通过使用与 Zscaler 集成的 VMware SD-WAN,企业可以进行安全的本地 Internet 分流。通过 VMware SD-WAN,网络管理员可以确定应使用 IPsec 隧道(具有 NULL 加密)将哪些流量转发到 Zscaler。
必备条件
- Zscaler Internet Access (ZIA)
- 正常运行的 ZIA 实例(任意云)
- 管理员登录凭据
- VMware SASE Orchestrator
- 企业帐户能够访问 VMware SASE Orchestrator
- 管理员登录凭据
- VMware SASE Orchestrator 中的一个或多个 VMware SD-WAN Edge 设备处于“联机”状态
Zscaler SD-WAN 网关 选择和路由行为
![](images/GUID-5CAA805A-62A9-4AFC-B05C-0B45B8C16D06-low.jpg)
要设置到特定 SD-WAN 网关 的 Zscaler 隧道,您必须先按照上面的过程找到具有该隧道的 SD-WAN 网关。在这里,您可以单击“安全 VPN 网关”(Secure VPN Gateway),然后将隧道移动到/分配给其他 SD-WAN 网关。
- 找到当前隧道位置。
- 单击“安全 VPN 网关”(Secure VPN Gateway)。
- 选择一个 SD-WAN 网关。
注: 将隧道分配给/移动到其他 SD-WAN 网关 会影响服务。现有隧道连接将终止,并将从新分配的 SD-WAN 网关 建立一个新隧道。
在 VMware SD-WAN Edge 配置/激活过程中,将根据设备配置为每个 Edge 分配一对云 SD-WAN 网关 或一组合作伙伴 SD-WAN 网关。如果 Edge 使用的 SD-WAN 网关 不是包含 Zscaler 隧道的相同 SD-WAN 网关,则除了建立到在激活过程中选择的 SD-WAN 网关 的 VCMP 隧道之外,Edge 还会自动建立到连接到 Zscaler 的 SD-WAN 网关 的 VCMP 隧道。这样可确保 Edge 具有访问 Zscaler 的路径。
Zscaler 设置示例
示例 1:建立了到 1.1.1.1 的主 Zscaler 隧道,且未选中“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN)
![](images/GUID-A724B14A-53DE-4949-A68C-C68F54325117-low.jpg)
![](images/GUID-C23FE5F9-2725-4BF0-A1B7-32467F131E64-high.png)
在此示例中,只建立了一个 Zscaler VPN 隧道,并且未选中“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN) 复选框。根据与远程 VPN 网关的远近程度(通过地理 IP 查找来确定)选择的单个网关(本例中为主 SD-WAN 网关)将建立到 Zscaler VPN 端点的 IPsec 隧道。根据业务策略配置,流量将从 SD-WAN Edge 流向主 SD-WAN 网关,然后再流向 Zscaler。尽管 SD-WAN Edge 始终具有到至少两个 SD-WAN 网关 的 VCMP 隧道,但本设计中未设置冗余。由于未选中“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN) 复选框,因此将没有到 Zscaler 的备用 SD-WAN 网关 隧道。如果 Zscaler 或主 SD-WAN 网关 出现故障,或者两者之间的 IPsec 隧道由于任何原因而关闭,则将丢弃流向 Zscaler 的流量。
示例 2:建立了到 1.1.1.1 的主 Zscaler 隧道,且选中了“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN)
![](images/GUID-F1CE8194-5AE0-4C49-A3D2-4F985008983E-low.jpg)
![](images/GUID-100C6187-FB7C-496E-86F4-BB52FAFC833E-high.png)
在此示例中,只建立了一个 Zscaler VPN 隧道,并且选中了“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN) 复选框。根据与远程 VPN 网关的远近程度(通过地理 IP 查找来确定)选择的距 Zscaler 位置最近的两个 SD-WAN 网关 将建立到 Zscaler 的 IPsec 隧道。这两个隧道均处于活动状态,但流向 Zscaler 的所有流量都将流经主 SD-WAN 网关。如果主 SD-WAN 网关 出现故障,则流量将转移到辅助 SD-WAN 网关。由于只定义了一个 Zscaler 端点,如果该端点关闭,则将丢弃流向 Zscaler 的流量。
示例 3:建立了到 1.1.1.1 的主 Zscaler 隧道和到 2.2.2.2 的辅助 Zscaler 隧道,且未选中“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN)
![](images/GUID-A3756750-98F1-4EF7-8612-1FE4EF966CDA-low.jpg)
![](images/GUID-C628D69C-3FC8-4CEA-A5FA-C28C869ECA43-high.png)
在此示例中,通过添加辅助 Zscaler IP 地址在 SASE Orchestrator 中配置了到 Zscaler 的冗余 IPsec 隧道,但未选中“冗余 VeloCloud 云 VPN”(Redundant Velocloud Cloud VPN) 复选框。根据与远程 VPN 网关的远近程度(通过地理 IP 查找来确定)选择的单个 SD-WAN 网关 将建立到两个 Zscaler VPN 端点的 IPsec 隧道。这两个隧道均处于活动状态,但根据配置设置,SD-WAN 网关 可以知晓哪一个到 Zscaler 的 IPsec 隧道是主路径,并将通过该隧道发送流量。Zscaler 不会标记主 IPsec 隧道或备用 IPsec 隧道。Zscaler 将直接通过发起请求的 SD-WAN 网关 返回流量。如果主 Zscaler 位置关闭,来自 SD-WAN 网关 的流量将转移到辅助 Zscaler IPsec 隧道。由于未选中“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN) 复选框,因此没有到 Zscaler 的冗余 SD-WAN 网关 连接。如果 SD-WAN 网关 出现故障,则将丢弃流向 Zscaler 的流量。
示例 4:建立了到 1.1.1.1 的主 Zscaler 隧道和到 2.2.2.2 的辅助 Zscaler 隧道,且选中了“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN)
![](images/GUID-11055EC6-CC13-4545-9E08-CF34D3C2F90D-low.jpg)
![](images/GUID-CFBE1EC2-4A51-4DEF-A97B-5C5DED9BC477-high.png)
在此示例中,通过添加辅助 Zscaler IP 地址在 SASE Orchestrator 中配置了到 Zscaler 的冗余 IPsec 隧道,且选中了“冗余 VeloCloud 云 VPN”(Redundant Velocloud Cloud VPN) 复选框。根据与远程 VPN 网关的远近程度(通过地理 IP 查找来确定)选择的两个 SD-WAN 网关 将建立到两个 Zscaler VPN 端点的 IPsec 隧道。所有这些隧道均处于活动状态,但根据配置设置,SD-WAN 网关 可以知晓两个网关中哪个是主 SD-WAN 网关,哪个是辅助网关。SD-WAN 网关 也可以知晓这两个网关到 Zscaler 的 IPsec 隧道中哪个是主路径,哪个是辅助路径。Zscaler 不会标记主 IPsec 隧道或备用 IPsec 隧道。Zscaler 将直接通过发起请求的 SD-WAN 网关 返回流量。如果主 Zscaler 位置关闭,来自主 SD-WAN 网关 的流量将转移到辅助 Zscaler IPsec 隧道。由于已选中“冗余 Velocloud 云 VPN”(Redundant Velocloud Cloud VPN) 复选框,因此,如果主 SD-WAN 网关 出现故障,流量将转移到辅助 SD-WAN 网关。辅助 SD-WAN 网关 将利用主 IPsec 隧道,但前提是该路径可用。否则,它将使用辅助 IPsec 隧道访问 Zscaler。
第 7 层运行状况检查
在为 Zscaler Internet Access (ZIA) 建立到给定 Zscaler 数据中心的 IPsec/GRE 隧道时,将在 SD-WAN Edge 或 SD-WAN 网关 之间建立到 Zscaler 负载均衡器上的虚拟 IP (Virtual IP, VIP) 的隧道以用于 ZIA。当来自分支的最终用户流量到达负载均衡器时,负载均衡器会将流量分配给 ZIA 公用服务 Edge。“不活动对等体检测”(DPD) 和“GRE 保持活动状态”只能检测负载均衡器上公用 VIP 的可用性(因为它是隧道目标)。公用 VIP 是高度可用的端点,不能反映给定 ZIA 公用服务 Edge 的可用性。第 7 层运行状况检查允许您基于 HTTP 探测监控 ZIA Edge 的性能和可用性,并且还允许您根据结果故障切换到备用隧道。如果激活了探测,SD-WAN Edge 或 SD-WAN 网关会定期将探测请求发送到 HTTP 探测 URL(该 URL 采用以下格式)。
http://gateway.<zscaler_cloud>.net/vpntest可在 SASE Orchestrator 中配置探测 URL,但当前无法在 SASE Orchestrator 中编辑探查间隔和重试次数。如果探测连续失败的次数达到定义的重试次数,隧道将标记为关闭,并且流量将故障切换到辅助隧道(如果已定义)。探测失败可能是因为未收到 https 响应 (200 OK),或者延迟超过了定义的阈值。如果在 Edge 中配置了条件回传,则当对主隧道和辅助隧道的探测都失败时,会触发到配置的回传 Hub 的流量故障切换。当探测再次启动时,流量将回退到 CSS 隧道。如果为通过网关的非 SD-WAN 目标 (Non SD-WAN Destination, NSD) 配置了冗余云 VPN,则当对主网关中的主隧道和辅助隧道的探测都失败时,会触发到辅助网关的流量故障切换。当主网关中的探测再次启动时,流量将回退到主网关上的 CSS 隧道。
Zscaler 和 VMware SD-WAN 部署配置
介绍将 Zscaler Internet Access (ZIA) 与 VMware SD-WAN 集成的配置步骤:
- 配置 Zscaler Internet Access (ZIA):创建一个帐户,添加 VPN 凭据,并添加一个位置。
- 创建和配置非 SD-WAN 目标。
- 将非 SD-WAN 目标添加到配置文件中。
- 配置业务优先级规则。
有关更多信息,请参阅 https://www.zscaler.com/resources/solution-briefs/partner-vmware-sdwan-deployment-guide.pdf。本指南将提供用于配置 Zscaler Internet Access 和 VMware SASE Orchestrator 的 GUI 示例。
第 7 层运行状况检查事件
事件 | 在 Orchestrator UI 上的显示方式 | 严重性 | 是否可配置通知 | 生成者 | 生成时间 |
EDGE_NVS_TUNNEL_UP | Edge 直接 IPsec 隧道启动 (Edge Direct IPsec tunnel up) | 信息 | 否 | SASE Orchestrator | 云安全服务隧道或通过 Edge 的 NSD 隧道启动时。 |
EDGE_NVS_TUNNEL_DOWN | Edge 直接 IPsec 隧道关闭 (Edge Direct IPsec tunnel down) | 信息 | 否 | SASE Orchestrator | 云安全服务隧道或通过 Edge 的 NSD 隧道关闭时。 |
VPN_DATACENTER_STATUS | 更改 VPN 隧道状态 (VPN Tunnel state change) | 通知 | 否 | SD-WAN 网关 | VPN 隧道状态发生更改时。 |