OpenFlow / 一般設定

OpenFlowは、通常1台の装置にまとめて実装されているパケットの転送機能と転送制御機能を、それぞれ「OpenFlowスイッチ」と「OpenFlowコントローラー」に分離し、両者の通信プロトコルを定めることで、ソフトウェア（プログラミング）によるネットワークの設計、変更、管理、制御を可能にするいわゆるSDN（Software-Defined Networking）技術です。
OpenFlowを使用するネットワークでは、弊社別売製品AT-SecureEnterpriseSDN Controller（以下AT-SESC）などのOpenFlowコントローラーによって、複数のOpenFlow対応ネットワーク装置を制御します。

本製品は、OpenFlow機能の設定を行うことで、「OpenFlowスイッチ」として動作させることができます。

はじめに

OpenFlowでは、OpenFlowコントローラーから設定されるフローエントリーにしたがってすべての通信制御が行われるため、OpenFlowスイッチにおけるパケット転送の動作は、OpenFlowコントローラーの仕様に依存します。

本解説編では、OpenFlowコントローラーとしてAT-SESCを使用したネットワークの運用・管理に本製品を対応させるためのセットアップ手順を説明します。

対象機種

他の章とは異なり、本章は下記のOpenFlow対応機種共通の内容になっています。

OpenFlow機能とポートの種類

OpenFlow機能使用時、本製品のスイッチポートは次の3種類のいずれかになります。
ポートの種類
VLANタグ設定
転送可能なトラフィック
用途
データプレーン
コントロール
プレーン
従来通信
OpenFlowポート タグなし
○
×
×
 OpenFlowで通信制御するクライアント接続に使用
データプレーンのアップリンクとしても使用
ハイブリッドOpenFlowポート タグ付き
○
○
○
 データプレーン、従来通信共通のアップリンクとして使用
コントローラー接続にも使用可能
通常スイッチポート タグなし
または
タグ付き
×
○
○
 従来通信に使用
コントローラー接続にも使用可能

OpenFlowスイッチの種類

本製品のOpenFlow実装では、明示的に設定したポートだけがOpenFlowポートとなり、その他のポートは通常のスイッチポートとして動作するポートベースのハイブリッドモデルをサポートします。

OpenFlowスイッチの構成として、「純粋なOpenFlowスイッチ」に加え、「ハイブリッドOpenFlowスイッチ」「ヘアピンリンクを使用したOpenFlowスイッチ」があります。
それぞれの特徴は以下のとおりです。

純粋なOpenFlowスイッチ

通常スイッチポートとOpenFlowポートは、それぞれが独立したポートとして動作します。


ハイブリッドOpenFlowスイッチ

OpenFlowによって制御されるOpenFlowポート上の通信と、通常スイッチポート上の従来通信が混在する構成です。


ヘアピンリンクを使用したOpenFlowスイッチ

OpenFlowポートと通常スイッチポート間で通信を行うために、OpenFlowポートと通常スイッチポート間に物理的なリンクを作ります（以降このリンクのことをヘアピンリンクと呼称します）。

なお、OpenFlowコントローラーからのフローエントリーによって、通常スイッチポート宛の通信がヘアピンリンクを経由するように（通常スイッチポート宛の通信がすべてヘアピンリンクのポートから送出されるように）、設定されている必要があります。



対象機種
以下の機種がヘアピンリンクに対応しています。

OpenFlow機能と併用可能な既存機能

OpenFlow機能と併用可能な既存機能は、次表○の組み合わせです。
ポートの種類によって、併用可能な機能が異なりますのでご注意ください。
（既存機能は、本マニュアルの章分類にしたがって記載しています）
既存機能
ポート
備考
分類
項目名
通常スイッチポート
ハイブリッド
OpenFlowポート
OpenFlowポート
運用・管理
 システム
○
○
×
  
コマンドラインインターフェース（CLI）
○
○
×
  
ファイル操作
○
○
×
  
コンフィグレーション
○
○
×
  
ユーザー認証
○※
○※
×
 ※ ユーザー認証データベースのみサポート（RADIUSサーバー、TACACS+サーバーへの問い合わせはサポート対象外）
RADIUSクライアント
○
○
×
  
メール送信
○
○
×
  
ログ
○
○
×
  
LLDP
○
×
×
  
SNMP
○
○
○※
 ※ リンクステータス通知トラップのみサポート。トラップの送信は通常スイッチポートからのみサポート
NTP
○
○
×
  
端末設定
○
○
×
  
Telnet
○
○
×
  
Secure Shell
○
○
×
  
インターフェース
 一般設定
○
○
○
  
スイッチポート
○
○※a
○※b
 ※a ハイブリッドOpenFlowポートではMACアドレススラッシングプロテクション、ポートミラーリングは使用不可
※b OpenFlowポートではフローコントロールのみサポート
リンクアグリゲーション（IEEE 802.3ad）
○
○※
○※
 ※ スタティックチャンネルグループのみサポート
ポート認証
○※
×
×
 ※ MACベース認証のみサポート
Power over Ethernet
○
○
○
  
L2スイッチング
 バーチャルLAN
○※
○※
×
 ※ ポートVLAN、タグVLAN、ネイティブVLANのみサポート
イーサネットリングプロテクション（EPSR）
○
×
×
  
フォワーディングデータベース
○
○
×
  
DHCP Snooping
○※
○※
×
 ※ AMFゲストノードまたはAMFアプリケーションプロキシーを使用する場合のみサポート。DHCP Snooping単体での使用はサポート対象外
IP
 一般設定
○
○
×
  
IPインターフェース
○※
○※
×
 ※ スタティックIP、DHCPクライアント、セカンダリーIP、ループバックインターフェースのみサポート
経路制御
○※
○※
×
 ※ インターフェース経路、スタティック経路のみサポート
ARP
○※
○※
×
 ※ ARPキャッシュのみサポート
IPマルチキャスト
 IGMP Snooping
○
○
×
  
IPv6マルチキャスト
 MLD Snooping
○
○
×
  
トラフィック制御
 アクセスリスト
○
×
×
  
ハードウェアパケットフィルター
○
×
×
  
Quality of Service
○
×
×
  
IP付加機能
 DHCPサーバー
○
×
×
  
AMF
 項目全般（アプリケーションプロキシーを除く）
○※a
○※b
×
 ※a 通常スイッチポートではメンバー、ゲストノードのみサポート
※b ハイブリッドOpenFlowポートではメンバーのみサポート
アプリケーションプロキシー
○
×
×
  
○ ＝ 利用可能
× ＝ 利用不可

OpenFlowとスタティックチャンネルグループの併用

OpenFlowはスタティックチャンネルグループ機能と併用することで、複数のOpenFlowポートを束ねて帯域幅を拡大するとともに、リンクの冗長性を高めることが可能です。



OpenFlowポート番号の採番ルール

本製品からOpenFlowコントローラーへ通知されるOpenFlowポート番号は、show openflow statusコマンドから確認できますが、採番ルールは以下となります。

OpenFlowクライアントポートとして利用できるポート数

PC等の端末を接続するOpenFlowクライアントポートの最大ポート数は、構成によって変化します。

　最大クライアントポート数　=　筐体のポート数　-　通常スイッチポート側の使用数　-　アップリンクへつながるOpenFlowポート数　

以下に構成例を示します。


この構成では、「アップリンクへつながるOpenFlowポート数」は、ハイブリッドOpenFlowポートの1ポートとなります。


設定の流れ

AT-SESC管理下で、本製品をOpenFlowスイッチとして動作させるためには、最低限下記の設定を行う必要があります。
具体的な手順については、「OpenFlowスイッチの設定」をご覧ください。

準備

OpenFlow機能ライセンスの適用

ライセンスの適用に関するコマンドは、通常のAlliedWare Plusシステムと同じです。
ライセンスのインストール方法については「運用・管理」/「システム」の「ライセンスキーのインストール」をご参照ください。

OpenFlowスイッチの設定

いくつかの構成を例にして、OpenFlowスイッチとしての設定手順を説明します。
本項では、x510シリーズ機器を例に説明しています。ポート番号等は適宜読み替えてくださいますようお願いいたします。





純粋なOpenFlowスイッチの設定例

本製品を純粋なOpenFlowスイッチとして使用する場合の設定手順です。

ここでは、ポート1.0.5～1.0.28をOpenFlowポート（OpenFlowデータプレーン）に設定し、そのうちポート1.0.5を上位ネットワークに接続するアップストリームポートとして使用します。
コントローラーとの通信（コントロールプレーン）はvlan1上の通常スイッチポートで行います。


本製品のOpenFlow設定
コントロールプレーン
割り当てポート スイッチポート1.0.1～1.0.4（通常スイッチポート）
割り当てVLAN vlan1
VLANインターフェースIPアドレス 192.168.1.1/24
データプレーン
割り当てポート スイッチポート1.0.5～1.0.28（OpenFlowポート）
OpenFlow内部制御用VLAN VLAN 4090
アップストリームポート スイッチポート1.0.5（OpenFlowポート）

OpenFlowコントローラー（AT-SESC）の設定
設定項目
内容
IPアドレス 192.168.1.10
OpenFlow TCPポート番号 6653
本OpenFlowスイッチに対するアップストリームポート設定 port1.0.5
デバイス認証設定 OpenFlowポート配下のデバイス(PC) 以下どちらかを設定
・VLAN ID "100～104" いずれかのネットワークにアサイン
・VLAN ID "0" または VLAN IDを指定しないネットワークにアサイン

  1. OpenFlow機能とVCS機能は併用できないため、VCS対応機種をOpenFlowスイッチとして設定する場合は、事前にスタック接続を解除し、VCS機能を無効化して設定を保存した上で、スイッチを再起動してください。
    awplus# configure terminal
awplus(config)# no stack 1 enable
Warning: this will disable the stacking hardware on member-1.
Are you sure you want to continue? (y/n):  y ↓
10:18:51 awplus VCS[824]: Deactivating Stacking Ports on stack member 1
awplus(config)# end
awplus# 
awplus# write memory
Building configuration...
[OK]
awplus# reboot
reboot system? (y/n): y ↓

  2. OpenFlowポートでパケット転送に使用するVLANを作成します。
    awplus# configure terminal
awplus(config)# vlan database
awplus(config-vlan)# vlan 100-104

  3. OpenFlowの内部制御用VLANに割り当てるVLANを作成し、割り当てます。ここで設定するVLANは、パケット転送には使用できません。
    awplus(config-vlan)# vlan 4090
awplus(config-vlan)# exit
awplus(config)# openflow native vlan 4090

  4. コントローラーとの通信（コントロールプレーン）で使用するVLANにIPアドレスを設定します。
    awplus(config)# interface vlan1
awplus(config-if)# ip address 192.168.1.1/24
awplus(config-if)# exit

  5. OpenFlowコントローラー（AT-SESC）のIPアドレスとTCPポート番号を指定します。
    awplus(config)# openflow controller tcp 192.168.1.10 6653

  6. ポート1.0.5～1.0.28を通常スイッチポートからOpenFlowポートに変更します。
    また、OpenFlowポートでの併用が未サポートのMACアドレススラッシングプロテクションを無効化します。
    awplus(config)# interface port1.0.5-1.0.28
awplus(config-if)# openflow
awplus(config-if)# thrash-limiting action none
awplus(config-if)# exit

  7. OpenFlowポートから制御パケットが送出されないよう、下記の設定を行います。
    • システム全体：RSTP、MLD Snoopingを無効化
    • OpenFlowポートでパケット転送に使用するVLAN：MLD Snoopingを無効化
    • OpenFlowの内部制御用VLAN：IGMP Snoopingのトポロジー変更時Query要求機能とMLD Snoopingを無効化
    awplus(config)# no spanning-tree rstp enable
awplus(config)# no ipv6 mld snooping
awplus(config)# interface vlan100-104
awplus(config-if)# no ipv6 mld snooping
awplus(config-if)# exit
awplus(config)# interface vlan4090
awplus(config-if)# no ip igmp snooping tcn query solicit
awplus(config-if)# no ipv6 mld snooping
awplus(config-if)# exit

  8. （x530/x530L、GS980MXシリーズのみ）
    ハードウェアで処理が可能なフロー数を超過して通信が行われると、超過分の通信はソフトウェア処理となり通信速度は著しく低下します。
    x530/x530LシリーズとGS980MXシリーズにおいて、ハードウェア処理するフローを増やしたい場合は、platform acls-to-vlanclassifiersコマンドで more-acls を指定してください。
    awplus(config)# platform acls-to-vlanclassifiers more-acls

  9. 設定を保存して再起動してください。
    awplus(config)# end
awplus# write memory
Building configuration...
[OK]
awplus# reboot
reboot system? (y/n): y ↓
設定は以上です。

ハイブリッドOpenFlowスイッチの設定例

ハイブリッドOpenFlowスイッチとして使用する場合の設定手順です。

ここでは、ポート1.0.5～1.0.28をOpenFlowポート（OpenFlowデータプレーン）に設定し、そのうちポート1.0.5を上位ネットワークに接続するアップストリームポートとして使用します。ポート1.0.1～1.0.4は通常スイッチポートのままとし、従来通信に使用します。

また本例では、アップストリームポートのポート1.0.5を、コントローラーとの通信（コントロールプレーン）および通常スイッチポートのアップリンクとしても使うため、同ポートをハイブリッドOpenFlowポートに設定します。


本製品のOpenFlow設定
コントロールプレーン
割り当てポート スイッチポート1.0.5（ハイブリッドOpenFlowポート）
割り当てVLAN vlan1
VLANインターフェースIPアドレス 192.168.1.1/24
データプレーン
割り当てポート スイッチポート1.0.6～1.0.28（OpenFlowポート）
スイッチポート1.0.5（ハイブリッドOpenFlowポート）
OpenFlow内部制御用VLAN VLAN 4090
アップストリームポート スイッチポート1.0.5（ハイブリッドOpenFlowポート）
通常スイッチポート
割り当てポート スイッチポート1.0.1～1.0.4（通常スイッチポート）
スイッチポート1.0.5（ハイブリッドOpenFlowポート）
割り当てVLAN vlan10

OpenFlowコントローラー（AT-SESC）の設定
設定項目
内容
IPアドレス 192.168.1.10
OpenFlow TCPポート番号 6653
本OpenFlowスイッチに対するアップストリームポート設定 port1.0.5
デバイス認証設定 OpenFlowポート配下のデバイス(PC) 以下どちらかを設定
・VLAN ID "100～104" いずれかのネットワークにアサイン
・VLAN ID "0" または VLAN IDを指定しないネットワークにアサイン

  1. OpenFlow機能とVCS機能は併用できないため、VCS対応機種をOpenFlowスイッチとして設定する場合は、事前にスタック接続を解除し、VCS機能を無効化して設定を保存した上で、スイッチを再起動してください。
    awplus# configure terminal
awplus(config)# no stack 1 enable
Warning: this will disable the stacking hardware on member-1.
Are you sure you want to continue? (y/n):  y ↓
10:18:51 awplus VCS[824]: Deactivating Stacking Ports on stack member 1
awplus(config)# end
awplus# 
awplus# write memory
Building configuration...
[OK]
awplus# reboot
reboot system? (y/n): y ↓

  2. OpenFlowポートでパケット転送に使用するVLANを作成します。
    awplus# configure terminal
awplus(config)# vlan database
awplus(config-vlan)# vlan 100-104

  3. 通常スイッチポートでパケット転送に使用するVLAN10を作成し、ポート1.0.1～1.0.4にVLANを追加します。
    awplus(config-vlan)# vlan 10
awplus(config-vlan)# exit
awplus(config)# interface port1.0.1-1.0.4
awplus(config-if)# switchport access vlan 10
awplus(config-if)# exit

  4. OpenFlowの内部制御用VLANに割り当てるVLANを作成し、割り当てます。ここで設定するVLANは、パケット転送には使用できません。
    awplus(config)# vlan database
awplus(config-vlan)# vlan 4090
awplus(config-vlan)# exit
awplus(config)# openflow native vlan 4090

  5. コントローラーとの通信（コントロールプレーン）で使用するVLANにIPアドレスを設定します。
    awplus(config)# interface vlan1
awplus(config-if)# ip address 192.168.1.1/24
awplus(config-if)# exit

  6. OpenFlowコントローラー（AT-SESC）のIPアドレスとTCPポート番号を指定します。
    awplus(config)# openflow controller tcp 192.168.1.10 6653

  7. ポート1.0.5～1.0.28を通常スイッチポートからOpenFlowポートに変更します。
    また、OpenFlowポートでの併用が未サポートのMACアドレススラッシングプロテクションを無効化します。
    awplus(config)# interface port1.0.5-1.0.28
awplus(config-if)# openflow
awplus(config-if)# thrash-limiting action none
awplus(config-if)# exit

  8. OpenFlowポートから制御パケットが送出されないよう、下記の設定を行います。
    • システム全体：RSTP、MLD Snoopingを無効化
    • OpenFlowポートでパケット転送に使用するVLAN：MLD Snoopingを無効化
    • OpenFlowの内部制御用VLAN：IGMP Snoopingのトポロジー変更時Query要求機能とMLD Snoopingを無効化
    awplus(config)# no spanning-tree rstp enable
awplus(config)# no ipv6 mld snooping
awplus(config)# interface vlan100-104
awplus(config-if)# no ipv6 mld snooping
awplus(config-if)# exit
awplus(config)# interface vlan4090
awplus(config-if)# no ip igmp snooping tcn query solicit
awplus(config-if)# no ipv6 mld snooping
awplus(config-if)# exit

  9. アップストリームポートとして使用するポート1.0.5をタグ付きポートに設定し、コントロールプレーン用VLANと通常スイッチポート用VLANを追加します。また、イングレスフィルタリングを無効にして、その他の任意のVLANタグを受信できるようにします。
    タグ付きポートに設定したOpenFlowポートは、ハイブリッドOpenFlowポートになります。
    awplus(config)# interface port1.0.5
awplus(config-if)# switchport mode trunk ingress-filter disable
awplus(config-if)# switchport trunk allowed vlan add 1,10
awplus(config-if)# exit

  10. （x530/x530L、GS980MXシリーズのみ）
    ハードウェアで処理が可能なフロー数を超過して通信が行われると、超過分の通信はソフトウェア処理となり通信速度は著しく低下します。
    x530/x530LシリーズとGS980MXシリーズにおいて、ハードウェア処理するフローを増やしたい場合は、platform acls-to-vlanclassifiersコマンドで more-acls を指定してください。
    awplus(config)# platform acls-to-vlanclassifiers more-acls

  11. 設定を保存して再起動してください。
    awplus(config)# end
awplus# write memory
Building configuration...
[OK]
awplus# reboot
reboot system? (y/n): y ↓
設定は以上です。

ヘアピンリンクを使用するOpenFlowスイッチの設定例

ヘアピンリンクの接続は、OpenFlowポートのアップストリームポートと通常スイッチポート間で行います。


本製品のOpenFlow設定
設定項目
内容
コントロールプレーン設定
割り当てポート スイッチポート1.0.1
割り当てVLAN VLAN 1
VLANインターフェースIPアドレス 192.168.1.1/24
OpenFlowポート番号 6653
データプレーンポート設定
割り当てポート スイッチポート1.0.5～1.0.28
OpenFlow内部制御用VLAN VLAN 4090
アップストリームポート スイッチポート1.0.5
ヘアピンリンクのポート設定
割り当てポート スイッチポート1.0.4 通常スイッチポート
スイッチポート1.0.5 OpenFlowポート
VLAN設定 (通常スイッチポート) Tag VLAN 100～104, Native VLAN 105

OpenFlowコントローラー（AT-SESC）の設定
設定項目
内容
IPアドレス 192.168.1.10
OpenFlow ポート番号 6653
本OpenFlowスイッチに対するアップストリームポート設定 port1.0.5
デバイス認証設定 OpenFlowポート配下のデバイス(PC) 以下どちらかを設定
・VLAN ID "100～104" いずれかのネットワークにアサイン
・VLAN ID "0" または VLAN IDを指定しないネットワークにアサイン

  1. OpenFlow機能とVCS機能を併用することはできません。VCS対応機種をOpenFlowスイッチとして設定する場合は、事前にスタック接続を解除し、スイッチを再起動してください。

    awplus# configure terminal
awplus(config)# no stack 1 enable
Warning: this will disable the stacking hardware on member-1.
Are you sure you want to continue? (y/n): y
10:18:51 awplus VCS[824]: Deactivating Stacking Ports on stack member 1
awplus(config)# end
awplus# 
awplus# write memory
Building configuration...
[OK]
awplus# reboot
reboot system? (y/n): y

  2. OpenFlowポートおよび通常スイッチポートでパケット転送に使用するVLANを作成します。

    awplus# configure terminal
awplus(config)# vlan database
awplus(config-vlan)# vlan 100-105

  3. OpenFlowの内部制御用VLANに割り当てるVLANを作成し、割り当てます。ここで設定するVLANは、パケット転送には使用できません。

    awplus(config-vlan)# vlan 4090
awplus(config-vlan)# exit
awplus(config)# openflow native vlan 4090

  4. コントローラーとの通信（コントロールプレーン）で使用するVLANにIPアドレスを設定します。

    awplus(config)# interface vlan1
awplus(config-if)# ip address 192.168.1.1/24
awplus(config-if)# exit

  5. OpenFlowコントローラー(AT-SESC)のIPアドレスとTCPポート番号を指定します。

    awplus(config)# openflow controller tcp 192.168.1.10 6653

  6. ヘアピンリンクのOpenFlowポート（アップストリームポート）に対し、マルチキャスト用の設定を行います。
    awplus(config)# interface port1.0.5
awplus(config-if)# no ip igmp trusted query
awplus(config-if)# no ip igmp trusted routermode
awplus(config-if)# exit

  7. ポート1.0.5～1.0.28を通常スイッチポートからOpenFlowポートに変更します。
    また、OpenFlowポートでの併用はサポート対象外のため、MACアドレススラッシングプロテクションを無効化します。
    awplus(config)# interface port1.0.5-1.0.28
awplus(config-if)# openflow
awplus(config-if)# thrash-limiting action none
awplus(config-if)# exit

  8. OpenFlowポートから制御パケットが送出されないよう、下記の設定を行います。
    • システム全体：RSTP、MLD Snoopingを無効化
    • OpenFlowポートでパケット転送に使用するVLAN：MLD Snoopingを無効化
    • OpenFlowの内部制御用VLAN：IGMP Snoopingのトポロジー変更時、Query要求機能とMLD Snoopingを無効化
    awplus(config)# no spanning-tree rstp enable
awplus(config)# no ipv6 mld snooping
awplus(config)# interface vlan100-105
awplus(config-if)# no ipv6 mld snooping
awplus(config-if)# exit

awplus(config)# interface vlan4090
awplus(config-if)# no ip igmp snooping tcn query solicit
awplus(config-if)# no ipv6 mld snooping
awplus(config-if)# exit

  9. ヘアピンリンクの通常スイッチポートに対し、OpenFlowのアップストリームポートから送られるタグ付き・タグ無しパケットを受信するための設定を行います。
    awplus(config)# interface port1.0.4
awplus(config-if)# switchport mode trunk
awplus(config-if)# switchport trunk allow vlan add 100-104
awplus(config-if)# switchport trunk native vlan 105
awplus(config-if)# exit

  10. アップリンク側との接続ポートをタグポートにします。
    awplus(config)# interface port1.0.3
awplus(config-if)# switchport mode trunk
awplus(config-if)# switchport trunk allow vlan add 100-105
awplus(config-if)# exit

  11. （x530/x530L、GS980MXシリーズのみ）
    ハードウェアで処理が可能なフロー数を超過して通信が行われると、超過分の通信はソフトウェア処理となり通信速度は著しく低下します。
    x530/x530LシリーズとGS980MXシリーズにおいて、ハードウェア処理するフローを増やしたい場合は、platform acls-to-vlanclassifiersコマンドで more-acls を指定してください。
    awplus(config)# platform acls-to-vlanclassifiers more-acls

  12. 設定を保存して再起動してください
    awplus(config)# end
awplus# write memory
Building configuration...
[OK]
awplus# reboot
reboot system? (y/n): y ↓
設定は以上です。

AMF機能とOpenFlow機能の併用

本製品をAutonomous Management Framework（AMF）ネットワークのメンバーとして管理・保守しつつ、OpenFlowスイッチとしても運用する場合の設定を説明します。

本項では、x510シリーズ機器にAMF機能とOpenFlow機能を設定する場合を例に説明します。


本製品のOpenFlow設定
コントロールプレーン
割り当てポート スイッチポート1.0.5（ハイブリッドOpenFlowポート）
割り当てVLAN vlan1
VLANインターフェースIPアドレス 192.168.1.1/24
データプレーン
割り当てポート スイッチポート1.0.6～1.0.28（OpenFlowポート）
スイッチポート1.0.5（ハイブリッドOpenFlowポート）
OpenFlow内部制御用VLAN VLAN 4090
アップストリームポート スイッチポート1.0.5（ハイブリッドOpenFlowポート）
通常スイッチポート
割り当てポート スイッチポート1.0.1～1.0.4（通常スイッチポート）
スイッチポート1.0.5（ハイブリッドOpenFlowポート）
割り当てVLAN vlan10

OpenFlowコントローラー（AT-SESC）の設定
設定項目
内容
IPアドレス 192.168.1.10
OpenFlow TCPポート番号 6653
本OpenFlowスイッチに対するアップストリームポート設定 port1.0.5
デバイス認証設定 OpenFlowポート配下のデバイス(PC) 以下どちらかを設定
・VLAN ID "100～104" いずれかのネットワークにアサイン
・VLAN ID "0" または VLAN IDを指定しないネットワークにアサイン

本製品のAMF設定
設定項目
内容
AMFネットワーク名 atmf1
AMF接続ポート（AMFリンク） スイッチポート1.0.5（ハイブリッドOpenFlowポート）


  1. AMFネットワーク名を設定し、AMF接続ポート（AMFリンク）を作成します。
    awplus# configure terminal
awplus(config)# atmf network-name atmf1
awplus(config)# interface port1.0.5
awplus(config-if)# switchport atmf-link
awplus(config-if)# exit

  2. OpenFlow機能とVCS機能は併用できないため、VCS対応機種をOpenFlowスイッチとして設定する場合は、事前にスタック接続を解除し、VCS機能を無効化して設定を保存した上で、スイッチを再起動してください。
    awplus(config)# no stack 1 enable
Warning: this will disable the stacking hardware on member-1.
Are you sure you want to continue? (y/n): y ↓
10:18:51 awplus VCS[824]: Deactivating Stacking Ports on stack member 1
awplus(config)# end
awplus# 
awplus# write memory
Building configuration...
[OK]
awplus# reboot
reboot system? (y/n): y ↓

  3. OpenFlowポートでパケット転送に使用するVLANを作成します。
    awplus# configure terminal
awplus(config)# vlan database
awplus(config-vlan)# vlan 100-104

  4. 通常スイッチポートでパケット転送に使用するVLAN10を作成し、ポート1.0.1～1.0.4にVLANを追加します。
    awplus(config-vlan)# vlan 10
awplus(config-vlan)# exit
awplus(config)# interface port1.0.1-1.0.4
awplus(config-if)# switchport access vlan 10
awplus(config-if)# exit

  5. OpenFlowの内部制御用VLANに割り当てるVLANを作成し、割り当てます。ここで設定するVLANは、パケット転送には使用できません。
    awplus(config)# vlan database
awplus(config-vlan)# vlan 4090
awplus(config-vlan)# exit
awplus(config)# openflow native vlan 4090

  6. コントローラーとの通信（コントロールプレーン）で使用するVLANにIPアドレスを設定します。
    awplus(config)# interface vlan1
awplus(config-if)# ip address 192.168.1.1/24
awplus(config-if)# exit

  7. OpenFlowコントローラー（AT-SESC）のIPアドレスとTCPポート番号を指定します。
    awplus(config)# openflow controller tcp 192.168.1.10 6653

  8. ポート1.0.5～1.0.28を通常スイッチポートからOpenFlowポートに変更します。
    また、OpenFlowポートでの併用が未サポートのMACアドレススラッシングプロテクションを無効化します。
    awplus(config)# interface port1.0.5-1.0.28
awplus(config-if)# openflow
awplus(config-if)# thrash-limiting action none
awplus(config-if)# exit

  9. OpenFlowポートから制御パケットが送出されないよう、下記の設定を行います。
    • システム全体：RSTP、MLD Snoopingを無効化
    • OpenFlowポートでパケット転送に使用するVLAN：MLD Snoopingを無効化
    • OpenFlowの内部制御用VLAN：IGMP Snoopingのトポロジー変更時Query要求機能とMLD Snoopingを無効化
    awplus(config)# no spanning-tree rstp enable
awplus(config)# no ipv6 mld snooping
awplus(config)# interface vlan100-104
awplus(config-if)# no ipv6 mld snooping
awplus(config-if)# exit
awplus(config)# interface vlan4090
awplus(config-if)# no ip igmp snooping tcn query solicit
awplus(config-if)# no ipv6 mld snooping
awplus(config-if)# exit

  10. アップストリームポートとして使用するポート1.0.5をタグ付きポートに設定し、コントロールプレーン用VLANと通常スイッチポート用VLANを追加します。また、イングレスフィルタリングを無効にして、その他の任意のVLANタグを受信できるようにします。
    タグ付きポートに設定したOpenFlowポートは、ハイブリッドOpenFlowポートになります。
    awplus(config)# interface port1.0.5
awplus(config-if)# switchport mode trunk ingress-filter disable
awplus(config-if)# switchport trunk allowed vlan add 1,10
awplus(config-if)# exit

  11. （x530/x530L、GS980MXシリーズのみ）
    ハードウェアで処理が可能なフロー数を超過して通信が行われると、超過分の通信はソフトウェア処理となり通信速度は著しく低下します。
    x530/x530LシリーズとGS980MXシリーズにおいて、ハードウェア処理するフローを増やしたい場合は、platform acls-to-vlanclassifiersコマンドで more-acls を指定してください。
    awplus(config)# platform acls-to-vlanclassifiers more-acls

  12. 設定を保存して再起動してください。
    awplus(config)# end
awplus# write memory
Building configuration...
[OK]
awplus# reboot
reboot system? (y/n): y ↓
設定は以上です。

その他の設定


コントローラーとの接続が失われた場合の動作

コントローラーとの接続が失われた場合（コネクションインタラプション）の動作は、openflow failmode standaloneコマンドとopenflow failmode secure non-rule-expiredコマンドの設定により次の3つから選択できます。

standalone/secure non-rule-expired動作無効時（初期設定）の動作は次のとおりです。

standalone動作有効時の動作は次のとおりです。

standalone動作を有効にするには、openflow failmode standaloneコマンドを通常形式で実行します。
awplus(config)# openflow failmode standalone

standalone動作を無効にするには、no openflow failmodeを実行します。
awplus(config)# no openflow failmode

secure non-rule-expired動作有効時の動作は次のとおりです。

secure non-rule-expired動作を有効にするには、openflow failmode secure non-rule-expiredコマンドを通常形式で実行します。
awplus(config)# openflow failmode secure non-rule-expired

secure non-rule-expired動作を無効にするには、no openflow failmodeを実行します。
awplus(config)# no openflow failmode

本製品は、「疎通確認間隔 × 3」の期間、コントローラーから1つもメッセージを受信しなかった場合に接続が失われたと判断します。
疎通確認間隔はopenflow inactivityコマンドで変更できます。初期設定は10秒です。
awplus(config)# openflow inactivity 5

コントロールプレーンの暗号化

OpenFlowコントローラーとの通信（コントロールプレーン）方式としては、次の2種類をサポートしています。

TCPを使う場合は、前記設定例のように、openflow controllerコマンドのPROTOCOLパラメーターでtcpを指定します。
awplus(config)# openflow controller tcp 192.168.1.10 6653

TLSを使う場合は、本製品自身のTLS証明書を用意し、これらを使うように設定した上で、openflow controllerコマンドのPROTOCOLパラメーターに ssl を指定します。

TLS証明書は、ローカルCAが発行したもの、外部CAが発行したもののどちらでも使用可能です。
以下、それぞれの場合について、コントローラーとTLSで接続するための手順を説明します。

前記設定例をTLS接続に変更する場合は、各設定例の openflow controller tcp 192.168.1.10 6653 の部分を以下の設定に置き換えてください。

ローカルCAが発行した証明書を使う場合

  1. ローカルCA機能により本製品のTLS証明書（＝公開鍵ペアと自署の公開鍵証明書）を生成します。これには、crypto pki trustpointコマンドを使います。この場合、トラストポイント名（NAMEパラメーター）は local を指定してください。
    awplus(config)# crypto pki trustpoint local

  2. 前の手順で生成したTLS証明書をOpenFlowコントローラーとのTLS接続に使用するよう設定します。これには、openflow ssl trustpointコマンドを使います。トラストポイント名（NAMEパラメーター）には local を指定してください。
    awplus(config)# openflow ssl trustpoint local

  3. 接続先のOpenFlowコントローラーを指定します。これには、openflow controllerコマンドを使います。このとき、PROTOCOLパラメーターには ssl を指定してください。
    awplus(config)# openflow controller ssl 192.168.1.10 6653

TLS接続時にOpenFlowコントローラーのTLS証明書を検証するには、コントローラーのTLS証明書を発行したCAの証明書ファイル（PEM形式）を本製品のファイルシステム上に用意し、openflow ssl peer certificateコマンドでそのファイルを指定してください。
次の例では、コントローラーの証明書を検証するために必要なCA証明書ファイルが flash:/ca_for_controller.pem に置かれているものと仮定しています。
なお、OpenFlow機能の初期設定ではサーバー証明書の検証は行いません。
awplus(config)# openflow ssl peer certificate flash:/ca_for_controller.pem

OpenFlowコントローラー側で本製品のTLS証明書を検証したい場合は、本製品のTLS証明書を発行したCAの証明書をPEM形式ファイルに書き出し、OpenFlowコントローラーにインストールする必要があります。これには、crypto pki export pemコマンドを使います。トラストポイント名（NAMEパラメーター）には local を指定してください。
次の例では、本製品の証明書を検証するために必要なCA証明書ファイルを flash:/ca_for_switch.pem に書き出すものと仮定しています。
このファイルをコントローラーに転送し、コントローラーの仕様にしたがって適切な場所にインストールしてください。
awplus# crypto pki export local pem flash:/ca_for_switch.pem

OpenFlow機能のTLS接続に関する設定内容は、show openflow sslコマンドで確認できます。
awplus# show openflow ssl
Private key: /flash/.certs/pki/local/cakey.pem
Certificate: /flash/.certs/pki/local/cacert.pem
CA Certificate: /flash/ca_for_controller.pem
Bootstrap: false

外部CAが発行した証明書を使う場合

  1. 外部CAの証明書ファイル（PEM形式）を本製品のフラッシュメモリーにコピーします。
    ここでは、外部CA（ルートCA）の証明書ファイルが「extca_cert.pem」という名前であると仮定します。

  2. 本製品のTLS証明書と鍵を保存するためのトラストポイント（ここでは例として「oftls」という名前を使います）を作成し、外部CAの証明書をインポートします。
    これには、crypto pki trustpoint、enrollment、crypto pki import pemコマンドを使います。
    証明書の情報が表示されたら、内容を確認し、「Accept this certificate?」に「y」で答えてください。
    awplus(config)# crypto pki trustpoint oftls
Created trustpoint "oftls".
awplus(ca-trustpoint)# enrollment terminal
awplus(ca-trustpoint)# end
awplus# crypto pki import oftls pem extca_cert.pem
Copying...
Successful operation
Subject     : /O=Example Organization/CN=External CA
Issuer      : /O=Example Organization/CN=External CA
Valid From  : Aug  1 12:00:00 2018 GMT
Valid To    : Jan 15 12:00:00 2038 GMT
Fingerprint : DDDDDDDD EEEEEEEE AAAAAAAA DDDDDDDD BBBBBBBB
This is a self-signed CA certificate.
The certificate has been validated successfully.
Accept this certificate? (y/n): y ↓
The certificate was successfully imported.

  3. 本製品の公開鍵ペア（秘密鍵と公開鍵）を生成し、公開鍵証明書の署名要求（CSR）を生成します。
    crypto pki enrollコマンドを実行すると、次のようにCSRの内容が出力されるので、-----BEGIN CERTIFICATE REQUEST----- の行から-----END CERTIFICATE REQUEST----- の行までをクリップボードにコピーしてPC上のファイル（ここでは「oftls_csr.pem」とします）に保存してください。
    awplus# crypto pki enroll oftls
Generating 2048-bit key "server-default"...
Cut and paste this request to the certificate authority:
-----------------------------------------------------------------
-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----
-----------------------------------------------------------------

  4. 前の手順でPC上に保存したCSRファイル（本例ではoftls_csr.pem）を外部CAに渡し、TLS証明書の発行を依頼してください。
    ここでは、外部CAが発行した本製品のTLS証明書を oftls_cert.pem という名前のファイルとして入手したものと仮定します。

  5. 外部CAによって発行されたTLS証明書ファイル（本例ではoftls_cert.pem）を本製品のフラッシュメモリーにコピーします。

  6. 作成済みのトラストポイント「oftls」にTLS証明書をインポートします。
    これにはcrypto pki import pemコマンドを使います。
    証明書の情報が表示されたら、内容を確認し、「Accept this certificate?」に「y」で答えてください。
    awplus# crypto pki import whitelist pem oftls_cert.pem
Copying...
Successful operation
Subject     : /O=AlliedWare Plus/CN=awplus
Issuer      : /O=Example Organization/CN=External CA
Valid From  : Jul 19 02:45:59 2022 GMT
Valid To    : Jul 16 02:45:59 2023 GMT
Fingerprint : AAAAAAAA BBBBBBBB CCCCCCCC DDDDDDDD EEEEEEEE
This is not a valid CA certificate. Attempting to import as a server certificate.
The certificate has been validated successfully.
...
Accept this certificate? (y/n): y ↓
The certificate was successfully imported.

  7. トラストポイント「oftls」にインポートしたTLS証明書をOpenFlowコントローラーとのTLS接続に使用するよう設定します。これには、openflow ssl trustpointコマンドでトラストポイント名（本例では oftls）を指定します。
    awplus(config)# openflow ssl trustpoint oftls

  8. 接続先のOpenFlowコントローラーを指定します。これには、openflow controllerコマンドを使います。このとき、PROTOCOLパラメーターには ssl を指定してください。
    awplus(config)# openflow controller ssl 192.168.1.10 6653

TLS接続時にOpenFlowコントローラーのTLS証明書を検証するには、コントローラーのTLS証明書を発行したCAの証明書ファイル（PEM形式）を本製品のファイルシステム上に用意し、openflow ssl peer certificateコマンドでそのファイルを指定してください。
次の例では、コントローラーの証明書を検証するために必要なCA証明書ファイルが flash:/ca_for_controller.pem に置かれているものと仮定しています。
なお、OpenFlow機能の初期設定ではサーバー証明書の検証は行いません。
awplus(config)# openflow ssl peer certificate flash:/ca_for_controller.pem

OpenFlowコントローラー側で本製品のTLS証明書を検証したい場合は、本製品のTLS証明書を発行した外部CAの証明書をOpenFlowコントローラーにインストールする必要があります。
コントローラーに本製品のTLS証明書を発行した外部CAの証明書がインストールされていない場合は、コントローラーの仕様にしたがって適切な場所にインストールしてください。

OpenFlow機能のTLS接続に関する設定内容は、show openflow sslコマンドで確認できます。
awplus# show openflow ssl
Private key: /flash/.certs/pki/local/cakey.pem
Certificate: /flash/.certs/pki/local/cacert.pem
CA Certificate: /flash/ca_for_controller.pem
Bootstrap: false