Zscaler-Integration

Voraussetzungen

• Für IPsec-Tunnel
• Für GRE-Tunnel

Konfigurieren der Zscaler-Tunnelbereitstellung

1. Navigieren Sie Juniper Mist Portal zu Secure Edge Connector auf der Ebene der WAN-Edge-Vorlagen, des Hub-Profils oder auf Standortebene.
2. Klicken Sie auf Anbieter hinzufügen.
3. Wählen Sie im Fenster "Anbieter hinzufügen " die Option Zscaler für die manuelle Bereitstellung aus.
4. Geben Sie die Details für die manuelle Bereitstellung von Tunneln durch Zscaler ein.
   1. F-oder IPsec-Tunnel
      Abbildung 2: Hinzufügen von Details für Zscaler-IPsec-Tunnel
      1. Name: Geben Sie den Namen des Service ein.
      2. Provider: Wählen Sie Zscaler aus.
      3. Protokoll: Wählen Sie als Protokoll IPsec aus.
      4. Lokale ID: Geben Sie die Anmelde-ID des Zscaler-Kontos an.
      5. Preshared Key: Geben Sie Preshared Key (PSK) an, der mit dem Zscaler-Konto erstellt wurde. Die Länge des PSK muss zwischen 6 und 255 Zeichen liegen.
      6. IP oder Hostname: IP-Adressen oder Hostname des Zscaler-DC. ( Siehe https://config.zscaler.com/zscalerbeta.net/cenr ). Wir empfehlen, die IP-Adresse des nächstgelegenen Datencenters zu Ihrem Gerätestandort hinzuzufügen.
      7. Test-IPs: Geben Sie die IP-Adresse der Probe ein. Sie können jede bekannte IP-Adresse verwenden (Beispiel: 8.8.8.8). Sie benötigen die IP-Adresse der Probe, um den Status des Zscaler-IPsec-Tunnels mithilfe von Stichproben zu überwachen.
      8. WAN-Schnittstelle: Weisen Sie WAN-Schnittstellen für die Bereitstellung von primären und sekundären Tunneln zu. Sie können mehrere WAN-Schnittstellen hinzufügen, wobei die erste Schnittstelle Vorrang hat. Wenn die erste Schnittstelle ausgefallen ist, verwendet das System die zweite Schnittstelle, um den Tunnel einzurichten.
      9. Modus: Wählen Sie die Option "Aktiv-Standby" aus.

      Konfigurieren Sie die Optionen für sekundäre Tunnel (optional). Geben Sie IP oder Hostname, Probe-IPs, WAN-Schnittstelle und Modus für den sekundären Tunnel ein.

   2. Für GRE-Tunnel:
      Abbildung 3: Details für Zscaler GRE-Tunnel hinzufügen
      1. Name: Geben Sie den Namen des Service ein.
      2. Provider: Wählen Sie Zscaler aus.
      3. Protokoll: Wählen Sie das Protokoll als GRE aus.
      4. IP oder Hostname: IP-Adressen oder Hostname des Zscaler-DC. ( Siehe https://config.zscaler.com/zscalerbeta.net/cenr ). Wir empfehlen, die IP-Adresse des nächstgelegenen Datencenters zu Ihrem Gerätestandort hinzuzufügen.
      5. Tunnel-IP: Statische IP-Adresse, die für den GRE-Tunnel erstellt wurde. Weitere Informationen finden Sie unter Konfigurieren von GRE-Tunneln.
      6. Test-IPs: Geben Sie die IP-Adresse der Probe ein. Sie können jede bekannte IP-Adresse verwenden (Beispiel: 8.8.8.8). Sie benötigen die IP-Adresse der Probe, um den Status des Zscaler-IPsec-Tunnels mithilfe von Stichproben zu überwachen.
      7. WAN-Schnittstelle: Weisen Sie WAN-Schnittstellen für die Bereitstellung von primären und sekundären Tunneln zu. Sie können mehrere WAN-Schnittstellen hinzufügen, wobei die erste Schnittstelle Vorrang hat. Wenn die erste Schnittstelle ausgefallen ist, verwendet das System die zweite Schnittstelle, um den Tunnel einzurichten.
      8. Modus: Wählen Sie die Option "Aktiv-Standby" aus.

      Geben Sie IP oder Hostname, Tunnel-IP, Probe-IPs und WAN-Schnittstelle für den sekundären Tunnel ein.

5. Klicken Sie auf Hinzufügen , um fortzufahren.

6. Fügen Sie auf der Seite WAN-Edge-Vorlagen oder auf der Seite WAN-Edge-Gerät ein Profil für die Datenverkehrssteuerung hinzu.

   Abbildung 4: Steuerungspfad für den Datenverkehr
   • Geben Sie die Details für den Pfad zur Verkehrssteuerung ein:
     • Name: Geben Sie einen Namen für das Profil für die Datenverkehrssteuerung ein.
     • Strategie: Wählen Sie eine Strategie aus. Sie können das Datenverkehrssteuerungsprofil mit einer beliebigen Strategie (geordnet/gewichtet/ECMP) konfigurieren, basierend auf Ihrer Topologie und Konfiguration.
     • Typ: Wählen Sie Secure Edge Connector aus.
     • Provider: Wählen Sie Zscaler aus.
7. Fügen Sie eine Anwendungsrichtlinie hinzu, um auf das von Ihnen erstellte Profil zur Datenverkehrssteuerung zu verweisen. Dieser Schritt ist erforderlich, damit Anbietertunnel wirksam werden. Um die Anwendungsrichtlinie zu erstellen, wechseln Sie im Juniper Mist Cloud-Portal zu Organisations - > WAN- > Anwendungsrichtlinie

   Die folgende Abbildung zeigt ein Beispiel für eine Anwendungsrichtlinie mit Datenverkehrssteuerung, die im vorherigen Schritt konfiguriert wurde.

   Abbildung 5: Anwendungsrichtlinien

Voraussetzungen

Für die automatische Bereitstellung von Zscaler-Tunneln benötigen Sie einen Partnerschlüssel und die Anmeldedaten des Partneradministrators im Zscaler-Portal.

1. Fügen Sie einen Partner-API-Schlüssel hinzu.

   1. Verwenden Sie Ihr Zscaler-Konto, um sich im Admin-Portal anzumelden.
   2. Wählen Sie Administration > Partnerintegrationen aus.
   3. Wählen Sie die Registerkarte SD-WAN aus.
   4. Klicken Sie auf Partnerschlüssel hinzufügen.
   5. Wählen Sie im Fenster Partnerschlüssel hinzufügen den Partnernamen aus einem Dropdown-Menü aus und klicken Sie auf Generieren.
      Abbildung 6: Auswahl der SD-WAN-Partnerintegration

2. Geben Sie die Anmeldeinformationen für den API-Zugriff an.

   1. Wechseln Sie zu Verwaltung > Rollenverwaltung > Partner-Administratorrolle hinzufügen.
   2. Konfigurieren Sie die folgenden Optionen:
      • Name: Name der Administratorrolle.
      • Zugriffskontrolle (Access Control) – Wählen Sie als Zugriffssteuerungstyp Vollständig aus.
      • Partnerzugriff: Wählen Sie den Typ der Zugriffskategorien für die Zugriffssteuerung aus (SD-WAN-API, Partnerzugriffsberechtigung).

      Weitere Informationen finden Sie unter Hinzufügen von Partner-Admin-Rollen .

3. Erstellen Sie ein Partnerkonto für SD-WAN Orchestrator. Dieser Admin-Benutzer (Benutzername/Passwort) wird speziell für die SD-WAN-Partnerauthentifizierung verwendet und unterscheidet sich vom Zscaler-Konto-Admin-Benutzer.

   1. Wählen Sie Verwaltung > Administratorverwaltung > Partneradministrator hinzufügen aus.
   2. Geben Sie Details wie Anmelde-ID, E-Mail-Adresse, Name, Partnerrolle und Passwort ein. Weitere Informationen finden Sie unter Hinzufügen von Partner-Admins .
4. Ermitteln Sie den Zscaler Cloud-Namen mit "Was ist mein Cloud-Name?".

Hinzufügen von Zscaler-Anmeldeinformationen im Juniper Mist Portal

1. Geben Sie Zscaler-Anmeldeinformationen in Juniper Mist Portal an, um Juniper Mist Cloud in Zscaler zu integrieren.
   • Wählen Sie Juniper Mist Portal Organisations - >Einstellungen aus.
   • Scrollen Sie nach unten zum Bereich Secure WAN Edge Integration und klicken Sie auf Anmeldeinformationen hinzufügen.
   • Geben Sie im Fenster "Anbieter hinzufügen " die Details ein.
     Abbildung 7: Hinzufügen von Anmeldeinformationen für Zscaler
     • Provider: Wählen Sie Zscaler aus.
     • E-Mail-Adresse: Geben Sie den Benutzernamen (E-Mail-Adresse) ein (Anmeldedaten für SD-WAN-Partnerbenutzer)
     • Kennwort: Geben Sie das Kennwort für den Benutzernamen ein.
     • Partnerschlüssel – Geben Sie den Partnerschlüssel ein, den Sie bei der Konfiguration Ihres Zscaler-Kontos erstellt haben.
     • Cloud-Name: Zscaler-Cloud-URL. Beispiel: zscalerbeta.net.
   • Klicken Sie auf Hinzufügen , um fortzufahren.

   Bei diesem Verfahren handelt es sich um einmalige Konfigurationen auf Organisationsebene. Für die automatische Bereitstellung der Zscaler-Tunnel über mehrere Standorte hinweg verwendet Juniper Mist Cloud die oben genannten Anmeldedaten für das jeweilige Unternehmen.

Konfigurieren der automatischen Tunnelbereitstellung von Zscaler

1. Navigieren Sie Juniper Mist Portal zu Secure Edge Connector auf WAN-Edge-Vorlagenebene oder auf Standortebene.
2. Klicken Sie auf Anbieter hinzufügen.
3. Wählen Sie im Fenster "Anbieter hinzufügen " die Option Zscaler (Auto) für die automatische Bereitstellung aus.
   Abbildung 8: Hinzufügen von Details für die automatische Bereitstellung des Zscaler-Tunnels

   Geben Sie die folgenden Details für die automatische Bereitstellung von Zscaler ein:

   • Name: Geben Sie den Benutzernamen des Zscaler-Kontos ein.
   • Provider: Wählen Sie Zscaler aus.
   • Probe-IPs: Geben Sie die Test-IP-Adresse (primär und sekundär) ein. Geben Sie eine beliebige bekannte IP-Adresse als Probe-IP ein. Beispiel: 8.8.8.8.
   • WAN-Schnittstelle: Weisen Sie WAN-Schnittstellen unter den Details des primären und sekundären Tunnels für die Bereitstellung von primären und sekundären Tunneln zu.
4. Klicken Sie auf Hinzufügen , um fortzufahren.

5. Fügen Sie auf der Seite WAN-Edge-Vorlagen oder auf der Seite WAN-Edge-Gerät ein Profil für die Datenverkehrssteuerung hinzu.

   Abbildung 9: Steuerungspfad für den Datenverkehr
   • Sie können einen neuen Pfad zur Verkehrssteuerung hinzufügen, indem Sie Folgendes auswählen:

     • Name: Geben Sie einen Namen für das Profil für die Datenverkehrssteuerung ein.

     • Strategie: Wählen Sie eine Strategie aus. Sie können das Datenverkehrssteuerungsprofil mit einer beliebigen Strategie (geordnet/gewichtet/ECMP) konfigurieren, basierend auf Ihrer Topologie und Konfiguration.

     • Typ: Wählen Sie Secure Edge Connector aus.

     • Provider: Wählen Sie Zscaler aus.

6. Fügen Sie eine Anwendungsrichtlinie hinzu, um auf das von Ihnen erstellte Profil zur Datenverkehrssteuerung zu verweisen. Dies ist erforderlich, damit die Bereitstellung von Provider-Tunneln wirksam wird. Um die Anwendungsrichtlinie zu erstellen, wechseln Sie im Juniper Mist Cloud-Portal zu Organisations - > WAN- > Anwendungsrichtlinie

   Die folgende Abbildung zeigt ein Beispiel für eine Anwendungsrichtlinie mit Datenverkehrssteuerung, die im vorherigen Schritt konfiguriert wurde.

   Abbildung 10: Anwendungsrichtlinien

   Wenn Sie einer Site eine Vorlage zuweisen, die mit der Option Zscaler (Auto) aktiviert ist, werden die folgenden Vorgänge ausgeführt:

   • Eine zugeordnete Zscaler-Site (Standortobjekt) wird automatisch erstellt. Sie können das Standortobjekt in Administration > Location Management im Zscaler-Portal anzeigen.

     Abbildung 11: Im Zscaler-Portal erstellter Speicherort

   • Die für die Tunnelerstellung erforderlichen Daten werden zwischen Juniper Mist Cloud und Zscaler ausgetauscht.

   • Tunnel werden vom Gerät bis zum nächstgelegenen Point-of-Presence (POP) im Netzwerk mit Strom versorgt.

Verify Juniper Secure Edge Tunnels

Auf Juniper Mist Portal können Sie die eingerichteten Tunneldetails in WAN Insights des Geräts überprüfen, sobald das Ereignis " Automatische Bereitstellung des WAN-Edge-Tunnels erfolgreich " unter "WAN-Edge-Ereignisse" angezeigt wird.

Abbildung 12: WAN-Edge-Ereignisse

Details zum Status der eingerichteten Tunnel finden Sie auf der Seite WAN-Edge-> WAN-Edge-Einblicke Juniper Mist Cloud-Portal.

Abbildung 13: Status der Tunnel in WAN Edge Insights

Abbildung 14: Eingerichtete sichere Edge-Tunnel

Sie können die eingerichteten Tunnel im Juniper Security Director Cloud-Dashboard und am Servicestandort überprüfen.

Einstellungen für die automatische Bereitstellung von Secure Edge Connector

Sie können Gateway-Optionen pro Zscaler-Standort in den Einstellungen für die automatische Bereitstellung von Secure Edge Connector im Juniper Mist-Portal konfigurieren. Diese Einstellungen bieten zusätzliche Steuerelemente für die Konfiguration verschiedener Datenverkehrsregeln und -richtlinien, und es handelt sich um optionale Parameter.

1. Wählen Sie Juniper Mist Portal Organisations - > WAN-Edge-Vorlagen aus, oder wählen Sie WAN-Edges > WAN-Edges > WAN-Edge-Name aus.

2. Scrollen Sie nach unten zu Secure Edge Connectors.
3. Wählen Sie Zscaler (Auto) als Secure Edge Connector aus. Im Bereich Einstellungen für die automatische Bereitstellung von Secure Edge Connector können Sie die Gateway-Optionen definieren.

Abbildung 15: Einstellungen für die automatische Bereitstellung von Secure Edge Connector

• XFF aus Client-Anforderung verwenden: Aktivieren Sie diese Option, wenn dieser Standort eine Proxy-Verkettung verwendet, um Datenverkehr an den Zscaler-Service weiterzuleiten.
• Authentifizierung erzwingen: Aktivieren Sie diese Option, wenn Sie Benutzer von diesem Standort aus authentifizieren möchten.
• Vorsicht aktivieren – Stellen Sie das Warnintervall auf mehr als eine Minute ein, um eine Warnbenachrichtigung für nicht authentifizierte Benutzer anzuzeigen. Verwenden Sie diese Option, wenn Sie die Option Authentifizierung erzwingen deaktiviert haben.
• AUP aktivieren: Aktivieren Sie diese Option, um die Nutzungsrichtlinie (Acceptable Use Policy, AUP) für nicht authentifizierten Datenverkehr anzuzeigen und die Annahme durch die Benutzer anzuordnen. Verwenden Sie diese Option, wenn Sie Authentifizierung erzwingen deaktiviert haben.
• Firewall-Steuerung erzwingen: Aktivieren Sie die Optionen für die Firewall-Steuerung.
• Bandbreitensteuerung: Erzwingt die Bandbreitensteuerung für den Standort. Sie können die maximalen Bandbreitenlimits für Uploads und Downloads festlegen.

Zscaler Auto-Tunnel-Bereitstellung mit Unterstandorten

Juniper Mist unterstützt die Konfiguration und Bereitstellung von Zscaler-Unterstandorten. Ein Zscaler-Unterstandort ist eine untergeordnete Entität des Standortobjekts. Standorte identifizieren die verschiedenen Netzwerke, von denen aus Ihre Organisation den Internetdatenverkehr sendet. Unterstandorte können für bestimmte Anwendungsfälle verwendet werden. Beispielsweise kann eine Organisation einen Zscaler-Unterstandort für ihr Unternehmensnetzwerk und einen weiteren Unterstandort für ihr Gastnetzwerk definieren, selbst wenn ihr Datenverkehr denselben IPsec-Tunnel durchläuft.

Die Organisation nutzt die Unterstandorte für Folgendes:

• Implementieren verschiedener Richtlinien basierend auf IP-Adressen.
• Erzwingen Sie die Authentifizierung für das interne Unternehmensnetzwerk und deaktivieren Sie sie für das Gastnetzwerk.
• Erzwingen Sie die Bandbreitensteuerung für Unterstandorte und stellen Sie gleichzeitig sicher, dass ungenutzte Bandbreite für den übergeordneten Standort verfügbar bleibt.

Juniper Mist unterstützt die Bereitstellung von Unterstandorten als Teil des Tunnelorchestrierungsprozesses, und Sie können die Optionen für Unterstandorte über das Mist Portal definieren.

So konfigurieren Sie Zscaler-Unterstandorte:

1. Wählen Sie Juniper Mist Portal Organisations - > WAN-Edge-Vorlagen aus, oder wählen Sie WAN-Edges > WAN-Edges > WAN-Edge-Name aus.

2. Scrollen Sie nach unten zu Secure Edge Connectors.
3. Wählen Sie Zscaler als Secure Edge Connector aus. Der Unterstandort für den Standort wird unter der Option Einstellungen für die automatische Bereitstellung von Secure Edge Connector angezeigt.
   Abbildung 16: Hinzufügen eines Unterstandorts
4. Klicken Sie auf Unterstandort hinzufügen , um den neuen Unterstandort zu definieren.

   Die Option "Unterstandort hinzufügen " ist nur verfügbar, wenn Sie Zscaler als Secure Edge Connector auswählen.

5. Legen Sie im Fenster Unterstandort hinzufügen die Einstellungen für den Unterstandort fest.
   Abbildung 17: Einstellungen für Unterstandorte

   • Netzwerk: Wählen Sie ein vorhandenes Netzwerk aus dem Dropdown-Feld aus.

   • Authentifizierung erzwingen: Um Benutzer von diesem Speicherort aus zu authentifizieren.
   • Vorsicht aktivieren – Zeigt eine Warnbenachrichtigung für nicht authentifizierte Benutzer an. Verwenden Sie diese Option, wenn Sie die Option Authentifizierung erzwingen deaktiviert haben.
   • AUP aktivieren: Aktivieren Sie diese Option, um die Nutzungsrichtlinie (Acceptable Use Policy, AUP) für nicht authentifizierten Datenverkehr anzuzeigen und die Annahme durch die Benutzer anzuordnen. Verwenden Sie diese Option, wenn Sie Authentifizierung erzwingen deaktiviert haben. Die benutzerdefinierte AUP-Häufigkeit muss eine Zahl zwischen 1 und 180 sein.
   • Firewall-Steuerung erzwingen: Aktivieren Sie die Optionen für die Firewall-Steuerung.
   • Bandbreitensteuerung: Erzwingt die Bandbreitensteuerung für den Standort. Sie können die maximalen Bandbreitenlimits für Uploads und Downloads festlegen. Die Upload- und Downloadbandbreite muss eine Zahl zwischen 0,1 und 99999 sein.

Unterstandorte im Zscaler-Portal anzeigen

Sie können den neu erstellten Unterstandort in Administration > Location Management im Zscaler-Portal anzeigen. Wenn Sie auf der Seite Standorte auf die Nummer des Unterstandorts in der Tabelle klicken, werden die Unterstandorte für den Standort angezeigt.

Abbildung 18: Anzeigen des konfigurierten Unterstandorts im Zscaler-Portal

Abbildung 19: Anzeigen anderer Unterstandorte im Zscaler-Portal