Cisco 300-415: 運用、監視、トラブルシューティング — 学習ガイド

By Laurynas Brazys · 13 August 2026 · #cisco #300-415 #certification #exam-prep #study-guide

こちらの一部です： Cisco SD-WAN 300-415 ENSDWI — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

Cisco SD-WANにおける運用、監視、トラブルシューティングは、Cisco SD-WAN Manager (旧vManage)、コントローラーレイヤー (vBondオーケストレーターおよびvSmartコントローラー)、WAN Edgeルーター (例: IOS XE SD-WANを実行するISR 4000およびASR 1000シリーズ)、そしてそれらが形成するデータおよびコントロールオーバーレイを中心に行われます。vSmartによって駆動されるコントロールプレーンは、OMPを介してトポロジーとポリシーを構築・維持し、エッジ間で暗号鍵を配布します。WAN Edgeデバイスは、デフォルトでDTLS (または必須の場合はTLS) のコントロール接続を形成し、vBond (NATトラバーサルのためにパブリックIPスペースで到達可能である必要があります) を通じて初期接続を調整し、IPsecデータプレーントンネルを確立します。強固な運用体制は、豊富なテレメトリ、固定化されたランブック、変更管理、自動化されたAPIを活用して、SLA保証を維持し、平均修復時間 (MTTR) を短縮します。

監視、ダッシュボード、健全性

• ダッシュボード: Cisco SD-WAN Managerは、サイトの健全性、デバイスのステータス、コントロール接続、トンネルSLA、アプリケーションエクスペリエンス、ポリシーコンプライアンスに関するリアルタイムおよび履歴ビューを提供します。デフォルトのウィジェットは、コントロール接続 (vBond/vSmart/vManageの到達可能性)、アプリケーションアウェアルーティングのSLA遵守状況、インターフェース使用率を強調表示します。ドリルダウンにより、デバイスまたはサイトごとのアラーム、イベント、統計情報を関連付けることができます。
• アラームとイベント: プラットフォームは、コントローラーの到達可能性の変更、OMPセッションの状態、証明書の障害、デバイスの再起動、ポリシーの不一致、およびパフォーマンスの低下 (SLAを超える損失/遅延/ジッター) に関してアラームを発生させます。イベントには、コントロール接続障害を示すDCONFAILや、オンボーディング中の明示的な組織名の不一致などの詳細なコードが含まれます。アラームは、中央の運用システムへの確認応答 (acknowledgment)、クリア、転送 (メール/SNMP/syslog) をサポートします。
• デバイスの健全性: 健全性スコアは、コントロールプレーンとデータプレーンの指標を、CPU、メモリ、クラッシュログ、インターフェースエラーと組み合わせて算出されます。WAN Edgeの健全性はベースライン化し、アラーム疲れを避けるためにしきい値を調整する必要があります。時刻同期 (NTP) は非常に重要です。クロックスキューは、証明書検証の失敗や誤解を招くトレンドデータの一般的な根本原因です。
• vAnalyticsとキャパシティプランニング: vAnalyticsは、詳細なアプリケーション可視性 (cflowdからのNBAR2ベースの分類)、パス品質のベースライン、およびキャパシティ予測を追加します。トップトーカー、アプリケーション応答時間の内訳 (ネットワーク対サーバー)、および予測されるインターフェース飽和期間を強調表示します。キャパシティプランニングでは、30日間のローリングウィンドウでの95パーセンタイルスループットを使用し、トンネルのSLA違反と相関させます。追加の帯域幅やポリシー調整 (QoS/AAR) が最良のSLAリターンをもたらす場所を評価します。
• アプリケーションエクスペリエンス: アプリケーションダッシュボードは、フローをトンネルのパフォーマンスとQoS処理に結びつけます。ジッターが増加しているパスで重要なアプリケーションのパフォーマンスが低下した場合、アプリケーションアウェアルーティングがSLAを遵守しているか、またキューイングポリシーがエンドツーエンドでDSCPマーキングと整合しているかを確認します。

テレメトリ、Syslog、SNMP、cflowdエクスポート

• ストリーミングテレメトリ: Cisco SD-WAN Managerは、コントローラーとエッジからのモデル駆動型テレメトリを消費して、コントロール、インターフェース、プラットフォームのメトリクスを取得します。ストリーミングは、従来のSNMPポーリングと比較して、ポーリングのオーバーヘッドを削減し、粒度を高めます。外部アナリティクス向けに、IOS XE SD-WANはgRPCコレクターへのダイヤルアウト型モデル駆動テレメトリをサポートします。ブランチでのオーバーヘッドを避けるため、コレクターのサイジングとサンプリングレートを慎重に決定します。
• Syslog: エッジとコントローラーは、中央のコレクターにsyslogをエクスポートできます。重要なイベント (例: コントロールの再収束、OMPポリシーの更新、IPsecのリキー、クラッシュ) を転送します。より良い解析のために構造化syslogを使用します。コレクターのパフォーマンスを維持するために、レート制限とフィルタリングを行います。
• SNMP: インターフェース、CPU、メモリ、環境センサーの安全なポーリングにはSNMPv3を使用します。主要なアラーム (コントロールダウン、BFDダウン、高CPU) に対してSNMPトラップを有効にすることができます。SNMPだけでは最新のアプリケーションテレメトリには不十分ですが、既存のNMSツールとの統合には依然として価値があります。
• cflowd (アプリケーションアウェアなフローエクスポート): Cisco SD-WANはcflowd (NetFlow/IPFIXに類似) を使用して、アプリケーションID (NBAR2)、DSCP、バイト/パケット、TCPフラグ、およびラウンドトリップタイム、損失、ジッターなどのパフォーマンスメタデータを含むフローごとのレコードをエクスポートします。エクスポートは、Cisco SD-WAN Manager/vAnalyticsおよび外部コレクターに送信できます。サンプリング、アクティブ/非アクティブタイムアウト、エクスポート先を調整して、可視性とオーバーヘッドのバランスを取ります。ローエンドのプラットフォームでの過剰なエクスポートはCPUに影響を与える可能性があります。可能な場合はコントローラー側のアナリティクスを優先します。

コントロール、OMP、BFD、トンネルのトラブルシューティング

一貫したワークフローにより、障害ドメインを迅速に絞り込むことができます。

1. スコープとレイヤーの特定

• コントロールプレーン、データプレーン、またはアプリケーションレイヤーのみの問題か？
• SD-WAN Managerのサイトおよびデバイスのダッシュボードを使用して、複数のデバイス、サイト、または単一のパス/カラーのみが影響を受けているかを確認します。

2. コントロール接続の検証

• vBondは、そのパブリックIPで到達可能でなければなりません。デフォルトでは、コントローラーはDTLS/TLSにポート12346を使用します。
• デフォルトのコントロールトランスポートはDTLSです。多くのデータセンターポリシーでは、コントローラーへのTLS接続が要求されます。中間デバイスが選択されたプロトコルを許可していることを確認してください。
• 時刻同期と証明書（ルートチェーン、有効期間、CRL/OCSPの到達可能性）を確認します。
• 一般的なエラー：
  • DCONFAIL：一般的なコントロール接続の失敗。根本原因には、ポート12346のブロック、NATトラバーサルの失敗、証明書の拒否、またはコントローラーへのルーティングの問題が含まれます。
  • 組織名の不一致：デバイスの認証情報/設定に埋め込まれたorg-nameは、コントローラーと一致する必要があります。一致しない場合、OMPセッションは確立されません。

3. OMPとポリシーの検証

• OMPは、vSmartとエッジ間でルート、TLOC、サービスチェーンを伝達します。非対称なコントロール状態を避けるため、クラスター内のすべてのvSmartノードとのOMP隣接関係を確認します。
• 受信/アドバタイズされたルートとポリシーの受け入れ状況を検証します。ポリシーが意図せずTLOCやプレフィックスをフィルタリングし、トラフィックをブラックホール化することがあります。
• TLOCは、system IP、カラー、およびカプセル化（GREまたはIPsec）によって定義されます。ピア間でのカラーまたはカプセル化の不一致は、特定のトランスポートでのトンネル確立を妨げます。

4. BFDとSLAの調査

• BFDは、トンネルごとの損失、遅延、ジッターを追跡し、アプリケーションアウェアルーティングに情報を提供します。フラッピングや高いジッターはステアリングをトリガーします。BFDタイマー/SLAクラスが設計意図と一致していることを確認してください。低品質回線での過度にアグレッシブなタイマー設定は、不要なフェイルオーバーにつながります。

5. IPsec/データプレーンの確認

• トンネル統計、IPsec SA、encaps/decaps、replay-drops、PMTUを調査します。特にブロードバンド経由では、NAT-Tの問題やPMTUのブラックホールがよく発生します。
• QoSシェーピングが契約帯域幅と一致していることを検証します。オーバーサブスクリプションは損失/ジッターの測定値を増大させ、AARを誤解させます。

IOS XE SD-WANエッジで役立つshowコマンド：

show sdwan control connections
show sdwan omp peers | routes | tlocs
show sdwan bfd sessions
show sdwan ipsec inbound-connections outbound-connections
show platform hardware qfp active datapath utilization
show interfaces counters errors
show clock detail

トレードオフと障害モード：

• TLS vs DTLS: TLSはセキュリティポリシーで要求されることがあり、厳格なプロキシをよりうまく通過できます。DTLSはハンドシェイクのオーバーヘッドが低いです。ファブリック全体で一貫して選択してください。
• BFDの感度: タイマーを短くすると反応時間は向上しますが、ノイズの多いリンクではCPU使用率が上昇し、誤検知が増加します。
• ポリシーの複雑さ: 豊富な集中管理ポリシーは意図から乖離する可能性があります。階層的で十分にコメントされたポリシーオブジェクトを優先し、展開前にシミュレーションを行うことが望ましいです。

ライフサイクル管理、コンプライアンス、および自動化

• ソフトウェアアップグレード計画:

  • 順序: SD-WAN Managerクラスタ、次にvBond、vSmart、そして最後にWAN Edgesの順にアップグレードします。リリースノートに従ってバージョンの互換性を維持します。エッジに着手する前に、コントローラが正常で同期がとれている必要があります。
  • イメージリポジトリ: SD-WAN Managerのソフトウェアリポジトリを使用してイメージをステージングします。コントローラのイメージは一般的に.qcow2または.ova形式を使用し、エッジはプラットフォーム固有のIOS XE SD-WANパッケージを使用します。
  • メンテナンスモード: WAN Edgeをメンテナンスモードにして、トラフィックをグレースフルにドレインします。デバイスはTLOCs/OMPルートを取り下げるため、セッションはリロード前に代替パス/サイトに移行し、ユーザーへの影響を最小限に抑えます。
  • ロールバック: 実績のある以前のイメージをステージングしておきます。事後チェックが失敗した場合は、最後に正常だった状態にロールバックします。IOS XE SD-WANは、デュアルバンクインストールとコントローラ駆動のダウングレードをサポートしています。
  • スケジューリング: 変更ウィンドウを使用して、事前チェック（コントロール/OMP/BFDステータス、CPU/メモリ）と事後チェック（アプリSLA、トンネル数、エラー率）を実施します。

• 設定のコンプライアンスとドリフト:

  • 望ましい状態は、デバイステンプレートによって決定されます。SD-WAN Managerは、実行中の設定とテンプレート間のドリフトをハイライト表示します。正当な理由がある場合（例：緊急のCLI修正）、再アタッチまたはドリフト受け入れワークフローで修正します。
  • 監査証跡は、誰が、何を、いつ変更したかを記録します（RBACスコープ）。不変の履歴のために、syslog/webhookを介して外部のSIEMと連携させます。
  • コンプライアンスルールセット: org-name、システムIPスキーマ、colorの使用法、IPsec暗号、AAA、およびNTPが標準に準拠していることを検証します。

• API駆動の運用とレポート:

  • /dataservice REST APIは、監視、設定、およびアクションのエンドポイントを公開します。レポート生成（SLAトレンド、トップアプリケーション）、一括アップグレード、サイトのオンボーディング、およびコンプライアンスチェックを自動化します。
  • トークンとRBACスコープのアカウントを使用します。大規模な変更を呼び出す前に、べき等なワークフローと事前検証を実装します。

• パフォーマンスのトリアージ:

  • トンネルのSLA（損失、遅延、ジッター）から始め、次にデバイスのCPU/メモリ、そしてインターフェイスのドロップ/エラーとキューの深さを確認します。cflowdからのアプリケーションKPIと相関させます。
  • 同じアプリケーションとパスに対する複数のサイトのエクスペリエンスを比較することで、劣化がリンク品質、輻輳/QoS、またはサーバー側の問題であるかを特定します。
  • キャパシティの兆候: 95パーセンタイルの使用率の上昇、優先クラスでのキュードロップ、およびAARによる頻繁なパスの切り替えは、ポリシーまたは帯域幅の変更が必要であることを示しています。

• インシデント対応、変更管理、およびRCA:

  • ランブックは、初動対応のアクションを定義します。コントロール/OMP/BFDの状態のスナップショットを取得し、関連するログ/テクニカルサポートバンドルを収集し、必須でない変更を凍結します。
  • 変更管理では、ポリシー更新に対するピアレビューと、カナリアリリースを用いた段階的なロールアウトを強制します。
  • 根本原因分析は、コントローラのイベント（誰が/いつ）、フローテレメトリ（どのトラフィック）、およびパスのメトリクス（どこで劣化したか）を組み合わせて問題を特定します。例：オンボーディング変更後のORGの不一致、意図しないポリシーフィルターによるTLOCの削除、ISPのCPE変更後のブロードバンドPMTUブラックホール。

実践的な問題シナリオ

Contoso Healthは、ISR 4000 WAN Edgesを使用し、デュアルトランスポートSD-WAN（MPLS color mplsおよびブロードバンドcolor biz-internet）を介して接続された150のクリニックを運営しています。コントローラを新しいデータセンターに移行するメンテナンスウィンドウの後、いくつかのサイトでEHRのパフォーマンス低下と断続的な停止が報告されました。

1. SD-WAN Managerでコントロールプレーンの健全性を確認する

• 根拠: コントロールプレーンが不安定な場合、それに続くすべてのデータプレーンとポリシーの症状が発生するためです。ダッシュボードには、同じウィンドウ中に複数のDCONFAILイベントとORGの不一致が表示されており、コントローラ移行後のオンボーディングの不整合を示しています。

2. コントローラの到達可能性とポートを検証する

• 根拠: 新しいデータセンターでは、コントローラへのTLSが強制されます。中間デバイスがデフォルトのコントロールポート12346でコントローラへのTLSを許可していること、およびNATトラバーサルのためにvBondがパブリックIPで到達可能であることを確認します。リージョンのファイアウォールでポートがブロックされていることが、クラスター化されたサイト障害の原因であると説明できます。

3. organization-nameの不一致を修正する

• 根拠: org-nameの不一致によりコントローラとの相互認証に失敗したエッジは、OMPを形成できません。デバイステンプレートのorg-nameをコントローラの証明書と比較し、テンプレートを一致するように更新して再アタッチします。これにより、影響を受けるサイトのvSmartへのOMP隣接関係が回復します。

4. 時刻と証明書を調整する

• 根拠: DCの移行によりNTPの到達可能性が変更されました。時刻のずれにより、一部の証明書検証が失敗しました。すべてのエッジとコントローラを冗長なNTPに向け、クロックの収束を検証して、認証とコントロールセッションを安定させます。

5. OMPルート、TLOC、およびポリシーの受け入れを検証する

• 根拠: コントローラの移行には、ポリシーのリファクタリングが含まれていました。show sdwan omp routes/tlocsとポリシーの可視化を使用して、重要なプレフィックスとすべてのTLOCが学習され、フィルタリングされていないことを確認します。順序が間違っていたデータポリシーがEHRサーバーのトラフィックをドロップしていました。順序を修正してコミットし、到達可能性を回復します。

6. BFD/SLAとAARの動作を評価する

• 根拠: EHRの遅延は、パスの品質を反映している可能性があります。BFDはブロードバンドでのジッターの上昇を示しており、AARはパス間でフラッピングしています。SLAクラスのヒステリシスを増やし、QoSがDSCPに基づいてEHRフローを優先するようにします。これにより、不要なパスの切り替えが減少します。

7. メンテナンスモードを使用して対象を絞ったソフトウェアアップグレードを実行する

• 根拠: 現在のIOS XE SD-WANリリースの既知のバグが、biz-internet上のジッターを断続的に誤って報告しています。推奨される修正をソフトウェアリポジトリにステージングします。エッジのサブセットをメンテナンスモードにし、アップグレードし、事後チェックを検証してから、広範囲に展開します。ロールバック用のイメージはステージングしたままにします。

8. APIを介して検証とレポートを自動化する

• 根拠: /dataservice APIを使用して、インシデント後のSLA遵守状況、アプリのパフォーマンス、およびすべてのクリニックにわたるコントロールの安定性に関するレポートをエクスポートします。自動化により、一貫した検証が保証され、変更管理のための監査可能な記録が生成されます。

9. RCAを文書化し、統制を強化する

• 根拠: 根本原因は、コントロールポート12346のファイアウォールルールの欠落、テンプレート内のorg-nameのドリフト、およびNTPの誤設定であり、ポリシーの順序の問題によって悪化していました。オンボーディングのランブックを更新し、変更前のAPIベースの検証（コントローラの到達可能性、org-nameチェック、NTPステータス）を強制し、再発を防ぐためにコミット前にポリシーシミュレーションを要求します。

← クラウド、SaaS、マルチクラウド統合 · すべてのドメイン

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →