Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

ジュニパー Secure Edge を使用した Secure Edge コネクタの設定(手動)

このトピックでは、ジュニパー® Secure Edge を使用して Secure Edge Connector を手動でプロビジョニングするためのワークフローのすべてのステップについて概説します。

ジュニパー Mist クラウドは、ジュニパー セキュア エッジ(JSE)と統合して、WAN Edge デバイスからのトラフィックを検査します。Mistのセキュアエッジコネクター設定により、WANエッジデバイスとして展開されたセッションスマートルーターとSRXシリーズファイアウォールは、トラフィックの一部をJSEに送信して検査することができます。

Secure Edgeの機能はJuniper Security Directorクラウドによって管理され、シングルユーザーインターフェイス(UI)で提供されるジュニパーのシンプルでシームレスな管理エクスペリエンスが得られます。

詳細については、「 ジュニパーセキュアエッジ」を参照してください。

構成の概要

このタスクでは、トラフィックがインターネットに到達する前に、スポークまたはハブデバイスの LAN 側から Secure Edge にインターネットバウンドのトラフィックを送信して検査します。

次の表のトピックでは、MistクラウドをJSEと統合し、Secure Edgeコネクタを介してWAN Edgeデバイスのトラフィックを検査するために完了する必要があるタスクについて説明します。タスクが一覧表示される順序は、ワークフローを完了するために従う必要がある一連の手順を表しています。

表1:Secure Edge Connectorの設定ワークフロー
ステップ タスク 説明
1 Juniper Security Director Cloudにアクセスしてアクティブなサブスクリプションを確認する Juniper Security Director Cloudにアクセスし、組織アカウントに移動し、Secure Edgeサブスクリプションを確認します。サブスクリプションでは、導入向けにSecure Edgeサービスを設定できます。
2 Juniper Security Director Cloudでサービスロケーションを設定する

サービスロケーションを作成します。ここでVPNゲートウェイは、異なるネットワーク間の安全な接続を作成します。
3 Juniper Security Director Cloudでデバイス証明書を生成する ジュニパー Secure Edge のデジタル証明書を生成して、Secure Edge とユーザー エンドポイント間のセキュアな通信を確立します。
4 Juniper Security Director CloudでIPsecプロファイルを作成する IPsecプロファイルを作成して、Secure Edgeインスタンスを使用してMistクラウドネットワーク上のWANエッジデバイス間の通信のためのIPsecトンネルを確立します。
5 Juniper Security Director Cloudでサイトを作成する WANエッジデバイスをホストするサイトを作成します。デバイスからのトラフィックは、検査のためにセキュアなトンネルを介してSecure Edgeインスタンスに転送されます。
6 Juniper Security Director CloudにSecure Edgeポリシーを展開する サイトから発信されるトラフィック、またはサイトを宛先とするトラフィックに対するセキュリティルールとアクションを定義するポリシーを設定します。
7 Juniper Security Director Cloudに適用するIPsecトンネル設定パラメータを取得する サービスロケーションのIPまたはホスト名、IPsecプロファイル名、事前共有キーなどの詳細を書き留めます。ジュニパー Mist側からIPsecトンネルを設定するには、これらの詳細が必要です。
8 Juniper Mist CloudポータルでSecure Edge Connectorを作成する MistポータルでSecure Edgeコネクタを作成します。このタスクでは、Mistによって管理されるWAN EdgeデバイスとSecure Edgeインスタンスの間にIPsecトンネルを確立するMistクラウド側のトンネル設定を完了します。
9 アプリケーションポリシーの変更 新しいアプリケーションポリシーを作成するか、ポリシーを編集して、(一元アクセスのためにハブを経由するのではなく)Juniper Security Director Cloudを介してWANエッジデバイスからインターネットにトラフィックを誘導します。
10 Mistからジュニパー Secure EdgeへのIPsecトンネルの検証(手動) 次で確立されたIPsecトンネルをチェックインして、設定が機能していることを確認します。
  • MistポータルのWANインサイト
  • Security Director Cloudダッシュボード
  • WANエッジデバイスCLI上のトンネルトラフィックフロー

始める前に

Juniper Security Director Cloudにアクセスしてアクティブなサブスクリプションを確認する

ジュニパー Secure Edgeのテナントは、Juniper Security Director CloudポータルにアクセスしてSecure Edgeサービスを管理するために作成する組織アカウントです。テナントは、一意の電子メールアドレスとサブスクリプションプランに関連付けられます。テナントには複数のサービスロケーションを含めることができます。

テナントは、1つ以上のサービスロケーションを持つことができます。これらはエンドユーザーの接続ポイントです。テナントを作成するには、Juniper Security Director Cloudのアカウントが必要です。詳細については、「 Secure Edgeテナントの作成 」を参照してください。

SD-CloudポータルでSecure Edgeテナントを作成したら、ポータルにアクセスしてサブスクリプションを確認します。

Juniper Security Director Cloudにアクセスしてアクティブなサブスクリプションを確認するには:

  1. Juniper Security Director CloudへのURLを開きます。電子メールアドレスとパスワードを入力してポータルにログインします。
  2. ポータルの右上隅にある必要なテナントを選択して続行します。
  3. [Admin > Subscriptions]を選択して、Security Director Cloudサブスクリプションページにアクセスします。
  4. Secure Edge Subscriptionsセクションまでスクロールして、アクティブなサブスクリプションがあるかどうかを確認します。
    注:ジュニパー® SRXシリーズファイアウォールを使用している場合でも、 SRX管理サブスクリプションタブをクリックする必要はありません。このタスクでは、Security Director Cloud を WAN Edge デバイスの管理に使用しません。

    詳細については、「 サブスクリプションページについて」を参照してください。

    アクティブなサブスクリプションがあると仮定して、次の手順に進みます。

サービスロケーションの設定

Juniper Security Director Cloudのライセンスがアクティブであることを確認したら、サービスの場所を設定します。このタスクは、WAN Edgeデバイス用のSecure Edgeコネクタを設定する最初のステップです。

Juniper Security Director Cloudのサービスロケーションは、POP(ポイントオブプレゼンス)とも呼ばれ、クラウドロケーション内のジュニパーセキュ®アエッジインスタンスを表します。サービスロケーションは、オンプレミスユーザーとローミングユーザー両方の接続(アクセス)ポイントです。

サービスロケーションで設定したパブリックIPアドレス(テナントおよびサービスロケーションごとに一意)は、以下の目的で使用されます。

  • 支社/拠点デバイスとJuniper Security Director Cloudの間にIPsecトンネルを設定します。

  • 宛先がインターネット上にある場合、トラフィックを一元的に分散します。

Juniper Security Director Cloudでサービスロケーションを設定するには:

  1. Juniper Security Directorクラウドメニューで、セキュアエッジ>サービスロケーションを選択します。

    サービスロケーションページが表示されます。

  2. 追加(+)アイコンをクリックして、新しいサービスロケーションを作成します。
    表2:サービスロケーションの詳細
    フィールド 値
    名前 わかりやすい名前を入力します。
    ロケーション1 Secure Edgeの場所(POP)を選択します。この場所が属する地理的地域は、POPが属する地域として自動的に選択されます。
    ロケーション2 Secure Edgeの2番目の場所(POP)を選択します。この場所が属する地理的領域が自動的に選択されます。
    サブスクリプション +をクリックして新しいサブスクリプションを追加するか、既存のサブスクリプションから選択します。
    ユーザー合計数 このサービスロケーションがサービスを提供する必要のあるユーザーの合計数を入力します。これは、選択したサブスクリプションに基づいて自動的に設定されます。
  3. OKをクリックします。

    Security Director Cloudによってサービスロケーションが作成され、 サービスロケーション ページに一覧表示されます。

    Secure Edgeインスタンスが完全に導入されるまで、サービスロケーションのステータスは 進行中 と表示されます。 この処理が完了するまでに少し時間がかかることがあります。

    サービスロケーションを作成する場合、それは顧客ごとに一意になります。インスタンスは他のテナントと共有されません。

Juniper Security Director Cloudでデバイス証明書を生成する

Juniper Security Director Cloudでサービスロケーションを設定したので、オプションでSSL復号化用のデバイス証明書を生成することができます。

トランスポート層セキュリティ/セキュアソケット層(TLS/SSL)証明書を使用して、クライアントとジュニパーセキュアエッジ間のセキュアな通信を確立することを選択した場合。SSLプロキシを使用するには、ネットワーク上のすべてのクライアントブラウザがWANエッジデバイスによって署名された証明書を信頼する必要があります。

Juniper Security Director Cloudでは、証明書を生成するために以下の選択肢があります。

  • 新しい証明書署名要求(CSR)を作成すると、独自の認証機関(CA)がCSRを使用して新しい証明書を生成できます。

  • ジュニパーネットワークスに証明書を作成してもらうオプションを選択します。

注:

このトピックでは、TLS/SSL証明書を生成する方法について説明します。証明書をインポートして使用する方法は、会社のクライアント管理要件によって異なり、このトピックの範囲外です。

Juniper Security Director Cloudでデバイス証明書を生成するには:

  1. 証明書管理>セキュアエッジを選択します。

    証明書管理ページが表示されます。

    生成ドロップダウンリストから、新しい証明書署名要求(CSR)またはジュニパーが発行した証明書を生成できます。

  2. 関連するオプションを選択します。
    1. 会社に独自の CA があり、CSR を生成する場合は、[証明書署名要求] をクリックします。

      ジュニパーセキュアエッジがCSRを生成した後、CSRをダウンロードし、CAに送信して新しい証明書を生成します。生成されたら、 アップロード をクリックして、証明書管理ページに証明書をアップロードします。

    2. 会社に独自のCAがない場合は、[ジュニパー発行証明書]をクリックし、[生成]をクリックします。ジュニパーネットワークスが証明書を生成し、システム上に保持します。
      このタスクでは、 ジュニパー発行証明書 を選択し、次のステップに進みます。
  3. 証明書の詳細を入力します。[共通名] フィールドで、証明書の完全修飾ドメイン名 (FQDN) を使用します。

    証明書管理ページが開き、証明書が正常に作成されたことを示すメッセージが表示されます。

  4. リストから証明書を選択し、ダウンロードをクリックして生成された証明書をダウンロードします。

    次のサンプルは、ダウンロードした証明書を示しています。

    証明書をシステムにダウンロードした後、クライアントブラウザに証明書を追加します。

Juniper Security Director CloudでIPsecプロファイルを作成する

証明書を生成してジュニパー Secure Edge と WAN Edge デバイス間の安全な通信を確立したら、IPsec プロファイルを作成する準備が整います。

IPsecプロファイルは、Mist内のWANエッジデバイスがSecure Edgeインスタンスと通信を開始するときにIPsecトンネルが確立されるパラメーターを定義します。

Juniper Security Director CloudでIPsecプロファイルを作成するには:

  1. Juniper Security Director Cloudポータルで、セキュアエッジ>IPsecプロファイルを選択します。
  2. 追加(+)アイコンをクリックして、IPsecプロファイルを作成します。
    IPsecプロファイルの作成ページが表示されます。
  3. プロファイル名にはdefault-ipsecを使用します。Internet Key Exchange(IKE)とIPsecのすべてのデフォルト値を保持します。現在、Mistポータルでは設定できません。

    このIPsecプロファイルを使用して、次のタスクでサイトを作成します。 サイトの作成 ページのトラフィックフォワーディングタブでトンネルタイプとしてIPsecを選択すると、IPsecプロファイルがアタッチされます。

ジュニパーセキュアエッジクラウドでサイトを作成する

これで、Mist クラウド上のWAN EdgeデバイスとSecure Edgeインスタンス間のIPsecトンネルのパラメーターを定義するIPsecプロファイルが作成されました。

この時点で、Juniper Security Director Cloudにサイトを作成する必要があります。サイトは、WANエッジデバイスをホストする場所を表します。WANエッジデバイスからのトラフィックは、セキュアなトンネルを介してセキュアエッジインスタンスに転送され、セキュアエッジクラウドサービスによって検査と適用されます。

この設定では、サイトのWANエッジデバイスから、GRE(汎用ルーティングカプセル化)またはIPsecトンネルを介して、顧客サイトからのインターネットバウンドトラフィックの一部または全部をジュニパーセキュアエッジクラウドに転送することを選択できます。

注:

支社/拠点でステートフルファイアウォールを使用する場合、重複する支社/拠点アドレスは、Secure Edge内の同じPOPにはサポートされません。これらの重複するIPへのリバースパストラフィックは、すべての接続で等価コストマルチパス(ECMP)を使用してルーティングされます。トラフィックは、トラフィックの発信元であるインターフェイスへのセッション単位のルーティングではなく、ECMPを使用してルーティングされます。サイトに保護されたネットワークを設定する際には、ECMPを介したリバースパストラフィックを検討してください。

Juniper Security Director Cloudでサイトを作成するには:

  1. Juniper Security Director Cloudポータルで、[Secure Edge >Service Sites]を選択します。
  2. プラス(+)アイコンをクリックしてサイトを作成します。
  3. 設定を入力します。
    表3:サイトの作成 - サービスロケーションの詳細
    フィールド 値
    サービスロケーションA オンプレミスサイトに接続するプライマリロケーションを選択します。これは、 以前にサービスロケーションの設定で設定したロケーションの1つです。
    サービスロケーションB オンプレミスサイトに接続するセカンダリロケーションを選択します。これは、以前に設定したロケーションの1つです。
    ユーザー数 サイトでネットワークを使用できるユーザの数を入力します。
    表4:サイトの作成 - サイトの詳細
    フィールド 値
    名前 一意のサイト名を入力します。
    説明 一意のサイト説明を入力します。
    国名 サイトがあるリストから対応する国を選択します。
    郵便番号(任意) 顧客支店がある郵便番号を入力します。
    サイトアドレス(オプション) サイトの場所(番地)を入力します。
    保護されたネットワーク 追加(+)アイコンをクリックして、トンネルを通過するトラフィックフローに使用するインターフェイスのプライベートIPアドレス範囲を追加します(例:10.99.99.0/24、LANネットワークIPアドレス)。

  4. 次へをクリックします。
  5. トラフィックフ ォワーディングページで、設定を入力します。次に、チェックマークをクリックします。
    表5:トラフィックフォワーディングポリシーのインターフェイスの詳細
    フィールド 値
    CPE名 CPEデバイスの名前など、わかりやすい名前を入力します。
    インターフェース名 インターフェイスの名前を選択します。
    トンネルタイプ IPsec
    IPアドレスの種類 動的IPアドレスまたは静的IPアドレスを選択します。
    IKE ID site1@example.com(メールアドレスに似ており、サイトごとに一意の値である必要があります)。
    外部インターフェース 外部インターフェース名を入力します。外部インターフェイスがデバイスをインターネット/ネットワークに接続します。ge-0/0/0.0 がデフォルト値です。

  6. IPsecプロファイル名を選択し、事前共有キーを入力してリモートアクセスユーザーを認証します。次に、[OK] をクリックします。
    表6:トラフィックフォワーディングポリシーの追加詳細
    フィールド 値
    IPsecプロファイル名 デフォルト-ipsec

    IPsecプロファイルが事前設定されていない場合は、新規作成をクリックしてIPsecプロファイルを作成します。
    事前共有キー

    サイトごとに固有のPSKを定義します。例:ジュニパー!1
  7. 次へをクリックします。
  8. CPE設定ページで、前の手順で作成したCPEを選択し、右上の鉛筆をクリックします。CPEデバイスは非ジュニパーデバイスであることに留意してください。
    表7:トラフィックフォワーディングポリシーのCPE設定
    フィールド 値
    CPE名 これは、以前に設定したものに基づいてデフォルト設定されます。
    インターフェイス これは、以前に設定したものに基づいてデフォルト設定されます。
    IPsecプロファイル名 これは、以前に設定したものに基づいてデフォルト設定されます。
    事前共有キー

    これは、以前に設定したものに基づいてデフォルト設定されます。
    プライマリサービスロケーション リストから、サイトCPEデバイスからジュニパーセキュアエッジに送信されたトラフィックを主に処理するサービスロケーションを選択します。
    トンネルシード 1〜1000のトンネルシード番号を入力します。この番号が、Junos OS CLI トンネル インターフェイス識別子を決定します。デフォルトは 1 です。
    トンネルセキュリティゾーン 信頼または信頼できないトンネルゾーンのタイプを入力します。信頼がデフォルトです。
    外部インターフェースゾーン 信頼できるまたは信頼できない外部インターフェイスのゾーンタイプを入力します。信頼できないことがデフォルトです。
    トンネルルーティングインスタンス トンネルの宛先アドレスを含むルーティングインスタンスを入力します。設定にルーティングインスタンスがない場合、このフィールドを空白のままにします。

  9. チェックマークをクリックし、[次へ]をクリックします。
  10. 概要ページで、設定を確認します。
  11. 戻るをクリックしてフィールドを編集します。それ以外の場合は、[完了] をクリックして新しいサイトを作成します。
  12. 同じ手順で、さらに2つのサイトを追加します。以下の表は、役立つ詳細の例を示しています。
    1. 2 つ目のサイトを作成します。
      表8:2番目のサイトのサイト作成(サンプル)
      フィールド 値
      サービスロケーションA JSEC-オレゴン
      サービスロケーションB JSEC-オレゴン
      ユーザー数 10
      名前 スポーク2サイト
      国名 ドイツ
      保護されたネットワーク 10.88.88.0/24(LANネットワーク)
      表9:セカンドサイトのトラフィックフォワーディング(サンプル)
      フィールド 値
      トンネルタイプ IPsec
      IPアドレスの種類 動的
      IKE ID site2@example.com(電子メールアドレスに似ており、サイトごとに一意の値である必要があります)。
    2. 3 つ目のサイトを作成します。
      表10:3番目のサイトのサイト作成(サンプル)
      フィールド 値
      サービスロケーションA JSEC-オレゴン
      サービスロケーションB JSEC-オハイオ州
      ユーザー数 10
      名前 スポーク3サイト
      国名 ドイツ
      保護されたネットワーク 10.77.77.0/24(LANネットワーク)
      表11:第3サイトのトラフィックフォワーディング(サンプル)
      フィールド 値
      トンネルタイプ IPsec
      IPアドレスの種類 動的IPアドレス
      IKE ID site3@example.com(メールアドレスに似ており、サイトごとに一意の値である必要があります)。
  13. 作成したサイトのリストが表示された概要ページを確認します。誤った入力があれば修正します。

Juniper Security Director CloudにSecure Edgeポリシーを展開する

Juniper Security Director Cloudにサイトを作成したので、次は1つ以上のジュニパー® Secure Edgeポリシーを展開します。

Secure Edgeポリシーは、ネットワークがトラフィックをルーティングする方法を指定します。デフォルトでは、新しいテナントを作成すると、Security Director Cloudによって事前定義されたルールを含むSecure Edgeポリシールールセットが作成されます。

注:

デフォルトのルールセットを変更しない場合でも、 展開オプションを使用して サービスロケーションでルールを読み込む必要があります。

Juniper Security Director CloudにSecure Edgeポリシーを展開するには:

  1. Juniper Security Director Cloudポータルで、Secure Edge>Secure Edgeポリシーをクリックします。

    Secure Edgeポリシーページが表示され、デフォルトのルールが含まれています。デバッグを改善するために、デフォルトのセキュリティポリシーセットを変更します。デフォルトのルールセットでは、インターネットへのICMP pingが許可されていないため、クラウドを介したpingができません。

  2. 追加(+)アイコンをクリックしてルールを作成するか、既存のルールを選択して鉛筆アイコンをクリックして編集します。
  3. 新しいルールにルール名Allow-ICMPを付けます。
  4. 追加 (+)をクリックしてソースを追加します。
    [ソース] で、次のデフォルト値を使用します。

    • アドレス—任意

    • ユーザーグループ—すべて

  5. 宛先を追加するには、追加(+)をクリックします。
    宛 先で、 アドレスで、デフォルト値の任意を使用します。
  6. アプリケーション/サービスで、以下の値を設定します。

    • アプリケーション—すべて

    • サービス—特定(検索経由)

    • 特定サービス—icmp-all

    右矢印(>)を使用して、 特定のservice=icmp-all を右側のペインに移動してアクティブにし、 OKをクリックします。

  7. アクションを許可に設定し、残りのフィールドのデフォルト値を保持します。
  8. チェックマークをクリックします。

    新しいルールはルールリストの一番下に配置され、このルールはルールセットの最後のルールとして扱われます。ルールがグローバルルール(すべてのトラフィックを拒否する)の後に配置された場合、グローバルルールがそれ以降のトラフィックをすべて停止するため、ルールは適用されません。

    必要に応じて、ルールを選択してルールの位置を変更できます。次に、[ More > Move > Move Top ] オプションを使用して、選択したルールをルール セットの先頭に移動します。ルールをルールセットの先頭に移動すると、システムが最初にこのルールを適用するようになります。

    注:

    ルールセットを変更するときは、必ず 展開 ボタンを使用してタスクを完了してください。それ以外の場合、サービスロケーションは引き続き古いルールセットを使用します。

  9. 展開をクリックします。
  10. 表示 される [展開] ウィンドウで、[ 今すぐ実行 ] オプションをオンにし、[ OK] をクリックします。

    サービスロケーションは、数分後に更新されたルールセットを受信します。

  11. 管理>ジョブを選択して、展開されたジョブのステータスと進行状況を表示します。

Juniper Security Directorクラウドに適用するIPsecトンネル設定パラメーターを収集する

前のタスクでは、Secure EdgeにIPsecトンネルを設定するためのいくつかのアクションを完了しジュニパー Juniper Security Director CloudにSecure Edgeポリシーを展開しました。Security Director Cloudの最後のステップは、各サイトの構成データを収集することです。このステップでは、作成したサイトの詳細をメモします。

注:

Juniper Security Director CloudとMistクラウド間で同期するための自動設定プッシュオプションは利用できません。

Juniper Security Director Cloudに適用するIPsecトンネル設定パラメーターを取得するには:

  1. Juniper Security Directorクラウドポータルで、セキュアエッジ>サービスサイトを選択します。サイトページが開き、展開されたサイトの詳細が表示されます。
  2. 各スポークサイトを展開し、トンネル設定の下にある表示をクリックします。詳細については、設定概要タブを確認してください。

    次のステップで使用する、 ジュニパー Mist ポータルで Secure Edge Connector を作成する詳細をメモします。

    • 事前共有キー

    • ローカルID

    • 各サービスロケーショントンネルのIPアドレスとリモートID

    次のサンプルは、「 ジュニパー Secure Edge Cloud でサイトを作成」で作成した 3 つのサイトすべての抽出された情報を示しています。

    以下のサンプルは、サイト 2 の情報を抽出したものです。

    以下のサンプルは、サイト 3 の情報を抽出したものです。

    Mist クラウドポータルでトンネルを設定する際には、これらのサイトの詳細が必要になることに注意してください。

ジュニパー MistポータルでSecure Edge Connectorを作成する

ジュニパー Mist™ に導入されている WAN Edge デバイス用の Secure Edge コネクタを設定するという最終目標のほぼ半分まで進みました。

Secure Edge Connectorは、Mistポータルで作成します。このタスクでは、Mistクラウド側のトンネル設定を完了し、MistとSecurity Director Cloudによって管理されるWANエッジデバイス間にIPsecトンネルを確立します。コネクタを作成する前に、サイトにWANエッジデバイスが展開されていることを確認します。

MistポータルでSecure Edgeコネクタを作成するには:

  1. 左側のメニューから、[WAN Edges]> [WAN Edges]をクリックします。

    WANエッジページには、サイトの詳細が表示されます。

  2. デバイスをクリックし、Secure Edge Connectorsまで下にスクロールします。
  3. Secure Edge Connectorsペインで、プロバイダーの追加をクリックします。
  4. Secure Edgeコネクタの詳細を入力します。これらは、「Juniper Security Directorクラウドに適用するIPsecトンネル設定パラメータの収集」で収集した詳細と同じであることを忘れないでください。
    表12:Secure Edgeコネクタの詳細(サンプル)
    フィールド 値
    名前 サイト1からSDクラウドへ
    プロバイダー ジュニパーセキュアエッジ
    ローカルID site1@example.com
    事前共有キー ジュニパー!1(例)
    プライマリ
    IPまたはホスト名 これは、Juniper Security Director Cloudトンネル設定からのIPアドレスです。
    プローブIP プローブIP値を 入力する必要はありません。 IPsecトンネルは、GREのような追加の監視を必要としません。
    リモートID これは、Juniper Security Director Cloud トンネル設定からのリモートIDです(例:<UUID>.jsec-gen.juniper.net)。
    WANインターフェイス

    • WAN0=INET

    • WAN1=MPLS
    セカンダリ
    IPまたはホスト名 <IPアドレス>(Juniper Security Director Cloud トンネル設定から)
    プローブIP プローブIP値を 入力する必要はありません。 IPsecトンネルは、GREのような追加の監視を必要としません。
    リモートID <UUID>.jsec-gen.juniper.net(Juniper Security Director Cloud トンネル設定から)
    WANインターフェイス

    • WAN0=INET

    • WAN1=MPLS
    モード アクティブ/スタンバイ

    注:

    セッションスマートルーターベースのSecure Edge設定でICMP プローブIPを有効にし ないでください。ICMPプローブは、ルーティング不可能なIPアドレスからSecure Edgeに送信され、ポリシーにより破棄されます。また、送信元アドレスがすべてのブランチで重複している場合、プローブIPアドレスを持つ複数のブランチへのルーティングはサポートされません。
  5. Mistポータルに、設定したばかりのSecure Edgeコネクタが表示されていることを確認します。

トラフィックステアリングの設定

トラフィックステアリングルールを設定して、アプリケーショントラフィックが宛先に到達するまでにたどることができるパスを定義します。このトラフィックステアリングルールは、次のステップで作成するアプリケーションポリシーに適用します。 トラフィックステアリングルールを参照してください。

  1. WANエッジテンプレートまたはWANエッジデバイスに新しいトラフィックステアリングパスを追加します。
    表13:トラフィックステアリングパス設定(サンプル)
    フィールド 値
    名前 クラウド
    戦略 注文済み
    パス パスを追加
    タイプ セキュアエッジコネクタ
    プロバイダー ジュニパー セキュア エッジ(IPsec のみ)
    名前 サイト1からSDクラウドへ
  2. パスの追加タイトルバーの青いチェックマークをクリックし、追加をクリックしてトラフィックステアリングを保存します。

アプリケーションポリシーの変更

次のステップは、ブランチデバイス上のアプリケーションポリシーを変更することです。例えば、スポークデバイスからハブデバイスへのトラフィックを許可できます。VPNトンネル内のスポークからスポークへのトラフィックを許可することもできます。そうすれば、中央ブレイクアウトのためにスポークからハブにトラフィックを送信するのではなく、スポークからJuniper Security Director Cloudを介してインターネットにトラフィックを送信できます。

  1. WANエッジテンプレートまたはWANエッジデバイスページでアプリケーションポリシーを追加または編集します。アプリケーションポリシーを参照してください。
  2. 先ほど作成したトラフィックステアリングポリシーを追加します。この例では、最後のルールでトラフィックステアリングがクラウドに変更されています。
    注:

    WANエッジデバイスページからアプリケーションポリシーを作成する場合は、要件に応じて テンプレート設定の上書き オプションを選択する必要がある場合があります。
  3. 変更を保存します。Mistクラウドは、Juniper Security Director Cloudへの新しいトンネルを構築するようになりました。
次のセクションを参照して、前の手順で作成したトンネルを介してトラフィックが期待どおりにルーティングされていることを確認します。Mist クラウドは、インターネットバウンドのトラフィックをスポークから Juniper Security Director Cloud にルーティングしている必要があります。

Mistからジュニパー Secure EdgeへのIPsecトンネルの検証(手動)

次の手順に従って、Secure Edge Connectorを介して作成したトンネルを介してMist Cloudからジュニパー Secure Edge(Juniper Security Director Cloud)にトラフィックがルーティングされていることを確認します。

Secure Edgeを使用したSecure Edgeコネクタの設定(手動)で説明されているすべての手順を完了したら、ジュニパー Mistクラウドが、中央ブレイクアウト用のハブにルーティングするのではなく、スポークからジュニパー Secure Edge(Juniper Security Directorクラウド)にインターネットバウンドトラフィックをルーティングしていることを確認します。
この時点で、MistポータルでSecure Edge Connectorsが設定済みです。これにより、MistとSecurity Director Cloudが管理するWAN Edgeデバイス間でIPsecトンネルを確立するためのMistクラウド側のトンネル設定が完了します。
次の手順では、トンネルが期待どおりに機能していることを確認する方法について説明します。

CLI経由でIPsecトンネルを検証する

(オプション)環境によっては、コマンドラインインターフェイス(CLI)でJuniper Security Director CloudへのIPsecトンネルの通信を確認できます。

Mistポータルでトンネルを確認する

Mistポータルのさまざまな監視ツールを使用して、トンネルの詳細を確認できます。

  1. 左側のメニューから WAN Edge >WAN Edge を選択して、確立されたトンネルの詳細を確認し、WAN Edge デバイスをクリックします。最後に、[WAN Edge Insights]をクリックします。WANエッジイベントの下にWANエッジトンネルアップイベントが表示されていることを確認します。

  2. トンネル ステータスおよびその他の詳細を表示するには、 WAN Edge > WAN Edge に移動します。WAN Edgeデバイスを選択し、 Secure Edge Connector の詳細セクションまで下にスクロールします。

  3. WAN Edge に移動し> Edge 名WAN WAN Edge >インサイト >プローブ統計情報 WAN> Edge 名に移動しトンネル統計を表示します。この例を表示するには、トンネルの統計情報を参照してください

また、確立されたトンネルは、Juniper Security Director Cloudダッシュボードとサービスロケーションで確認することもできます。

VMデスクトップを使用して新しいトラフィックフローを確認する

  1. ブランチデバイスに接続されたVMデスクトップを使用して、新しいトラフィックフローを確認します。インターネットへのpingを使用してトラフィックフローを検証できます。
    注:

    WAN EdgeデバイスとジュニパーSecure Edgeサービスロケーションの間の物理的な距離によっては、遅延が発生する場合があります。
  2. VMデスクトップでブラウザを開き、https://whatismyipaddress.com/ に移動すると、ジュニパー Mistネットワークトラフィックをサービスロケーションからインターネットにルーティングするために使用される送信元IPアドレスの詳細が表示されます。

    この例では、プライマリサービスロケーションからのトラフィックを示しています。

    この例では、セカンダリサービスロケーションからのトラフィックを示しています。

    サービスロケーションの2つのIPアドレスのうちの1つはパブリックIPアドレスであり、次の2つの目的を果たします。

    • IPsecトンネルを終端します

    • Juniper Security Director Cloudを介して、支社/拠点デバイスからインターネットにトラフィックをルーティング

    これと同じパブリックIPアドレスを、Juniper Security Director Cloudを使用してサービスロケーションへの確立されたトンネルを示すパケットキャプチャで確認できます。

    Juniper Security Director CloudのサービスロケーションはPOPとも呼ばれ、クラウドロケーションのジュニパー® Secure Edgeインスタンスを表すことに注意してください。サービスロケーションは、オンプレミスユーザーとローミングユーザー両方の接続(アクセス)ポイントです。