高可用性と MAC マスカレードの動作に関する F5 BIG-IP のドキュメントによると、システムではフェイルオーバー イベント中にレイヤー 2 アドレスをより細かく制御できます。
* 標準MACマスカレード：デフォルトでは、トラフィックグループにMACマスカレードアドレス（02:12:34:56:00:00など）が割り当てられている場合、BIG-IPシステムは、すべてのVLANにおいて、そのトラフィックグループに関連付けられたすべてのトラフィックに、そのMACアドレスを使用します。これにより、上流スイッチが仮想IPのARPエントリを再学習する必要がなくなりますが、複数のVLANが同じ物理インフラストラクチャを共有している環境や、セグメント間で同一のMACアドレスをフラグ付けする監視ツールでは、問題が発生する可能性があります。
* VLANごとのMACマスカレード：システムデータベース変数tm.macmasqaddr_per_vlanがtrueに設定されている場合、BIG-IPシステムは各VLANに固有のMACアドレスを計算します。これは、トラフィックグループに設定されているベースMACマスカレードアドレスにVLAN ID（タグ）を追加することで行われます。
* 計算ロジック:
* ベースMAC: 02:12:34:56:00:00
* VLAN ID: 1501
* サフィックスを見つけるために、VLAN ID を 10 進数から 16 進数に変換します。
* 10進数の$1501$は16進数の05DDになります。
* システムは、このオフセットをベース MAC アドレスの最後の 2 オクテットに適用します。
* 00:00 + 05:DD = 05:DD。
* 結果: VLAN 1501 の最終 MAC アドレスは 02:12:34:56:05:dd になります。
これにより、MAC マスカレードによって提供される「Gratuitous ARP-less」フェイルオーバーの利点を享受しながら、すべての VLAN が一意のレイヤー 2 ID を持つことが保証されます。

BIG-IP 管理データ プレーン概念ドキュメントからの包括的かつ詳細な説明:
リモート認証 (LDAP、RADIUS、TACACS+) はコントロール プレーン/管理プレーンの機能ですが、管理アクセスの可用性と回復力に直接影響し、HA 運用上の重要な考慮事項となります。
BIG-IP リモート認証の仕組み:
BIG-IP は、管理者を以下に対して認証できます。
LDAP
半径
TACACS+
リモート認証が有効になっている場合、BIG-IP はデフォルトでユーザー認証をリモート サーバーに依存します。リモート認証サーバーがアクセス不能になった場合、フォールバックが設定されていない限り管理者がロックアウトされる可能性があります。「ローカルへのフォールバック」が必要な理由:
ローカルへのフォールバック オプションにより、BIG-IP は次のことが可能になります。
まずリモート認証サーバーに対して認証を試みる
リモート サーバーにアクセスできないか利用できない場合は、次の方法にフォールバックします。
ローカル BIG-IP ユーザー アカウント (管理者、またはその他のローカルに定義されたユーザー)
これにより、次のことが保証されます。
継続的な管理アクセス
安全な回復中:
ネットワーク障害
認証サーバーの障害
メンテナンスウィンドウ
この動作は、管理アクセスの損失を回避するために、BIG-IP 管理のベスト プラクティスとして明示的に推奨されています。
他の選択肢が間違っている理由:
A . 2番目のリモートユーザーディレクトリを構成する
両方のディレクトリにアクセスできる場合にのみ冗長性を提供します
リモート認証全体が利用できない場合は役に立ちません
B. リモートロールグループを構成する
リモートユーザーをBIG-IPのロールにマッピングする
認証の可用性には影響しません
D . パーティションアクセスを「すべて」に設定する
ログイン後の承認スコープを制御する
認証の成功には影響しません
主要な可用性コンセプトの強化:
管理アクセスの回復力を維持するために、BIG-IP管理者はリモート認証を使用する際に常に「ローカルへのフォールバック」を有効にする必要があります。これにより、ロックアウトを防ぎ、認証インフラストラクチャに障害が発生した場合でもアクセスを確保できます。

BIG-IPのトラフィック管理では、パーシステンスプロファイルにより、既存のクライアント接続（および後続のリクエスト）が同じプールメンバーに繰り返し送信されます。パーシステンスが有効化されている場合、既存の接続をすべて即時に削除する必要がある場合、単に新規接続をブロックするだけでは不十分です。
プール加盟国の主な行動:
* 強制オフライン
* プール メンバーを負荷分散から直ちに削除します。
* 永続性に関係なく、既存の接続をすべて終了します。
* 新しい接続が確立されるのを防ぎます。
* 緊急のメンテナンスやトラブルシューティングが必要な場合、これが正しい状態です。
* 無効
* 新しい接続がプール メンバーに送信されないようにします。
* 既存の接続の継続を許可しますが、永続性が構成されていて接続を直ちにクリアする必要がある場合は、これは許容されません。
* オフライン（強制ではない）
* コンテキストに応じて無効な動作と同様です。
* 既存の接続が直ちに終了することを保証するものではありません。
* コマンドラインから手動で接続を削除する
* 不要であり、運用上非効率的です。
* BIG-IP では、トラフィックをクリーンかつ即座に削除するためのメカニズム (強制オフライン) がすでにサポートされています。
結論：
パーシステンスによって維持されている接続も含め、既存のすべての接続を直ちに削除するには、BIG-IP管理者はプールメンバーを強制オフライン状態に設定する必要があります。これにより、追加の手動手順を必要とせずに要件を直接満たすことができます。

BIG-IP 管理データ プレーン概念ドキュメントからの包括的かつ詳細な説明:
BIG-IPは、仮想サーバーのマッチングと優先順位付けアルゴリズムを用いて、着信接続を処理する仮想サーバーを決定します。この決定は完全にデータプレーン内で行われ、仮想サーバーが宛先IPアドレスとポートにどの程度一致しているかに基づいて行われます。
BIG-IP 仮想サーバーの選択ルール (簡略化):
複数の仮想サーバーがパケットに一致する可能性がある場合、BIG-IP は次の優先順位を使用して最も具体的な一致を選択します。
正確なIPアドレスと正確なポート
ワイルドカードポート（ポート 0 / 任意）を含む正確な IP アドレス
正確なポート番号を含むワイルドカード IP アドレス
ワイルドカードIPアドレスとワイルドカードポート
このシナリオにルールを適用する:
受信トラフィックの宛先: 1.0.0.10:8080
オプションC: 1.0.0.10:8080
正確なIP一致
正確なポート一致
可能な限り高い特異性
仮想サーバーが利用可能（緑）であれば、そのサーバーが試合に勝利します。
オプションB: 1.0.0.10:any
IPアドレスは完全に一致するが、ポートはワイルドカード
正確なIPと正確なポートの一致よりも優先度が低い
オプションD: 0.0.0.0:8080
ワイルドカードIP、正確なポート
完全なIP一致よりも優先度が低い
オプションA: 0.0.0.0:任意
ワイルドカードIPとワイルドカードポート
最も低い優先度。これ以上の特定の仮想サーバーが存在しない場合にのみ使用されます。
最終決定:
宛先 1.0.0.10:8080 に設定された仮想サーバーは、着信接続の IP アドレスとポートの両方に正確に一致し、使用可能であるため、トラフィックの処理に常に選択されます。
主要なデータプレーンコンセプトの強化:
BIG-IPは常に、最も正確に一致する仮想サーバーを使用してトラフィックを処理します。宛先IPとポートの正確な一致は、ワイルドカードや転送仮想サーバーの定義よりも優先されます。