Wi-FiでNSX Overlayにつないでみた ~電波の先にNSXを~

Japan VMUG vExpert が語る #57 Wi-FiでNSX Overlay につないでみた 電波の先にNSXを 2026/07/15 @K_Nitori0221

自己紹介 K_Nitori0221 • 日本のどこかのインフラエンジニア。 • 研修時にESXiを知りvMotionに感動しVMwareの沼へ。 • 最近のマイブームはRAIDのパリティ汚染 1

• https://www.usenix.org/legacy/events/fast08/tech/full_papers/krioukov/krioukov_html/index.html

はじめに • 発言は個人の意見です。 ただの趣味です。 • 今回話す内容は公式には非推奨です。 ・ 内容に誤りが含まれている場合があります。 お気づきの点がありましたら、ご指摘・ご教示いただけますと幸いです。 2

事の発端 個人的に NSX/vSANブームなのでせっかくなのでVCAPも… VKSあたりでリベンジします 3

はんぺん なぜか家に大量の白いはんぺんが 4

はんぺん なぜか家に大量の白いはんぺんが Catalyst 9115AX Catalyst 9120AX Catalyst 9130AX Meraki GR10 5

やりたいこと 手元のスマホ・ノート PC からオーバーレイ上の VMと WiFIで同一 L2 で通信したい スマホ / PC 172.16.1.10/24 ラボ・検証にちょうどいい 物理端末からオーバーレイ上の検証環境へ、ルータを挟まず直接アクセス デモがしやすい スマホやタブレットの実機を、仮想環境のセグメントにそのまま参加させられる オーバーレイ上の VM 172.16.1.110/24 同一セグメント・同一サブネット 6

やりたいこと そこで「NSX Edge Bridge」 Edge ノード上で、オーバーレイセグメントと VLANを L2で橋渡しする機能 Edge クラスタ オーバーレイセグメント VLAN (物理ネットワーク) L2 ブリッジ 仮想と物理をつなぐ L2 スイッチ 本来の用途 ① V2V / 物理 → 仮想の移行時に 移行中も同一 L2 を維持 本来の用途 ② 仮想化できない物理サーバやアプライアンス をセグメントに接続 今回の使い方 VLAN の先に Wi-Fi AP をぶら下げて、 無線端末まで延伸 7

構成 VMから物理端末まで L2で オーバーレイセグメント トランク トランク 無線 (Geneve) (VLAN 300) (VLAN 300) (WPA2/3) VM Edge ノード 物理スイッチ 172.16.1.110 L2 ブリッジ VLAN xxx Wi-Fi AP SSID VLAN 300 スマホ / PC 172.16.1.10 端から端まで 同一 L2 セグメント / 同一サブネット 172.16.1.0/24 8

構築 NSX 側の設定は、実質 3 ステップ 1 2 3 Edge Bridge Profile を作成 Edge クラスタと Primary / Backup の Edge ノード、フェイルオーバーモードを指定 ネットワーク > セグメント > プロ ファイル セグメントにブリッジをアタッチ ブリッジしたいオーバーレイセグメントの編集画面で「エッジブリッジ」を追加。 プロファイル・VLAN トランスポートゾーン・VLAN を指定 セグメント編集 > エッジブリッジ の設定 物理側で VLAN を APまで許可 Edge (のアップリンク) 〜 物理スイッチ 〜 AP まで VLAN 300 をトランクで通し、AP 側で SSID に VLAN 300 をマッピング 物理スイッチ / 無線コントローラ側 の作業 9

構築 1 Edge Bridge Profile を作成 Edge クラスタと Primary / Backup の Edge ノード、フェイルオーバーモードを指定 ネットワーク > セグメント > プロ ファイル 10

構築 2 セグメントにブリッジをアタッチ ブリッジしたいオーバーレイセグメントの編集画面で「エッジブリッジ」を追加。 プロファイル・VLAN トランスポートゾーン・VLAN を指定 セグメント編集 > エッジブリッジ の設定 11

構築 3 物理側で VLAN を APまで許可 Edge (のアップリンク) 〜 物理スイッチ 〜 AP まで VLAN 300 をトランクで通し、 AP 側で SSID に VLANをマッピング vlan 300 name NSX_L2_BRIDGE_300 ! VLAN作成 NSX側でルーティングするためSVIは無し interface TenGigabitEthernet1/0/4 description VCF Node 1 switchport mode trunk switchport nonegotiate spanning-tree portfast trunk ! interface TenGigabitEthernet1/0/5 description VCF Node 2 switchport mode trunk switchport nonegotiate mtu 9000 spanning-tree portfast trunk ! interface TenGigabitEthernet1/0/6 description VCF Node 2 switchport mode trunk switchport nonegotiate mtu 9000 spanning-tree portfast trunk ! interface TenGigabitEthernet1/0/7 description VCF Node 3 switchport mode trunk switchport nonegotiate spanning-tree portfast trunk ! interface TenGigabitEthernet1/0/8 description VCF Node 3 switchport mode trunk switchport nonegotiate spanning-tree portfast trunk VCF Node はTrunk すべて許可 ※オススメはしない 物理スイッチ / 無線コントローラ側 の作業 interface TenGigabitEthernet1/0/21 description Wireless-AP switchport trunk native vlan 10 switchport trunk allowed vlan 10,50,51,60,300 switchport mode trunk switchport nonegotiate spanning-tree portfast trunk APにブリッジするVLANを追加 今回はVLAN300にブリッジ 12

構築 3 物理側で VLAN を APまで許可 Edge (のアップリンク) 〜 物理スイッチ 〜 AP まで VLAN 300 をトランクで通し、 AP 側で SSID に VLANをマッピング 物理スイッチ / 無線コントローラ側 の作業 SSIDを作成 WLAN プロファイル = SSID の定義: PSKにし、よくあるパスワード認証に 名前・認証方式(今回は PSK)を決めるやつ 13

構築 3 物理側で VLAN を APまで許可 Edge (のアップリンク) 〜 物理スイッチ 〜 AP まで VLAN 300 をトランクで通し、 AP 側で SSID に VLANをマッピング Flex プロファイル = FlexConnect AP 用の設定 FlexConnect は通信を WLC へトンネルせず、AP がその場で VLAN に流すモード(ローカ ルスイッチング)。 AP が流してよい VLAN をここに登録 物理スイッチ / 無線コントローラ側 の作業 Flex ProfileにVLAN 300を登録 AP管理用Native VLANは10、 クライアント用VLANとして300を追加 14

構築 3 物理側で VLAN を APまで許可 Edge (のアップリンク) 〜 物理スイッチ 〜 AP まで VLAN 300 をトランクで通し、 AP 側で SSID に VLANをマッピング Policy Profileで、SSIDに接続した クライアントをVLAN 300へ収容 物理スイッチ / 無線コントローラ側 の作業 VLAN 300 ポリシープロファイル = クライアントの扱い: 収容 VLAN・中央 / ローカルスイッチング等を指定。「この SSID に繋ぐ = VLAN 300」をここで紐づけ 15

構築 3 物理側で VLAN を APまで許可 Edge (のアップリンク) 〜 物理スイッチ 〜 AP まで VLAN 300 をトランクで通し、 AP 側で SSID に VLANをマッピング ポリシータグ: SSID × ポリシープロファイルの組を AP に割り当て。 タグが付いた AP だけがその SSID を吹く SSIDを含むPolicy Tagが対象APに割り当たっていることを確認 今回はC9130-01がPOLICY-TAG-LABを使用しているため、 このAPからNSX-TEST-SEG01が送信 物理スイッチ / 無線コントローラ側 の作業 16

動作確認 同一L2で動いていることを確認 L2となるためホップ数が１ 17

動作確認 同一L2で動いていることを確認 L2となるためホップ数が１ NSXの分散ルータの MAC! 18

動作確認 ユーザVLAN→オーバレイにL3で 別セグメントとなるのでルーティングで接続される 19

そういえば どこでGeneveからVLANに？ ESXi ホスト(コンピュート) ESXi ホスト(Edge 用) スマホ / PC 1 NSX Edge(VM) VM 172.16.1.51 4 172.16.10.11 5 Edge TEP L2 ブリッジ Geneve を復元 VLAN 300 を付与 Wi-Fi AP vDS(NSX 対応の分散スイッチ) 2 Host TEP オーバーレイ セグメント SSID VLAN 300 vDS — トランク ポートグループ(VLAN トランク) vmk10 / TEP VLAN 60 NSX ポートグループ 無線 ※ 偽装転送・無差別モード(or MAC 学習)を許可 Geneve カプセル化 トランク TEP VLAN 60 と VLAN 300 の両方がここを通る pNIC(アップリンク) 物理スイッチ pNIC(アップリンク) VLAN 300 トランク 6 物理ネットワーク 3 Geneve VLAN 300 ① VM が送信 → ② Host TEP で Geneve 化 → ③ 転送 → ④ Edge TEP で復元 → ⑤ ブリッジで VLAN 300 → ⑥ AP 経由でWiFi 20

落とし穴 なぜ「偽装転送・無差別モード(or MAC 学習)」? ESXi ホスト(Edge 用) 送信方向 → 偽装転送(Forged Transmits)を承認 NSX Edge(VM) L2ブリッジは VM の MAC を送信元にしたまま VLAN へ流す。 vDS は既定で「vNIC 登録 MAC と異なる送信元」のフレームを黙って破棄するため、 承認しないと送信が全てドロップ L2 ブリッジ稼働中 vNIC 送信フレーム src = VM の MAC 受信フレーム dst = VM の MAC 受信方向 → 無差別モード or MAC 学習 dvpg1:トランク ポートグループ(vDS) 物理からのフレームの宛先は VM の MAC。標準の vDS は MAC を学習せず、登録済み vNIC の MAC しか知らないので「その MAC はポート p の先」と分からず届けられない。 無差別モードで全部受け取るか、MAC 学習(+不明ユニキャストフラッディング)で解決 pNIC → 物理へ ポート p には「Edge 自身ではない MAC」が流れる VDS + MAC 学習(推奨) VDS/VSS + 無差別 vSphere 8.0 から UI で設定可。不明ユニキャスト フラッディングは有効のまま ESXi 側で ReversePathFwdCheckPromisc=1 の設定も必要 パフォーマンス問題も有ったり… 21

落とし穴 なぜ「偽装転送・無差別モード(or MAC 学習)」? ESXi ホスト(Edge 用) 送信方向 → 偽装転送(Forged Transmits)を承認 NSX Edge(VM) L2ブリッジは VM の MAC を送信元にしたまま VLAN へ流す。 vDS は既定で「vNIC 登録 MAC と異なる送信元」のフレームを黙って破棄するため、 承認しないと送信が全てドロップ L2 ブリッジ稼働中 vNIC = ポート p 送信フレーム src = VM の MAC 受信フレーム dst = VM の MAC 受信方向 → 無差別モード or MAC 学習 dvpg1:トランク ポートグループ(vDS) 物理からのフレームの宛先は VM の MAC。標準の vDS は MAC を学習せず、登録済み vNIC の MAC しか知らないので「その MAC はポート p の先」と分からず届けられない。 無差別モードで全部受け取るか、MAC 学習(+不明ユニキャストフラッディング)で解決 pNIC → 物理へ ポート p には「Edge 自身ではない MAC」が大量に出入りする VDS + MAC 学習(推奨) VDS + 無差別 + 偽装転送 vSphere 8.0 から UI で設定可。不明ユニキャスト フラッディングは有効のまま ESXi 側で ReversePathFwdCheckPromisc=1 の設定も必要 パフォーマンス問題も有ったり… 22

まとめ Edge Bridge は 仮想と物理をつなぐ橋 疎通しない時は まず vDS を疑う オーバーレイセグメントを VLAN に L2 の まま延伸できる。 VLAN の先に Wi-Fi AP を置けばスマホ までNSXの世界へ！ 偽装転送・無差別モード (または MAC 学習)、VLAN トランク、 ブリッジのトラブルはだいたいこの 3 つ 本番では 用途を選ぶ トラフィックが Edge に集中する点に注意 本来は移行や物理機器接続向け。 ラボ・デモには最高に便利! 圧倒的ロマン! 23

ご清聴ありがとうございました @K_Nitori0221 https://qiita.com/K_Nitori0221 https://k-nitori0221.hatenablog.jp/

• https://qiita.com/K_Nitori0221
• https://k-nitori0221.hatenablog.jp/