VMware Cloud Foundation (VCF) ドキュメントからの包括的かつ詳細な説明（250～350語）：
VMware Cloud Foundation (VCF) 環境、特に南北ルーティングの高いパフォーマンス要件においては、迅速な障害検出を確実にするために、BGP と BFD (双方向転送検出) が併用されます。新規環境または変更された環境でよく発生するものの、見落としがちな問題として、物理または仮想アップリンクにおける MTU (最大伝送単位) の不一致が挙げられます。
BGPがネイバーシップを確立すると、最初は小さなキープアライブパケットを交換します。これらの小さなパケットは、MTUの不一致（例えば、エッジが9000バイトに設定されているが、パス上の物理スイッチが1500バイトに制限されている場合）があっても、インターフェースを容易に通過します。しかし、BGPの状態が「Established」に達すると、ルータは完全なルーティングテーブルの交換を開始します。これらのBGP Updateパケットは多くの場合大きく、パス上のいずれかのホップのMTUを超えると、断片化または破棄されます。
セッションが数分間（最初のハンドシェイク中）安定し、その後不安定になるという症状は、MTUの問題の典型的な兆候です。BFDの「Detect Time Expired」診断は、大きな更新パケットを受信できなかったときにBGPホールドタイマーが期限切れになるか、大きな送信の再試行による輻輳でBFDパケット自体が遅延または消失したために発生します。VMware NSXのトラブルシューティングドキュメントによると、ping（小さなパケット）は成功するものの、トラフィック負荷やルート数の増加時にBGPセッションが失敗する場合は、まずMTUの設定を確認する必要があります。
VCF 9.0 および 5.x 設計では、一貫した MTU 設定 (通常、オーバーレイには 9000 MTU、少なくとも
仮想スイッチ (VDS)、エッジ VM vNIC、物理 ToR スイッチを含むパス全体で、アップリンクの場合は 1500 以上) になります。ここで不一致があると、BGP ステート マシンの完全な同期が完了せず、管理者が観察する周期的な「フラッピング」が発生します。

VMware Cloud Foundation (VCF) ドキュメントからの包括的かつ詳細な説明（250～350語）：
VCF 9.0および5.x後半リリースで仮想プライベートクラウド（VPC）消費モデルが導入されたことで、ロールベースアクセス制御（RBAC）はよりきめ細かくなり、真のマルチテナント環境をサポートするようになりました。VPCは、部門またはユーザーのネットワークリソースを格納する自己完結型の「コンテナ」として設計されています。
ユーザーが個々のVPCの様々な側面を構成できるものの、新しいサブネットの作成（基盤となるネットワークCIDRブロックやIPAMの変更を伴う）は制限されるという特定の要件を満たすには、特定の役割の組み合わせが必要です。
* VPC管理者：これは、割り当てられたVPC内でのユーザーの主要な役割です。この役割により、ユーザーは高レベルの設定や監視など、VPC環境全体を管理できます。ただし、VPC管理者の権限は、エンタープライズ管理者によって設定された特定の割り当てとポリシーによって制限されることがよくあります。
* セキュリティオペレーター：このロールを使用すると、ネットワークファブリックを変更したり、サブネットなどの新しいインフラストラクチャコンポーネントを作成したりする権限を持たずに、セキュリティ構成とポリシーを表示できます。VPC のセキュリティ状態を「読み取り専用」で可視化します。
* ネットワーク オペレーター:セキュリティ オペレーターと同様に、ネットワーク オペレーターの役割は、ルーティング テーブル、セグメント ステータス、接続性などのネットワークの状態を可視化しますが、
新しいサブネットをプロビジョニングしたり、ネットワークトポロジーを変更したりするには、「書き込み」権限が必要です。
ネットワーク管理者（オプションB）またはセキュリティ管理者（オプションA）を割り当てると、権限が過剰になります。これらの役割には通常、構造レベルでサブネットやファイアウォールポリシーを作成、削除、変更する機能が含まれているためです。VPC管理者の役割とオペレーターレベルの役割を組み合わせることで、管理者はユーザーが割り当てられたリソースを管理するために必要なコンテキストを確保しつつ、新しいネットワークサブネットの作成を禁止する制限を厳守させることができます。

VMware Cloud Foundation (VCF) ドキュメントからの包括的かつ詳細な説明（250～350語）：
VMware Cloud Foundation (VCF) では、NSX Manager クラスタのライフサイクルは SDDC Manager によって厳密に管理されます。管理ドメインの初期展開時、または新しいワークロード ドメインの作成時 (別の NSX インスタンスを使用する場合) に、管理者は環境の想定される規模に基づいて「フォーム ファクター」(小、中、大、特大) を選択します。
現在のVCFバージョン（5.xを含む）では、フォームファクターは、アプライアンスOVAのリソース予約（CPU/RAM）とディスクパーティショニングを決定する、デプロイメントワークフロー中に定義されるパラメーターです。vCenterでvCPUとRAMの設定を調整するだけで済む標準的な仮想マシンとは異なり、NSX Managerアプライアンスは独自の設計思想に基づいたシステムです。vCenter（オプションC）を介してリソースを手動で変更することはサポートされておらず、データベースと内部サービスはインストール時に選択された特定のサイズに合わせて調整されているため、SDDC Manager内で安定性の問題や「同期が取れていない」エラーが発生する可能性があります。
現在、UI または API を介した既存の NSX Manager ノードのフォーム ファクターの「インプレース」アップグレードまたはダウングレードはサポートされていません (オプション B)。サイズを変更するには、管理者はマネージャー ノードを再デプロイする必要があります。VCF 環境では、通常、SDDC Manager を使用してクラスタを削除するか、ノードを 1 つずつ手動で置き換える必要があります。つまり、適切なサイズの新しいノードをデプロイし、それを管理クラスタに参加させ、データを同期してから、古い大きすぎるノードを削除します。
VCF Operations（旧称vRealize Operations）は「適切なサイジング」に関する推奨事項（オプションD）を提供できますが、VCFフレームワーク内でNSX Managerアプライアンスの物理的なサイズ変更を実行することはできません。そのため、アプライアンスのフットプリントを変更する唯一の検証済み方法は、ノードの手動またはオーケストレーションによる再デプロイです。

VMware Cloud Foundation (VCF) ドキュメントからの包括的かつ詳細な説明（250～350語）：
VMware Cloud Foundation (VCF) では、NSX Manager 構成の保護が最重要事項です。NSX Manager 構成には、ファイアウォール ルール、論理スイッチ、ルーティング トポロジなど、ソフトウェア定義ネットワーク全体の状態が含まれているためです。リアルタイムまたは変更ベースの保護に関する厳格なコンプライアンス要件を満たすために、NSX は特定の自動バックアップ トリガーを提供します。
NSX Manager UI（システム > ライフサイクル > バックアップと復元）内で、管理者はバックアップの動作を構成できます。時間ベースのスケジュール（例：毎日午前 2 時）は一般的ですが、「変更が行われるたびに」バックアップするという要件を満たしていません。これを実現するには、管理者は以下を有効にする必要があります。
バックアップスケジュール設定内の「構成変更時のバックアップ」トグル。
この機能を有効にすると、NSX Manager は自身の管理データベース (DS) への書き込み操作を監視します。セグメントの追加や DFW ルールの変更など、構成変更が検出されると、システムは自動バックアップ処理を開始します。これにより、バックアップリポジトリには常に現在のネットワーク状態がほぼ瞬時に反映され、クラスタ障害発生時のデータ損失を最小限に抑えることができます。
オプションBは、この機能がデフォルトでは有効になっていないため、誤りです。この機能を使用するには、まず外部のSFTP/FTPサーバーを設定する必要があります。オプションC（Cronジョブ）は、SDDCネイティブの管理ツールをバイパスする、サポートされていない手動の回避策です。オプションAは、NSXバックアップエンジンに機能が直接組み込まれているため、冗長です。したがって、コンプライアンスを確認するための検証済みの方法は、「構成変更の検出」オプションを有効にしたネイティブの定期バックアップスケジュールを使用することです。

VMware Cloud Foundation (VCF) ドキュメントからの包括的かつ詳細な説明（250～350語）：
VCFで使用されるNSXマルチティアルーティングアーキテクチャでは、ティア1ゲートウェイは分散ルータ（DR）とサービスルータ（SR）という2つの主要コンポーネントで構成されています。DRはトランスポートゾーン内のすべてのESXiホスト上でカーネルモジュールとして動作し、東西トラフィックを処理します。SRはNSXエッジノード上に存在し、南北接続やステートフルサービスなどの集中型サービスを提供します。
DR（ESXiホスト上）とSR（エッジノード上）間の通信は、ルータリンクと呼ばれる隠された内部セグメントを介して行われます。このリンクは、VM間トラフィックと同様にGeneveにカプセル化されます。
VMが外部宛先にアクセスしようとすると、パケットはまずローカルホスト上のDRによってルーティングされます。
DRはパケットをカプセル化し、オーバーレイを介してSRをホストするエッジノードのTEP（トンネルエンドポイント）に送信します。
物理ネットワークまたは仮想スイッチでMTU（最大伝送単位）が誤って設定されている場合、大きなカプセル化パケットは破棄されます。ただし、小さなパケット（同じホスト上のVM間のpingなど）は引き続き成功する可能性があります。このシナリオでは、VMはローカルDRにpingできますが、SRには到達できません。
そのため外部ネットワークにアクセスできないということは、ホストとエッジ間のトランスポートに障害が発生していることを示しています。
SRの内部インターフェースへのping要求を含むGeneveカプセル化パケットが物理ネットワークのMTUを超えると、処理は失敗します。VCF 5.x/9.0では、Geneveオーバーヘッドを考慮してオーバーレイに最低1600（理想的には9000）のMTUが必要となるため、ファブリック内のどこかで不一致が発生すると、DR-to-SR接続が切断されます。
「バックプレーン」通信。これにより、Tier-1 が Tier-0 アップリンクにトラフィックを転送するのを防ぎ、ワークロードを南北トラフィックから効果的に分離します。