Meraki MXを現場で使い倒す— 実装手順とハマりポイント全部書く

「Merakiって設定簡単でしょ」と言われるたびに複雑な気持ちになるインフラエンジニア向け。GUIで完結するからこそ見えにくい落とし穴と、現場で本当に使える設定ポイントを全部書きます。

Merakiは「クラウド管理ありき」の設計思想を理解する

Meraki MXを触る前に、絶対に頭に入れておくべきことがある。MerakiはCisco Meraki Cloudと常時接続することを前提に設計されている。この接続が切れても既存の通信は維持されるが、設定変更ができなくなる。

Meraki Cloudへの疎通先（最低限許可すること）:
dashboard.meraki.com（TCP 443 / UDP 7351）
*.meraki.com 全体をアウトバウンド許可するのが現実的

「クラウド依存なんて怖い」という声をよく聞くが、Merakiはデータプレーン（実際の通信）とコントロールプレーン（管理）を分離しているので、クラウドが落ちても社内通信やVPNは継続する。障害時に設定を変えられないだけ、と理解しておくと運用設計がしやすい。

初期セットアップ：最初の15分でやること

シリアル番号のクレームはOrganizationをまたいで移動できない（一度クレームしたら解除が必要）。誤ってテスト用Orgに登録しないこと。本番Orgを最初に正しく作成してからクレームする。

WAN 設定：IPoE と PPPoE の違いとハマりどころ

接続方式の設定場所

Appliance（Security & SD-WAN）> Uplink configuration から設定する。WAN1 / WAN2 それぞれに接続方式（DHCP / PPPoE / Static）を設定できる。

PPPoE のハマりポイント：MTU/MSS

PPPoE 環境で Web ページが一部表示されない、ダウンロードが途中で止まる、という症状が出たら MTU/MSS の問題がほぼ確定。PPPoE のオーバーヘッドで MTU が削られるため、MX 側で MSS クランピングを設定する必要がある。

デュアル WAN フェイルオーバーの設定

Security & SD-WAN > SD-WAN & traffic shaping > Uplink selection で設定する。フェイルオーバー判定は「Loss / Latency / Jitter」の閾値で制御できる。デフォルト値のまま使うと切り替わりが遅かったり、逆に頻繁に揺れたりするので現場に合わせて調整する。

VLAN 設計：MX での作り方と下流スイッチへの通し方

MX の VLAN 設定手順

Security & SD-WAN > Addressing & VLANs から設定する。「Add a local network」でVLANを追加し、VLAN ID・サブネット・ゲートウェイIPを入力する。

下流スイッチへのトランク接続

MX の LAN ポートから下流の Catalyst や Meraki MS に接続する場合、スイッチ側のポートをトランク（Tagged）に設定する必要がある。MX 側は自動でトランクを認識するが、スイッチ側は明示的に設定が必要。

VLAN 間通信を制御する L3 ファイアウォール

Security & SD-WAN > Firewall > Layer 3 firewall rules でVLAN間のアクセス制御を設定する。ルールは上から順に評価され、最初にマッチしたルールが適用される（Cisco ACL と同じ）。最下部には暗黙の「Deny Any」ではなく「Allow Any」があるので注意。ゲストVLANからの社内アクセスを拒否したいなら明示的に Deny ルールを追加する必要がある。

セキュリティ機能：ライセンスと機能の関係を整理する

IPS を有効化するときの注意点

Security & SD-WAN > Threat protection > Intrusion detection & prevention から設定する。モードは Detection（検知のみ）と Prevention（インライン防御・ブロック）がある。

IPS を Prevention モードで入れると通信がブロックされる場合がある。 特に社内の業務システムや独自プロトコルを使うアプリケーションで誤検知が起きやすい。最初は Detection モードで1〜2週間ログを観察し、誤検知がないことを確認してから Prevention に切り替えるのが安全。

Content Filtering の設定方法

Security & SD-WAN > Content filtering からカテゴリ単位でブロックを設定できる。VLAN ごとに異なるポリシーを適用したい場合は Group Policy を使う。

Auto VPN：Meraki 最大の強みを理解する

Auto VPN は Meraki 同士を繋げるだけで自動的に IPsec VPN が張られる機能。設定は Security & SD-WAN > Site-to-site VPN の3行程度。これだけで全拠点がフルメッシュまたは Hub&Spoke で繋がる。他社機器では考えられないシンプルさ。

Hub&Spoke の設定手順

他社機器（Non-Meraki VPN）との接続

取引先や既存機器と IPsec で繋ぐ場合は Security & SD-WAN > Site-to-site VPN > Organization-wide settings > Non-Meraki VPN peers から設定する。

Client VPN（テレワーク VPN）の設定と落とし穴

Security & SD-WAN > Client VPN から設定する。L2TP/IPsec を使用するため、iOS・Android・Windows の標準クライアントで接続できる（専用アプリ不要）。

Windows クライアントのハマりポイント

RADIUS 認証との連携（Windows NPS）

SD-WAN ポリシー：アプリ別経路制御の設定方法

Security & SD-WAN > SD-WAN & traffic shaping でアプリケーションごとに WAN1/WAN2 の優先経路を設定できる。Microsoft 365 や Zoom を WAN1 優先にして、品質が悪化したら自動的に WAN2 に切り替える動作が設定できる。

SD-WAN Policy の「Performance class」で設定できる品質基準：
・Best quality（遅延・パケットロスが最も良いWAN）
・Lowest latency（往復遅延が最小のWAN）
・Highest throughput（帯域が最大のWAN）
・Best link（WAN1固定）
いずれも条件を満たさない場合のフォールバック先も設定できる。

監視・ログ：障害発生時に役立つ確認箇所

Event Log の使い方

Network > Event log はMerakiの最重要ログ画面。フィルタ機能が優秀で、機器名・イベント種別・時刻範囲で絞り込める。障害発生時はここを最初に確認する。

Summary report の活用

Network > Summary report で週次・月次のトラフィック統計、上位アプリケーション、上位クライアントが確認できる。顧客への定期報告資料にそのままコピペできる。

アラートの設定（見落としがちな設定）

Network-wide > Alerts から設定する。デフォルトでは「機器がオフラインになったとき」しかアラートが飛ばない設定になっていることが多い。最低限以下は設定しておく。

• WAN1 / WAN2 リンクダウン

• VPN トンネルダウン（Auto VPN が落ちたとき）

• IPS による高優先度の脅威検知

• 設定変更（Configuration change）→ 管理者のみ

HA（ウォームスペア）：設定方法と注意点

Meraki MX のHA（High Availability）はウォームスペア方式。プライマリが障害を検知するとスペアが自動的に引き継ぐ。フェイルオーバー時間は通常数秒〜30秒程度。

現場でよくあるトラブルと解決策

まとめ：Meraki を使いこなすための3つの心得

1. 「GUIが簡単」=「設計が不要」ではない
   Meraki は設定画面がシンプルなので「誰でもできる」と思われがちだが、VLANの分割設計・L3 Firewallのルール設計・SD-WANポリシーの検討は従来のNWと同じレベルの設計が必要。むしろ GUI の背後で何が起きているかを理解していないとトラブル時に対処できない。

2. ライセンスの失効管理を必ず運用に組み込む
   Meraki はライセンスが切れると管理ができなくなる。更新忘れは致命的。Dashboard の Licensing ページでアラートを設定し、失効90日前・30日前に担当者にメールが飛ぶように設定しておく。

3. Event log は宝の山
   障害対応でも運用報告でも、Event log とSummary report を使いこなせるエンジニアとそうでないエンジニアでは生産性が全然違う。フィルタを覚えるだけで障害の原因特定時間が半分以下になる。