Netskope IPSecとAruba EdgeConnect SD-WAN

Netskopeは、トラフィックルーティング方法としてインターネットプロトコルセキュリティ（IPSec）トンネルをサポートしています。IPSec VPNトンネルを使用すると、ウェブトラフィック（ポート80および443）をNetskopeにルーティングできます。 Netskope IPSecゲートウェイで終端する論理トンネルインターフェイス。NetskopeのユーザーインターフェースでIPSecトンネルを作成すると、Netskopeはルーター上でトンネルを設定するためのパラメータを提供します。 

Netskopeと Aruba EdgeConnect アプライアンスは、次の 2 つの方法で統合できます。

• Active – Backup Internet Breakout

  

  EdgeConnect アプライアンスが単一のインターネット サービス プロバイダー (ISP) を使用してインターネットにアクセスできる場合、アプライアンスはプライマリNetskopeポイント オブ プレゼンス (POP) とセカンダリNetskope POP への IPSec トンネルを作成できます。 プライマリPOPへのトンネルは、トンネルまたはPOPが利用不能にならない限り、すべてのトラフィックを伝送します。この場合、トラフィックは自動的にセカンダリPOPにフェイルオーバーします。

• Active – Active Internet Breakout

  

  EdgeConnect アプライアンスが 2 つのインターネット サービス プロバイダー (例: ISP1とISP2 ) を使用してインターネットにアクセスできる場合、アプライアンスはプライマリ POP とセカンダリ POP への 4 つの IPSec VPN トンネルを作成できます。 プライマリトンネルまたはプライマリPOPのいずれかが利用できない場合を除き、 ISP1とISP2両方からのプライマリトンネルのみがトラフィックをプライマリPOPに転送します。ビジネス インテント オーバーレイ ポリシーを作成するとき、両方の ISP からのプライマリ トンネルに同じサービス名を提供することで、EdgeConnect アプライアンスがプライマリ POP 使用ISP1とISP2へのトラフィックの負荷分散を許可できます。 これはフローベースの負荷分散方式です。

このガイドは、 Netskope とEdgeConnect OS(ECOS)バージョン9.2.5.0_94689を搭載したAruba EdgeConnect SD-WANプラットフォーム間のIPSecトンネルの設定方法を示しています。 ECOSの手順の詳細については、 Aruba EdgeConnect SD-WANのドキュメントを参照してください。

前提条件

IPSecを設定する前に、Netskopeのガイドラインを確認してください。

NetskopeでIPSecトンネルを作成する

Netskope UIでAruba EdgeConnect SD-WAN用のIPSec VPNトンネルを作成するには、 「IPSecサイトの作成」を参照してください。

Aruba EdgeConnect SD-WANでIPSecトンネルを作成する

Aruba EdgeConnect SD-WANでIPSec VPNトンネルを作成するには：

1. Aruba EdgeConnect SD-WANにログインしてください。

2. Configuration > Tunnelsへ移動してください。

   

3. トンネルを追加したいアプライアンスサイトの横にある をクリックしてください。

   

4. Passthroughを選択してください。

   

5. Add Tunnelをクリックしてください。

   

6. Add Passthrough Tunnelウィンドウでは：

   • AliasIPSecトンネルの名前を入力してください。

   • Mode: IPSecを選択してください。

   • IPSec Suite B Preset: Noneを選択してください。

   • Admin: upを選択してください。これは、トンネルの管理状態のデフォルト設定です。

   • Local IPIPSecトンネルのWANインターフェースのIPアドレスSelectまたは入力してください。

   • Remote IP: Netskope UIにコピーした主要なNetskope POPのIPSecゲートウェイIPアドレスを入力します。この例では、 163.116.205.38です。

   • NAT: noneのままにしておく。

   • Peer/Service: IPSec トンネルを使用する新しいサービスの名前を入力します。 お客様は ビジネスインテントオーバーレイの下でNetskopeへのブレイクアウトを設定するためのこのサービスを使用します。

   • Auto max BW enabled: アプライアンスに最大トンネル帯域幅を自動ネゴシエートさせるには、このオプションSelect 。

   • Max BW Kbps: Auto max BW enabledを選択した場合は利用できません。

   

7. IKEをクリック：

   • Pre-shared keyNetskopeのユーザーインターフェースに入力した事前共有キーを入力してください。

   • Authentication Algorithm: SHA2-256を選択してください。

   • Encryption AlgorithmNetskopeのユーザーインターフェースで選択した暗号化方式を選択してください。

   • Diffie-Hellman Group: 14を選択してください。

   • Rekey interval/lifetime: 残り時間は360分です。

   • Dead peer detection:

     • Delay time: 10秒のままにしておきます。

     • Retry countこのフィールドは変更できません。

   • Local IKE identifierNetskope UIに入力したソースIDを入力してください。

   • Remote IKE identifier: Netskope UIにコピーした主要なNetskope POPのIPSecゲートウェイIPアドレスを入力します。この例では、 163.116.205.38です。

   • Phase 1 mode: Aggressiveのままにしておく。

   • IKE Version: IKE v2を選択してください。

   

8. IPSecをクリック：

   • Authentication algorithm: SHA2-256を選択してください。

   • Encryption algorithm: autoを選択してください。

   • IPSec anti-replay window: 1024を選択してください。

   • Rekey interval/lifetime360分と0メガバイトを入力してください。

   • Perfect forward secrecy group: 2を選択してください。

   

9. Saveをクリックしてください。

10. バックアップIPSecトンネルを作成する手順を繰り返します。以下の項目を除き、同じ値です。

    • Aliasバックアップトンネルに固有の名前を入力してください。

    • Remote IPNetskope UIでコピーしたフェイルオーバーNetskope POPのIPSecゲートウェイIPアドレスを入力してください。

    • Peer/Service: バックアップトンネルにトラフィックを誘導するための新しいサービス名を入力してください。

    • Remote IKE IdentifierNetskope UIでコピーしたフェイルオーバーNetskope POPのIPSecゲートウェイIPアドレスを入力してください。

ルートポリシーの追加

IPSecトンネル経由でトラフィックを送信するには、ルーティングポリシーを追加する必要があります。

ルートポリシーを追加するには：

1. Configuration > Route Policiesへ移動してください。

   

2. クリックトンネルを設定したアプライアンス設置場所の隣に配置します。

   

3. Add Ruleをクリックしてください。

   

4. Priorityの下をクリックして低い値を入力すると、最初にルールが適用されます。

   

5. Set Actionsの下をクリックしてください。

   

6. Set Actionsウィンドウでは：

   • Destination Type: Passthrough Tunnelを選択してください。

   • Destination: 先ほど作成したプライマリIPSecトンネル名を選択してください。この例では、Netskope-Primary です。

   • Fallback: pass-throughのままにしておく。

   

7. Saveをクリックしてください。

8. Saveをクリックしてください。

ビジネスインテントオーバーレイポリシーの設定

Aruba EdgeConnect からプライマリおよびフェイルオーバーのNetskope POP への IPSec トンネルを作成した後、それらの IPSec トンネルを指すビジネス インテント オーバーレイ (BIO) を作成する必要があります。 アクセス制御リスト (ACL) を使用して、BIO ポリシーでNetskopeに転送するアプリケーションを指定します。

BIO ポリシーを作成するには:

1. Configuration > Business Intent Overlaysへ移動してください。

   

2. +Newをクリックしてください。

   

3. Create Overlayウィンドウに、オーバーレイの名前を入力します。

   

4. 作成したオーバーレイをクリックしてください。

   

5. Overlay ConfigurationウィンドウのMatchに対して、 Overlay ACLを選択してください。

6. クリック 。

7. Associate ACLウィンドウで、 Add RuleとSaveをクリックして、すべてに一致するACLを追加します。

   

8. SD-WAN Traffic to Internal Subnetsタブで、 Available InterfacesをBuild SD-WAN Using These Interfacesにドラッグして、プライマリインターフェイスとバックアップインターフェイスを設定します。

   

9. Breakout Traffic to Internet & Cloud Servicesタブで、 Available Policies隣に。

10. ServicesウィンドウのService Nameの下に、先ほど作成したプライマリおよびバックアップの IPSec トンネル名を入力し、 Addをクリックします。この例では、Netskope-Primary と Netskope-Backup です。

    

11. Saveをクリックしてください。

12. Breakout Traffic to Internet & Cloud Servicesタブで、 Available Policiesの下にあるプライマリおよびバックアップの IPSec トンネル名を、希望する順序でPreferred Policy Orderにドラッグします。

    

13. OKをクリックしてください。

14. Save and Apply Changes to Overlaysをクリックしてください。

15. Saveをクリックしてください。

BIO のルート ポリシーを追加する

1. Configuration > Route Policiesへ移動してください。

   

2. クリックトンネルを設定したアプライアンス設置場所の隣に配置します。

   

3. Add Ruleをクリックしてください。

   

4. Priorityの下をクリックして、前回のルーティングポリシーよりも大きな値を入力してください。

   

5. Set Actionsの下をクリックしてください。

   

6. Set Actionsウィンドウでは：

   • Destination Type: Overlayを選択してください。

   • Destination: 先ほど作成したBIOオーバーレイ名を選択してください。この例では、Netskopeです。

   • Fallback: dropを選択してください。

   

7. Saveをクリックしてください。

8. Saveをクリックしてください。

Aruba EdgeConnect SD-WANにおけるIPSecトンネルステータスの確認

Aruba EdgeConnect で IPSec トンネルの状態を確認するには、 Configuration > Tunnelsに移動します。プライマリトンネルとバックアップトンネルはup – activeステータスを表示します。