HOME
MENU
Zscaler

【SSE】[Zscaler] [ZIA] [設計] [個別] [インライン] [+α] ENAT

buffoon

はじめに

少し前の記事で、Source IP Anchoring（SIPA）について紹介しました。

SIPAは、ZPAのApp Connectorを経由することで、特定の通信を固定の送信元グローバルIPアドレスからインターネットへ送信する機能でした。

近年では、同様のことをZIA単体で実現できる機能として、ENAT（Egress NAT）が追加されています。

本記事では、以下について紹介します。

  • ENATとは
  • SIPAとの違い
  • 利用シーン
  • 設計時の考え方

ENATとは

ENAT（Egress NAT）は、ZIA単体で送信元グローバルIPアドレスを固定できる機能です。

通常、ZIAを経由した通信は、Zscalerが提供する共有の送信元グローバルIPアドレス（Egress IP）からインターネットへ送信されます。

そのため、IPアドレス制限を行っているSaaSやWebサービスでは、

企業専用の固定グローバルIPアドレスを利用した接続ができません。

ENATでは、組織専用のEgress IPを利用できるため、送信元IPアドレスを固定した状態でインターネットへアクセスできます。

SIPAとの違い

SIPAもENATも、送信元グローバルIPアドレスを固定するという目的は同じです。

しかし、その実現方法は大きく異なります。

項目SIPAENAT
送信元IP固定○○
App Connector必要不要
ZPA管理必要不要
設定箇所ZIA＋ZPAZIAのみ
送信元IPApp Connector側ZIA専用Egress IP（Zscaler払い出し）

SIPAでは、ZPAのApp Connectorを経由することで固定IPを実現していました。

一方、ENATではApp Connectorを利用せず、ZIAだけで送信元IP固定を実現できます。

ENATのメリット

ENAT最大のメリットは、構成が非常にシンプルになることです。

SIPAでは、

  • App Connectorのデプロイ（App Connector / App Connector Group /Provisioning）
  • App Connectorの監視・アップデート
  • ZPAとの共存設定（Client Forwarding Policy）

など、ZPA側の運用も必要でした。

ENATでは、これらを用意する必要がなく、ZIA側だけで構成できます。

そのため、運用負荷を大きく削減できます。

また、旧ライセンス体系では、SIPAを利用するためにApp Connectorライセンスに加え、

SIPA対象ユーザー分のライセンスが必要でした。

一方、ENATは追加コストなく利用できるケースが多く、現在では送信元IP固定を実現する第一候補となっています。

ENATが向いているケース

ENATは、

  • Microsoft 365
  • Salesforce
  • ServiceNow
  • Box
  • その他IPアドレス制限を利用するSaaS

など、「固定グローバルIPからアクセスしたいだけ」という要件に非常に適しています。

App Connectorを構築する必要がないため、新規導入時のハードルも低く、運用もシンプルになります。

SIPAが適しているケース

一方で、すべてをENATへ置き換えるわけではありません。

例えば、既存の企業ネットワークに、社内プロキシなどがあり、引き続きその出口から通信させたい

という要件では、SIPAの方が適しています。

SIPAでは、App Connectorを経由して社内ネットワークからインターネットへ通信を送信できるため、

既存環境との親和性が高いケースもあります。

つまり、「固定IPが欲しい」だけならENAT、

「既存ネットワークの出口を利用したい（＝既存のグローバルIPアドレスからユーザアクセスさせたい」

のであればSIPA、という使い分けになります。

制御のための設定条件

ENATも、SIPAと同様にForwarding Controlを利用して適用対象を決定します。

例えば、特定のFQDNや通信だけをENAT対象とし、それ以外は通常のZIA通信とするといった設計が可能です。

また、Z-Tunnel 1.0やPACファイルを利用するRoad Warrior環境では、以前SIPAの記事で紹介した

Enable Firewall for Z-Tunnel 1.0 and PAC Road Warriors

の設定が必要になるケースがあります。

これは、ENATもForwarding Policyを利用して動作するためです。

設計で重要なのは「目的」で選ぶこと

ENATは、SIPAを完全に置き換える機能ではありません。

重要なのは、「なぜ送信元IPアドレスを固定したいのか」という要件です。

単純に、SaaSへ固定グローバルIPからアクセスしたいのであれば、構成がシンプルなENATが適しています。

一方、既存の社内ネットワークを経由させたい、社内プロキシやファイアウォールをそのまま利用したい、

といった要件では、現在でもSIPAが有効な選択肢となります。

目的に応じて使い分けることが重要です。

おわりに

ENATは、ZIA単体で送信元グローバルIPアドレスを固定できる新しい機能です。

従来のSIPAと比較すると、App ConnectorやZPAの管理が不要となり、構成・運用ともにシンプルになります。

そのため、IPアドレス制限を行っているSaaSへのアクセスでは、今後ますます利用される機会が増えていくでしょう。

一方で、既存ネットワークとの連携や社内出口の活用など、SIPAならではのメリットも残っています。

設計では、新旧機能という見方ではなく、要件に応じて適切な方式を選択するという考え方が重要です。

➡【次の記事へ】【SSE】[Zscaler] [ZIA] [設計] [個別] [インライン] [+α] Cloud Browser Isolation

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です

管理人
管理人

自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！
Recommend
こんな記事も読まれています
記事URLをコピーしました