【SSE】[Zscaler] [ZIA] [設計] [個別] [インライン] Firewall Control
buffoon
SASEナビ
【SSE】[Zscaler] [ZIA] [設計] [個別] [インライン補助] Hosted PAC Files
buffoon
Hosted PAC Filesとは
Hosted PAC Filesとは、Zscalerクラウド上でPACファイルを管理・配布する機能です。
管理画面からPACファイルを自由に登録でき、
登録するとPACファイルごとにHTTPで参照可能な専用URLが払い出されます。
ブラウザや端末、Zscaler Client Connector（ZCC）は、このURLを参照することでPACファイルを取得します。
通常、PACファイルは社内Webサーバーなどで公開する必要がありますが、
Hosted PAC Filesを利用することで、Zscalerクラウド上で一元管理できるようになります。
また、Hosted PAC Filesでは通常のPACファイル配布だけではなく、
- PACファイルのバージョン管理
- 高可用性での配布
- Zscaler専用PAC変数の利用
など、設計・運用を支援する機能も利用できます。
Zscaler専用PAC変数が利用できる
Hosted PAC Files最大の特徴は、
Zscaler専用のPAC変数が利用できることです。
例えば、
return "PROXY ${GATEWAY_HOST}:80;
PROXY ${SECONDARY_GATEWAY_HOST}:80;
DIRECT";と記述すると、
${GATEWAY_HOST}${SECONDARY_GATEWAY_HOST}
が評価され、利用者に最適なPublic Service Edgeへ自動的に接続します。
特定リージョンへ転送することもできる
Hosted PAC Filesでは、Gateway変数だけではなく、
国やSubcloudを指定したGateway変数も利用できます。
例えば、
${COUNTRY_GATEWAY_HOST_FX}
${COUNTRY_SECONDARY_GATEWAY_HOST_FX}を利用することで、日本国内のPublic Service Edgeだけを利用する構成や、
Subcloud配下のPublic Service Edgeだけへ接続する構成も実現できます。
また、環境によっては、
東京リージョンをPrimary、
大阪リージョンをSecondary
として利用するような設計を行うケースもあります。
このように、利用するPublic Service Edgeを柔軟に制御できることもHosted PAC Filesの大きなメリットです。
Custom PACとの関係
Hosted PAC FilesはForwarding PACとして利用することもできますが、
より価値を発揮するのはCustom PACとして利用する場合です。
以前の記事でも紹介したように、Custom PACはListening Proxy上で評価されます。
そのため、Hosted PAC Filesで提供されるZscaler専用変数を利用することで、
- 利用者に最適なPublic Service Edgeへ接続する
- Primary PoP障害時にSecondary PoPへフォールバックする
- 特定リージョンやSubcloudへ接続する
など、ZIAへの転送先を柔軟に制御できます。
Forwarding PACでは「通信をどこへ転送するか」を決定しますが、
Hosted PAC FilesとCustom PACを組み合わせることで、その転送先をより高度に設計できます。
Custom PACやForwarding PACの違いについては、以下の記事でも詳しく解説しています。
関連記事
「Forwarding PACとCustom PACの違いはこちら」
【SSE】[Zscaler] [ZIA] [設計] [全体] Z-Tunnel1.0とZ-Tunnel2.0の違いと設定
設計で重要なこと
基本はGateway変数を利用する
Hosted PAC Filesでは、固定のPublic Service Edgeを指定することもできます。
しかし、多くの環境では、
${GATEWAY_HOST}${SECONDARY_GATEWAY_HOST}
などのGateway変数を利用することをおすすめします。
Gateway変数は、利用者の接続元やPublic Service Edgeの状態を考慮し、
適切なGatewayを自動的に返します。
そのため、Public Service Edgeの障害や構成変更にも柔軟に対応できます。
Hosted PAC FilesはCustom PACと組み合わせて真価を発揮する
Hosted PAC Filesは、PACファイルをクラウド上で管理するための機能でもあります。
しかし、設計者の視点では、
PACファイルをクラウドで管理できることよりも、Zscaler専用変数が利用できることの方が重要です。
Gateway変数やCountry Gateway変数などを活用することで、通常のPACファイルでは実現しづらい、
- Public Service Edgeの冗長化
- リージョン制御
- Subcloud利用
などの高度な転送設計を実現できます。
変更管理もしやすい
Hosted PAC Filesでは、PACファイルをZscalerクラウド上でバージョン管理できます。
そのため、変更後に問題が発生した場合でも、過去バージョンへ戻しながら検証を進めることができます。
PACファイルはForwarding方式全体へ影響するため、変更管理やロールバックが容易になる点も大きなメリットです。
まとめ
Hosted PAC Filesは、PACファイルをクラウド上で管理するための機能です。
しかし、本当の価値は、Zscaler専用のPAC変数を利用できることにあります。
特にCustom PACと組み合わせることで、
- 最適なPublic Service Edgeへの接続
- Primary/Secondary PoPの冗長化
- リージョン・Subcloudを考慮した転送
など、柔軟な転送設計を実現できます。
そのため、Hosted PAC Filesは単なるPACファイルの保管場所ではなく、
Custom PACをより高度に設計するための実行基盤として活用することをおすすめします。
➡【次の記事へ】【SSE】[Zscaler] [ZPA] 設計の考え方
自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！
