手動展開ワークフロー

この項では、手動統合に必要な構成について説明します。

目次

• 手動展開ワークフロー
  • IPsecトンネルを使用した手動統合
    • 前提条件
    • ZIAの構成
    • ZIAへのトンネルを確立するためのArubaゲートウェイの設定
    • ポリシーベースルーティング
    • 検証手順
  • GREトンネルを使用した手動統合
    • GREトンネルの確立
      • 前提条件
      • ZIA構成
      • ZIAへのGREトンネルを確立するためのゲートウェイの設定
    • GRE統合のためのポリシーベースルーティング
      • トンネルグループにリダイレクトするPBRポリシー
      • ルーティングポリシーの適用
    • 確認の手順

IPsecトンネルを使用した手動統合

概要で説明されているように、ZIAとの統合には、Zscaler管理ポータルとAruba Centralの両方の構成が必要です。これらの設定手順は、ZIAサービスが常にリターントラフィックを、元のセッションが通過したトンネルを通じて送信するという事実によって合理化されます（ルーティング交換の必要性が取り除かれます）。

前提条件

ZIAを構成する前の最初のステップは、使用するZIAインスタンスのFQDNを見つけることです。異なるZscalerクラウドの各ノードを表すFQDNは、このZscaler pageにあります。

ZIAの構成

次のステップは、Aruba GatewaysからのVPNトンネルを終了するようにZIAを設定することです。前述のように、これらはIKEv2資格情報を使用して各ゲートウェイを一意に識別するIPSecトンネルです。したがって、各ゲートウェイには、Zscaler管理ポータルの”ロケーション”と、対応するVPN認証情報を割り当てる必要があります。

ロケーションと資格証明を作成する手順は、次のとおりです。

Step 1 Administration > Resources > Location Management と進みます。

Step 2 Add Locationを選択し、事業所に関する一般情報を入力します

Step 3 以前に作成したVPN資格情報を選択するか、’+’記号をクリックして新しい資格情報のセットを作成します。

Step 4 オプションで、この場所の他の機能を有効にします

ZIAへのトンネルを確立するためのArubaゲートウェイの設定

前述したように、ゲートウェイは、すべてのWANインターフェイスを介してZIAへのトンネルを設定します。これは、Aruba CentralのVPN > Cloud Securityページから構成されます。設定が完了したら、次のパラメータを設定します。

• Name – トンネルの管理名。
• Priority – トンネルの管理者ID。
  • Transform — ESP-md5-hmacまたはESP-sha-hmac（推奨）ハッシュでESP-null暗号化を設定する。
  • Destination Gateway FQDN — ZIA Public Service EdgesのFQDNを設定します。
• Source FQDN - ZIAで作成されたユーザーIDを設定します(下のイメージの santaclara@arubanetworks.com )。
• Uplink VLAN/VLAN - ブランチゲートウェイからトンネリングする場合は、ZIAへのトンネルのアップに使用するアップリンクVLANを選択します。VPNCの場合は、トンネルを開始するVLANを選択するだけです。
  • IKE Shared Secret— Zscalerコンフィギュレーションで作成したのと同じ値を設定します。
• （optional）トンネルモニターのFQDNを https://gateway./vpntest に設定して、ゲートウェイがトンネル品質を測定できるようにします。

ポリシーベースルーティング

ポリシーベースルーティングの構成は、手動IPsecトンネルの場合とオーケストレーションされた統合の場合で同じです。

検証手順

検証手順は、手動IPsecの場合とオーケストレーションされた統合の場合で同じです。

GREトンネルを使用した手動統合

前述したように、特定のユースケースでは、トンネルごとのBWが高くなる可能性があるため、Zscalerとの統合はGREトンネルを使用して行う必要があります。

GREトンネルの確立

前提条件

ArubaゲートウェイとZIAの間にGREトンネルを設定する最初のステップは、トンネルの確立に使用されるWANインターフェイスの固定パブリックIPアドレスを調べることです。これらのIPは、Aruba Centralのゲートウェイの詳細ページのWANセクションから確認できます。

次のステップは、Zscalerの担当者またはカスタマーサポートに連絡して、アカウントにGREトンネルをプロビジョニングすることです。トンネルのソースのパブリックIPアドレス（またはアドレス）と、ゲートウェイの物理的な場所 (source: Zscaler) を指定します。

ZIA構成

Zscalerカスタマーサポートでサービスリクエストを閉じた後は、ZscalerポータルからLocationを作成し、それにトンネルを割り当てます。

• Administration > Locations Management に移動します
• “Add Location”をクリックして、場所に関する一般情報を入力します
• ロケーションのIPアドレスを選択します。; パブリックIPアドレスリストには、カスタマーサポートを通じてプロビジョニングされたIPアドレスが表示されます。場所のIPアドレスを選択します。
• 必要に応じて、この場所の他の機能を有効にします

ZIAへのGREトンネルを確立するためのゲートウェイの設定

概要のセクションで説明したように、ゲートウェイは固定パブリックIPを持つインターフェイスからZscalerカスタマーサポートが提供するIPアドレスまで、ZIAへのGREトンネルを設定します。これはInterfaces > GRE Tunnelsで設定し、”Advanced”設定モードで設定します。主な要素は次のとおりです。

• Mode : L3
• GREトンネルの送信元IPとネットマスク（Zscalerサポート提供）
• トンネルの宛先（Zscalerサポートにより提供）
• キープアライブを有効にする（Cisco互換）

カスタマーサポートが提供する最も近いZscalerノードを指し、最低2つのトンネルを作成する必要があります。これらを作成したら、”Tunnel Group”に追加する必要があります。主な要素は次のとおりです。

• GREトンネルを選択します。優先順位の高いトンネルが一番上に表示される
• “Enable preemptive failover mode” を選択すると、トラフィックは常に最も近い利用可能なZIAパブリックサービスエッジに送信されます
• Mode : L3

GRE統合のためのポリシーベースルーティング

トンネルグループの作成後、残りのステップは、ZIAを介してトラフィックを選択的にリダイレクトすることです。これは、ポリシーベースルーティングを使用して行われます。GREトンネルを使用する場合のPBR設定は、IPsecトンネルに使用される設定とは若干異なることに注意してください。

トンネルグループにリダイレクトするPBRポリシー

ZIAへのトンネルを持つトンネルグループを作成した後、 Routing > Policy-Based Routingでルーティングポリシーに追加します。

次の例では、ポリシーはすべてのトラフィックを通常のパスを通じて企業サブネット(10.0.0.0/8 と 172.16.0.0/12 を表すエイリアス)に送信し、残りはZIAを通じて送信します。

ルーティングポリシーの適用

ルーティングポリシーが作成された後、最後のステップは、そのポリシーを関連トラフィックに適用することです。

ブランチゲートウェイの場合、これらのポリシーは、ZIAサービスを介して送信する必要のあるデバイスがある役割またはVLANに適用されます。

• ポリシーをVLANに適用するには、 Security > Apply Policiesに移動し、各VLANの横にあるドロップダウンからポリシーを選択します。
• ロールにポリシーを適用するには、 Security > Rolesに移動し、ルーティングポリシーを追加して、ZIA経由で送信するロールを編集します（ルーティングポリシーは常に最後に来ます）。

VPNCの場合、ルーティングポリシーは着信SD-WANトラフィックに適用されます。これはVPN > SDWAN Overlay > Advancedで設定できます。

確認の手順

オーケストレーションされたトンネルに関するセクションで説明されているように、Aruba Centralは、特定のユーザーの役割と、ZIAを介して転送されているかどうかを明確に表示します。クライアントの役割はクライアントの詳細ページから確認でき、そのクライアントのトラフィックに適用されたポリシーは、そのクライアントのセッションテーブルを確認することで確認できます。

追加の検証として、クライアントデバイスはオーケストレーションモードの展開で説明されている https://ip.zscaler.com を参照できます。

管理者の視点から見ると、Zscalerダッシュボードには、新しく作成された場所を通過するトラフィックの状況が表示されます。これは、 analytics > web insights > logsに移動し、適切な場所をフィルタリングすることで確認できます。

---