Splunk ソフトウェアによるエンタープライズ WAN サービスの保証

前提条件

運用シナリオ:トロントハブの劣化

オペレーション・コマンド・センター:インフラストラクチャー詳細

Splunk プラットフォームの運用コマンドセンターのメインダッシュボードには、サイトの稼働率、トンネルのダウン数、デバイスの可用性などの重要な情報が一目でわかります。トロントの劣化は、以下のすべての集計指標に反映されます。 cisco:sdwan:sitehealth 。

調査の背後にあるSPL

オペレーション・コマンド・センターに表示したい情報は、デバイスやトポロジーによって異なります。含めたいと思われる検索例をいくつか示します。

目的 : ダウンストリームのトンネルのドロップに関連する WAN インターフェイス障害

index=sdwan sourcetype="cisco:sdwan:linkhealth"  
| lookup sdwan_entities_master device_ip as vdevice-name  
| fields vdevice-name if-oper-status if-admin-status ip-address speed-mbps vpn-id ifname details entity_type site 
| stats  
    latest(if-admin-status) AS admin  
    latest(if-oper-status) AS oper  
    latest(ip-address) AS ip  
    latest(speed-mbps) AS speed  
    latest(vpn-id) AS vpn latest(details) AS device_detail latest(entity_type) AS device_role latest(site) AS site 
     BY vdevice-name ifname  
| eval status_icon=case( 
    (admin="if-state-up" OR admin="Up") AND (oper="if-oper-state-ready" OR oper="Up"), "UP", 
    (admin="if-state-up" OR admin="Up") AND (oper="if-oper-state-down" OR oper="Down"), "DOWN", 
    admin="if-state-down" OR admin="down", "ADMIN_DOWN", 
    1=1, "UNKNOWN")  
| where status_icon!="P"  
| sort vdevice-name vpn ifname  
| head 50  
| table vdevice-name ifname status_icon admin oper ip speed vpn device_detail device_role site 


目的 : トンネルヘルスサマリー — トンネルの可用性がしきい値を下回っているサイトを特定します

index=sdwan sourcetype="cisco:sdwan:tunnelhealth"  
| fields _time name loss_percentage latency jitter state health local_color remote_color site_id 
| stats latest(*) AS * BY name 
| lookup site_name site_id AS site_id OUTPUT site_name 
| eval  
    loss = round(coalesce(loss_percentage, 0), 2), 
    lat = round(coalesce(latency, 0), 2), 
    jit = round(coalesce(jitter, 0), 2), 
    path = local_color . " ↔ " . remote_color, 
    status_rank = case( 
        state != "Up", 1, 
        loss > 5 OR lat > 250, 2, 
        loss > 1 OR lat > 150 OR jit > 30, 3, 
        1=1, 4), 
    "SLA Status" = case( 
        status_rank == 1, "DOWN", 
        status_rank == 2, "SLA VIOLATION", 
        status_rank == 3, "SLA DEGRADED", 
        status_rank == 4, "OPERATIONAL") 
| sort status_rank - loss 
| table "SLA Status" site_name name path loss lat jit health 


目的 : UTD 脅威アクティビティ — ブロックされたイベントをレピュテーションコンテキストで表示

index=sdwan sourcetype="cisco:sdwan:utd:logs"  
| stats count BY src_ip dest_ip Category Reputation  
| sort -count  
| head 20

目的 : シャドウ IT 検出 — まれなアプリケーションが外部から流出 stream:netflow

index=netflow sourcetype="stream:netflow" src_ip=* 
 
| eval application = coalesce(app, app_tag, "Unknown_Flow") 
| eval application = trim(replace(application, "\x00", "")) 
| stats  
    count AS pair_flow_count  
     BY application protoid src_ip dest_ip 
| eventstats  
    avg(pair_flow_count) AS avg_flows  
    stdev(pair_flow_count) AS dev_flows  
     BY application 
| where pair_flow_count < (avg_flows - dev_flows) OR pair_flow_count <= 2 
| sort + pair_flow_count 
| table application protoid src_ip dest_ip pair_flow_count avg_flows 

調査の逆化:サービスから根本原因まで

vManage のトラブルシューティングはデバイスから始まります。アラートが発生しているデバイスを見つけ、サービスへの影響を把握するために作業を進めます。Splunk ソフトウェアはこれを逆にします。つまり、サービスから始め (トロントは劣化しています。ヘルススコアはここにあります)、原因となっているコンポーネント (デバイスの状態とトンネルの状態) を掘り下げて、デバイスレイヤーで根本原因を確認します。「リンクとインターフェース」タブにたどり着く頃には、探索しているわけではなく、確認していることになります。この逆転こそが、MTTR の改善の源です。

要約:NetFlow: アプリケーションインテリジェンスレイヤ

デバイスとトンネルのメトリック以外にも、 cisco:sdwan:system:logs そして stream:netflow SD-WANの運用には、コントローラーのダッシュボードにはないビュー、つまりWANを流れる実際のアプリケーショントラフィックパターンが表示されます。帯域幅を最も多く使用しているのはどのアプリケーションか?Microsoft O365 トラフィックはダイレクトインターネットブレークアウトポリシーに従っているのか、それともデータセンターを経由してフォールバックしているのか?WAN の容量を消費するシャドウ IT ツールなど、ブランチエッジに予期しないアプリケーションが出現していませんか?

Splunkソフトウェアを使用すれば、このような疑問にSPLで回答できるようになります。 stream:netflow データ。以下の UTD 脅威イベントと合わせて cisco:sdwan:utd:logs これにより、ネットワークチームとセキュリティチームの両方が、何がWANを通過しているか、またWANがポリシーに準拠しているかどうかを一元的に把握できます。

大規模なエンタープライズファブリックを管理するSD-WAN運用チームにとって、これは、同じプラットフォーム内のNetOpsとSecOpsのギャップを埋めるためのセキュリティコンテキストを備えた事後対応型のアラート主導型モデルを、セキュリティコンテキストを備えたプロアクティブなサービス主導型モデルに変える運用層です。

次のステップ

組織におけるネットワークアシュアランスの提供について詳しく知る準備はできていますか？このシリーズの他の記事もご覧ください。

• クロスドメインネットワークの問題のトラブルシューティングを数分で完了
• Meraki ブランチネットワークを大規模に運用
• キャンパスインフラストラクチャにおけるクロスドメイン可視性の実現
• MPLS バックボーンインフラストラクチャのリアルタイム監視
• MPLSからSRv6への移行をリアルタイムで保証します。