Zscaler通过GRE隧道和IPsec隧道进行集成
Zscaler云安全平台在全球100多个数据中心充当一系列安全检查点。通过简单地将您的互联网流量重定向到Zscaler,您可以立即保护您的商店,分支机构和远程位置。Zscaler连接用户和互联网,检查每一个字节的流量,即使它是加密或压缩的。
思杰SD-WAN设备可以通过客户现场的GRE隧道连接到Zscaler云网络。使用SD-WAN设备的Zscaler部署支持以下功能:
- 将所有GRE流量转发到Zscaler,实现Internet直连。
- 在每个客户站点上使用Zscaler进行直接internet访问(DIA)。
- 在某些站点上,您可能希望为DIA提供本地安全设备,而不使用Zscaler。
- 在某些站点上,您可能会选择将流量回传到另一个客户站点以进行internet访问。
- 虚拟路由和转发部署。
- 一个广域网连接作为互联网服务的一部分。
Zscaler是一个云服务。您必须将其设置为服务并定义底层WAN链接:
- 通过GRE协议配置数据中心和分支机构的internet服务。
- 在数据中心和分支站点配置可信公网链路。
拓扑结构
使用GRE隧道或IPsec隧道流量转发:
登录Zscaler帮助门户:https://help.zscaler.com/submit-ticket。
生成票据,并提供静态公网IP地址,作为GRE隧道或IPsec隧道的源IP地址。
Zscaler使用源IP地址识别客户IP地址。源IP需要为静态公网IP。Zscaler用两个ZEN IP地址(Primary和Secondary)响应以传输流量。GRE keep alive消息可用于确定隧道的健康状况。
Zscaler使用源IP地址值来识别客户IP地址。必须为静态公网IP地址。Zscaler响应两个ZEN IP地址[DR1],以重定向流量。GRE keep-alive消息可用于确定隧道的健康状况。
示例IP地址
主要的
内部路由器IP地址:172.17.6.241/30内部ZEN IP地址:172.17.6.242/30
二次
内部路由器IP地址:172.17.6.245/30内部ZEN IP地址:172.17.6.246/30
配置互联网服务
配置互联网服务:
导航到连接-互联网服务。配置internet服务。
选择+服务并根据需要启用“基本设置”、“广域网链路”和“规则”。
选择应用。
有关为站点启用Internet服务的详细信息,请参见使用集成防火墙在分支机构直接进行Internet突破。
您可以在互联网服务上配置以下设置:
基本设置
Internet服务无法配置防火墙区域设置。如果Internet服务是可信的,则将其分配给Internet_Zone。如果Internet服务不受信任,则将其分配给Untrusted_Internet_Zone。
可配置的基本设置如下:
启用主回收:如果启用,在WAN链路上与此服务关联的(use = primary)用法将强制将状态恢复为该WAN链路上的活动服务。
默认设置:为站点上的Internet服务填充规则的Internet默认集的名称。
缺省路由开销:与缺省internet路由(0.0.0.0/0)相关联的路由开销。
忽略WAN链路状态:启用后,即使所有用于该服务的广域网链路不可用,发送到该服务的报文也会选择该服务。
导出缺省路由:启用后,在启用WAN-to-WAN转发时,将Internet服务的默认路由0.0.0.0/0导出到其他站点。
广域网链路
可配置的广域网链路设置如下所述:
- 使用:允许服务使用此广域网链路。当禁用Use时,所有其他选项都不可用。
- 模式:“Service - Primary”、“Secondary”或“Balance”模式,实现流量冗余或负载均衡。
- 隧道报头大小(字节):隧道报头的大小,如果适用,以字节为单位。
- 接入接口故障切换:开启后,不匹配vlan的外网或内网报文仍然可以使用该业务。
局域网到广域网
- 标签:应用于Service上LAN到WAN报文的DSCP标签。
- 最大延时(ms):超过WAN链路带宽的最大缓冲时间,单位为毫秒。
广域网到局域网
标签:对服务上的LAN报文应用于WAN的DSCP标签。
匹配: Internet WAN到LAN的数据包匹配此标签将被分配给该服务。
梳理:随机丢弃报文,防止广域网到局域网的流量超过业务规定的带宽。
规则
互联网流量是根据定义的规则进行识别的。规则定义用于匹配特定的流量。匹配成功后,需要定义应用该流量的动作。
可用的规则列表如下:
- 订单:规则应用和自动重新分发的顺序。
- 规则组名称:规则的名称,允许在显示规则统计信息时将其分组汇总。可以同时查看具有相同规则组名称的所有规则的统计信息。
- 源:匹配规则的源IP地址和子网掩码。
- Dest-Src:启用时,源IP地址同时作为目的IP地址。
- 桌子:匹配规则的目的IP地址和子网掩码。
- 协议:与过滤器匹配的协议名称。
- 协议号:与过滤器匹配的协议号。
- DSCP: IP头中与规则匹配的DSCP标记。
可用的操作列表如下:
广域网链接: Internet负载分担时,匹配该规则的流使用的公网链路。
覆盖服务:匹配规则的流的目的服务。
丢弃:减少流量。
透传:映射要通过的流,并允许流量不加更改地流经设备。
配置GRE隧道
“源IP地址”为隧道源IP地址。如果隧道源IP地址被NATted,则公网源IP地址为隧道公网源IP地址,即使它在不同的中间设备上被NATted。
目的IP地址为Zscaler提供的ZEN IP地址。
源IP地址和目的IP地址是原始负载封装后的路由器GRE头。
“隧道IP地址”和“前缀”是GRE隧道本身的IP地址。这对于通过GRE隧道路由流量非常有用。流量需要此IP地址作为网关地址。
配置GRE隧道。
在配置编辑器中,导航到连接>网站>GRE隧道配置路由,将internet前缀业务转发到Zscaler GRE隧道。
源IP地址只能从可信链路上的虚网络接口中选择。看到的,如何配置GRE隧道。
配置GRE隧道的路由
配置路由,将internet前缀业务转发到Zscaler GRE隧道。
- ZEN IP地址(即上图中的隧道目的IP 104.129.194.38)必须设置为服务型Internet。这是必需的,以便从Internet服务计算到Zscaler的流量。
- 所有到达Zscaler的流量必须匹配缺省路由0/0,并通过GRE隧道传输。确保GRE隧道[DR1]使用的0/0路由的Cost值小于Passthrough或其他Service类型。
- 同样,到Zscaler的备份GRE隧道的开销值也必须高于主GRE隧道的开销值。
- 确保ZEN IP地址存在非递归路由。
配置GRE隧道的路由。
导航到连接>网站>路线,并按照中所述的程序操作配置路由有关创建路由的说明。
请注意
如果没有指定的Zscaler IP地址路由,可以配置路由前缀0.0.0.0/0与ZEN IP地址匹配,通过GRE隧道封装环路路由。本配置使用active-backup模式的隧道。如图所示,流量自动切换到网关为172.17.6.242的隧道。如果需要,可以配置回程虚拟路径路由。否则,请将备份隧道的保持连接时间设置为零。这样即使两个通往Zscaler的隧道都失败,也可以安全地访问站点。
支持GRE keepalive消息。一个新的领域叫做公共资源IP在Citrix SD-WAN GUI界面中添加GRE源地址的NAT地址(SD-WAN一体机Tunnel Source被中间设备NAT的情况下)。在Citrix SD-WAN GUI中包含一个名为Public Source IP的字段,该字段用于在中间设备对Citrix SD-WAN设备的Tunnel Source进行NAT转换时,提供GRE源地址的NAT地址。
限制
- 不支持多个VRF部署。
- 只有在高可用设计模式下,才支持主备GRE隧道。
配置IPsec隧道
在Citrix SD-WAN设备GUI中为内网或局域网业务配置IPsec隧道。
在配置编辑器中,导航到连接> <siteName> >IPsec隧道选择业务类型(局域网或内部网)。
输入服务类型的“名称”。对于“内网服务类型”,由配置的内网服务器决定哪些Local IP地址可用。
选择可用的“本端IP地址”,并输入到对端虚拟路径的“对端IP地址”。
选择IKEv1为艾克设置。Zscaler只支持IKEv1协议。
2 .在“IPsec设置”下选择ESP-NULL为隧道式,将流量通过IPSec隧道重定向到Zscaler。IPSec隧道不对流量进行加密。
由于internet流量被重定向,目的IP地址/前缀可以是任何IP地址。
有关使用Citrix SD-WAN web界面配置IPSec隧道的详细信息,请参见;的IPsec隧道的话题。
配置IPsec隧道的路由
配置IPsec路由。
- 导航到连接>直流>路线并遵循中描述的程序配置路由有关创建路由的说明。
监控GRE和IPSec隧道统计信息。
在SD-WAN web界面导航到监控>统计数据> (GRE隧道 | IPsec隧道]. |