（例: 衛星またはセルラー）では、フラッピングを避けるために、緩和されたSLAしきい値と、場合によってはより高いmultiplierが必要になります。
- 音声やインタラクティブなアプリの場合、一時的な輻輳中の振動を減らすために、より速いapp-probe間隔とヒステリシス/ホールドダウンの有効化が推奨されます。

アプリケーションアウェアルーティング: ポリシーとSLAの設計

アプリケーションの識別と分類
- WANエッジはDPI (IOS XE SD-WAN上のNBAR2) を使用して、シグネチャ、プロトコルヒューリスティック、および利用可能な場合はTLS SNIやQUIC ALPNなどのメタデータによってアプリケーションを分類します。識別可能なメタデータがない暗号化トラフィックの場合、エンジンはフロー属性 (5タプル) と設定されたマッピング (ポート、DSCP) にフォールバックします。
- 分類は通常、最初のパケットで行われ、セッションの一貫性のためにキャッシュされます。精度を維持するために、シグネチャを最新の状態に保ってください。
SLAクラスと測定ポリシー
- 損失、レイテンシ、ジッター、およびオプションでMOSのしきい値を持つSLAクラスを定義します。各SLAクラスは、BFDのサンプリング間隔と平滑化の動作を決定するパフォーマンスプローブプロファイル (app-probe) を参照します。
- 一般的なSLAの例:
  - 音声: レイテンシ ≤ 150 ms、ジッター ≤ 30 ms、損失 ≤ 1%、MOS ≥ 4.0。
  - トランザクション: レイテンシ ≤ 200 ms、損失 ≤ 1%。
  - バルク: 厳密なSLAなし。高帯域幅で低コストのパスを優先。
パス優先の動作
- AARポリシーは、アプリケーションリストをSLAクラスに結び付け、優先カラー (preferred-color) とバックアップカラー (backup-color) (またはTLOCリスト) を指定します。決定ロジックは次のとおりです。
  1. 優先パスがSLAを満たす場合、トラフィックを優先パスで送信します。
  2. 優先パスがSLAに違反するが、バックアップパスがSLAを満たす場合、バックアップパスに誘導します。
  3. SLAを満たすパスがない場合、優先度またはコストに基づいて利用可能な最善のパスを使用します (グレースフルにデグレード)。
- ブラウンアウト時のステアリングはフローごとに行われます。既存のフローはポリシーに応じて移動できます (デフォルトは新規フローのステアリング。セッションの回復性が設計されていない限り、TCPではフロー中の移動が制約される場合があります)。
ポリシーの構成要素
- vManageで、アプリリスト (DPIグループ)、SLAクラス (損失/レイテンシ/ジッター/MOS)、およびTLOCリスト (カラー) を構築します。次に、アプリリスト → SLAクラス → 優先/バックアップカラーをマッピングするAARポリシーシーケンスを作成します。
- AARの決定前にDSCPの設定、ゾーンの強制、またはサービスチェイニングの挿入が必要な場合は、トラフィックデータポリシーと組み合わせます。
- ルートの受け入れ/アドバタイズに影響を与えるには、コントロールポリシーを別途使用します。AAR (データポリシー) とコントロールポリシーを混同しないでください。サイトリストは、AARが適用されるスコープを定義します。
設計上のトレードオフ
- SLAが厳しすぎると、パスの頻繁な切り替え (オシレーション) が発生する可能性があります。頻繁なパスシフトを避けるために、ヒステリシスやペナルティタイマーを導入します。
- コストを考慮する: 従量制のセルラーパスは、最終手段のバックアップとしてのみ配置します。利用可能な場合はデータ上限を有効にします。
- QoSとの連携: AARはパスを選択しますが、輻輳時にはパスごとのQoSとキューイングによって引き続き重要なクラスを保護する必要があります。

検証とトラブルシューティング

迅速なヘルスチェック
- コントロールプレーン:
  - cEdge: show sdwan control connections
  - vEdge: show control connections
- データプレーントンネル:
  - cEdge: show sdwan tunnels
  - vEdge: show ipsec outbound-connections / show ipsec inbound-connections
- BFDセッションと品質:
  - cEdge: show sdwan bfd sessions; show sdwan app-route stats
  - vEdge: show bfd sessions; show app-route stats
コマンドスニペットの例

  show sdwan tunnels
  show sdwan bfd sessions
  show sdwan app-route stats sla-class <name>
  show sdwan app-route statistics flows
  show sdwan omp tlocs

  show control connections
  show omp routes | include <prefix>
  show ipsec sa detail

確認すべきこと
- トンネルの状態はupだが、BFDの損失/遅延/ジッターがSLAを超過している：ブラウンアウト — AARによるステアリングが想定されます。バックアップパスがSLAを満たしていること、およびポリシーが正しいアプリリストにバインドされていることを検証します。
- BFDセッションのフラッピング：アグレッシブさを低減するか、アンダーレイでのドロップ/キューイングを調査します。プローブの損失を避けるために、MTUとフラグメンテーション（DFビットの処理）を検証します。
- あるカラー上でトンネルが形成されない：カラーのNAT/パブリック/プライベートのセマンティクス、インターフェースのNAT設定、およびNATトラバーサルのためにvBondに到達可能であることを検証します。コントロールコネクションが存在しない場合は、時刻と証明書を確認します。
- 予期せぬフルメッシュとプローブのスケール：インターネットカラーにrestrictを適用するか、TLOCリストを使用して接続範囲を限定します。
- DPIの誤分類：NBAR2シグネチャを更新し、競合するL4ポートのオーバーライドがないことを確認します。暗号化されたアプリについては、SNI/ALPNベースの分類またはアップストリームでのDSCPマーキングを検討します。
運用のための考察
- 常に最初にコントロールコネクティビティ（オーケストレーション/NATのためのvBond、OMP/ポリシーのためのvSmart、設定/証明書のためのvManage）を検証します。vSmartがないと、データプレーンキーが配布されず、IPsec SAは形成されません。
- AARの決定をBFDの測定値とSLAクラスと関連付けます。期待に反してパスが選択された場合は、現在の平均値だけでなく、決定時点でのSLAコンプライアンスの状態を調査します。
- デュアルDC設計では、DC相互接続を介してOMP↔BGPを再配送する際に、DCのWAN EdgeでオーバーレイASを調和させることで、重複したLANルートを回避します。

実践的な問題シナリオ

Contoso Health社は300のクリニックを運営しており、各サイトにはMPLS（mplsカラー）とブロードバンド（biz-internetカラー）の2つのトランスポートがあります。データアプリは問題ないものの、ユーザーから断続的な音声品質の低下が報告されています。目標は、音声にはMPLSを優先し、ブラウンアウト時にはブロードバンドにフェイルオーバーし、オシレーション（切り戻しの頻発）なしで迅速なブラックアウトフェイルオーバーを保証することです。

オーバーレイの健全性とデータプレーン形成の検証

理由：前提条件を確認します。show sdwan control connectionsを使用してvSmart/vBond/vManageへのDTLS/TLSが安定していることを確認し、show sdwan tunnelsを使用してMPLSとブロードバンドの完全なトンネルメッシュを検証します。biz-internet上のトンネルが見つからない場合は、カラーの割り当てとNATを確認します。NATトラバーサルを支援するために、vBondがパブリックスペースから到達可能である必要があります。

BFDとプローブタイマーの調整

理由：バランスの取れた活性検出（約6秒）と妥当なスケールを実現するために、BFD helloを1000 ms、multiplierを6に設定します。タイムリーなブラウンアウト検出のために、app-probe intervalを1秒に設定します。過度にアグレッシブなタイマーはCPUオーバーヘッドとフラッピングを引き起こす可能性があり、緩やかすぎると音声の応答性を妨げます。

SLAクラスの定義

理由：遅延 ≤ 150 ms、ジッター ≤ 30 ms、損失 ≤ 1%、MOS ≥ 4.0のSLAクラスVoice-SLAを作成します。遅延 ≤ 200 ms、損失 ≤ 1%のData-SLAを作成します。これらのしきい値は、音声の機微性と一般的なWANのパフォーマンスを反映しており、MOSは複数のメトリクスを横断してユーザーエクスペリエンスを統合します。

アプリケーションリストの構築

理由：DPI (NBAR2) を使用して、SIP/RTP/Teams/Zoomメディア用のApp-List-Voiceと、トランザクションアプリ用のApp-List-Dataを定義します。最新の音声/ビデオプラットフォームのために、TLS SNI/QUIC ALPNパターンを含めます。分類が不確かな場合は、LANエッジで強制されるDSCPのEF/AF41マーキングにフォールバックします。

AARポリシーの構築

理由：App-List-VoiceをVoice-SLAにマッピングし、preferred-colorをmpls、backup-colorをbiz-internetに設定します。MPLSの帯域を確保するために、App-List-DataをData-SLAにマッピングし、preferred-colorをbiz-internet、backup-colorをmplsに設定します。これにより、音声は正常時にMPLSを使用し、ブラウンアウトまたはブラックアウト時にのみブロードバンドに移行し、データはコスト効率の良いインターネットを優先するようになります。

ヒステリシスとホールドダウンの追加

理由：音声がMPLSに復帰するのは、持続的なSLAコンプライアンス（例：30〜60秒）が確認された後のみになるように、復帰タイマーを設定します。これにより、一時的なジッタースパイク中のオシレーションを回避します。同様に、ブロードバンドが短時間内に繰り返しSLAに違反する場合は、ペナルティまたはダンピングを適用します。

QoSとMTUの調整

理由：両方のトランスポートで、EFキューイングとシェーピングが回線レートと一致していることを確認します。不一致は、BFDプローブや音声RTPが観測するジッター/ロスを増大させる可能性があります。パスMTUを検証し、フラグメンテーションが避けられない場合はDFを無効にして、損失に見せかけるプローブのドロップを防ぎます。

検証と繰り返し

理由：show sdwan app-route stats sla-class Voice-SLAを使用して、トンネルごとのSLAの合否を確認します。show sdwan app-route statistics flowsでライブフローを監視し、音声がMPLSにステアリングされ、MPLSがSLAに違反したときにのみブロードバンドに移行することを確認します。テスト中は、意図的にMPLSを輻輳させてブラウンアウトの動作を検証し、その後、復帰タイミングを測定します。

これらの手順に従うことで、Contoso Health社は、BFDが迅速なブラックアウト検出を提供し、AARが正確なSLAクラスを使用してブラウンアウトに反応し、DPIが音声アプリケーションを正確に分類することを保証できます。この組み合わせにより、予測可能な音声品質、トランスポートの効率的な利用、およびSD-WANファブリック全体で制御可能なフェイルオーバー動作が実現します。

← WAN Edge の設定とテンプレート管理 · すべてのドメイン · 集中型ポリシーとトラフィックエンジニアリング →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

試験に合格する →