セッションスマートルーター用のセキュアエッジコネクタの設定

Juniper Secure Edgeのテナントは、Juniper Security Directorクラウドポータルにアクセスし、セキュアエッジサービスを管理するために作成する組織アカウントです。テナントは、一意の電子メール アドレスとサブスクリプション プランに関連付けられます。テナントは、組織のパブリッククラウドでホストされるvSRXベースのVPNゲートウェイである複数のサービスロケーションを持つことができます。

テナントは、エンド ユーザーの接続ポイントである 1 つ以上のサービスの場所を持つことができます。テナントを作成するには、Juniper Security Director Cloudのアカウントが必要です。詳細については、「 セキュアエッジテナントの作成」 を参照してください。

Juniper Security Director Cloudポータルでセキュアエッジテナントを作成したら、ポータルにアクセスしてサブスクリプションを確認します。

Juniper Security Director Cloudにアクセスしてアクティブなサブスクリプションを確認するには、以下を行います。

Juniper Security Director Cloudの有効なライセンスがあることを確認した後、サービスの場所を設定します。これは、セッションスマートルーター用のセキュアエッジコネクターを設定する際の最初のメインタスクです。

Juniper Security Director Cloud内のサービスの場所は、POP(ポイントオブプレゼンス)とも呼ばれ、クラウドロケーション内のJuniper® Secure Edgeインスタンスを表します。サービスの場所は、オンプレミス ユーザーとローミング ユーザーの両方の接続 (アクセス ポイント) です。

サービスの場所は、vSRXがパブリッククラウドサービスを使用して異なるネットワーク間に安全な接続を作成する場所です。パブリック IP アドレス (テナントおよびサービスの場所ごとに一意) は、次の目的で使用されます。

• ブランチデバイスとJuniper Security Director Cloudの間にIPsecトンネルを設定します。

• 宛先がインターネット上にある場合に、トラフィックを集中的に分散します。

Juniper Security Director Cloudでサービスの場所を設定するには、次の手順に従います。

Juniper Security Director Cloudでサービスロケーションを設定したので、デバイス証明書を生成してネットワークトラフィックを保護します。

トランスポートレイヤーセキュリティ/セキュアソケットレイヤー(TLS/SSL)証明書を使用して、セキュアエッジとWANエッジデバイス間のセキュアな通信を確立します。SSLプロキシを使用するには、ネットワーク上のすべてのクライアントブラウザが、ジュニパーネットワークスとSRXシリーズファイアウォールによって署名された証明書を信頼する必要があります。

Juniper Security Director Cloudでは、証明書の生成について以下の選択肢があります。

• 新しい証明書署名要求 (CSR) を作成すると、独自の認証局 (CA) が CSR を使用して新しい証明書を生成できます。

• ジュニパーネットワークスに新しい証明書を作成させるには、 オプションを選択します。

手記：

このトピックでは、TLS/SSL 証明書を生成する方法について説明します。証明書のインポート方法と使用方法は、会社のクライアント管理要件によって異なり、このトピックの範囲外です。

Juniper Security Director Cloudでデバイス証明書を生成するには、次の手順に従います。

Secure EdgeとWANエッジデバイス間のセキュアな通信を確立するための証明書を生成したら、IPsecプロファイルを作成できます。

IPsecプロファイルは、Juniper Mist™クラウドネットワーク上のWANエッジデバイスがセキュアエッジインスタンスとの通信を開始したときに、IPsecトンネルが確立されるパラメーターを定義します。

Juniper Security Director CloudでIPsecプロファイルを作成するには、次の手順に従います。

これで、IPsec プロファイルが作成されました。これらのプロファイルは、Juniper Mist™クラウドネットワーク上のWANエッジデバイスとセキュアエッジインスタンス間のIPsecトンネルのパラメーターを定義します。

この時点で、Juniper Security Director Cloudでサイトを作成する必要があります。サイトは、セッションスマートルーターなどのWANエッジデバイスをホストする場所を表します。WANエッジデバイスからのトラフィックは、セキュアトンネルを介してセキュアエッジインスタンスに転送された後、セキュアエッジクラウドサービスによって検査および適用されます。

お客様のサイトからのインターネット宛てのトラフィックの一部またはすべてを、サイトのWANエッジデバイスからのGRE(汎用ルーティングカプセル化)またはIPsecトンネルを介してJuniper Secure Edgeクラウドに転送するように設定できます。

手記：

ブランチロケーションでステートフルファイアウォールを使用している場合、Secure Edge内の同じPOPに対してブランチアドレスの重複はサポートされません。これらの重複する IP へのリバース パス トラフィックは、すべての接続で等コスト マルチパス (ECMP) を使用してルーティングされます。トラフィックは、トラフィックの発信元のインターフェイスへのセッション単位のルーティングではなく、ECMP を使用してルーティングされます。サイトの保護されたネットワークを設定するときは、ECMP を経由するリバース パス トラフィックを考慮してください。

Juniper Security Director Cloudでサイトを作成するには、次の手順に従います。

Juniper Security Director Cloudでサイトを作成したので、次は1つ以上のJuniper® Secure Edgeポリシーを展開します。

Secure Edgeポリシーは、ネットワークによるトラフィックのルーティング方法を指定します。デフォルトでは、新しいテナントを作成すると、Security Director Cloudは、事前定義されたルールを使用してセキュアエッジポリシールールセットを作成します。

手記：

既定のルール セットを変更しない場合でも、[ 展開] オプションを使用してサービスの場所にルールを読み込む必要があります。

Juniper Security Director Cloudでセキュアエッジポリシーを展開するには、次の手順に従います。

前述のタスクでは、Juniper Secure EdgeでIPsecトンネルを設定するためのいくつかのアクションを完了し、Juniper Security Director CloudにSecure Edgeポリシーを展開しました。Security Director Cloudの最後のステップは、各サイトの構成データを収集することです。Juniper Mist™ Cloudでセキュアエッジコネクタの設定(Juniper Mist Cloudポータルでのセキュアエッジコネクタの作成)を完了してIPsecトンネルを設定するには、これらの詳細が必要になります。この手順では、作成したサイトの詳細を書き留めます。

手記：

Juniper Security Director CloudとJuniper Mistクラウド間で同期するための自動設定プッシュオプションは使用できません。

Juniper Security Director Cloudに適用するIPsecトンネル設定パラメータを取得するには、次の手順に従います。

Juniper Mist™でセッションスマートルーター用のSecure Edgeコネクタを設定するという最終目標も、ほぼ半分まで行ってきました。

Secure Edgeコネクタは、Juniper Mist Cloudポータルで作成します。このタスクでは、Mistが管理するWANエッジデバイスとSecurity Director Cloudの間にIPsecトンネルを確立するためのトンネルのMistクラウド側の設定を完了します。コネクタを作成する前に、サイトにセッションスマートルーターが展開されていることを確認します。

セキュアエッジコネクタを作成するには:

Juniper Mist™ CloudポータルでSecure Edgeコネクタを作成したら、次にブランチデバイスのアプリケーションポリシーを変更します。たとえば、スポーク デバイスからハブ デバイスへのトラフィックを許可できます。また、スポーク デバイスから VPN トンネル内の別のスポーク デバイスへのトラフィックを許可することもできます。その後は、スポークからハブにトラフィックを送信して中央ブレイクアウトする代わりに、Juniper Security Director Cloudを介してスポークからのトラフィックを送信できるようになりました。

次の手順を使用して、構成が機能しているかどうかを確認します。

アプリケーション ポリシーを変更したら、構成が期待どおりに機能していることを確認します。必要な設定を保存すると、Juniper Mist Cloudが、スポークからのインターネット宛てのトラフィックを、中央ブレイクアウト用のハブにルーティングするのではなく、Juniper Security Director Cloudにルーティングしているかどうかを確認できます。

設定を確認するには、次の手順に従います。