【SSE】[Zscaler] [ZIA] 設計の考え方
buffoon
SASEナビ
【SSE】[Zscaler] [ZIA] [設計] [全体] 通信経路とトラフィックフロー
buffoon
はじめに
前回の記事では、ZIAの設計を理解するためには個々の機能ではなく、「通信がどのような順番で処理されるのか」を理解することが重要であると説明しました。
今回は「通信はどのようにZIAへ到達し、その後どのように処理されるのか」という全体像について紹介します。
実際のZIA設計では、この2つを分けて考えることが重要になります。
利用者端末からどのようにPublic Service Edge（PSE）へ通信を届けるか
- PSEへ届いた通信をどのような順番で検査・制御するか
本記事では、この2つの流れを全体像として整理していきます。
ZIAは「通信経路」と「通信処理」に分けて考える
ZIAは非常に多くの機能を持っています。
しかし、設計の観点では大きく次の2つに分けて考えると理解しやすくなります。
- 通信をどのようにPublic Service Edgeへ届けるか
- Public Service Edgeでどのように通信を処理するか
通信経路は複数存在する
利用者の通信は必ずしも1つの方法でZIAへ到達するわけではありません。
代表的なものとして、以下があります。
- Z-Tunnel 2.0
- Z-Tunnel 1.0
- PACファイル
- GRE/IPsec
- 多段プロキシ転送
これらはそれぞれ特徴が異なりますが、最終的にはPublic Service Edge（PSE）へ通信を届けるための手段という点は共通しています。
転送方式は組み合わせて利用する
実際の導入では、「どれか一つだけを利用する」という構成になることは少なくありませんが、企業全体で見ると複数の転送方式を組み合わせて利用するケースが一般的です。
例えば、以下のように利用環境や要件に応じて適切な方式を組み合わせて構成します。
- リモートユーザはZ-Tunnel 2.0
- 拠点からはZ-Tunnel 2.0とGRE/IPsec
- サーバはGRE/IPsecでルーティング
- 既存システムからの移行期は多段プロキシ
つまり、ここで紹介している5つは優劣を比較するものではなく、Public Service Edgeへ通信を届けるための代表的な構成要素と考えると理解しやすいでしょう。
Public Service Edgeへ届いた通信はインラインプロセスで制御される
通信がPublic Service Edgeへ届くと、今度は各種セキュリティ機能による検査・制御が開始されます。
全体像は以下の通りです。
通信は決められた順番で処理される
各機能は独立して動作しているように見えますが、実際には決められた順番で処理されています。
- Firewall Control
- SSL Inspection
- Cloud App Control
- URL Filtering
- File Type Control
- Data Loss Prevention
などを順番に通過し、最終的に許可された通信だけがインターネットへ転送されます。
また、Malware ProtectionやSandboxについては、必要に応じて並行して実行される検査機能として動作します。
本記事で紹介している機能は必要最低限
ZIAには、この図以外にも多くの機能が存在します。
- DNS Control
- NAT Control
- Advanced Settings
- Browser Isolation
- CASB関連機能
しかし、実際の設計では、最初からすべてを理解する必要はありません。
まずは、通信がどのような順番で処理されるのか
そして、どこで通信が許可・拒否されるのか
という基本的な流れを理解することが重要です。
本シリーズでは、その考え方を軸に解説していきます。
次回以降は各要素を詳しく解説
- 通信はさまざまな方法でPublic Service Edgeへ到達すること
- Public Service Edgeでは決められた順番でインライン処理が行われること
という全体像を紹介しました。
次回以降は、この2つをさらに掘り下げていきます。
まずは通信経路について、
- どの転送方式を選択するべきか
- それぞれの特徴やメリット・デメリット
- 設計時のベストプラクティス
その後、
- Firewall Control
- SSL Inspection
- Cloud App Control
- URL Filtering
など、インラインプロセスを構成する各機能についても、
ポリシーの適用順序や設計時のポイント
を詳しく解説していきます。
➡【次の記事へ】【SSE】[Zscaler] [ZIA] [設計] [個別] [インライン] トラフィック転送方法の選択肢と特徴
自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！
