クラウドセキュリティサービスの設定

クラウドセキュリティサービス (CSS) は、Edge からクラウドセキュリティサービスサイトへのセキュアなトンネルを確立します。これにより、クラウドセキュリティサービスへのセキュアなトラフィックフローが確保されます。

クラウドセキュリティサービスを設定するには、次の手順を実行します。

手順

エンタープライズポータルで、[設定 (Configure)] > [ネットワークサービス (Network Services)] をクリックします。
[クラウドセキュリティサービス (Cloud Security Service)] セクションで、[新規 (New)] をクリックします。

[新規クラウドセキュリティプロバイダ (New Cloud Security Provider)] ウィンドウで、ドロップダウンメニューからサービスタイプを選択します。VMware SD-WAN は、次の CSS タイプをサポートします。

汎用クラウドセキュリティサービス (Generic Cloud Security Service)
Symantec/Palo Alto クラウドセキュリティサービス
注： 5.0.0 リリース以降、Palo Alto CSS は新しいサービスタイプテンプレート「Symantec/Palo Alto クラウドセキュリティサービス (Symantec/Palo Alto Cloud Security Service)」で設定されます。「汎用クラウドセキュリティサービス (Generic Cloud Security Service)」で既存の Palo Alto CSS を設定しているすべてのカスタマーは、新しいテンプレート「Symantec/Palo Alto クラウドセキュリティサービス (Symantec/Palo Alto Cloud Security Service)」に移行する必要があります。
Zscaler クラウドセキュリティサービス (Zscaler Cloud Security Service)

サービスタイプとして「汎用」または「Symantec / Palo Alto」クラウドセキュリティサービスのいずれかを選択した場合は、次の必要な詳細を設定し、[追加 (Add)] をクリックします。


オプション	説明
サービス名 (Service Name)	クラウドセキュリティサービスのわかりやすい名前を入力します。
プライマリポイントオブプレゼンス/サーバ (Primary Point-of-Presence/Server)	プライマリサーバの IP アドレスまたはホスト名を入力します。
セカンダリポイントオブプレゼンス/サーバ (Secondary Point-of-Presence/Server)	セカンダリサーバの IP アドレスまたはホスト名を入力します。これはオプションです。

サービスタイプとして [Zscaler クラウドセキュリティサービス (Zscaler Cloud Security Service)] を選択した場合は、[クラウドサービスの展開を自動化 (Automate Cloud Service Deployment)] チェックボックスを使用して、手動展開と自動化展開のいずれかを選択できます。また、Zscaler クラウドやレイヤー 7 (L7) 健全性チェックの詳細などの追加設定を行って、Zscaler サーバの健全性を判断および監視できます。

[SD-WAN Edge から Zscaler への自動トンネルを設定する]

このセクションでは、SD-WAN Edge から Zscaler サービスプロバイダへの GRE または IPsec トンネルを自動的に作成する方法について説明します。

[新規クラウドセキュリティプロバイダ (New Cloud Security Provider)] ウィンドウに、サービス名を入力します。
[クラウドサービスの展開を自動化 (Automate Cloud Service Deployment)] チェックボックスをオンにします。
トンネルを確立するために GRE または IPsec プロトコルを選択します。
注：カスタマーごとに設定できる CSS Zscaler GRE トンネルの合計数は、Zscaler でのカスタマーのサブスクリプションによって異なります。デフォルト値は 100 です。

次の表の説明に従って、[ドメスティックプリファレンス (Domestic Preference)]、[Zscaler クラウド (Zscaler Cloud)]、[パートナー管理者ユーザー名 (Partner Admin Username)]、[パスワード (Password)]、[パートナーキー (Partner Key)]、[ドメイン (Domain)] などの追加の詳細を設定します。


オプション	説明
ドメスティックプリファレンス (Domestic Preference)	他の Zscaler データセンターから離れていても、IP アドレスの送信元の国の Zscaler データセンターを優先するには、このオプションを有効にします。注：このオプションは、トンネルの確立に GRE が選択されている場合にのみ設定できます。
Zscaler クラウド (Zscaler Cloud)	ドロップダウンメニューから Zscaler クラウドサービスを選択するか、Zscaler クラウドサービス名をテキストボックスに入力します。
パートナー管理者ユーザー名 (Partner Admin Username)	パートナー管理者のプロビジョニングされたユーザー名を入力します。
パートナー管理者パスワード (Partner Admin Password)	パートナー管理者のプロビジョニングされたパスワードを入力します。注： 4.5 リリース以降では、パスワードに特殊文字「<」を使用することはサポートされなくなりました。ユーザーが以前のリリースでパスワードに「<」を使用している場合、ページでの変更を保存するにはこの文字を削除する必要があります。
パートナーキー (Partner Key)	プロビジョニングされたパートナーキーを入力します。
ドメイン (Domain)	クラウドサービスをデプロイするドメイン名を入力します。
サブクラウド (Sub Cloud)	これは、Zscaler インターネットアクセス (ZIA) のカスタマーが、地域的な位置の目的でデータセンターのカスタムプールを持つために使用するオプションのパラメータです。注：トンネルの確立に IPsec が選択されている場合、このオプションは CSS Zscaler の自動展開モードで使用できます。

[認証情報の検証 (Validate Credentials)] をクリックします。検証に成功すると、[追加 (Add)] ボタンが有効になります。
注：新しい CSS プロバイダを追加するには、認証情報を検証する必要があります。

オプション：Zscaler サーバの健全性を監視するには、次の [L7 健全性チェック (L7 Health Check)] の詳細を設定します。

注： [L7 健全性チェック (L7 Health Check)] 機能は、Zscaler バックエンドサーバへの HTTP 到達可能性をテストします。[L7 健全性チェック (L7 Health Check)] を有効にすると、Edge は HTTP L7 プローブを Zscaler 宛先（例：http://<zscaler cloud>/vpntest）に送信します。これは、HTTP 健全性チェックのための Zscaler のバックエンドサーバです。この方法は、ネットワークレベルのキープアライブ（GRE または IPsec）の使用に対する改善点です。この方法では、Zscaler サーバのフロントエンドへのネットワーク到達可能性のみがテストされるためです。

3 回連続で再試行した後に L7 応答が受信されない場合、または HTTP エラーが発生した場合、プライマリトンネルは「ダウン」とマークされ、Edge は Zscaler トラフィックをスタンバイトンネル（使用可能な場合）にフェイルオーバーしようとします。Edge が Zscaler トラフィックをスタンバイトンネルに正常にフェイルオーバーすると、スタンバイが新しいプライマリトンネルになります。

まれに、L7 健全性チェックでプライマリトンネルとスタンバイトンネルの両方が「ダウン」としてマークされた場合、Edge は条件付きバックホールポリシー（そのようなポリシーが設定されている場合）を使用して Zscaler トラフィックをルーティングします。

Edge はプライマリトンネル経由でのみ L7 プローブをプライマリサーバに送信し、スタンバイトンネル経由では送信しません。


オプション	説明
L7 健全性チェック (L7 Health Check)	このチェックボックスをオンにして、Zscaler クラウドセキュリティサービスプロバイダの L7 健全性チェックを有効にします。デフォルトのプローブ詳細（HTTP プローブ間隔 = 5 秒、再試行回数 = 3、RTT しきい値 = 3,000 ミリ秒）が使用されます。デフォルトでは、[L7 健全性チェック (L7 Health Check)] は無効です。注：健全性チェックプローブの詳細の設定はサポートされていません。注：特定の Edge/プロファイルでは、ユーザーはネットワークサービスで設定された L7 健全性チェックパラメータを上書きできません。
HTTP プローブ間隔 (HTTP Probe Interval)	個々の HTTP プローブ間の間隔の長さ。デフォルトのプローブ間隔は 5 秒です。
再試行回数 (Number of Retries)	クラウドサービスがダウンとマークされる前に許可されるプローブの再試行回数を指定します。デフォルト値は 3 です。
RTT しきい値 (RTT Threshold)	往復時間 (RTT) しきい値は、ミリ秒単位で表され、クラウドサービスの状態を計算するために使用されます。測定された RTT が設定されたしきい値を超えると、クラウドサービスはダウンとマークされます。デフォルト値は 3000 ミリ秒です。
Zscaler ログイン URL (Zscaler Login URL)	ログイン URL を入力し、[Zscaler にログイン (Login to Zscaler)] をクリックします。これにより、選択した Zscaler クラウドの Zscaler 管理ポータルにリダイレクトされます。注： Zscaler ログイン URL を入力すると、 [Zscaler にログイン (Login to Zscaler)] ボタンが有効になります。

Orchestrator から Zscaler 管理ポータルにログインする場合は、Zscaler ログイン URL を入力し、[Zscaler にログイン (Login to Zscaler)] をクリックします。これにより、選択した Zscaler クラウドの Zscaler 管理ポータルにリダイレクトされます。
注： Zscaler ログイン URL を入力すると、 [Zscaler にログイン (Login to Zscaler)] ボタンが有効になります。

注： Zscaler CSS の自動展開の詳細については、『 Zscaler および VMware SD-WAN デプロイガイド』を参照してください。

注： IPsec VPN トンネルの確立に使用する最適なデータセンターの仮想 IP アドレス (VIP) が、Zscaler によってどのように決められるかについては、 IPsec VPN トンネルのプロビジョニングのための SD-WAN API 統合を参照してください。

[SD-WAN Edge から Zscaler への手動トンネルを設定する]

このセクションでは、SD-WAN Edge から Zscaler サービスプロバイダへの GRE または IPsec トンネルを手動で作成する方法について説明します。自動トンネルとは異なり、手動トンネルを設定するには、トンネルを起動するためのトンネルの宛先を指定する必要があります。

[新規クラウドセキュリティプロバイダ (New Cloud Security Provider)] ウィンドウに、サービス名を入力します。
プライマリサーバの IP アドレスまたはホスト名を入力します。
オプションで、セカンダリサーバの IP アドレスまたはホスト名を入力できます。
ドロップダウンメニューから Zscaler クラウドサービスを選択するか、Zscaler クラウドサービス名をテキストボックスに入力します。
必要に応じてその他のパラメータを設定し、[追加 (Add)] をクリックします。

注：サービスタイプとして Zscaler クラウドセキュリティサービスを選択して GRE トンネルの割り当てを計画している場合は、GRE がホスト名をサポートしていないため、ホスト名ではなく、IP アドレスのみを [プライマリサーバ (Primary Server)] と [セカンダリサーバ (Secondary Server)] に入力することをお勧めします。

結果

設定されたクラウドセキュリティサービスは、 [ネットワークサービス (Network Services)] ウィンドウの [クラウドセキュリティサービス (Cloud Security Service)] 領域に表示されます。

次のタスク

クラウドセキュリティサービスをプロファイルまたは Edge に関連付けます。