1.3Cisco SD-Access

従来のキャンパスでは、「どの部署に属するか」を VLAN で表し、「どこへ通してよいか」を IP アドレスベースの ACL で表していました。この方式は、席替えや無線移動で端末の位置が変わるたびに VLAN と ACL を追随させる必要があり、規模が大きいほど破綻します。Cisco SD-Access は、「誰か（ポリシー）」と「どこにいるか（位置）」を切り離すことでこの問題を解きます。位置の解決は LISP、運搬は VXLAN、ポリシーは SGT と、役割が明確に3つに分かれている点が理解の鍵です。

1.3.1三層の役割分担

• LISP（Locator/ID Separation Protocol）＝制御プレーン。端末の識別子である EID と、その端末が現在ぶら下がっているファブリックノードの位置である RLOC を分離し、マッピングデータベースで対応づける。エッジノードは宛先 EID の RLOC をマップサーバに問い合わせて解決するため、端末が別のエッジへ移動しても IP を変えずに済む。従来のように全ノードが全経路を保持する必要がないので、経路表の肥大も抑えられる。
• VXLAN＝データプレーン。オリジナルのL2フレームを UDP/IP でカプセル化して（VNI でセグメントを識別し、UDP ポート 4789 を使用）アンダーレイのL3網を越えて運ぶ。VLAN ID の12ビット（4094）という上限に対し、VNI は24ビットで約1600万セグメントを識別できるため、大規模なマルチテナント分離に耐える。SGT も VXLAN ヘッダに載って一緒に運ばれる点が重要。
• Cisco TrustSec と SGT（Security Group Tag）＝ポリシープレーン。認証時に端末へグループを表す SGT を付与し、通信可否を「送信元SGT × 宛先SGT」のマトリクスで表現する。IPアドレスやVLANに依存しないため、端末が移動してもポリシーが追随する。ポリシーの定義と配布は Cisco Identity Services Engine（ISE）が担い、Catalyst Center（旧 DNA Center）がファブリック全体の自動化・可視化を担当する。

1.3.2アンダーレイとオーバーレイ

• アンダーレイ＝物理的なIP到達性を提供する土台のネットワーク。ファブリックノード同士がルーテッドリンクで結ばれ、IGP（通常 IS-IS や OSPF）でループフリーな到達性を確立する。ここでは端末のIPは扱わず、あくまで RLOC 間が届くことだけを保証する。アンダーレイが不安定ならオーバーレイは必ず不安定になるため、切り分けは常にアンダーレイから行う。
• オーバーレイ＝アンダーレイの上に VXLAN で構築される論理ネットワーク。端末はここに収容され、物理配線や VLAN の制約を受けずに同一セグメントに見える。「pingが通らない」という症状でも、アンダーレイのRLOC間は通るがオーバーレイのEID間は通らないというケースがあり、この差分がLISPのマッピングやポリシー側の問題を示唆する。
• ファブリックノードの役割：エッジノード（端末を収容し EID を登録・カプセル化/デカプセル化を行う）、コントロールプレーンノード（LISP のマップサーバ/マップリゾルバとして EID-RLOC 対応を保持）、ボーダーノード（ファブリック外部との出入口）。症状がどのノードの責務に対応するかで疑う場所が決まる。

1.3.3従来キャンパスとの相互運用

• ファブリックと従来のVLAN/ACLベースのネットワーク（既存サーバ室・WAN・インターネット出口など）は、ファブリックボーダー（ボーダーノード）で相互接続する。ここがVXLANカプセル化の終端であり、外部へ出るトラフィックはデカプセル化されて通常のIPパケットに戻る。移行期には「新棟はファブリック、既存棟は従来構成」という併存が普通で、ボーダーが両者の翻訳点になる。
• ボーダーを越えると SGT がそのままでは運べない点が実務上の落とし穴。SGT はVXLANヘッダ（またはインラインタギング）で運ばれるため、それらに非対応の従来網へ出るとタグが失われる。SXP（SGT Exchange Protocol） でIP-SGT対応を伝搬させるなどの手当てをしないと、ファブリック内では効いていたグループベースのポリシーが外部で効かなくなる。

あなたは新棟をSD-Accessファブリックで構築し、既存棟は従来のVLAN/ACL構成のまま運用しています。稼働後、「新棟の営業部の端末から、既存棟のサーバ室にある業務サーバへアクセスすると、接続はできるがACLで想定していた制限が効いていない」という報告が上がりました。ここで「SGTのポリシー定義が間違っている」と決めつけて ISE のマトリクスを修正しにいくのは早計です。まず確認すべきは、そのトラフィックがどこでVXLANカプセル化を解かれているかです。新棟内の端末同士であればトラフィックはVXLANのまま運ばれ、ヘッダに載ったSGTに基づいてエッジノードでポリシーが適用されるため、期待どおりに制限が効きます。しかし既存棟のサーバへ向かうトラフィックはファブリックボーダーでデカプセル化され、そこから先はSGTを持たない通常のIPパケットとして従来網を流れます。従来網の機器はSGTを理解しないので、「営業部SGT → サーバSGT を拒否」というグループベースの規則は、ボーダーを越えた時点で適用先を失うわけです。したがって根本原因はポリシー定義の誤りではなく、SGTの伝搬がボーダーで途切れていることにあります。妥当な打ち手は、ボーダー以遠にIP-SGT対応を伝える SXP を構成する、あるいはSGT非対応区間の入口に相当する箇所で同等の制限をIPベースのACLとして明示的に置くことです。逆に、もし報告が「新棟の端末同士でも制限が効かない」であれば、今度こそポリシー定義や認証時のSGT割り当て（端末が意図したグループに入っていない）を疑うのが筋になります。さらに「ファブリック内の特定端末だけ、移動後に通信できない」なら、疑うべきはポリシーではなくLISPのマッピング更新（新しいエッジノードでEIDが正しく登録され、コントロールプレーンノードのマップが更新されているか）です。SD-Accessの診断は、症状が起きている区間がオーバーレイ内かボーダー越えか、そして止まっているのが到達性（LISP/VXLAN）か制限（SGT）かを見極めることで、疑う層が一意に決まります。

1.3.4この節のまとめ

• SD-Accessは制御＝LISP（EID/RLOCマッピング）／データ＝VXLAN（L2 over L3・VNI 24ビット）／ポリシー＝TrustSec/SGTの三層で役割が分かれる
• アンダーレイはIGPによるRLOC間のIP到達性、オーバーレイはVXLANの論理網。切り分けは必ずアンダーレイから行い、RLOC間は通るがEID間が通らないならLISP/ポリシー側を疑う
• 従来キャンパスとはファブリックボーダーで相互運用し、そこがVXLAN終端。SGTはボーダーを越えると失われるため、SXP等で伝搬させるか同等のACLを置く