SRXシリーズファイアウォール用のセキュアエッジコネクターを設定する

Juniper Secure Edgeのテナントは、Juniper Security Directorクラウドポータルにアクセスし、セキュアエッジサービスを管理するために作成する組織アカウントです。テナントは、一意の電子メール アドレスとサブスクリプション プランに関連付けられます。テナントは、組織のパブリッククラウドでホストされるvSRXベースのWANエッジである複数のサービスロケーションを持つことができます。

テナントは、エンド ユーザーの接続ポイントである 1 つ以上のサービスの場所を持つことができます。テナントを作成するには、Juniper Security Director Cloudのアカウントが必要です。詳細については、「 セキュアエッジテナントの作成」 を参照してください。

Juniper Security Director Cloudポータルでセキュアエッジテナントを作成したら、ポータルにアクセスしてサブスクリプションを確認します。

Juniper Security Director Cloudにアクセスしてアクティブなサブスクリプションを確認するには、以下を行います。

Juniper Security Director Cloudの有効なライセンスがあることを確認した後、サービスの場所を設定します。これは、SRXシリーズファイアウォール用のセキュアエッジコネクタを設定する最初のメインタスクです。

Juniper Security Director Cloud内のサービスの場所は、POP(ポイントオブプレゼンス)とも呼ばれ、クラウドロケーション内のJuniper® Secure Edgeインスタンスを表します。サービスの場所は、オンプレミス ユーザーとローミング ユーザーの両方の接続 (アクセス ポイント) です。

サービスの場所は、vSRXがパブリッククラウドサービスを使用して異なるネットワーク間に安全な接続を作成する場所です。パブリック IP アドレス (テナントおよびサービスの場所ごとに一意) は、次の目的で使用されます。

• ブランチデバイスとJuniper Security Director Cloudの間にIPsecトンネルを設定します。

• 宛先がインターネット上にある場合に、トラフィックを集中的に分散します。

Juniper Security Director Cloudでサービスの場所を設定するには、次の手順に従います。

Juniper Security Director Cloudでサービスロケーションを設定したので、デバイス証明書を生成してネットワークトラフィックを保護します。

トランスポートレイヤーセキュリティ/セキュアソケットレイヤー(TLS/SSL)証明書を使用して、セキュアエッジとWANエッジデバイス間のセキュアな通信を確立します。SSLプロキシを使用するには、ネットワーク上のすべてのクライアントブラウザが、ジュニパーネットワークスとSRXシリーズファイアウォールによって署名された証明書を信頼する必要があります。

Juniper Security Director Cloudでは、証明書の生成について以下の選択肢があります。

• 新しい証明書署名要求 (CSR) を作成すると、独自の認証局 (CA) が CSR を使用して新しい証明書を生成できます。

• ジュニパーネットワークスに新しい証明書を作成させるには、 オプションを選択します。

Juniper Security Director Cloudでデバイス証明書を生成するには、次の手順に従います。

Secure EdgeとWANエッジデバイス間のセキュアな通信を確立するための証明書を生成したら、IPsecプロファイルを作成できます。

IPsecプロファイルは、Juniper Mist™クラウドネットワーク上のWANエッジデバイスがセキュアエッジインスタンスとの通信を開始したときに、IPsecトンネルが確立されるパラメーターを定義します。

Juniper Security Director CloudでIPsecプロファイルを作成するには、次の手順に従います。

これで、IPsec プロファイルが作成されました。これらのプロファイルは、Juniper Mist™クラウドネットワーク上のWANエッジデバイスとセキュアエッジインスタンス間のIPsecトンネルのパラメーターを定義します。

この時点で、Juniper Security Director Cloudでサイトを作成する必要があります。サイトとは、SRXシリーズサービスファイアウォールなどのWANエッジデバイスをホストする場所を表します。WANエッジデバイスからのトラフィックは、セキュアトンネルを介してセキュアエッジインスタンスに転送された後、セキュアエッジクラウドサービスによって検査および適用されます。

お客様のサイトからのインターネット宛てのトラフィックの一部またはすべてを、サイトのWANエッジデバイスからのGRE(汎用ルーティングカプセル化)またはIPsecトンネルを介してJuniper Secure Edgeクラウドに転送するように設定できます。

サイトは通常、Juniper Security Directorクラウドサービスロケーションを使用するジュニパーネットワークスの® SRXシリーズファイアウォールです。

Juniper Security Director Cloudでサイトを作成するには、次の手順に従います。

Juniper Security Director Cloudでサイトを作成したので、次は1つ以上のJuniper® Secure Edgeポリシーを展開します。

Secure Edgeポリシーは、ネットワークによるトラフィックのルーティング方法を指定します。デフォルトでは、新しいテナントを作成すると、Security Director Cloudは、事前定義されたルールを使用してセキュアエッジポリシールールセットを作成します。

Juniper Security Director Cloudでセキュアエッジポリシーを展開するには、次の手順に従います。

前述のタスクでは、Juniper Secure EdgeでIPsecトンネルを設定するためのいくつかのアクションを完了し、Juniper Security Director CloudにSecure Edgeポリシーを展開しました。Security Director Cloudの最後のステップは、各サイトの構成データを収集することです。Juniper Mist™ Cloudで Secure Edge コネクタの設定(Juniper Mist Cloud PortalでのSecure Edge Connectorの作成)を完了してIPsecトンネルを設定するには、これらの詳細が必要になります。この手順では、作成したサイトの詳細を書き留めます。

Juniper Security Director Cloudに適用するIPsecトンネル設定パラメータを取得するには、次の手順に従います。

Juniper Mist™でSRXシリーズファイアウォール用のセキュアエッジコネクタを設定するという最終目標のほぼ半分が過ぎました。

Secure Edgeコネクタは、Juniper Mist Cloudポータルで作成します。このタスクでは、Mistが管理するWANエッジデバイスとSecurity Director Cloudの間にIPsecトンネルを確立するためのトンネルのMistクラウド側の設定を完了します。コネクタを作成する前に、サイトにSRXシリーズファイアウォールが導入されていることを確認してください。

セキュアエッジコネクタを作成するには:

Juniper Mist™ CloudポータルでSecure Edgeコネクタを作成したら、次にブランチデバイスのアプリケーションポリシーを変更します。たとえば、スポーク デバイスからハブ デバイスへのトラフィックを許可できます。また、スポーク デバイスから VPN トンネル内の別のスポーク デバイスへのトラフィックを許可することもできます。その後は、スポークからハブにトラフィックを送信して中央ブレイクアウトする代わりに、Juniper Security Director Cloudを介してスポークからのトラフィックを送信できるようになりました。

アプリケーション ポリシーを変更するには:

設定を確認するには、次の手順に従います。