Link Search Menu Expand Document
26-Feb-25

統合の基礎

このセクションでは、Zscalerインテグレーションの動作に関する基本的な内容を説明します。

目次

ZIAサービスオーケストレーション

Aruba Cloud Connect

Aruba Centralは、クラウドインフラストラクチャまたはセキュリティサービスとのすべての統合を管理するための統合フレームワークを提供します。本サービスでは、パートナーAPIを活用してサイト/ロケーションを定義し、最寄りの拠点を探し、IPsecトンネルを自動的に確立することで、接続の自動化を実現します。さらに、サードパーティのオプションの定義やルーティング地域の設定などの高度な機能も提供できます。

ZIAロケーションとトンネルオーケストレーション

Arubaゲートウェイ（マイクロブランチAPではない）は、ZIAサービスにトンネルを手動で確立するように設定できます。これには、各ブランチサイトのZIAサービスに”ロケーション”（および一意のVPN資格情報）を作成する必要があります。また、最も近いZIA Public Service Edgeとトンネルを構築するようにゲートウェイを設定する必要があります。大規模な展開の場合、これは非常に労力を要するタスクになる可能性があります。

この機能は、Aruba SD-Branchソリューションでは、Cloud Connect ServiceとSD-WAN Orchestratorによって自動化されています。これらは、SD-WAN展開を自動化するためにAruba Centralの一部として含まれているクラウドネイティブのマルチテナントコントロールプレーンサービスです。SD-WAN Orchestratorを使用してSD-WANファブリックを構築すると、WANリンクが自動的に検出され、データセンターをブランチオフィスにマッピングするなど、ビジネスとトポロジのニーズに基づいてトンネルとルートがオーケストレーションされます。詳細はAruba SD-WANドキュメントをご覧ください。

Zscaler統合のコンテキストでは、Cloud Connect Serviceは、ゲートウェイとマイクロブランチAP、および最も近いZIA Public Service Edge間のトンネル確立を処理します。これを行うには、次の手順を実行します。

Step 1 アルバゲートウェイを最も近いZIAパブリックサービスエッジにバインドする; Orchestratorは、ゲートウェイのパブリックIPアドレスごとに最も近いノードをZIA APIに問い合わせます。必要に応じて、ゲートウェイまたはマイクロブランチAPの特定のグループが接続するパブリックまたはプライベートのサービスエッジノードを選択することで、これらのノードを簡単に上書きできます。

Step 2 Zscalerポータルで”ロケーション”を作成; Aruba Centralは、ZIA APIを使用して、選択したグループ内のすべてのゲートウェイまたはマイクロブランチの”ロケーション”を作成します。また、ゲートウェイまたはマイクロブランチAPごとに一意のVPNクレデンシャルも作成されます。サイト固有の構成、サブロケーション、帯域幅契約などの追加オプションもAruba Centralで定義され、APIを介して自動的にプッシュされます。

Step 3 トンネルのオーケストレーション; Aruba Centralは、各ゲートウェイまたはマイクロブランチに対し、ステップ2でネゴシエートした認証情報を使用して、最も近い2つのZIAパブリックサービスエッジ（またはネットワーク管理者が選択したサービスエッジ）とのトンネルを確立するように指示します。

Cloud Connectトンネルオーケストレーション

Aruba Cloud Connectサービスは、新しいZIAパブリックサービスエッジなどの変更についてZIAを監視し、展開も監視します。ZIAと統合するように設定されたグループに新しいゲートウェイまたはマイクロブランチが追加された場合、検出/サイト作成/トンネル確立の全体がそのデバイスに対して自動的にトリガーされます。

IPSecトンネルの詳細

ゲートウェイまたはマイクロブランチとZIAパブリックサービスエッジ（以前はZscaler Enforcement Nodes - ZENと呼ばれていた）間のトンネルは、null暗号化でIPsecを使用します。これは、ダイナミックIPアドレスを使用し、NAT/PAT境界を通過し、認証にIKEv2を活用する機能を維持しながら、（トラフィックがインターネットにバインドされるため）パフォーマンスを最大化するために行われます。トンネルを起動するために必要なのは、ZIAにVPN資格情報を持つ場所があり、ゲートウェイまたはマイクロブランチがそれらを使用して自分自身を認証することです。このようなトンネルは、手動で、またはAruba SD-WAN Orchestratorを使用して確立できます。

次の表に、トンネル特性の概要を示します。

 フェーズ1フェーズ2
暗号化AES-128Null
整合性HMAC-SHA1-96MD5またはSHA1 （推奨）
認証FQDNおよびPSKN/A
キー交換メソッドDiffie-HellmanDiffie-Hellman
Diffie-Hellmanグループ22
NAT変換有効N/A
デッドピア検出(DPD)有効 
PFS (Perfect Forward Secrecy)N/A無効
最大伝送ユニット(MTU)N/A1460バイト
最大セグメントサイズ(MSS)N/A1388バイト
VPNタイプN/AポリシーベースのVPN

表2 – トンネル特性

ZIA経由のサービスチェーントラフィック

ポリシーベースルーティング

トンネルが確立されたら、次のステップは、関連するトラフィックがこれらのトンネルを通して送信されることを確認することです。ArubaゲートウェイとマイクロブランチAPでは、ポリシーベースのルーティング（またはロールベースのルーティング）を使用して、ZIAサービスを介して送信されるトラフィックフローを判別します。

ZIAサービスを介して送信されるトラフィックタイプを決定する際には、次のパラメータを考慮できます。

  • VLAN/ユーザーロール; PBRポリシーはロールまたはVLANに適用できます。
  • ステートフルファイアウォール属性; プロトコル、発信元/宛先アドレス、発信元/宛先ポート
  • FQDN; ArubaOSはFQDNに基づく”ネットサービス”の作成をサポートしており、これを使用してPBRポリシーを構築できます。
  • アプリケーション/アプリケーショングループ; DPIエンジンのキャッシュ機能により、ゲートウェイとマイクロブランチAPの両方が、アプリケーションまたはアプリケーショングループに基づいてトラフィックをルーティングするために必要な第1のパケット分類テクノロジーをサポートします。

次の図は、ゲートウェイがトラフィックを選択的にZIAにリダイレクトする方法を示しています。この例では、カメラはDCにフルトンネルされ、ゲストはインターネットに直接送信され、従業員/IoTは特定の既知のSaaSアプリケーションを除いて、ZIAサービスを介してインターネットに送信されます。同様のトポロジは、Microbranchを使用しても可能です。

ZIAにトラフィックをリダイレクトするロールベースルーティング

ブランチゲートウェイでのアップリンクのロードバランシングとダイナミックパスステアリング

Aruba Branch Gateways（BGW; Arubaブランチゲートウェイ）は、アップリンクのロードバランシングをサポートしています。ブランチゲートウェイは、すべてのWANインターフェイスから各ZIA Public Service Edgeへのトンネルを設定するだけです。トラフィックの対称性を確保するために、トンネルを介してZIAに入るすべてのトラフィックは、同じトンネルを介して戻る（出力する）ことが保証されています。

さらに、Aruba Branch Gatewayは、PBR用に構築されたポリシーなどの豊富なポリシーに基づいて、各トラフィックフローで使用するWAN回線を選択できます。ルーティングエンジン（グローバルルーティングテーブルまたはPBR）は”ネクストホップ”のセットを提供し、DPSエンジンは最適なパスを選択します。さらに、ブランチゲートウェイは、各アプリケーションに設定されたSLAに基づいて最適なパスにトラフィックを誘導するために、さまざまなWAN回線を監視できます。これを行うには、合成L7プローブをhttp://gateway./vpntestに送信して、トンネル経由でZIAサービスへの損失、遅延、ジッタを測定します。

ワークフローの例を次に示します。

  • ClearPass（または別のRADIUSサーバ）がデバイスに”PoS”のロールを割り当てる – ファイアウォールはセッションを”Payment”として分類します。

  • “Payment”アプリを使用したPoSデバイスのルーティングでは、ネクストホップが特定のZIAノードであり、パスは次のように示されます。 – トラフィックは”Payment”に分類されるため、DPSポリシー”Payment”で処理されます。このポリシーには、優先パスとしてINETが設定されており、満たすべきSLAも設定されています。

  • INETの測定値が”Payment”ポリシーのSLAを満たしている場合、セッションはINETアップリンクを使用して確立されたトンネルを通過します。INETで測定されたSLAが任意の時点で低下した場合、ゲートウェイはSLAを満たす他のアクティブなトンネルにそのSLAを誘導します。SLAを満たす回線がない場合、システムは設定されたSLAから最も逸脱していないものを選択します。

ダイナミックパスステアリング

マニュアル統合

オーケストレーションされた統合の方が一般的に普及していますが、手動の統合のためのオプションもあり、ゲートウェイでIPsecまたはGREトンネルを設定します（マイクロブランチはオーケストレーションされた統合のみをサポートします）。IPsecトンネルを使用する場合、トンネルの詳細と全体的なトポロジは、オーケストレーションされた統合の場合と大きく異なることはありません。GRE統合の場合、ゲートウェイはZIAへの標準GREトンネルを構築します。

GREトンネルの性質を考慮すると、トンネルの両端のパブリックIPアドレスは事前に知っておく必要があります。また、GREトンネルはPAT境界を通過できないため、ゲートウェイのWANインターフェイスでパブリックIPアドレスを使用する必要があることに注意してください。