Meraki MX を DC 冗長環境で使用した時のハブ間ループについて

Meraki MX の Auto VPN をデータセンター (DC) 冗長環境 (データセンター間 L2 延伸している構成) で使用すると、各データセンターに設置していてハブとして動作している MX 間でループが発生します。具体的に、下図のように DC1 と DC2 が 10.0.0.0/8 というサブネットが割り振られていた場合、DC1 と DC2 に設置されている MX は拠点 (Branch) に設置されている MX にこのサブネットを通知しますが、デフォルトの設定だと互いにもサブネットを通知してしまいます。これがループ発生の原因です。防ぐためには Meraki のサポートにハブ間の Virtual Private Network (VPN) トンネルを無効にする依頼等が必要になりますが、Auto VPN を使用時になぜこのようなことが発生してしまうのか考察したいと思います。検証環境図での検証環境を整えるのは簡単だと思いますが、同一オーガナイゼーション配下の MX が同一のサブネットを通知するためには、下記のいずれかのモードではぶの MX を運用する必要があります。「ルーティングモード」 + Virtual Local Area Network (LAN) 無効 … Continue reading Meraki MX を DC 冗長環境で使用した時のハブ間ループについて →

Meraki Auto VPN と AWS 仮想プライベートネットワークを連携

Amazon Web Service (AWS) 上の Virtual Private Cloud (VPC) を MX と接続するためには、Virutal MX (vMX) と仮想プライベートネットワークの方法がありますが、仮想プライベートネットワークの方法を選んだ場合は各 MX を VPC に接続する必要があります。なぜならば、MX は「Meraki 以外の VPN ピア」で設定したサブネットは Auto Virtual Private Network (VPN) 経由で他の MX にルートを通知することができません。なので、「Meraki 以外の VPN ピア」を全ネットワークで設定する必要があります。AWS のみの場合は vMX と複数の VPC が存在した場合は VPC Peering を駆使した方がいいと思いますが、第三の選択肢も存在するということは知っておいて損はないと思います。その第三の選択肢というのは余分に MX を購入することです。ネットワーク構成今回は本社 (Head Quarter)、データセンター (Data Center)、AWS の三拠点で実現方法を考えたいと思います。下図にもあるように、Data Center には 2 … Continue reading Meraki Auto VPN と AWS 仮想プライベートネットワークを連携 →

AWS 仮想プライベートネットワークを使用して Meraki MX を VPC へ接続

Meraki MX と Amazon Web Service (AWS) Virtual Private Cloud (VPC) を接続するためには Meraki Virtual MX (vMX) を使用するのが一番簡単な上に運用で余計な手間が掛かりませんが、AWS の仮想プライベートネットワークを使用して MX と VPC を繋ぐことができます。運用フェーズのコストは馬鹿にならないので、私自身はどのような場面でも vMX を導入した方がいいと思っていますが、どうしてもこの部分でコストを削減しなければいけないとなった場合は、AWS の拠点間 VPN サービスを使用することを視野に含めてもいいかもしれません。各拠点を直接 VPC に接続した時、8 拠点以下の環境だと AWS の仮想プライベートネットワークを使用した方が請求書に表示される料金は安くなるかもしれません。もちろん 1 つの MX を Hub として使用し、Spoke の MX は Hub 経由で AWS にアクセスさせる構成も構築可能ですが、Meraki 以外の VPN ピアで登録したサブネットは直接他の MX へ通知することができないのでその構成は省きます。料金比較運用コストを一切考えずに vMX のライセンスを定価で … Continue reading AWS 仮想プライベートネットワークを使用して Meraki MX を VPC へ接続 →

Meraki vMX100 を使用して MX を AWS VPC へ接続

Meraki Virtual MX (vMX) は MX の仮想ソリューションとなります。仮想ソリューションといっても、他のクラウドサービスとネットワーク間を拠点間 Virtual Private Network (VPN) で簡単に繋ぐことを目的にしているため、オンプレの仮想マシンとして動かすことはできません。また、現在 Azure と Amazon Web Service (AWS) でしか稼働させられません。AWS のネットワークの設定は Meraki の責任範囲外ということもあり、公式ドキュメントでは Virtual Private Cloud (VPC) の設定は詳細に記載されていません。ハイブリッド環境が増えているため、vMX を AWS でどのように設定すればいいのかという質問が増えると予想しています。なので、簡単な例にはなってしまいますが、VPC を一から構築した時、どのような設定が必要なのか紹介したいと思います。ネットワーク構成下図のネットワークを構築し、Meraki のネットワークに存在するクライアントが Elastic Compute Clound (EC2) 上のインスタンスに Secure Shell Host (SSH) できることをゴールとします。設定大まかな設定手順は下記の通りになります。インスタンスの設定や Meraki ダッシュボードの設定をまとめればより効率的に設定できると思います。 vMX へサブスクライブ vMX を EC2 へデプロイ (VPC … Continue reading Meraki vMX100 を使用して MX を AWS VPC へ接続 →

Meraki MX の無線モデル + グループポリシーで実現する MAC アドレス認証

１ヶ月ほど前の記事で Meraki MR とグループポリシーを使用して MAC アドレス認証の実現方法を公開しました。この記事を公開してしまったせいか、MX の無線モデルで同様なことを実現できないか聞かれました。MX の無線モデルには MX64W、MX65W、MX67W、MX68W、MX68CW があります。他の記事でも記載しましたが、Media Access Control (MAC) アドレス認証はセキュアではありません。使用するのであれば MAC アドレス認証を使用する VLAN はインターネットの接続を遮断し、レイヤ 2 よりも上のレイヤのプロトコルで通信を暗号化しなければいけません。正常性バイアスによって惑わされ、この 2 つの条件を満たさずに使用するのは非常に危険です。設定手順今回は MX で作成する VLAN で全ての通信を遮断したグループポリシーをデフォルトで適用するよう設定します。そして、接続を許可した端末には Layer 3 ファイアーウォールにてセグメンテーションがしっかりと実施されたグループポリシーを割り当てます。MAC アドレスが許可されていない端末が SSID に接続しようとすると、デフォルトのグループポリシーが適用され、全ての通信が遮断されます。逆に MAC アドレスが許可されている端末は、Layer 3 ファイアーウォールで許可された宛先には通信が可能になります。設定手順は下記の通りです。 1. 全ての通信を遮断したグループポリシーを作成「ネットワーク全体」> 「グループポリシー」から Block All というポリシーを作成します。「ファイアーウォールとトラフィックシェーピング」にて「カスタムのネットワークファイアウォールとシェーピングの各ルールを作成」を選択し、全てのトラフィックを遮断する Access Control List (ACL) を「Layer 3 ファイアーウォール」で定義します。 … Continue reading Meraki MX の無線モデル + グループポリシーで実現する MAC アドレス認証 →

Meraki ダッシュボードの各種ログとその保存期間

Meraki ダッシュボードには様々なログを確認するページが含まれています。これは Meraki の売りでもあります。ダッシュボードに備わっているデータを他の機器で閲覧しようとすると、複数のサーバを立てなければいけません。トラフィック分析のためには NetFlow サーバ、ロケーション分析のためには Connected Mobile Experience (CMX)、イベントログのためには syslog サーバや simple network management protocol (SNMP) サーバが必要になります。そんな各種ログですが、日本語ではまとまったページがどこにも存在しません。Aaron Willette がそれらのログを英語でまとめている記事がありますが、その日本語版あっても便利なのではないかと思い、作成することにしました。Willete の許可を頂いています。概要下表に Meraki ダッシュボードで確認できるログの簡単な説明、保存期間、エクスポート形式をまとめました。種類説明保存期間エクスポート形式クライアント情報特定のクライアントがどのようなトラフィックをどのくらい生成したか表示３０日 CSV XML トラフィック分析検出したトラフィックの詳細 (宛先、ポート番号、プロトコル、セッション数等) を表示３０日 CSV サマリーレポートオーガナイゼーションの総合的な情報を表示６ヶ月 XLSX メールロケーションヒートマップフロアマップのどこが混雑しているのか表示６ヶ月 ✖️ ロケーション分析アクセスポイントが検知した端末の数、その場に滞在した時間、リピート率を表示１年 CSV イベントログ各 Meraki … Continue reading Meraki ダッシュボードの各種ログとその保存期間 →

Receiving Meraki MV Sense MQTT Messages with RabbitMQ

Soon after releasing the new MV cameras, Meraki announced MV Sense which allows developers to obtain real time MQ Telemetry Transport (MQTT) messages such as number of people detected, object location, and lux directly from the camera. In order to obtain these messages, a developer will need to build a MQTT broker, and there exists … Continue reading Receiving Meraki MV Sense MQTT Messages with RabbitMQ →

Meraki Dashboard API を使用してネットワークで使用されている全てのサブネットを表示

Amazon Web Service (AWS) で virtual MX (vMX) 100 を建てて検証環境を整えようとした時、どのサブネットを Virtual Private Cloud (VPC) に割り当てればいいのか考えなければいけませんでした。私は東京、シドニー、ニューヨークにそれぞれ MX を設置しており、それらとの MX を AWS と繋げなければいけませんでした。ダッシュボードでそれぞれの拠点の MX で使用しているサブネットを確認すればいいのですが、何回もクリックしメモを取るのは非常にめんどくさいです。各ネットワークをダッシュボードで確認するのは耐えられません。同時に、拠点が 100 も 200 もある企業はどうしているのか疑問に思いました。これは Meraki 固有の問題ではなく、Catalyst を使用していても同じです。Meraki にはダッシュボードの情報を抽出できる Application Programming Interface (API) が幸いにも備わっています。そして、コードがかけない人でもその API を利用できるように、Google Sheet と連携されたものが公開されていました。今回実際に使用したのは Meraki のデベロッパーコミュニティに掲載されている Meraki Dashboard Reports with Google Sheets を使用ます。Google のアカウントが必要になりますが、そのページから Meraki-Reports Sheet をクリックするとサンプルシートが開きます。使用するためには、まずは自分の Google … Continue reading Meraki Dashboard API を使用してネットワークで使用されている全てのサブネットを表示 →

Meraki MR で Radius サーバなしで 802.1X 認証を実現

Meraki は複雑化された information technology (IT) をシンプルにしようというコンセプトで製品が開発されています。シンプルにしようと言っても色々な方法がありますが、端末を削減することによって IT インフラをスリム化し、管理を簡易化することが可能です。そのソリューションの一つとして、Meraki MR を導入すれば外部サーバなしで 802.1X 認証を実現できる機能があります。これを実現するためには 2 通りの方法があります。 Sentry Wi-Fi を使用し、EAP Transport Layer Security (EAP-TLS) で認証 Meraki 認証を使用し、Protected Extensible Authentication Protocol (EAP-PEAP) で認証サーバなしで 802.1X 認証を実現するために Meraki 独特のプロトコルを使用しているわけでもなく、Meraki のクラウドに存在する radius サーバを使用し EAP-PEAP もしくは EAP-TLS を実現します。ただし、Meraki のクラウドに存在する radius サーバを使用するので、インターネット断発生時には使用できないのは注意しなければなりません。 Sentry Wi-Fi システムズマネージャーを Meraki MR と一緒に導入すれば、一番セキュアな認証方式で無線に端末を接続させることができます。これは Meraki 独特なソリューションとなっていて、Sentry Wi-Fi と呼ばれています。証明書認証は radius … Continue reading Meraki MR で Radius サーバなしで 802.1X 認証を実現 →

Meraki MR の BLE で major 0 minor 0 を避ける方法

Meraki MR にはほとんどの型番に Bluetooth Low Energy (BLE) のラジオが備わっています。MR20 と MR70 はエントリーモデルとなっているため、このラジオは付いていません。BLE はアプリ開発のために使用されます。Meraki のダッシュボードではこの BLE の機能を有効にする事ができ、各 MR に固有の major 値と minor 値を自動で設定する事ができます。しかし、問題なのは 0 も自動で振られる数字に含まれてしまう事です。BLE の世界でも 0 は特別な意味を持つ事があり、any と解釈するアプリも存在します。よって、major 値と minor 値で 0 を避けるのが一般的です。Meraki では全て自動で固有な major 値と minor 値を配るか、全て同じの major 値と minor 値を配るの 2 肢しかないので、「Meraki で 0 を避ける方法はないのか。」とお客さんから聞かれた事があります。これが理由で Meraki の MR が採用されないのは心苦しいので、回避策を模索しました。 Major 値と minor … Continue reading Meraki MR の BLE で major 0 minor 0 を避ける方法 →