Juniper Secure EdgeでSecure Edge Connectorをセットアップする(手動プロビジョニング)

Juniper Secure Edgeのテナントは、Juniper Security Director Cloudポータルにアクセスし、Secure Edgeサービスを管理するために作成する組織アカウントです。テナントは、一意の電子メール アドレスとサブスクリプション プランに関連付けられます。テナントには複数のサービスロケーションを持つことができます。これは、組織のパブリッククラウドでホストされるvSRXベースのVPNゲートウェイです。

テナントには、エンド ユーザーの接続ポイントである 1 つ以上のサービス ロケーションを含めることができます。テナントを作成するには、Juniper Security Director Cloudのアカウントが必要です。詳細については、「 Secure Edge テナントの作成 」を参照してください。

Juniper Security Director CloudポータルでSecure Edgeテナントを作成した後、ポータルにアクセスしてサブスクリプションを確認します。

Juniper Security Director Cloudにアクセスし、アクティブなサブスクリプションを確認するには、以下を実行してください。

Juniper Security Director Cloudの有効なライセンスがあることを確認した後、サービスの場所を設定します。このステップは、セッションスマートルーター用のSecure Edgeコネクターを設定する最初のメインタスクです。

Juniper Security Director Cloud内のサービスロケーションは、POP(Point of Presence)とも呼ばれ、クラウドロケーションにあるJuniper® Secure Edgeインスタンスを表します。サービスの場所は、オンプレミス ユーザーとローミング ユーザーの両方の接続 (アクセス) ポイントです。

サービスロケーションは、vSRXがパブリッククラウドサービスを使用して異なるネットワーク間にセキュアな接続を作成する場所です。パブリック IP アドレス (テナントおよびサービスの場所ごとに一意) は、次の目的で使用されます。

• 支社/拠点デバイスとJuniper Security Director Cloudの間にIPsec トンネルを設定します。

• 宛先がインターネット上にある場合に、トラフィックを一元的に分散します。

Juniper Security Director Cloudでサービスの場所を設定するには、次の手順に従います。

Juniper Security Director Cloudでサービスの場所を設定したので、次はデバイス証明書を生成してネットワークトラフィックを保護します。

トランスポート層セキュリティ/セキュアソケット層(TLS/SSL)証明書を使用して、Secure EdgeとWANエッジデバイス間のセキュアな通信を確立します。ネットワーク上のすべてのクライアントブラウザは、ジュニパーネットワークスとSRXシリーズファイアウォールがSSLプロキシを使用するために署名した証明書を信頼する必要があります。

Juniper Security Director Cloudでは、証明書を生成するために以下の選択肢があります。

• 新しい証明書署名要求 (CSR) を作成すると、独自の認証局 (CA) が CSR を使用して新しい証明書を生成できます。

• ジュニパーネットワークスに証明書を作成させるオプションを選択します。

手記：

このトピックでは、TLS/SSL 証明を生成する方法について説明します。証明書をインポートして使用する方法は、会社のクライアント管理要件によって異なり、このトピックの範囲外です。

Juniper Security Director Cloudでデバイス証明書を生成するには:

証明書を生成して、Secure EdgeとWANエッジデバイス間で安全な通信を確立したら、IPsecプロファイルを作成する準備が整います。

IPsecプロファイルは、Juniper Mist™クラウドネットワーク上のWANエッジデバイスがSecure Edgeインスタンスとの通信を開始したときにIPsec トンネルが確立されるパラメータを定義します。

Juniper Security Director CloudでIPsecプロファイルを作成するには、以下を行います。

これで、IPsecプロファイルが作成されました。これらのプロファイルは、Juniper Mistクラウドネットワーク上のWANエッジデバイスとSecure Edgeインスタンス間のIPsec トンネル™パラメータを定義します。

この時点で、Juniper Security Director Cloudでサイトを作成する必要があります。サイトは、WANエッジデバイスをホストする場所を表します。WANエッジデバイスからのトラフィックは、セキュアトンネルを介してSecure Edgeインスタンスに転送され、Secure Edgeクラウドサービスによって検査および適用されます。

お客様のサイトからのインターネットに向かうトラフィックの一部または全部を、サイトのWANエッジデバイスからのGRE(汎用ルーティングのカプセル化)またはIPsecトンネルを介してJuniper Secure Edgeクラウドに転送するように設定できます。

手記：

支社でステートフルファイアウォールを使用する場合、Secure Edge内の同じPOPで重複する支社/拠点アドレスはサポートされません。これらの重複する IP へのリバース パス トラフィックは、すべての接続で等価コスト マルチパス (ECMP) を使用してルーティングされます。トラフィックは、トラフィックの送信元のインターフェイスへのセッションごとのルーティングではなく、ECMPを使用してルーティングされます。サイトに対して保護されたネットワークを構成する際には、ECMP を経由するリバース パス トラフィックを考慮してください。

Juniper Security Director Cloudでサイトを作成するには:

Juniper Security Director Cloudでサイトを作成したので、次は1つ以上のJuniper® Secure Edgeポリシーを展開します。

Secure Edgeポリシーは、ネットワークがトラフィックをルーティングする方法を指定します。デフォルトでは、新しいテナントを作成すると、Security Director Cloudは事前定義されたルールを使用してSecure Edgeポリシールールセットを作成します。

手記：

既定のルール セットを変更しない場合でも、[ 展開] オプションを使用して、サービスの場所にルールを読み込む必要があります。

Juniper Security Director CloudにSecure Edgeポリシーを展開するには:

前のタスクでは、Juniper Secure EdgeでIPsecトンネルを設定するためのいくつかのアクションを完了し、Juniper Security Director CloudにSecure Edgeポリシーを展開しました。Security Director Cloudの最後のステップは、各サイトの構成データを収集することです。これらの詳細は、Juniper Mist™ クラウドでセキュア エッジ コネクタの構成 (Juniper Mist Cloud ポータルで Secure Edge コネクタの作成) を完了してIPsec トンネルを設定するために必要になります。この手順では、作成したサイトの詳細を書き留めます。

手記：

Juniper Security Director CloudとJuniper Mistクラウド間で同期するための自動構成プッシュオプションは使用できません。

Juniper Security Director Cloudで適用するIPsec トンネル構成パラメーターを取得するには、次のようにします。

セッションスマートルーターまたはSRXシリーズファイアウォール用のSecure EdgeコネクターをJuniper Mist™で設定するという最終的な目標の達成は、ほぼ半分達成できました。

Secure Edgeコネクタは、Juniper Mistクラウドポータルで作成します。このタスクでは、MistとSecurity Director Cloudが管理するWANエッジデバイス間にIPsec トンネルを確立するための、トンネルのMistクラウド側での設定を完了します。コネクタを作成する前に、サイトに WAN エッジ デバイスがデプロイされていることを確認します。

Secure Edgeコネクタを作成するには:

Juniper Mist™クラウドポータルでSecure Edgeコネクターを作成したら、次のステップはブランチデバイスのアプリケーションポリシーを変更することです。例えば、スポーク デバイスからハブデバイスへのトラフィックを許可できます。また、スポーク デバイスから VPN トンネル内の別のスポーク デバイスへのトラフィックを許可することもできます。その後は、スポークから中央ブレイクアウト用のハブにトラフィックを送信する代わりに、Juniper Security Director Cloudを介してスポークからインターネットにトラフィックを送信できます。

次の手順を使用して、構成が機能しているかどうかを確認します。

アプリケーション ポリシーを変更したら、構成が期待どおりに機能していることを確認します。必要な設定を保存すると、クラウドJuniper Mistインターネットに向かうトラフィックを、中央ブレークアウト用のハブにルーティングするのではなく、スポークからJuniper Security Director Cloudにルーティングしているかどうかを確認できます。

設定を検証するには: