Juniper Apstra は、Apstra GUI 環境で使用できる 4 つのシステム定義のユーザー ロールを提供します。これらは、administrator、device_ztp、viewer、および user1 です。Web 検索結果に基づいて、次のようなことが推測できます。
* ビューア: このロールには、ブループリント、デバイス、デザイン、リソース、外部システム、プラットフォームなど、Apstra システム内のさまざまな要素を表示するだけの権限が含まれます。この役割を持つユーザーは、要素を作成、編集、削除することはできません12。
* ユーザー: このロールには、ブループリント、デバイス、デザイン、リソース、外部システム、プラットフォームなど、Apstra システム内のさまざまな要素を表示および編集する権限が含まれます。この役割を持つユーザーは、要素を作成または削除することはできません12。
* 承認済み: これは、Juniper Apstra のシステム定義のユーザー ロールではありません。これは、LDAP、Active Directory、TACACS+、RADIUS3 などの外部システムによって認証されたユーザーを表すために使用される用語です。
* root: これは、Juniper Apstra のシステム定義のユーザー ロールではありません。これは、Linux システム上のスーパーユーザー アカウントを表すために使用される用語であり、すべてのコマンドとファイルへの完全なアクセス権を持ちます。Apstra GUI でユーザーを作成しても、そのユーザーは SSH 経由で Apstra プラットフォームにアクセスできません。SSH 経由で Apstra プラットフォームにアクセスするには、ローカル Linux システム ユーザー 4 を作成する必要があります。参考文献:
* ユーザー/ロール管理の概要
* ユーザー/ロール管理 (プラットフォーム)
* AAA プロバイダー
* ユーザープロファイル管理

Juniper Apstra ロールベースのアクセス制御 (RBAC) は、さまざまなユーザーのロールに基づいてアクセス許可を指定できる機能です。RBAC サーバーは、企業内の個々のユーザーに割り当てられた役割に基づいてネットワーク アクセスを認証および許可するリモート ネットワーク サーバーです1。Juniper Apstra には、管理者、device_ztp、user、viewer2 という 4 つの事前定義されたユーザー ロールがあります。管理者ロールは最も強力なロールであり、Apstra ソフトウェア アプリケーション内のすべての権限を確認し、すべてのアクションを実行できます。管理者ロールは、変更できない 4 つの事前定義されたユーザー ロールを除き、ユーザー ロールを作成、複製、編集、および削除することもできます2。したがって、管理者ロールがすべての権限を参照できるという記述は正しいです。
このシナリオでは、次の 3 つのステートメントは正しくありません。
※閲覧者の役割はあらかじめ定義されており、削除することができます。これは当てはまりません。閲覧者の役割は 4 つの事前定義されたユーザー 役割の 1 つであり、削除できないからです。閲覧者の役割は最も制限された役割であり、ネットワーク情報と構成の表示のみが可能ですが、変更はできません2。
※ユーザーロールはロールを作成できます。ユーザー ロールは 4 つの事前定義されたユーザー ロールの 1 つであり、ロールを作成できないため、これは当てはまりません。ユーザー役割は、ネットワーク構成および管理タスクのほとんどを実行できますが、プラットフォーム設定やユーザー管理機能にはアクセスできません2。
* 管理者ロールは、事前に定義されている唯一のロールです。これは真実ではありません。事前定義されたユーザー ロールは 1 つではなく 4 つあるからです。他の 3 つの事前定義されたユーザー ロールは、device_ztp、user、viewer2 です。
参考文献:
* プロバイダー - Apstra 3.3.0 ドキュメント
* ユーザー/ロール管理 (プラットフォーム)

この質問に答えるには、EVPN LAG の ESI 値の概念を理解する必要があります。ESI は、イーサネット セグメントを識別する 10 バイトの値です。イーサネット セグメントは、マルチホーム デバイス (サーバーなど) を EVPN ネットワーク内の 1 つ以上の PE デバイス (リーフ スイッチなど) に接続するリンクのセットです。同じイーサネット セグメントに接続するすべての PE デバイスで同じ ESI 値を設定する必要があります。これにより、PE デバイスが EVPN LAG を形成できるようになり、デバイスのアクティブ/アクティブまたはアクティブ/スタンバイ マルチホーミングがサポートされます。ESI 値は手動で設定することも (タイプ 0)、LACP (タイプ 1) またはその他の方法から自動的に取得することもできます。展示品では、サーバー A は、LACP が有効になった LAG を使用して 2 つのリーフ スイッチ (QFX 5210) に接続されています。サーバー B は、LACP が有効になっている LAG を使用して 3 つのリーフ スイッチ (QFX 5120) に接続されています。この情報に基づくと、ファブリックへのサーバー接続の ESI 値に関する次の記述は正しいと言えます。
* C. サーバー A の有効な ESI 値は 0x00.10.10.10.10.10.10.10.10.10 です。この ESI 値は QFX 5210 デバイスの LACP 設定から自動的に導出できるため、これは当てはまります。LACP システム ID は通常、デバイスの MAC アドレスに基づいており、LACP 管理キーは
LAGを識別する2バイトの値。たとえば、QFX 5210 デバイスの MAC アドレスが
00:10:10:10:10:10 で LAG ID が 10 の場合、LACP システム ID は 00:10:10:10:10:10 で、LACP 管理キーは 00:0A です。ESI 値は、LACP システム ID と LACP 管理キーを連結することによって導出され、00:10:10:10:10:10:00:0A となります。この ESI 値は、16 進数表記で 0x00.10.10.10.10.10.00.0A として表すことも、ゼロを埋め込んで次のように表すこともできます。
0x00.10.10.10.10.10.00.0A.00.00。この ESI 値は、サーバー A に接続する両方の QFX 5210 デバイスで構成する必要があります。
* D. サーバー B の有効な ESI 値は 0x00.00.00.00.00.00.00.00.00.00 です。この ESI 値はシングルホーム デバイスを示す予約値であるため、これは当てはまります。サーバー B は LAG を使用して 3 つのリーフ スイッチ (QFX 5120) に接続されていますが、どのリーフ スイッチにもマルチホーム化されていません。これは、サーバー B がリーフ スイッチと EVPN LAG を形成するために ESI 値を必要としないことを意味します。代わりに、サーバー B は予約された ESI 値 0x00.00.00.00.00.00.00.00.00.00 を使用できます。これは、サーバー B がシングルホーム デバイスであり、EVPN LAG に参加していないことを示します。この ESI 値は 3 つの QFX すべてで設定する必要があります
サーバー B に接続する 5120 デバイス。ファブリックへのサーバー接続の ESI 値に関する次の記述は正しくありません。
* A. サーバー A の有効な ESI 値は 0x00.00.00.00.00.00.00.00.00.00 です。この ESI 値はシングルホーム デバイスを示す予約値であるため、これは false です。サーバー A は、LACP が有効になっている LAG を使用して 2 つのリーフ スイッチ (QFX 5210) に接続されています。これは、サーバー A が両方に対してマルチホームであることを意味します。これは、サーバー A がリーフ スイッチと EVPN LAG を形成するには ESI 値が必要であることを意味します。ESI 値はイーサネット セグメントごとに一意でゼロ以外である必要があるため、予約されている ESI 値は
0x00.00.00.00.00.00.00.00.00.00 はサーバー A では無効です。
* B. サーバー B の有効な ESI 値は 0x00.20.20.20.20.20.20.20.20.20 です。この ESI 値は QFX 5120 デバイスの LACP 設定から派生したものではないため、これは false です。サーバー B は、LACP が有効になった LAG を使用して 3 つのリーフ スイッチ (QFX 5120) に接続されていますが、どのリーフ スイッチにもマルチホーム化されていません。これは、サーバー B がリーフ スイッチと EVPN LAG を形成するために ESI 値を必要としないことを意味します。代わりに、サーバー B は予約された ESI 値 0x00.00.00.00.00.00.00.00.00.00 を使用できます。これは、サーバー B がシングルホーム デバイスであり、EVPN LAG に参加していないことを示します。ESI値は
0x00.20.20.20.20.20.20.20.20.20 はサーバー B では無効であり、同じ ESI 値を使用する他のイーサネット セグメントと競合する可能性があります。参考文献:
* EVPN LAG のイーサネット セグメント識別子、ESI タイプ、および LACP
* EVPN ネットワークで自動生成された ESI について
* EVPN のイーサネット セグメント: 知っておくべきことすべて

Juniper Apstra では、ブループリントはネットワークの設計と構成を論理的に表現したものです。新しいブループリントを作成するときは、変更をコミットしてネットワーク デバイスに適用する必要があります。ただし、変更をコミットしても、ネットワークがすぐに更新されて動作可能になるわけではありません。ネットワークが収束し、ブループリントの新しい状態が反映されるまでに時間がかかる場合があります。この間、メイン ダッシュボードに BGP に関連する異常が表示される場合があります。これは、BGP セッションがデバイス間で確立されていないか、安定していないことを示します。これらの異常は通常は一時的なもので、ネットワークが収束し、BGP セッションが稼働すると解消されます。したがって、このシナリオではステートメント B がこれらの異常の原因である可能性が最も高くなります。
このシナリオでは、次の 3 つのステートメントがこれらの異常の原因である可能性は低くなります。
* ASN の設定が間違っています。Juniper Apstra は、デバイスの役割に基づいてデバイスに自動的に割り当てることができる ASN プールを提供しているため、これは可能ですが、可能性は非常に低いです。デバイスの ASN を手動で指定することもできますが、ASN が一意であり、ネットワーク設計と一致していることを確認する必要があります。ASN の構成が間違っている場合は、BGP に関連する異常が発生する可能性がありますが、ネットワークが収束した後も異常は消えません。異常を解決するには、ASN を修正し、変更を再度コミットする必要があります。
* スパインとリーフのリンクが正しく設定されていません。Juniper Apstra は、インターフェイス マップに基づいてスパインとリーフのリンクを定義するために使用できる接続テンプレートを提供しているため、これは可能ですが、可能性は非常に低いです。スパインとリーフのリンクを手動で指定することもできますが、それらが正しく、物理的なケーブル配線と一致していることを確認する必要があります。スパイン/リーフ リンクを誤って設定した場合、BGP に関連する異常が発生する可能性がありますが、ネットワークが収束した後も異常は消えません。異常を解決するには、スパインとリーフのリンクを修正し、変更を再度コミットする必要があります。
※汎用システムは構築されていません。汎用システムは Juniper Apstra によって管理されないデバイスですが、ネットワークに接続されているため、これは関係ありません。汎用システムは、Juniper Apstra によって管理されるデバイス間の BGP セッションには影響しません。ネットワーク内に汎用システムがある場合は、それを手動で構成し、ネットワーク設計と互換性があることを確認する必要があります。汎用システムでは、メイン ダッシュボードの BGP に関連する異常は発生しません。
参考文献:
* ブループリントの概要とダッシュボード
* BGP セッション フラッピング プローブ
* プローブ: BGP セッション監視

BGP は、EVPN ルートをアドバタイズするために使用されるプロトコルです。EVPN ルートは、イーサネット VPN の MAC アドレスと IP プレフィックス情報を伝送する新しいタイプの BGP ネットワーク層到達可能性情報 (NLRI) です。EVPN ルートは、MPLS、VXLAN、SR、または SRv6 トンネル上の BGP マルチプロトコル拡張 (MP-BGP) を使用して PE 間で交換されます。EVPN ルートにより、PE は同じ EVPN インスタンス内の異なるサイトの MAC アドレスと IP プレフィックスの到達可能性を学習できます。EVPN ルートは、高速コンバージェンス、冗長性、エイリアシング、サブネット間ルーティングなどのさまざまな機能もサポートしています。他のオプションは次の理由で正しくありません。
* A. OSPF は誤りです。OSPF は自律システム内の IP ルートをアドバタイズするために使用される内部ゲートウェイ プロトコル (IGP) であるためです。OSPF は、イーサネット VPN の MAC アドレスと IP プレフィックス情報を伝送する BGP NLRI の一種である EVPN ルートをアドバタイズするためには使用されません。
* C. IS-IS は誤りです。IS-IS は、自律システム内で IP ルートと MPLS ラベルをアドバタイズするために使用される内部ゲートウェイ プロトコル (IGP) であるためです。IS-IS は、イーサネット VPN の MAC アドレスと IP プレフィックス情報を伝送する BGP NLRI の一種である EVPN ルートをアドバタイズするためには使用されません。
* D. RIP は誤りです。RIP は、自律システム内の IP ルートをアドバタイズするために使用される内部ゲートウェイ プロトコル (IGP) であるためです。RIP は、イーサネット VPN の MAC アドレスと IP プレフィックス情報を伝送する BGP NLRI の一種である EVPN ルートをアドバタイズするためには使用されません。参考文献:
* EVPN の基礎
* RFC 9136 - イーサネット VPN (EVPN) における IP プレフィックス アドバタイズメント
* EVPN タイプ 5 ルート: IP プレフィックス アドバタイズメント
* EVPN Pure Type 5 ルートについて