プロファイルを Edge に割り当てると、Edge がプロファイルに設定されたクラウド セキュリティ サービス (CSS) と属性を自動的に継承します。設定をオーバーライドして、別のクラウド セキュリティ プロバイダを選択したり、各 Edge の属性を変更したりできます。

特定の Edge の CSS 設定をオーバーライドするには、次の手順を実行します。

  1. エンタープライズ ポータルで、[設定 (Configure)] > [Edge (Edges)] をクリックします。
  2. CSS 設定をオーバーライドする Edge を選択し、[デバイス (Device)] 列の下にあるアイコンをクリックします。選択した Edge の [デバイス設定 (Device Settings)] ページが表示されます。
  3. [クラウド セキュリティ サービス (Cloud Security Service)] 領域には、関連付けられたプロファイルの CSS パラメータが表示されます。[Edge 固有設定の上書きを有効化 (Enable Edge Override)] をオンにして、別の CSS を選択するか、Edge に関連付けられているプロファイルから継承された属性を変更します。属性の詳細については、プロファイル用のクラウド セキュリティ サービスの設定を参照してください。
  4. 変更した設定を保存するには、[ Edge (Edges)] ウィンドウで、[変更の保存 (Save Changes)] をクリックします。
    注: タイプが Zscaler および汎用の CSS の場合、VPN 認証情報を作成する必要があります。Symantec CSS タイプの場合、VPN 認証情報は必要ありません。

Edge の Zscaler CSS プロバイダの手動設定

Edge レベルでは、選択した手動 Zscaler CSS プロバイダに対して、プロファイルから継承された設定を上書きしたり、トンネルの確立のために選択したトンネリング プロトコルに基づいて追加のパラメータを手動で設定したりできます。

継承された属性とは別に IPsec トンネルを手動で設定する場合は、IPsec セッションの完全修飾ドメイン名 (FQDN) と事前共有キー (PSK) を設定する必要があります。
注: 前提条件として、サードパーティのクラウド セキュリティ サービスで、クラウド セキュリティ サービスのゲートウェイ エンドポイントの IP アドレスと FQDN 認証情報が設定されている必要があります。
IPsec の設定
注: Zscaler ログイン URL が設定されたクラウド セキュリティ サービスの場合、 [Zscaler にログイン (Login to Zscaler)] ボタンが [クラウド セキュリティ サービス (Cloud Security Service)] 領域に表示されます。 [Zscaler にログイン (Login to Zscaler)] ボタンをクリックすると、選択した Zscaler クラウドの Zscaler 管理ポータルにリダイレクトされます。

GRE トンネルを手動で設定する場合は、次の手順に従って、GRE トンネルの送信元として使用される選択した WAN インターフェイスの GRE トンネル パラメータを手動で設定する必要があります。

  1. [トンネルの追加 (Add Tunnel)] をクリックします。
  2. [トンネルの追加 (Add Tunnel)] ウィンドウが表示されたら、次の GRE トンネル パラメータを設定し、[OK] をクリックします。
    オプション 説明
    WAN リンク (WAN Links) GRE トンネルによって送信元として使用される WAN インターフェイスを選択します。
    トンネルの送信元パブリック IP (Tunnel Source Public IP) トンネルによってパブリック IP アドレスとして使用する IP アドレスを選択します。[WAN リンク IP アドレス (WAN Link IP)] または [カスタム WAN IP アドレス (Custom WAN IP)] のいずれかを選択できます。[カスタム WAN IP アドレス (Custom WAN IP)] を選択した場合は、パブリック IP アドレスとして使用する IP アドレスを入力します。
    プライマリ ポイント オブ プレゼンス (Primary Point-of-Presence) Zscaler データセンターのプライマリ パブリック IP アドレスを入力します。
    セカンダリ ポイント オブ プレゼンス (Secondary Point-of-Presence) Zscaler データセンターのセカンダリ パブリック IP アドレスを入力します。
    プライマリ ルーターの IP アドレス/マスク (Primary Router IP/Mask) ルーターのプライマリ IP アドレスを入力します。
    セカンダリ ルーターの IP アドレス/マスク (Secondary Router IP/Mask) ルーターのセカンダリ IP アドレスを入力します。
    プライマリ ZEN の IP アドレス/マスク (Primary ZEN IP/Mask) 内部 Zscaler パブリック サービス Edge のプライマリ IP アドレスを入力します。
    セカンダリ ZEN の IP アドレス/マスク Secondary ZEN IP/Mask 内部 Zscaler パブリック サービス Edge のセカンダリ IP アドレスを入力します。
    注: ルーターの IP アドレス/マスクと ZEN の IP アドレス/マスクは、Zscaler によって提供されます。
    注: GRE を備えた CSS は Edge ごとに 1 つのみ許可されます。1 つの Edge で、Zscaler GRE 自動化が有効になっているセグメントを複数設定することはできません。

Edge の Zscaler CSS プロバイダの自動設定

Edge レベルでは、VMware SD-WAN と Zscaler の統合は次の機能をサポートします。 Edge レベルで選択した自動 Zscaler CSS プロバイダの場合、プロファイルから継承された CSS 設定を上書きしたり、各 Edge セグメントの自動 IPsec/GRE トンネルを確立したり、サブロケーションを作成したり、ロケーションとサブロケーションの Gateway オプションと帯域制御を設定したりできます。

IPsec/GRE トンネルの自動化

各 Edge セグメントに IPsec/GRE トンネルの自動化を設定できます。Edge から自動トンネルを確立するには、次の手順を実行します。
  1. エンタープライズ ポータルで、[設定 (Configure)] > [Edge (Edges)] をクリックします。
  2. 自動トンネルを確立する Edge を選択します。
  3. [デバイス (Device)] 列のアイコンをクリックします。選択した Edge の [デバイス設定 (Device Settings)] ページが表示されます。
  4. [クラウド セキュリティ サービス (Cloud Security Service)] セクションで [Edge 固有設定の上書きを有効化 (Enable Edge Override)] を選択します。
  5. [クラウド セキュリティ サービス (Cloud Security Service)] ドロップダウン メニューから自動化 CSS プロバイダを選択し、[変更の保存 (Save Changes)] をクリックします。

    自動化により、有効な IPv4 アドレスを持つ各 Edge のパブリック WAN リンクのトンネルがセグメントに作成されます。ロケーションは、トンネルが確立された後に自動的に作成されます。次のスクリーンショットに示すように、[クラウド セキュリティ サービス (Cloud Security Service)] セクションでトンネルの確立と WAN リンクの詳細を表示できます。

    注: トンネルを自動的に確立した後、セグメントでは、自動 Zscaler サービス プロバイダから別の CSS プロバイダへの変更は許可されていません。セグメントで選択した Edge の場合、自動 Zscaler サービス プロバイダから新しい CSS プロバイダに変更するには、クラウド セキュリティ サービスを明示的にアクティベーション解除してから CSS を再度アクティベーションする必要があります。

Zscaler のロケーション/サブロケーションの設定

選択した Edge のサブロケーションを作成するには、次の手順を実行します。
注: サブロケーションを作成する前に、選択した Edge からトンネルが確立され、ロケーションが自動的に作成されていることを確認します。Edge の VPN 認証情報または GRE オプションが設定されていない場合、サブロケーションの作成は許可されません。サブロケーションを設定する前に、サブロケーションとその制限について理解しておく必要があります。 https://help.zscaler.com/zia/about-sub-locationsを参照してください。
注: 4.5.0 より前のリリースでは、サブロケーション設定は各セグメントの [クラウド セキュリティ サービス (Cloud Security Service)] セクションにあります。現在、Orchestrator では、 [デバイス設定 (Device Settings)] ページの [Zscaler] セクションから Edge 全体のロケーションとサブロケーションの Zscaler 設定を行えます。CSS サブロケーション自動化の既存ユーザーの場合、データは Orchestrator のアップグレードの一部として移行されます。
  1. エンタープライズ ポータルで、[設定 (Configure)] > [Edge (Edges)] をクリックします。
  2. サブロケーションを作成する Edge を選択します。
  3. [デバイス (Device)] 列のアイコンをクリックします。選択した Edge の [デバイス設定 (Device Settings)] ページが表示されます。
  4. [Zscaler] セクションに移動し、トグル ボタンをオンにします。
  5. 展開アイコンをクリックすると、次のページが表示されます。

    [アクションの詳細 (Action Details)] 列の下にある [表示 (View)] をクリックすると、Zscaler から取得した設定の実際の値が表示されます(存在する場合)。

  6. サブロケーションを作成するには、[サブロケーション (Sub-Locations)] テーブルで、[アクション (Action)] 列の下の アイコンをクリックします。
    1. [サブロケーション名 (Sub-Location Name)] テキスト ボックスに、サブロケーションの一意の名前を入力します。サブロケーション名は、Edge のすべてのセグメントで一意にする必要があります。名前には、長さが最大 32 文字の英数字を含めることができます。
    2. [LAN ネットワーク (LAN Networks)] ドロップダウン メニューから、Edge 用に設定された VLAN を選択します。選択した LAN ネットワークのサブネットが自動的に入力されます。
      注: 選択した Edge について、サブロケーションのサブネット IP アドレスが重複してはなりません。
    3. [変更の保存 (Save Changes)] をクリックします。
      注: Orchestrator で少なくとも 1 つのサブロケーションを作成すると、「その他 (Other)」サブロケーションが Zscaler 側に自動的に作成され、Orchestrator UI に表示されます。また、 [サブロケーション (Sub-Locations)] テーブルの [Gateway オプション (Gateway Options)] の下にある [編集 (Edit)] ボタンをクリックして、「その他 (Other)」サブロケーションの Gateway オプションを設定することもできます。
    4. ロケーションとサブロケーションの Gateway オプションと帯域制御を設定するには、それぞれのテーブルの [Gateway オプション (Gateway Options)][編集 (Edit)] ボタンをクリックします。
      [Zscaler の Gateway オプションと帯域幅制御 (Zscaler Gateway Options and Bandwidth Control)] ウィンドウが表示されます。

      必要に応じて、ロケーションとサブロケーションの Gateway オプションと帯域制御を設定し、[変更の保存 (Save Changes)] をクリックします。

      注: ただし、ロケーションとサブロケーションに対して設定できる Zscaler Gateway オプションと帯域幅制御パラメータは少し異なります。ロケーションとサブロケーションの Gateway オプションと帯域制御パラメータは、Zscaler ポータルで設定できるパラメータと同じです。Zscaler の Gateway オプションと帯域幅制御パラメータの詳細については、 https://help.zscaler.com/zia/configuring-locationsを参照してください。
      オプション 説明
      [ロケーション/サブロケーションの Gateway オプション]
      クライアント要求からの XFF の使用 (Use XFF from Client Request) ロケーションでプロキシ チェーンを使用して Zscaler サービスにトラフィックを転送し、オンプレミス プロキシ サーバが送信 HTTP 要求に挿入する X-Forwarded-For (XFF) ヘッダーからサービスを利用してクライアント IP アドレスを検出する場合は、このオプションを有効にします。XFF ヘッダーは、サービスがクライアントのサブロケーションを識別するために利用できるクライアント IP アドレスを識別します。XFF ヘッダーを使用すると、サービスは適切なサブロケーション ポリシーをトランザクションに適用できます。[IP アドレスの代理の有効化 (Enable IP Surrogate)] がロケーションまたはサブロケーションに対してオンになっている場合は、適切なユーザー ポリシーがトランザクションに適用されます。サービスがトラフィックを宛先に転送するときは、元の XFF ヘッダーが削除され、クライアント Gateway の IP アドレス(組織のパブリック IP アドレス)を含む XFF ヘッダーに置き換えられ、組織の内部 IP アドレスが外部に公開されないようにします。
      注: この Gateway オプションは、親のロケーションでのみ設定できます。
      注意の有効化 (Enable Caution) [認証 (Authentication)] を有効にしていない場合は、この機能を有効にして、認証されていないユーザーへの警告通知を表示できます。
      AUP の有効化 (Enable AUP) [認証 (Authentication)] を有効にしていない場合は、この機能を有効にして、認証されていないトラフィックの利用規定 (AUP) を表示し、ユーザーに受け入れるように要求できます。この機能を有効にする場合:
      • [カスタム AUP 頻度 (日) (Custom AUP Frequency (Days))]で、AUP がユーザーに表示される頻度を日数で指定します。
      • [初回の AUP 動作 (First Time AUP Behavior)] セクションが表示されます。ここでは、次の設定を行います。
        • [インターネット アクセスをブロック (Block Internet Access)] - ユーザーが表示されている AUP を受け入れるまで非 HTTP トラフィックを含むインターネットへのすべてのアクセスをアクティベーション解除するには、この機能を有効にします。
        • [SSL インスペクションの強制 (Force SSL Inspection)] - SSL インスペクションで HTTPS トラフィックの AUP を強制するには、この機能を有効にします。
      ファイアウォール制御の適用 (Enforce Firewall Control) サービスのファイアウォール制御を有効にする場合に選択します。
      注: このオプションを有効にする前に、ユーザーは Zscaler アカウントに「ファイアウォールの基本」のサブスクリプションがあることを確認する必要があります。
      IPS 制御の有効化 (Enable IPS Control) [ファイアウォール制御の適用 (Enforce Firewall Control)] を有効にしている場合は、これを選択してサービスの IPS 制御を有効にします。
      注: このオプションを有効にする前に、ユーザーは Zscaler アカウントに「ファイアウォールの基本」と「ファイアウォール クラウド IPS」のサブスクリプションがあることを確認する必要があります。
      認証 (Authentication) 有効にすると、ロケーションまたはサブロケーションのユーザーにサービスへの認証を要求します。
      IP アドレスの代理 (IP Surrogate) [認証 (Authentication)] を有効にした場合、ユーザーをデバイスの IP アドレスにマッピングするには、このオプションをオンにします。
      関連付け解除のアイドル時間 (Idle Time for Dissociation) [IP アドレスの代理 (IP Surrogate)] を有効にした場合は、トランザクションが完了した後、サービスが IP アドレスからユーザーへのマッピングを保持する時間を指定します。[関連付け解除のアイドル時間 (Idle Time for Dissociation)] は、[分 (Mins)](デフォルト)、[時間 (Hours)]、[日 (Days)] で指定できます。
      • ユーザーが単位に [分 (Mins)] を選択した場合、許容範囲は 1 ~ 43200 です。
      • ユーザーが単位に [時間 (Hours)] を選択した場合、許容範囲は 1 ~ 720 です。
      • ユーザーが単位に [日 (Days)] を選択した場合、許容範囲は 1 ~ 30 です。
      既知のブラウザの代理 IP アドレス (Surrogate IP for Known Browsers) 有効にすると、IP アドレスからユーザーへの既存のマッピング(代理 IP アドレスから取得)を使用して、既知のブラウザからトラフィックを送信するユーザーを認証します。
      代理の再検証の更新時間 (Refresh Time for re-validation of Surrogacy) [既知のブラウザの代理 IP アドレス (Surrogate IP for Known Browsers)] を有効にした場合は、Zscaler サービスが、既知のブラウザからトラフィックを送信するユーザーを認証するために IP アドレスからユーザーへのマッピングを使用できる時間を指定します。定義した時間が経過すると、サービスは IP アドレスからユーザーへの既存のマッピングを更新して再検証します。これにより、ブラウザでユーザーを認証するためのマッピングを引き続き使用できるようになります。[代理の再検証の更新時間 (Refresh Time for re-validation of Surrogacy)] は、[分 (Mins)](デフォルト)、[時間 (Hours)]、[日 (Days)] で指定できます。
      • ユーザーが単位に [分 (Mins)] を選択した場合、許容範囲は 1 ~ 43200 です。
      • ユーザーが単位に [時間 (Hours)] を選択した場合、許容範囲は 1 ~ 720 です。
      • ユーザーが単位に [日 (Days)] を選択した場合、許容範囲は 1 ~ 30 です。
      [ロケーションの帯域制御オプション]
      帯域制御 (Bandwidth Control) 有効にすると、ロケーションの帯域制御を適用します。有効になっている場合は、ダウンロード (Mbps) およびアップロード (Mbps) の最大帯域幅制限を指定します。すべてのサブロケーションは、このロケーションに割り当てられた帯域幅制限を共有します。
      ダウンロード (Download) [帯域制御 (Bandwidth Control)] を有効にした場合は、ダウンロードの最大帯域幅制限を Mbps 単位で指定します。許容範囲は 0.1 ~ 99999 です。
      アップロード (Upload) [帯域制御 (Bandwidth Control)] を有効にした場合は、アップロードの最大帯域幅制限を Mbps 単位で指定します。許容範囲は 0.1 ~ 99999 です。
      [サブロケーションの帯域制御オプション(親のロケーションで帯域制御が有効になっている場合)]
      注: 次の帯域制御オプションは、親のロケーションで帯域制御を有効にしている場合にのみサブロケーションに対して設定できます。親のロケーションで帯域制御が有効になっていない場合、サブロケーションの帯域制御オプションはロケーションと同じです(帯域制御、ダウンロード、アップロード)。
      ロケーションの帯域幅を使用 (Use Location Bandwidth) 親のロケーションで帯域制御を有効にしている場合は、このオプションを選択してサブロケーションの帯域制御を有効にし、ダウンロードとアップロードの最大帯域幅制限を親の場所に指定したとおりに使用します。
      上書き (Override) サブロケーションで帯域制御を有効にし、ダウンロード (Mbps) およびアップロード (Mbps) の最大帯域幅制限を指定するには、このオプションを選択します。この帯域幅はサブロケーション専用であり、他のサブロケーションとは共有されません。
      無効 (Disabled) 帯域幅管理ポリシーからトラフィックを除外するには、このオプションを選択します。このオプションを選択したサブロケーションでは、常に最大で使用可能な共有帯域幅しか使用できません。
    5. サブロケーションを作成した後、同じ Orchestrator ページからサブロケーション設定を更新できます。[変更の保存 (Save Changes)] をクリックすると、Zscaler 側のサブロケーション設定が自動的に更新されます。
    6. サブロケーションを削除するには、[アクション (Action)] 列の下の アイコンをクリックします。
      注: テーブルから最後のサブロケーションが削除されると、「その他 (Other)」サブロケーションも自動的に削除されます。

制限事項

  • 4.5.0 リリースでは、サブロケーションが作成されると、Orchestrator は「その他 (Other)」サブロケーションを自動的に保存します。以前のバージョンの Orchestrator では、Zscaler の「その他 (Other)」サブロケーションは Orchestrator に保存されませんでした。Orchestrator を 4.5.0 リリースにアップグレードすると、自動化を使用して新しい通常の(「その他 (Other)」ではない)サブロケーションが作成された後にのみ、「その他 (Other)」サブロケーションが自動的にインポートされます。
  • Zscaler サブロケーションに重複する IP アドレス(サブネット IP アドレス範囲)を含めることはできません。IP アドレスが競合する複数のサブロケーションを編集(追加、更新、または削除)しようとすると、自動化が失敗することがあります。
  • ユーザーは、ロケーションとサブロケーションの帯域幅を同時に更新することはできません。
  • サブロケーションは、親のロケーションの帯域制御が有効になっている場合、[ロケーションの帯域幅を使用 (Use Location Bandwidth)] オプションをサポートします。ユーザーが親のロケーションでロケーションの帯域制御をオフにすると、Orchestrator はサブロケーションの帯域制御オプションをプロアクティブに確認または更新しません。

関連リンク