Po přiřazení profilu k Edge zdědí Edge automaticky službu zabezpečení cloudu (CSS) a atributy nakonfigurované v profilu. Můžete přepsat nastavení a vybrat jiného poskytovatele zabezpečení cloudu nebo upravit atributy pro každý Edge.

Chcete-li přepsat konfiguraci CSS pro konkrétní Edge, proveďte následující kroky:

  1. V podnikovém portálu klikněte na možnost Konfigurovat (Configure) > Edge.
  2. Zvolte Edge, jehož nastavení CSS chcete přepsat, a klikněte na ikonu pod sloupcem Zařízení (Device). Otevře se stránka Nastavení zařízení (Device Settings) pro vybrané Edge.
  3. V oblasti Služba pro zabezpečení cloudu (Cloud Security Service) se zobrazí parametry CSS přidruženého profilu. Vyberte Povolit potlačení Edge (Enable Edge Override), abyste mohli vybrat jiné CSS nebo upravit atributy zděděné z profilu přidruženého k Edge. Další informace o atributech naleznete v tématu Konfigurace služeb pro zabezpečení cloudu pro profily.
  4. Kliknutím na tlačítko Uložit změny (Save Changes) v okně Edge (Edges) uložíte upravená nastavení.
    Poznámka: Pro CSS typu Zscaler a Generic musíte vytvořit přihlašovací údaje VPN. U typu Symantec CSS se přihlašovací údaje VPN nevyžadují.

Ruční konfigurace poskytovatele Zscaler CSS pro Edge

Pro vybraného ručního poskytovatele CSS Zscaler můžete na úrovni Edge přepsat nastavení zděděná z profilu a nakonfigurovat ručně další parametry na základě protokolu navázání tunelového spojení, vybraného pro vytvoření tunelu.

Pokud se rozhodnete konfigurovat tunel IPsec ručně, mimo zděděné atributy, musíte pro relaci IPsec nakonfigurovat plně kvalifikovaný název domény (FQDN) a předem sdílený klíč (PSK).
Poznámka: Jako předpoklad je třeba mít ve službách pro zabezpečení cloudu nakonfigurované IP adresy koncových bodů brány služby a přihlašovací údaje FQDN pro zabezpečení cloudu.
Configure IPsec settings
Poznámka: U služeb pro zabezpečení cloudu s nakonfigurovanou přihlašovací adresou URL Zscaler se v oblasti Služba pro zabezpečení cloudu (Cloud Security Service) zobrazí tlačítko Přihlášení do Zscaler (Login to Zscaler). Kliknutím na tlačítko Přihlášení do Zscaler (Login do Zscaler) budete přesměrováni na portál správce Zscaler ve vybraném cloudu Zscaler.

Pokud se rozhodnete konfigurovat tunel GRE ručně, je třeba níže uvedeným postupem ručně nakonfigurovat parametry tunelu GRE pro vybrané rozhraní WAN, které tunel GRE použije jako zdroj.

  1. Klikněte na možnost Přidat tunel (Add Tunnel).
  2. V okně Přidat tunel (Add Tunnel), které se objeví, nakonfigurujte následující parametry tunelu GRE a klikněte na OK .
    Možnost Popis
    Linky WAN (WAN Links) Vyberte rozhraní WAN, které má být použito jako zdroj v tunelu GRE.
    Veřejná IP adresa zdroje tunelu (Tunnel Source Public IP) Vyberte IP adresu, kterou má tunel použít jako veřejnou IP adresu. Můžete vybrat IP adresu linky WAN nebo IP adresu vlastní sítě WAN IP. Pokud zvolíte IP vlastní sítě WAN, zadejte IP adresu, která bude použita jako veřejná IP.
    Primární PoP (Primary Point-of-Presence) Zadejte primární veřejnou IP adresu datového centra Zscaler.
    Sekundární PoP (Secondary Point-of-Presence) Zadejte sekundární veřejnou IP adresu datového centra Zscaler.
    Primární IP adresa / maska směrovače (Primary Router IP/Mask) Zadejte primární IP adresu směrovače.
    Sekundární IP adresa / maska směrovače (Secondary Router IP/Mask) Zadejte sekundární IP adresu směrovače.
    Primární IP adresa / maska ZEN (Primary ZEN IP/Mask) Zadejte primární IP adresu interního Edge veřejné služby Zscaler.
    Sekundární IP adresa / maska ZEN (Secondary ZEN IP/Mask) Zadejte sekundární IP adresu interního Edge veřejné služby Zscaler.
    Poznámka: IP/masku směrovače a IP/masku ZEN poskytuje Zscaler.
    Poznámka: Pro Edge je povoleno pouze jedno CSS s GRE. Edge nemůže mít více než jeden segment s aktivovanou automatizací GRE Zscaler.

Konfigurace poskytovatele automatizovaného Zscaler CSS pro Edge

Na úrovni Edge integrace VMware SD-WAN a Zscaler podporuje: Pro vybraného automatizovaného poskytovatele Zscaler CSS na úrovni Edge je možné přepsat nastavení CSS zděděná z profilu, vytvořit automatické tunely IPsec/GRE pro každý segment Edge, vytvořit dílčí umístění a konfigurovat možnosti brány a řízení šířky pásma pro umístění a dílčí umístění.

Automatizace tunelu IPsec/GRE

Automatizaci tunelu IPsec/GRE lze nakonfigurovat pro každý segment Edge. Při vytváření automatických tunelů z Edge postupujte následovně.
  1. V podnikovém portálu klikněte na možnost Konfigurovat (Configure) > Edge.
  2. Vyberte zařízení Edge, pro které chcete vytvořit automatické tunely.
  3. Klikněte na ikonu pod sloupcem Zařízení (Device). Otevře se stránka Nastavení zařízení (Device Settings) pro vybrané Edge.
  4. V části Služba pro zabezpečení cloudu (Cloud Security Service) vyberte Povolit potlačení Edge (Enable Edge Override).
  5. Z rozevírací nabídky Služba pro zabezpečení cloudu (Cloud Security Service) vyberte automatizovaného poskytovatele CSS a klikněte na Uložit změny (Save Changes).

    Automatizace vytvoří tunel v segmentu pro každý veřejný link WAN Edge s platnou adresou Ipv4. Po navázání tunelového propojení se automaticky vytvoří umístění. Podrobnosti o vytváření tunelů a linkách WAN lze zobrazit v části Služba pro zabezpečení cloudu (Cloud Security Service), jak ukazuje následující snímek obrazovky.

    Poznámka: Po automatickém vytvoření tunelu není u segmentu povolena změna na jiného poskytovatele CSS z automatizovaného poskytovatele služby Zscaler. Pro vybraný Edge v segmentu musíte explicitně deaktivovat službu pro zabezpečení cloudu a poté znovu aktivovat CSS, pokud chcete přejít na nového poskytovatele CSS od poskytovatele služeb Automated Zscaler.

Konfigurace umístění Zscaler / dílčího umístění

Při vytváření dílčích umístění pro vybraná zařízení Edge postupujte následovně.
Poznámka: Před vytvořením dílčího umístění ověřte, že je z vybraného Edge vytvořeno tunelové propojení a že umístění je automaticky vytvořeno. Dílčí umístění nebudete moci vytvořit, pokud nejsou pro Edge nastaveny přihlašovací údaje VPN či možnosti GRE. Než začnete s konfigurací dílčích umístění, ujistěte se, že jste obeznámeni s dílčími umístěními a jejich omezeními. Viz téma https://help.zscaler.com/zia/about-sub-locations.
Poznámka: Před verzí 4.5.0 se konfigurace dílčího umístění nachází v části Služba pro zabezpečení cloudu (Cloud Security Service) pro každý segment. Aplikace Orchestrator umožňuje v současnosti nakonfigurovat konfigurace Zscaler pro umístění a dílčí umístění pro celé zařízení Edge v části Zscaler na stránce Nastavení zařízení (Device Settings). Pro existujícího uživatele automatizace dílčího umístění CSS proběhne migrace dat v rámci upgradu systému Orchestrator.
  1. V podnikovém portálu klikněte na možnost Konfigurovat (Configure) > Edge.
  2. Vyberte zařízení Edge, pro které chcete vytvořit dílčí umístění.
  3. Klikněte na ikonu pod sloupcem Zařízení (Device). Otevře se stránka Nastavení zařízení (Device Settings) pro vybrané Edge.
  4. Přejděte do části Zscaler a zapněte přepínací tlačítko.
  5. Klikněte na rozbalovací ikonu a zobrazí se následující stránka.

    Kliknutím na možnost Zobrazit (View) ve sloupci Detaily akce (Action Details) se zobrazí skutečné hodnoty konfigurace, načtené z nástroje Zscaler, je-li přítomen.

  6. Chcete-li vytvořit dílčí umístění, klikněte v tabulce Dílčí umístění (Sub-Locations) na ikonu pod sloupcem Akce (Action).
    1. V textovém poli Název dílčího umístění (Sub-Location Name) zadejte jedinečný název dílčího umístění. Název dílčího umístění by měl být unikátní napříč všemi segmenty pro Edge. Název může obsahovat alfanumerické znaky s maximální délkou slova 32 znaků.
    2. Z rozevírací nabídky Sítě LAN (LAN Networks) vyberte VLAN nakonfigurovanou pro Edge. Podsíť pro vybranou síť LAN bude vyplněna automaticky.
      Poznámka: U vybraného zařízení Edge by dílčí umístění neměla mít překrývající se IP podsítě.
    3. Klikněte na tlačítko Uložit změny (Save Changes).
      Poznámka: Když vytvoříte alespoň jedno dílčí umístění v nástroji Orchestrator, vytvoří se na straně Zscaler automaticky dílčí umístění typu „Jiné (Other)“ a zobrazí se v uživatelském rozhraní nástroje Orchestrator. Možnosti „Jiného (Other)“ dílčího umístění brány lze také nakonfigurovat kliknutím na tlačítko Upravit (Edit) v části Možnosti brány (Gateway Options) v tabulce Dílčí umístění (Sub-Locations).
    4. Chcete-li nakonfigurovat možnosti brány a řízení šířky pásma pro dané umístění a dílčí umístění, klikněte v příslušné tabulce na tlačítko Upravit (Edit) v části Možnosti brány (Gateway Options).
      Zobrazí se okno Možnosti brány Zscaler a kontrola šířky pásma (Zscaler Gateway Options and Bandwidth Control).

      Podle potřeby nakonfigurujte možnosti brány a kontroly šířky pásma pro umístění a dílčí umístění a klikněte na Uložit změny (Save Changes).

      Poznámka: Možnosti brány Zscaler a parametry řízení šířky pásma, které lze nakonfigurovat pro umístění a dílčí umístění, se lehce liší. Možnosti brány a parametry řízení šířky pásma pro umístění a dílčí umístění jsou však stejné jako ty, které lze nakonfigurovat v portálu Zscaler. Více informací o možnostech brány Zscaler a parametrech kontroly šířky pásma naleznete v tématu https://help.zscaler.com/zia/configuring-locations
      Možnost Popis
      Možnosti brány pro umístění / dílčí umístění
      Použít XFF z požadavku klienta Aktivujte tuto možnost, pokud umístění používá k přesměrování provozu do služby Zscaler řetězení proxy a vy chcete, aby služba zjišťovala IP adresu klienta ze záhlaví X-Forwarded-For (XFF), které místní server proxy vkládá do odchozích požadavků HTTP. Záhlaví XFF identifikuje IP adresu klienta, kterou může služba využít k identifikaci dílčího umístění klienta. Při použití záhlaví XFF může služba aplikovat na transakci vhodnou zásadu dílčího umístění, a pokud je pro umístění nebo dílčí umístění zapnutá možnost Aktivovat náhradní IP adresu (Enable IP Surrogate), aplikuje se na transakci příslušná zásada uživatele. Když služba přesměruje provoz do cíle, odebere původní záhlaví XFF a nahradí ho záhlavím XFF, které obsahuje IP adresu klientské brány (veřejnou IP adresu organizace), což zajišťuje, že interní IP adresy organizace nejsou nikdy externě vidět.
      Poznámka: Tuto možnost brány lze nakonfigurovat pouze pro nadřízené umístění.
      Aktivovat upozornění Jestliže jste neaktivovali Autentizaci (Authentication), můžete tuto funkci aktivovat, aby se upozornění zobrazovala i neautorizovaným uživatelům.
      Aktivovat AUP Jestliže jste neaktivovali Autentizaci (Authentication), můžete tuto funkci aktivovat, aby se zobrazovala zásada AUP (Acceptable Use Policy) pro neautorizovaný provoz a aby ji uživatelé museli odsouhlasit. Jestliže tuto funkci aktivujete:
      • V části Frekvence vlastních AUP (ve dnech) (Custom AUP Frequency (Days)) zadejte (ve dnech), jak často se má AUP uživatelům zobrazovat.
      • Zobrazí se sekce Chování při prvním AUP (First Time AUP Behavior) s následujícími nastavením:
        • Blokovat přístup k internetu (Block Internet Access) – Povolením této funkce deaktivujete veškerý přístup k internetu, včetně provozu bez HTTP, dokud uživatel nepřijme AUP, který se mu zobrazí.
        • Vynutit kontrolu SSL (Force SSL Inspection) – při aktivaci této funkce dojde k vynucení zásady AUP pomocí kontroly SSL pro provoz HTTPS.
      Vynutit kontrolu firewallu Volbou této možnosti se aktivuje řízení brány firewall pro danou službu.
      Poznámka: Před aktivací této možnosti musí uživatel zjistit, zda má jeho účet Zscaler předplatné „Základní brána firewall“.
      Aktivovat řízení IPS Pokud jste povolili funkci Vynutit kontrolu firewallu (Enforce Firewall Control), aktivujte touto volbou řízení IPS dané služby.
      Poznámka: Před aktivací této možnosti musí uživatel zjistit, zda má jeho účet Zscaler předplatné „Základní brána firewall“ (Firewall Basic) a „Cloudové IPS Firewallu“ (Firewall Cloud IPS).
      Autentizace (Authentication) Aktivujte možnost, aby byla od uživatelů z umístění nebo dílčího umístění vyžadována autentizace ke službě.
      Náhradní IP adresa (IP Surrogate) Pokud jste povolili Autentizaci (Authentication), zvolte tuto možnost, chcete-li mapovat uživatele na IP adresy zařízení.
      Doba nečinnosti pro zrušení přidružení (Idle Time for Dissociation) Pokud jste povolili náhradní IP adresu (IP Surrogate), specifikujte, jak dlouho po dokončené transakci má služba zachovávat mapování IP adresy na uživatele. Můžete specifikovat dobu nečinnosti pro zrušení přidružení v minutách (výchozí nastavení), nebo v hodinách, nebo ve dnech.
      • Pokud uživatel vybere jako jednotku minuty, povolený rozsah je od 1 do 43 200.
      • Pokud uživatel vybere jako jednotku hodiny, povolený rozsah je od 1 do 720.
      • Pokud uživatel vybere jako jednotku dny, povolený rozsah je od 1 do 30.
      Náhradní IP adresa pro známé prohlížeče (Surrogate IP for Known Browsers) Povolte použití existujícího mapování IP adresy na uživatele (získané z náhradní IP) k autentizaci uživatelů, kteří posílají provoz ze známých prohlížečů.
      Čas obnovení pro opětovné ověření použití náhradní adresy (Refresh Time for re-validation of Surrogacy) Pokud jste povolili Náhradní IP adresu pro známé prohlížeče (Surrogate IP for Known Browsers), zadejte dobu, po kterou může služba Zscaler použít mapování IP adresy na uživatele k autentizaci uživatelů, kteří posílají provoz ze známých prohlížečů. Po uplynutí definované doby se služba obnoví a znovu ověří existující mapování IP adres na uživatele, aby mohla pokračovat v používání mapování k autentizaci uživatelů v prohlížečích. Můžete specifikovat čas obnovení pro opětovné ověření použití náhradní adresy v minutách (výchozí nastavení), nebo v hodinách, nebo ve dnech.
      • Pokud uživatel vybere jako jednotku minuty, povolený rozsah je od 1 do 43 200.
      • Pokud uživatel vybere jako jednotku hodiny, povolený rozsah je od 1 do 720.
      • Pokud uživatel vybere jako jednotku dny, povolený rozsah je od 1 do 30.
      Možnosti kontroly šířky pásma pro umístění
      Kontrola šířky pásma (Bandwidth Control) Aktivujte vynucení kontroly šířky pásma pro dané umístění. Pokud je tato možnost povolena, určete maximální limit šířky pásma pro stahování (Mb/s) a nahrávání (Mb/s). Všechna dílčí umístění budou sdílet limity šířky pásma přiřazené tomuto umístění.
      Stáhnout (Download) Pokud jste aktivovali kontrolu šířky pásma, určete maximální limit šířky pásma pro stahování v Mb/s. Povolený rozsah je od 0,1 do 99999.
      Nahrát (Upload) Pokud jste aktivovali kontrolu šířky pásma, určete maximální limit šířky pásma pro nahrání v Mb/s. Povolený rozsah je od 0,1 do 99999.
      Možnosti kontroly šířky pásma pro dílčí umístění (je-li v nadřízeném umístění aktivována kontrola šířky pásma)
      Poznámka: Následující možnosti kontroly šířky pásma lze nakonfigurovat pro dílčí umístění pouze v případě, že jste aktivovali kontrolu šířky pásma v nadřízeném umístění. Jestliže není v nadřízeném umístění aktivována kontrola šířky pásma, možnosti kontroly šířky pásma pro dílčí umístění jsou stejné jako pro umístění (kontrola šířky pásma, stahování, nahrávání).
      Použít šířku pásma umístění Jestliže jste v nadřízeném umístění aktivovali kontrolu šířky pásma, vyberte tuto možnost, chcete-li aktivovat kontrolu šířky pásma v dílčím umístění a použít maximální limity šířky pásma pro stahování a nahrávání stanovené pro nadřízené umístění.
      Přepsat Zvolte tuto možnost, chcete-li aktivovat kontrolu šířky pásma v dílčím umístění, a poté stanovte maximální limit šířky pásma pro stahování (Mb/s) a nahrávání (Mb/s). Toto pásmo je vyhrazeno pro dílčí umístění a není sdíleno s ostatními.
      Deaktivováno (Disabled) Výběrem této možnosti lze vyjmout provoz z jakýchkoli zásad pro správu šířky pásma. Dílčí umístění s touto možností může v jakémkoli okamžiku využívat pouze maximální dostupnou sdílenou šířku pásma.
    5. Po vytvoření dílčího umístění můžete aktualizovat konfigurace dílčího umístění ze stejné stránky Orchestrator. Jakmile kliknete na možnost Uložit změny (Save Changes), konfigurace dílčího umístění na straně Zscaler se zaktualizují automaticky.
    6. Chcete-li odstranit dílčí umístění, klikněte na ikonu pod sloupcem Akce (Action).
      Poznámka: Když je z tabulky odstraněno poslední dílčí umístění, rovněž se automaticky odstraní „jiné (other)“ dílčí umístění.

Omezení

  • Když dojde ve verzi 4.5.0 k vytvoření dílčího umístění, Orchestrator automaticky uloží „jiné (other)“ dílčí umístění. V předchozích verzích nástroje Orchestrator se „jiné“ dílčí umístění Zscaler do nástroje Orchestrator neukládalo. Po upgradu nástroje Orchestrator na verzi 4.5.0 se „jiné (other)“ dílčí umístění automaticky naimportuje až po vytvoření nového normálního (ne jiného) dílčího umístění prostřednictvím automatizace.
  • Dílčí umístění Zscaler nemohou mít překrývající se IP adresy (IP rozsahy podsítě). Pokus o úpravu (přidání, aktualizaci nebo vymazání) více dílčích umístění s kolidujícími IP adresami může způsobit selhání automatizace.
  • Uživatelé nemohou aktualizovat šířku pásma umístění a dílčího umístění současně.
  • Dílčí umístění podporují možnost Použít šířku pásma umístění (Use Location Bandwidth), určenou ke kontrole šířky pásma, když je aktivováno řízení šířky pásma nadřízeného umístění. Jestliže uživatel vypne řízení šířky pásma umístění v nadřízeném umístění, nástroj Orchestrator proaktivně nekontroluje ani neaktualizuje možnost řízení šířky pásma dílčího umístění.

Související odkazy