BIG-IP veでDevice Trustを確立しよう（成功編）

# はじめに
前回うまくいかなかったDevice Trustの確立からやっていきます。

# 仮想マシンへの追加NIC設定
現在は10.0.4.0/24のネットワークにMgmtアドレスの設定だけが入っています。この先の設定を行っていくにあたって、あらかじめ必要なNICを追加しておいた方が良さそうなので、このタイミングで追加することにします。

| AWSでのサブネット名       | BIG-IP上のvlan名 | CIDR | 用途 |
|:-----------------|:-----------------|:------------------|:------------------|
| Public      | internal |  10.0.1.0/24 |通信用インターフェース       |
| HA   | HA  | 10.0.3.0/24|        HA用インターフェース        |
| Management  |(mgmt) |   10.0.4.0/24 |     Management用インターフェース   |

もともとは10.0.2.0/24にPrivateというセグメントを用意していましたが、データ通信用を1ポートにして論理的ワンアーム構成を取ることにしました。

# 起動、NICの確認
起動してGUIからNICの確認をしました。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/bda98de6-9153-f2fc-ac1b-87b4c787d106.png)
3つNICが繋がっているのがわかりますが、どれがmgmt、internal、HAに相当するセグメントに繋がっているか分かりません。CLIでログインしても分からなかったのですが、AWSのコンソール上でeth1がinternal、eth2がHAセグメントであることが確認できました。

# VLANの作成とIPの割り当て
「Network」＞「Vlans」で現在のVlan構成を確認します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/c30097bd-3a5b-40d6-5101-b154bd2d6852.png)
internalは作成されているものの、1.0インターフェース（mgmt)に紐付けられてしまっています。これは1.1につけなおし、さらにHA Vlanを作成して1.2に紐付けます。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/a03e4437-2b54-97f4-2700-3d8c8cd4c4c5.png)
できました。

次はIPアドレスです。「Network」＞「Self IPs」から、自分のNICの持つIPをそれぞれ設定します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/aad6272f-ef33-0343-20ac-4b11ea340095.png)
できました。

同様に、2号機でもVlanとアドレスの設定を行っていきます。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/67f9581b-ba40-239f-29f9-08cf8d517cb3.png)
できました。この時点で、AWSのSecurity Groupの設定が間違っていなければ、HAセグメントおよびinternalセグメントでpingが届くようになるはずです。やってみます。

```
[admin@ip-10-0-4-11:Active:Standalone] ~ # ping 10.0.1.12 -c 1
PING 10.0.1.12 (10.0.1.12) 56(84) bytes of data.
64 bytes from 10.0.1.12: icmp_seq=1 ttl=255 time=5.36 ms

--- 10.0.1.12 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 5ms
rtt min/avg/max/mdev = 5.365/5.365/5.365/0.000 ms

[admin@ip-10-0-4-11:Active:Standalone] ~ # ping 10.0.3.12 -c 1
PING 10.0.3.12 (10.0.3.12) 56(84) bytes of data.
64 bytes from 10.0.3.12: icmp_seq=1 ttl=255 time=4.74 ms

--- 10.0.3.12 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 4ms
rtt min/avg/max/mdev = 4.747/4.747/4.747/0.000 ms
[admin@ip-10-0-4-11:Active:Standalone] ~ # 
```

できました。うまくいくと嬉しいですね。

# コンフィグ同期用アドレスの設定
いよいよ、[前回](https://qiita.com/jinnai73/items/1c1fbc98651b21e4418a)失敗した部分の再挑戦です。メニューから「Device Management」＞「Devices」＞自分のデバイスを選択します。続いて上のメニューで「ConfigSync」を選び、Local AddressのIPをドロップダウンから選択します。使用するのはinternalのIPです。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/3b16ccef-148d-8daf-617e-00c08bac7645.png)
できました。2号機でも同様の設定をしておきます。

# Device Trustの確立
メニューから「Device Management」＞「Device Trust」＞「Device Trust Members」を選択します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/2b25ea53-df6f-9e05-0a44-d93f9d036375.png)
今はTrustを確立している相手がいません。右上の「Add」を押して進みます。

![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/650f3405-b7de-1dd2-d3e2-d4d90c94d12b.png)
次の画面ではTrustを確立する相手の情報を入れます。Device TypeはPeerで大丈夫です。Device IP Addressはinternalセグメントのものを指定します。「Retrieve Device Information」を押すと少し待たされます。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/21356432-fff3-98eb-6e0b-2b8a28efa696.png)

……失敗です。AWSでは適当なPrivate IPを使えと[ここに](https://support.f5.com/kb/en-us/products/big-ip_ltm/manuals/product/bigip-system-device-service-clustering-administration-13-1-0/3.html#guid-459536d8-91b8-47fc-ade5-6196f45091b9)書いてありましたが、もしかしてアプライアンス同様にMgmtを使う必要があるのでは。。。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/53f525e1-8e76-5bd3-357e-53cb84e9456d.png)
Mgmtセグメントの10.0.4.12でうまくいきました。

![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/3827a220-130d-3479-4aba-ca779bd79dbd.png)
無事Device Trust Membersが追加できました。しかしNameが分かりにくいですね。管理のために分かりやすいNameをつけることにします。Nameは「Devices」から変更可能です。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/6d73d4b6-326a-c63e-3893-5faa890004fb.png)
先ほどTrustを確立したので、自分と相手が見えています。(Self)がついている自分を選択します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/6af6578f-2a35-82bc-a8a3-5bee098f85e5.png)
Nameの隣にある「Change Device Name...」を選択します。Trustを結んでいると、一旦Trustを破棄するように警告が出るため、指示に従ってTrustを解除してから再度Nameを変更します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/1ed32381-0239-29c3-b6df-5110475aa090.png)
名前はBIGIP-1、Certificateを再生成にしてUpdateを押します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/33cc8a33-58a9-8d6d-6e7a-79f191327f89.png)
できました。2号機でも同じように、名前を変えましょう。名前が変わったら先ほどの手順で1号機からTrustを確立します。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/df775c93-a117-be30-ece7-534afa9c46f9.png)
Add Deviceの直前で相手のNameを設定できるので、1号機からBIGIP-2と入力しておきます。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/af618a72-7831-41ac-eace-a025265be561.png)
できました！　なお2号機でも自動的に1号機のTrustを入手できています。2号機から見るとこんな感じです。
![image.png](https://qiita-image-store.s3.amazonaws.com/0/126284/2e171788-4a88-624f-6852-3ac20103c2d8.png)

# おわりに
長くなってしまったので、本日のまとめです。
ConfigSync用のアドレスにはinternalセグメントのIPを使う。
Trust交換前に、DeviceでNameを分かりやすい表示名に変えておく。
Trust交換用のアドレスにはManagementセグメントのIPを使う。