엔터프라이즈는 Zscaler와 통합된 VMware SD-WAN을 사용하여 보안 로컬 인터넷 중단을 활용할 수 있습니다. 네트워크 관리자는 VMware SD-WAN을 사용하여 IPsec 터널(NULL 암호화)을 통해 Zscaler로 전달할 트래픽을 결정할 수 있습니다.
사전 요구 사항
- ZIA(Zscaler Internet Access)
- 작동 중인 ZIA 인스턴스(모든 클라우드)
- 관리자 로그인 자격 증명
- VMware SASE Orchestrator
- VMware SASE Orchestrator에 대한 엔터프라이즈 계정 액세스
- 관리자 로그인 자격 증명
- VMware SASE Orchestrator에서 "온라인" 상태인 하나 이상의 VMware SD-WAN Edge 장치
Zscaler SD-WAN Gateway 선택 및 라우팅 동작
Zscaler 터널을 특정 SD-WAN Gateway로 설정하려면 먼저 위의 프로세스에 따라 터널이 있는 SD-WAN Gateway를 찾아야 합니다. 여기에서 "보안 VPN 게이트웨이(Secure VPN Gateway)"를 클릭하고 터널을 다른 SD-WAN Gateway로 이동/할당할 수 있습니다.
- 현재 터널 위치를 찾습니다.
- 보안 VPN 게이트웨이(Secure VPN Gateway)를 클릭합니다.
- SD-WAN Gateway를 선택합니다.
참고: 다른 SD-WAN Gateway에 터널을 할당/이동하면 서비스에 영향을 미칩니다. 기존 터널 연결이 종료되고 새로 할당된 SD-WAN Gateway에서 새 터널이 설정됩니다.VMware SD-WAN Edge 구성/활성화 프로세스 동안 디바이스 구성에 따라 각 Edge에 클라우드 SD-WAN Gateways 쌍 또는 파트너 SD-WAN Gateways 집합이 할당됩니다. Edge에서 사용하는 SD-WAN Gateways가 Zscaler 터널이 포함된 SD-WAN Gateways와 동일하지 않으면 Edge는 활성화 프로세스 중에 선택된 SD-WAN Gateways 외에 Zscaler에 연결하는 SD-WAN Gateways에 대한 VCMP 터널을 자동으로 구축합니다. 이렇게 하면 Edge가 Zscaler에 연결할 수 있습니다.
Zscaler 설정 예
예 1: 중복 Velocloud 클라우드 VPN이 선택되지 않은 1.1.1.1에 대한 기본 Zscaler 터널
이 예에서는 Zscaler VPN 터널이 하나만 생성되고 중복 Velocloud 클라우드 VPN(Redundant Velocloud Cloud VPN) 확인란이 선택되지 않습니다. 원격 VPN 게이트웨이에 대한 근접성을 기준으로 단일 게이트웨이(이 경우 기본 SD-WAN Gateway)를 선택하면(Geo-IP 조회를 통해 결정됨) Zscaler VPN 끝점에 대한 IPsec 터널이 생성됩니다. 비즈니스 정책 구성에 따라 SD-WAN Edge에서 기본 SD-WAN Gateway로, 다시 Zscaler로 트래픽이 흐릅니다. SD-WAN Edge에 항상 두 개 이상의 SD-WAN Gateways에 대한 VCMP 터널이 있지만, 이 설계에는 이중화가 나타나지 않습니다. 중복 Velocloud 클라우드 VPN(Redundant Velocloud Cloud VPN) 확인란을 선택하지 않았으므로 Zscaler에 대한 백업 SD-WAN Gateway 터널이 없습니다. Zscaler 또는 기본 SD-WAN Gateway가 실패하거나 어떤 이유로든 둘 사이의 IPsec 터널이 종료되면 Zscaler 방향의 트래픽이 삭제됩니다.
예 2: 중복 Velocloud 클라우드 VPN이 선택된 1.1.1.1에 대한 기본 Zscaler 터널
이 예에서는 Zscaler VPN 터널이 하나만 생성되고 중복 Velocloud 클라우드 VPN(Redundant Velocloud Cloud VPN) 확인란이 선택됩니다. Zscaler 위치에 가장 가까운 원격 VPN 게이트웨이에 대한 근접성을 기준으로 두 개의 SD-WAN Gateways를 선택하면(Geo-IP 조회를 통해 결정됨) Zscaler에 대한 IPsec 터널이 구축됩니다. 이러한 두 터널은 모두 활성 상태입니다. 그러나 Zscaler로 전송되는 모든 트래픽은 기본 SD-WAN Gateway를 통과합니다. 기본 SD-WAN Gateway가 실패하면 트래픽이 보조 SD-WAN Gateway로 전환됩니다. 단일 Zscaler 끝점만 정의되므로 이 끝점이 종료되면 Zscaler로의 트래픽은 삭제됩니다.
예 3: 중복 Velocloud 클라우드 VPN이 선택되지 않은 1.1.1.1에 대한 기본 Zscaler 터널, 2.2.2.2에 대한 보조 Zscaler 터널
이 예에서는 보조 Zscaler IP 주소를 추가하여 SASE Orchestrator에서 Zscaler에 대한 중복 IPsec 터널을 구성하지만, 중복 Velocloud 클라우드 VPN(Redundant Velocloud Cloud VPN) 확인란은 선택되지 않습니다. 원격 VPN 게이트웨이에 대한 근접성을 기준으로 단일 SD-WAN Gateway를 선택하면(Geo-IP 조회를 통해 결정됨) 두 Zscaler VPN 끝점에 대한 IPsec 터널이 생성됩니다. 이러한 두 터널은 모두 활성 상태이지만 구성 설정에 따라 SD-WAN Gateway에서 Zscaler에 대한 기본 경로가 어떤 IPsec 터널인지 알고 해당 터널을 통해 트래픽을 전송하게 됩니다. Zscaler는 기본 또는 백업 IPsec 터널을 표시하지 않습니다. Zscaler는 요청을 시작한 SD-WAN Gateway를 통해 트래픽을 반환하기만 합니다. 기본 Zscaler 위치가 종료되면 SD-WAN Gateway의 트래픽이 보조 Zscaler IPsec 터널로 전환됩니다. 중복 Velocloud 클라우드 VPN(Redundant Velocloud Cloud VPN) 확인란이 선택되지 않았으므로 Zscaler에 대한 중복 SD-WAN Gateway 연결이 없습니다. SD-WAN Gateway가 실패하면 Zscaler로 전송되는 트래픽이 삭제됩니다.
예 4: 중복 Velocloud VPN이 선택된 1.1.1.1에 대한 기본 Zscaler 터널, 2.2.2.2에 대한 보조 Zscaler 터널
이 예에서는 보조 Zscaler IP 주소를 추가하여 SASE Orchestrator에서 Zscaler에 대한 중복 IPsec 터널을 구성하며 중복 Velocloud 클라우드 VPN(Redundant Velocloud Cloud VPN) 확인란이 선택됩니다. 원격 VPN 게이트웨이에 대한 근접성을 기준으로 두 SD-WAN Gateways를 선택하면(Geo-IP 조회를 통해 결정됨) 두 Zscaler VPN 끝점에 대한 IPsec 터널이 생성됩니다. 이러한 모든 터널은 활성 상태이지만 구성 설정에 따라 SD-WAN Gateways에서는 둘 중 어떤 것이 기본 SD-WAN Gateway이고 어떤 것이 보조 게이트웨이인지 알 수 있습니다. 또한 SD-WAN Gateways는 Zscaler에 대한 IPsec 터널 중 어떤 것이 기본 경로이고 어떤 것이 보조 경로인지도 알고 있습니다. Zscaler는 기본 또는 백업 IPsec 터널을 표시하지 않습니다. Zscaler는 요청을 시작한 SD-WAN Gateway를 통해 트래픽을 반환하기만 합니다. 기본 Zscaler 위치가 종료되면 기본 SD-WAN Gateway의 트래픽이 보조 Zscaler IPsec 터널로 전환됩니다. 중복 Velocloud 클라우드 VPN(Redundant Velocloud Cloud VPN) 확인란을 선택했으므로 기본 SD-WAN Gateway가 실패하면 트래픽이 보조 SD-WAN Gateway로 전환됩니다. 보조 SD-WAN Gateway는 해당 경로를 사용할 수 있는 경우 기본 IPsec 터널을 활용합니다. 그렇지 않다면 보조 IPsec 터널을 사용하여 Zscaler에 연결합니다.
계층 7 상태 점검
ZIA(Zscaler Internet Access)용으로 지정된 Zscaler 데이터 센터에 대한 IPsec/GRE 터널을 설정하면 ZIA용 Zscaler 로드 밸런서의 VIP(가상 IP)에 대한 SD-WAN Edge 또는 SD-WAN Gateway 간에 터널이 설정됩니다. 분기의 최종 사용자 트래픽이 로드 밸런서에 도달하면 로드 밸런서는 ZIA 공용 서비스 Edge로 트래픽을 분산합니다. DPD(Dead Peer Detection) 및 GRE 킵얼라이브는 로드 밸런서의 공용 VIP에 대한 가용성만 감지할 수 있습니다(터널 대상이기 때문). 공용 VIP는 고가용성 끝점이며 지정된 ZIA 공용 서비스 Edge의 가용성을 반영하지 않습니다. 계층 7 상태 점검을 사용하면 HTTP 프로브를 기준으로 ZIA Edge의 성능 및 가용성을 모니터링할 수 있으며 결과를 기준으로 대체 터널로 페일오버할 수 있습니다. 프로브를 활성화한 경우 SD-WAN Edge 또는 SD-WAN Gateway는 HTTP 프로브 URL(다음 형식)으로 검색 요청을 주기적으로 전송합니다.
" http://gateway.<zscaler_cloud>.net/vpntest"프로브 URL은 SASE Orchestrator에서 구성할 수 있지만, 현재 검색 간격 및 재시도 횟수는 SASE Orchestrator에서 편집할 수 없습니다. 정의된 재시도 횟수에 대해 프로브가 연속적으로 실패하면 터널이 종료된 것으로 표시되고 트래픽이 정의된 경우 보조 터널로 페일오버됩니다. https 응답(200 OK)이 수신되지 않았거나 지연 시간이 정의된 임계값보다 크면 검색 실패가 발생할 수 있습니다. Edge에 조건부 백홀이 구성된 경우 기본 및 보조 터널에 대한 검색이 실패하면 구성된 백홀 허브로의 트래픽 페일오버가 트리거됩니다. 프로브가 다시 실행되면 트래픽이 CSS 터널로 폴백됩니다. 게이트웨이를 통한 NSD(비 SD-WAN 대상)에 대해 중복 클라우드 VPN이 구성된 경우 기본 게이트웨이에서 기본 및 보조 터널로의 검색이 실패하면 보조 게이트웨이로의 트래픽 페일오버가 트리거됩니다. 기본 게이트웨이의 프로브가 다시 실행되면 트래픽이 기본 게이트웨이의 CSS 터널로 폴백됩니다.
Zscaler 및 VMware SD-WAN 배포 구성
ZIA(Zscaler Internet Access) 및 VMware SD-WAN을 통합하기 위한 구성 단계를 설명합니다.
- ZIA(Zscaler Internet Access) 구성: 계정을 생성하고, VPN 자격 증명을 추가하고, 위치를 추가합니다.
- 비 SD-WAN 대상을 생성하고 구성합니다.
- 구성 프로필에 비 SD-WAN 대상을 추가합니다.
- 비즈니스 우선 순위 규칙을 구성합니다.
자세한 내용은 https://www.zscaler.com/resources/solution-briefs/partner-vmware-sdwan-deployment-guide.pdf를 참조하십시오. 이 가이드에서는 Zscaler Internet Access 및 VMware SASE Orchestrator를 구성하기 위한 GUI 예를 제공합니다.
계층 7 상태 점검 이벤트
| 이벤트(Event) | Orchestrator UI에 다음으로 표시 | 심각도 | 알림 구성 가능 | 생성자 | 생성일 |
| EDGE_NVS_TUNNEL_UP | Edge 직접 IPsec 터널 실행 중 | 정보 | N | SASE Orchestrator | 클라우드 보안 서비스 터널 또는 Edge를 통한 NSD 터널이 실행 중입니다. |
| EDGE_NVS_TUNNEL_DOWN | Edge 직접 IPsec 터널 종료 | 정보 | N | SASE Orchestrator | 클라우드 보안 서비스 터널 또는 Edge를 통한 NSD 터널이 종료되었습니다. |
| VPN_DATACENTER_STATUS | VPN 터널 상태 변경 | 알림 | N | SD-WAN Gateway | VPN 터널 상태가 변경되었습니다. |
