Zscaler Internet Access（ZIA）と他社VPN混在環境での設定

こんにちは。ネットワークソリューション特集 編集部です。
今回は、Zscaler Client Connector (ZCC)設定手順についてご紹介します。

Zscaler Internet Access（ZIA）と他社VPN混在環境

Zscaler Internet Access（ZIA）のクライアントソフトであるZscaler Client Connector (ZCC)はWeb（Z-Tunnel1.0）や全ての通信（Z-Tunnel2.0）をキャプチャしてZscaler Internet Access（ZIA）に送信します。

VPN環境がZscaler Private Access（ZPA）であればZscaler Client Connector (ZCC)の単一クライアントソフトのため問題ないですが他社VPNソフトの場合は専用の設定が必要です。

Forwarding Profile設定手順

VPN接続時にForwarding Profileでどのアクションを実施するか設定します。

• Tunnel
  IP層（L3）でトネリングしてZscalerに転送します
• Tunnel with Local Proxy
  アプリケーション層（L7）でトネリングしてZscalerに転送します
• Enforce Proxy
  トネリングせずプロキシ設定を書き換えてZscalerに転送します
• None
  トネリングもせず何もしません

WindowsのTunnelはルートベースとパケットフィルタベースが選択できます。

macOSはルートベースのみです。

VPN接続がフルトンネルかスプリットトンネルで推奨設定が異なります。

フルトンネルの場合

• Windows
  Tunnel with Local Proxy
• macOS
  Tunnel with Local Proxy
• iOS
  Tunnel
• Android
  他社VPN同時実行は未サポート

スプリットトンネルの場合

• Windows
  Tunnel with Local Proxyまたは、Tunnel (Packet Filter Based)
• macOS
  Tunnel with Local Proxy
• iOS
  Tunnel
• Android
  他社VPN同時実行は未サポート

他社VPN共有環境では、トンネル(ルートベース)は非推奨です。

help.zscaler.com

Zscaler Client ConnectorとVPNクライアントの相互運用性に関するベストプラクティ...

https://help.zscaler.com/ja/client-connector/best-practices-zscaler-client-connector-and-vpn-client-interoperability

Zscaler Client Connectorを企業内VPNクライアントと組み合わせて実行する場合のベストプラクティス。

App Profile設定手順

他社VPN機器への通信経路をバイパスしなければZIA経由で通信するためApp Profileにバイパス設定をします。

FQDNで設定する場合はタイミングによって別IPアドレスでバイパスされる可能性があるためIPアドレス or セグメントでバイパス設定することが推奨です。

まとめ

• 他社VPN混在環境では専用の設定が必要

今回はZscaler Internet Access（ZIA）と他社VPN混在環境での設定についてご紹介しました。

関連記事:

Zscaler Client Connector(ZCC)のForwarding Profile設定 Cisco Umbrellaの強み、弱み（メリット、デメリット） Zscaler Client Connector(ZCC)のApp Profileの設定 Duo Authentication Proxyを検証してみた（Linux編）