Cloudflare は Cisco の SD-WAN ソリューションと連携し、統合された SASE ソリューションを提供します。Cisco SD-WAN アプライアンス（物理および仮想）は、拠点オフィスとクラウドインスタンスに紐づくサブネットを管理します。これらの SD-WAN エッジデバイスと Cloudflare のあいだに Anycast トンネルを張り、インターネット向けトラフィックを安全にルーティングします。このチュートリアルでは、南北方向（インターネット向け）のユースケース向けに、SD-WAN モードの Cisco Catalyst 8000 Edge Platforms（物理または仮想）の設定方法を説明します。
Cisco SD-WAN と Cloudflare の接続を設定する前に、次を満たしている必要があります。
- Cloudflare WAN（旧 Magic WAN）と Secure Web Gateway を購入していること。
- Cloudflare が Cloudflare WAN と Secure Web Gateway をプロビジョニングしていること。
- Cloudflare WAN に割り当てられた 2 つの Cloudflare トンネルエンドポイント（anycast IP アドレス）を受け取っていること。
- Cisco SD-WAN アプライアンス（物理または仮想）があること。拠点のプライベートネットワークから特定のインターネット向けトラフィックを anycast GRE トンネル経由で Secure Web Gateway へ送り、ユーザーごとの Web アクセスポリシーを適用します。
- トンネルエンドポイントで使う静的 IP のペア。静的 IP は、サブネット展開で使う IP とは別の
/31アドレスである必要があります。 - Release 20.6 の Controllers と vEdge Device Builds。デバイスは少なくとも Cisco IOS XE SD-WAN 17.6 である必要があります。Cisco のソフトウェアバージョンの詳細は Cisco のドキュメント ↗ を参照してください。
Cisco vManage は、拠点オフィスのすべての SD-WAN アプライアンスを管理する Cisco の SD-WAN 管理ツールです。
この例では、SIG-Branch 用の汎用テンプレートを作成しました。
注: この画像のラベルは、以前の製品名のままの場合があります。
vManage で Secure Internet Gateway（SIG）を作成するには、次の手順を実行します。
- Cisco vManage の Configuration で Generic を選び、Add Tunnel を選びます。
- 次の表は、設定項目とその選択肢です。
| 設定 | 種別・詳細 |
|---|---|
| Global Template | Factory_Default_Global_CISCO_Template |
| Cisco Banner | Factory_Default_Retail_Banner |
| Policy | Branch-Local-Policy |
Transport & Management VPN の設定
| 設定 | 種別・詳細 |
|---|---|
| Cisco VPN 0 | GCP-Branch-VPN0 |
| Cisco Secure Internet Gateway | Branch-SIG-GRE-Template |
| Cisco VPN Interface Ethernet | GCP-Branch-Public-Internet-TLOC |
| Cisco VPN Interface Ethernet | GCP-VPN0-Interface |
| Cisco VPN 512 | Default_AWS_TGW_CSR_VPN512_V01 |
Basic Information の設定
| 設定 | 種別・詳細 |
|---|---|
| Cisco System | Default_BootStrap_Cisco_System_Template |
| Cisco Logging | Default_Logging_Cisco_V01 |
| Cisco AAA | AWS-Branch-AAA-Template |
| Cisco BFD | Default_BFD_Cisco-V01 |
| Cisco OMP | Default_AWS_TGW_CSR_OMP_IPv46_... |
| Cisco Security | Default_Security_Cisco_V01 |
Feature Template を作成するとき、グローバルに適用する値とデバイス固有の値を選べます。たとえば Tunnel Source IP Address、Interface Name、Update Tunnel のフィールドはデバイス固有なので、それに合わせて選びます。
vManage で Configuration > Templates を開きます。作成したテンプレートが表示され、デバイス値を更新します。
テンプレートは GRE トンネル追加用に作成済みなので、デバイス値の更新だけで済みます。VPN0 がデフォルトで、トンネル構築に使う WAN インターフェイスは VPN0 に含まれている必要があります。
GRE トンネルの作成については トンネルエンドポイントを設定する を参照してください。
静的ルートの設定については 静的ルートを設定する を参照してください。
次の例では neverssl.com へのリクエストを発行しています。Cloudflare のポリシーで neverssl.com へのトラフィックはブロックされます。
クライアント VM（192.168.30.3）では、ブロックされた応答が表示されます。
Cloudflare のログにも、一致するブロックのログ行が表示されます。
Cloudflare への IPsec トンネルは、現時点ではルーターモードの Cisco 8000v でのみ作成できます。詳細は Cisco IOS XE を参照してください。