Cisco 300-415: OMP、ルート、トランスポートロケーター — 学習ガイド

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

こちらの一部です： Cisco SD-WAN 300-415 ENSDWI — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

Overlay Management Protocol (OMP) は、WAN EdgeルーターとvSmartコントローラー間で使用されるCisco SD-WANのコントロールプレーンプロトコルです。vSmartはオーバーレイのコントロールプレーンとWAN Edgeの接続性を管理し、到達可能性、ポリシー、および鍵情報をすべてのサイトに反映します。vSmartへのコントロール接続はデフォルトでDTLSを使用し（TLSはオプション）、WAN Edgeデバイス間のデータプレーントンネルはIPsecを使用します。vBondは、初期のデバイスオンボーディングとvSmartへの仲介接続をオーケストレーションします。OMPがvRoute、TLOC、サービスルートをどのように配布するか、属性がルートとパスの選択をどのように決定するか、そしてOMPがBGP/OSPF/スタティックルーティングとどのように相互作用するかを理解することは、安定的でスケーラブルな設計に不可欠です。

OMPコントロールプレーンと情報交換

OMPは、すべてのWAN Edgeと各vSmartコントローラー間で実行されます。WAN Edgeデバイスは相互にOMP隣接関係を形成しません。すべての交換は、ルートリフレクターとして機能するvSmartを介して行われます。

主要なコントロールプレーンの交換情報：

• OMPピアリング：VPN 0を介したWAN EdgeからvSmartへのセキュアなDTLS/TLSコントロール接続。vBondがこのファーストホップのディスカバリーを調整します。
• ルート配布：WAN Edgeは、ローカルのVPNプレフィックス（vRoute）、TLOC（トランスポートの到達可能性）、およびサービスルートをvSmartにアドバタイズします。vSmartは、ポリシーとループ防止ルールに基づいて、適格なルートを他のWAN Edgeに反映します。
• ポリシー配布：vSmartは、集中管理されたコントロールポリシー（ルート広告制御）、データポリシー（トラフィックステアリング）、およびアプリケーションアウェアルーティングポリシーを配布します。
• 暗号鍵交換：vSmartは鍵情報を配布し、WAN Edgeルーターが認証されたIPsecデータプレーントンネルを形成できるようにします。
• ステートフルネスとコンバージェンス：OMPの増分更新は変更点のみを伝達し、キープアライブとホールドタイマーが隣接関係の正常性を監視します。グレースフルリスタートにより、デバイスは短時間のコントロールプレーン障害中にルートを保持し、ステール（stale）としてマークすることができ、データプレーンのTLOCが稼働している限りフォワーディングを維持します。

考慮すべき障害モード：

• DTLS/TLS障害（例：DCONFAIL）：アンダーレイの到達可能性、ファイアウォール/NATによるブロッキング、証明書/時刻の問題、またはテンプレートの設定ミス。
• コントロールポリシーによるドロップ：vRoute/TLOCの意図的または意図しないフィルタリングが、部分的な到達可能性を引き起こします。
• vSmartのオーバーサブスクリプション：コントローラーのキャパシティ不足や過剰なルートチャーンが、コンバージェンス時間を増加させます。

OMPルート、TLOC、および属性

OMPは、3つの主要なルートタイプと一般的なIPプレフィックスの構成要素を伝達します。

• vRoute (VPNルート)：1つ以上のTLOCで表現されるネクストホップを持つ、VPNプレフィックス（IPv4/IPv6）へのオーバーレイルート。属性には、origin、Originator、サイトID、VPN ID、preference、tag、およびTLOCセットが含まれます。vSmartはこれらを使用して他のサイトにルートを反映し、ポリシー適用とループ防止を実施します。
• TLOCルート：トランスポートロケーション（WAN Edgeのトランスポートエンドポイントを識別するタプル）をアドバタイズします。TLOCは、system IP、color、およびencapsulationによって一意に定義されます。TLOCルートにより、すべてのピアはIPsecトンネルを構築するために各トランスポートアンダーレイへの到達方法を学習できます。
• サービスルート：VPN内に存在するサービス（例：ファイアウォール、IDS/IPS、L4–7サービス）をアドバタイズします。サービスチェイニングと組み合わせて、サービストラフィックをサービスノード経由で誘導するために使用されます。
• IPプレフィックス：VPN内のプレフィックス自体（IPv4/IPv6）。実際には、vRouteがIPプレフィックスとネクストホップ（TLOC）を伝達します。ポリシーは、フィルタリングや属性設定の際にIPプレフィックス要素にマッチさせることができます。

TLOC属性とその役割：

• System IP：SD-WANルーターのID。TLOCキー（system-ip、color、encapsulation）の一部です。
• Color：WANアンダーレイを示す論理的なトランスポートラベル（例：mpls、biz-internet、public-internet、privateの各バリエーション）。Colorはポリシーと優先アンダーレイの選択を決定します。
• Encapsulation：IPsec（デフォルト）またはGRE。データプレーントンネルのタイプを決定します。特定のTLOCペアのピア間でEncapsulationは一致している必要があります。
• Preference：TLOC選択のための相対的な優先度。複数のTLOCオプションの中から、より高いpreferenceが最初に選択されます。トランスポート間でのアクティブ/バックアップ構成（例：インターネットよりMPLSを優先）に役立ちます。
• Weight：同じpreferenceを持つECMP TLOC間で重み付け負荷分散を行うために使用されます。より高いweightはトラフィックのシェアを増加させます。
• Tag：グルーピング/選択のためのポリシーラベル（それ自体にフォワーディングのセマンティクスはありません）。

設計および運用のガイダンス：

• 高可用性とトランスポートの多様性のために、サイトごとに少なくとも2つのTLOCをアドバタイズします。プライマリ/バックアップの動作にはpreferenceを使用し、等コストパスが必要な場合はECMPの比例分散にweightを使用します。
• コントロールポリシーとアプリケーションアウェアルーティングを簡素化するために、ファブリック全体でcolorのセマンティクスを一貫させます。
• トランスポートごとにencapsulationの整合性とNATの特性を確認します。不一致や非対称NATがあると、OMPコントロールが確立していてもIPsec SAの形成が妨げられる可能性があります。

アドバタイズ、再配送、選択、およびループ防止

ルートのアドバタイズと選択は、OMP内とWAN Edge上のローカルRIB内の2つのレイヤーで行われます。

OMP内：

• WAN Edgeは、ルートポリシーで許可されている場合、VPNごとにローカルルート（connected、static、BGP、OSPF）をOMPにオリジネートします。集約とタギングは、オリジネート時またはvSmart上で適用できます。
• vSmartは、コントロールポリシーに従ってvRouteとTLOCを他のサイトにリフレクトします。デフォルトでは、vSmartは学習元のサイトIDと同じサイトIDにルートをリフレクトバックしないため、冗長ルーター間でのサイト内ループを防ぎます。
• OMPのルート選択では、OMPプリファレンス（高い方）、オリジンタイプ（該当する場合、低い方）、MEDのようなメトリック（存在する場合、低い方）、そしてオリジネーターやルーターIDなどの決定論的なタイブレーカーの順に属性を比較します。同等のvRoute間では、ECMPのために複数のTLOCネクストホップを保持できます。

WAN Edge上のルーティングプロトコル間（アドミニストレーティブプリファレンス）：

• RIBは、connected、static、BGP、OSPF、およびOMPからの候補を比較します。デフォルトでは、同一プレフィックスに対して、OMPよりもローカルで生成されたルート（connected/static）およびアンダーレイのIGP/BGPが優先されます。これにより、ローカルで到達可能なネットワークのオーバーレイで学習したコピーを誤って優先することを回避します。
• 特定のプレフィックスに対してOMPを優先させる必要がある場合（例えば、アンダーレイ経由の非対称なリターンパスを避けるため）、グローバルなプリファレンスの変更に頼るのではなく、ルートフィルタリングやロンゲストプレフィックスのアドバタイズを使用します。

相互運用性と再配送：

• OSPF: 明示的なプレフィックスフィルターを使用して、ブランチ/DCのVPNからOSPFをOMPに再配送します。DCでOMPをOSPFにエクスポートする際は、DCI経由で他のDCから学習したルートを再アドバタイズしないようにします。
• BGP: DCエッジでOMPからBGPへ、およびBGPからOMPへの再配送を使用して、データセンターコアと統合します。2つのDC WAN Edgeセット間のDCIを越えたルーティングループや重複学習を防ぐため、両方のDCで同じオーバーレイASを設定します。オーバーレイASは、OMPで学習したルートがBGPに注入される際、またその逆の場合にもASパスのループ防止ロジックに関与し、ルートがDC間を行き来するのを防ぎます。
• Static: OMPへのデフォルトルートのオリジネートや特定の到達可能性のために使用し、誤ってトラフィックをブラックホール化しないように厳格なポリシーガードレールを設けます。
• Site ID: 同じ物理サイトにある冗長なWAN Edgeルーターには、同じサイトIDを割り当てます。vSmartは、サイト自身のvRouteをそのサイトに再アドバタイズするのを抑制し、オーバーレイループを防ぎます。異なる物理サイトでは、一意のサイトIDを使用する必要があります。

サービスVPN間のルートリーキング：

• 集中管理されたコントロールポリシーを使用して、選択したプレフィックスをあるVPNから別のVPNにエクスポートし、ターゲットVPNでインポートします。リーキングはコントロールプレーンで行われます。VRFのルートターゲットは存在せず、ポリシーがその役割を果たします。
• 最小権限を適用します。明示的なプレフィックスやタグに一致させ、適切なコミュニティ/タグを設定し、意図しない限り0/0や広範な集約ルートのリーキングを避けます。
• セキュリティポリシーを考慮します。リークされたルートはセキュリティゾーンをバイパスする可能性があるため、ゾーンベースのファイアウォール、セグメンテーション、およびサービスチェインと連携します。

TLOCエクステンションとデュアルトランスポート：

• TLOCエクステンションにより、あるWAN Edgeが、別のWAN Edgeに接続されたトランスポート回線をLANインターフェース経由で共有できます。これにより、1台のデバイスのみが特定のアンダーレイを物理的に終端している場合でも、デュアルトランスポートの到達可能性が実現します。
• メリット: CPEを二重化することなく、トランスポートの多様性とTLOCプリファレンスごとのアクティブ/バックアップ動作を維持します。
• リスク: 障害ドメインを導入し（所有するエッジが故障すると、拡張されたトランスポートは失われます）、LAN帯域幅を消費し、非対称パスを生成する可能性があります。高速なBFDと明確に定義されたプライマリ/バックアップのプリファレンスを使用します。

高可用性、タイマー、およびスケールに関する考慮事項

グレースフルリスタート：

• OMPはグレースフルリスタートをサポートしており、コントロールプレーンの中断（例：vSmartのリロードやネットワークのフラップ）が発生した場合、受信側のピアはルートをstale（失効）としてマークし、ピアリングの再確立を試みながらそれらを保持します。TLOCがアップ状態を維持していれば、データプレーンのIPsecトンネルとBFDがトラフィックフローを維持します。
• staleタイマーが回復せずに期限切れになると、ブラックホールを防ぐためにstaleルートが取り下げられます。一貫した動作を確保するために、WAN EdgeとvSmartの両方でグレースフルリスタートを有効にしてください。

ホールドタイマーと活性（Liveliness）：

• OMPピアリングは、DTLS/TLSコントロールセッション上で定期的なキープアライブを使用します。ホールドタイマーは、応答のないピアがダウンしたと宣言されるまでの時間を決定します。チューニングはほとんど必要ありません。誤検知を避けるために、アンダーレイの安定性とジッター制御に注力してください。
• データプレーンの活性は独立しています。各IPsecトンネル上のBFDが、TLOC間の高速な障害検出とステアリングを駆動します。

スケーラビリティ：

• vSmartを水平にスケールさせます。冗長性とキャパシティのために、少なくとも2台のvSmartコントローラーをデプロイしてください。vSmartはルートをリフレクトするため、キャパシティプランニングでは総vRoute数、TLOC数、更新レート、ポリシーの複雑さを考慮する必要があります。
• ブランチでの集約、DCでの制御されたプレフィックスの生成、serviceルートの賢明な使用、そして慎重なポリシー設計（プレフィックスごとのポリシー爆発を避ける）によって、チャーンを抑制します。
• 集約と選択的なアドバタイズのためには、中央集権的なコントロールポリシーを優先します。長いACLではなく、タグを使用してサイトやプレフィックスをグループ化してください。

検証とトラブルシューティングの要点：

• コントロール接続と証明書：
  • show control connections
  • show control local-properties
• OMPのヘルスとコンテンツ：
  • show omp peers
  • show omp routes
  • show omp tlocs
  • show omp services
• IOS XE SD-WANでの同等コマンド：
  • show sdwan control connections
  • show sdwan omp peers
  • show sdwan omp routes
  • show sdwan omp tlocs
• データプレーンと到達可能性：
  • show bfd sessions
  • show ip route vpn <id>
  • ping vpn <id> <prefix> tloc <color system-ip encap>
• 一般的な問題：
  • OMPルートがない：コントロールポリシーによるブロッキング、site-IDループ防止機能の作動、または証明書/アイデンティティの不一致。
  • TLOCはアドバタイズされているがデータプレーントンネルがない：カプセル化の不一致、NATトラバーサルのブロック、互換性のないカラーや使用を制限するプリファレンス。
  • DCルートの重複またはルーピング：overlay ASのアライメントの欠如、DCIエッジでのアウトバウンドBGPフィルターの欠如、またはOMPで学習したルートがアンダーレイ経由でOMPにリークしている。

実践的な問題シナリオ

Acme Beverages社は、レイヤー3 DCIを持つ2つのデータセンター（DC1、DC2）と、インターネット/MPLSに接続された複数のブランチを運用しています。両方のDCでOMP↔BGP再配送を有効にした後、LANルートの重複と断続的な非対称パスが観測されました。

アプローチ：

1. 両方のDCでoverlay ASを整合させる

• DC1とDC2のWAN Edgeルーターに同じoverlay ASを設定します。
• 理由：OMPをBGPに、またその逆に再配送する際のAS-pathループ防止を確実にし、各DCが他のDCのOMP学習ルートをDCI経由で再インポートするのを防ぎます。

2. BGP/OMP再配送ポリシーを厳格化する

• WAN Edge上で、DCローカルのLANプレフィックスのみをOMPにマッチさせ、DCIから学習したプレフィックスがOMPにインポートされるのを防ぎます。
• BGP方向では、OMP由来のルートにタグを付け、ファブリックやDCIへの再アドバタイズを適切にブロックします。
• 理由：最小権限のアドバタイズにより、重複を生成するルートエコーやスコープクリープを排除します。

3. 集約のためにOMPコントロールポリシーを使用する

• vSmartのコントロールポリシーでDCのLANを粗い集約ルートにまとめます。必要に応じて特定の例外は保持します。
• 理由：ルートの規模とチャーンを削減し、重複検出の可能性を低減させ、コンバージェンスを加速させます。

4. トランスポートの振る舞いのためにTLOCプリファレンスを正規化する

• ブランチとDCでMPLSに高いTLOCプリファレンスを、インターネットに低いプリファレンスを設定します。同品質のリンクでのみECMPのためにweightを使用します。
• 理由：決定論的なプライマリ/バックアップの動作により、異なるトランスポート間でのフラッピングを防ぎ、非対称性を低減します。

5. site IDと同一サイト抑制を検証する

• 各DCの冗長WAN Edgeが同じsite IDを共有し、ブランチはユニークなsite IDを持つことを確認します。
• 理由：vSmartの同一サイト抑制機能は、サイトが自身のルートを再び受信するのを防ぎ、サイト内部のループを回避します。

6. コントロールプレーンとデータプレーンのヘルスを検証する

• 実行：

  show control connections
  show omp peers
  show omp routes vpn 10
  show omp tlocs
  show sdwan omp routes | inc <DC LAN prefix>
  show bfd sessions

• 理由：OMPピアリングが安定しており、期待される集約ルートが存在し、意図しないプレフィックスがリークしておらず、データプレーントンネルが正常であることを確認します。

7. モニタリングしながら変更をステージングおよびコミットする

• メンテナンスウィンドウ中にポリシーを適用し、ブランチのルートテーブル（show ip route vpn X）を監視し、application-aware routingを介して合成プローブを使用します。
• 理由：ポリシーが副作用なしに重複排除を達成することを保証し、ロールバックのチェックポイントを提供します。

overlay ASを整合させ、正確な再配送を強制し、vSmartで集約し、TLOC選択を正規化することで、Acme社は重複ルートを排除し、両方のDCとすべてのブランチにわたるパス選択を安定させます。

← コントローラーのオンボーディング、証明書、セキュアなコントロール接続 · すべてのドメイン · WAN Edge の設定とテンプレート管理 →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →