HOME
MENU
Zscaler

【SSE】[Zscaler] [ZIA] [設計] [全体] PSEへのトラフィック転送方法の選択肢と解説

buffoon

はじめに

前回の記事では、ZIAには複数の通信経路が存在し、どのような方法でPublic Service Edge（PSE）へ通信を届けるのか、そしてPSEへ届いた通信はインラインプロセスによって制御されることを紹介しました。

実際の設計では、これらの通信経路から一つを選択するのではなく、利用者やサーバ、拠点などの用途に応じて複数の方式を組み合わせて利用することが一般的です。

本記事では、私がこれまでの設計・運用で実際に採用してきた代表的な構成例を紹介します。

転送方式は組み合わせて利用する

まず前回紹介した通信経路を振り返ります。

PSEへ通信を届ける方法として、

  • Z-Tunnel 2.0
  • Z-Tunnel 1.0
  • PAC Files
  • GRE/IPsec
  • 多段プロキシ転送

などがあります。

これらは互いに排他的なものではなく、それぞれの特徴を活かしながら組み合わせて利用します。

パターン① ZCCを中心とした推奨構成

私がおすすめする構成は、ZscalerのBest Practicesでも紹介されている構成です。

あらゆるシーンで接続性と機能性が確保されているので導入後の応用が効きやすいです。

以下、一般ユーザとサーバで役割を分けて考えます。

一般ユーザ

  • ZCC（Z-Tunnel 1.0 または Z-Tunnel 2.0）
  • GRE/IPsecトンネル
  • PAC Files

サーバ・エージェント導入不可端末

  • GRE/IPsecトンネル
  • Surrogate IP
  • PAC Files

この構成により、多くの企業環境へ柔軟に対応できます。

この構成を推奨する理由

一般ユーザでは、ZCCへログインしたユーザ情報を利用してポリシーを適用できます。

また、端末から直接PSEへトンネリングするため、社外環境からでも同じセキュリティポリシーを適用できます。

一方、社内へ持ち込んだ場合は、GRE/IPsecを利用した通信へ切り替える構成も選択できます。

そのままZ-Tunnelを利用し続けても問題ありませんが、トンネルオーバーヘッドやログの取得方法、社内通信との整合性などを考慮して設計するとよいでしょう。

個人的には端末で取得できるログ取得の運用利便性から、ZCC上のZIA機能は常に有効にしておく構成をおススメしたいと思っています。

ZCCにはさらに細かな転送制御が存在する

ZCCを利用した構成では、単純にトンネルを張るだけではありません。

例えば、Z-Tunnel 1.0 / Z-Tunnel 2.0 / Forwarding Profie (PAC) / App Profile (Custom PAC) / Listening Proxy等

通信をどのように転送するかを細かく制御する仕組みが用意されています。

これらを適切に組み合わせることで、社内システムとの共存（VPNとの競合回避 や 社内プロキシとの連携）が実現でき、実際の企業ネットワークに合わせた柔軟な設計が可能になります。

パターン② 多段プロキシ構成

もう一つよく採用されるのが、多段プロキシ構成です。

この構成は、下記のような環境で利用されます。

  • ZCCを導入できない
  • 社内プロキシ経由以外のインターネット接続が認められていない
  • 移行期間として段階的に導入したい

既存の社内プロキシを活かしながらZIAを導入できるため、企業ネットワークでも採用されることがあります

多段プロキシ構成で重要になるポイント

ZCCを利用しない場合、ユーザ情報をそのまま取得できません。

  • 社内プロキシからXFF（X-Forwarded-For）ヘッダを付与する
  • 社内プロキシからZscalerへ転送する
  • ZscalerでLocationを設定する
  • ZscalerでIP Surrogateを設定する

といった各種設定によって、ユーザ単位でのポリシー適用を実現します。※各機能についてはAIに聞くとバッチリ教えてくれます！

また、社内プロキシから通信を送信するグローバルIPアドレスを、Zscaler側のLocationとして登録しておくことも重要な前提条件になります。

つまり、多段プロキシ構成では、社内プロキシ側の設定とZIA側の設定を組み合わせることで、初めて期待した制御が実現できます。

まとめ：転送方式に正解はない

ここまで紹介した2つの構成は、私自身が実際に設計・運用してきた代表的なパターンです。

もちろん、企業によって要件は異なります。

重要なのは、「どの方式を採用するか」ではなく、「どの方式を組み合わせることで最適な構成になるか」という視点です。

  • 一般ユーザはZCC（Z-Tunnel1.0 / 2.0）
  • 拠点はGRE/IPsec
  • サーバはSurrogate IP
  • 特殊環境は多段プロキシ

というように、それぞれの特徴を理解して設計することが重要になります。

➡【次の記事へ】【SSE】[Zscaler] [ZIA] [設計] [全体] Z-Tunnel1.0とZ-Tunnel2.0の違いと設定

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です

管理人
管理人

自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！
Recommend
こんな記事も読まれています
記事URLをコピーしました