「SASE 」クライアントとは何ですか？

SASE クライアント（Versa SASE クライアント）は、VersaのネイティブVPNアプリケーションであり、Android、Chromebook、iOS、Linux、macOS、Windowsに対応しています。このアプリケーションは、IPsec、TLS、またはDTLSトンネルを介してリモートユーザーをVersa Secure Accessゲートウェイに接続し、多要素認証、デバイスの状態チェック、および継続的な「ベストゲートウェイ」と「ベストパス」の選択を通じて、ゼロトラストポリシーを適用します。

主なポイント

• Android、Chromebook、iOS、Linux、macOS、およびWindows向けのネイティブVPNアプリ。
• 以前は「Versa Secure Access (VSA)」クライアントアプリケーションと呼ばれていました。
• ポータルに登録した後、セキュア・アクセス・ゲートウェイへトンネル接続を行います。
• Versa の「Director’s Secure Access Service」またはConcertoから管理されます。
• MFA、デバイスの状態管理、スプリット・トンネリング、および最適ゲートウェイの選択を強制します。

このページの内容： その重要性 ・ 仕組み ・ SASE クライアントの導入モデル ・ SASE クライアントおよびVersa · よくある質問

SASE クライアントが重要なのはなぜですか？

ゼロトラストによるアクセス制御は、ネットワークのエッジだけでなく、エンドポイント自体における一貫した適用ポイントに依存しています。SASE クライアントこそが、その適用ポイントです。主要なデスクトップおよびモバイルOSすべてに対応した単一のアプリケーションとして、ユーザーの認証、デバイスの状態確認を行い、管理者が設定したあらゆるルール（スプリットトンネリング、信頼できるネットワークの検出、情報漏洩防止対策など）を、ユーザーが作業しているデバイスに適用します。これがなければ、リモートアクセスは単なるVPNトンネルに後退し、接続が確立された後は継続的な検証が行われなくなります。

また、これこそが、エンドユーザーにとってゼロトラストを単なる理論ではなく実用的なものにする要因でもあります。クライアントはコンテキストを継続的に再評価します。つまり、パフォーマンスが低下した場合はより安定したゲートウェイや経路に切り替え、信頼できるネットワークの条件が証明された場合にのみトンネルをバイパスし、デバイスや接続に関するテレメトリデータをプラットフォームに報告します。これにより、アクセスに関する判断は、ログイン時に一度行われてそれきりになるのではなく、常に最新の状態に保たれます。

「SASE 」クライアントとは何ですか？

SASE クライアントはネイティブVPNクライアントであり、ソフトウェアのリリースにわたりブランド名が変更される前は、Versa Secure Access（VSA）クライアントアプリケーションと呼ばれていました。 このクライアントは、ゲートウェイで設定されたトンネル順序に従い、IPsec（IKEv2）、TLS、またはDTLSトンネルを介してリモートアクセスVPN接続を確立します。また、EAP-MSCHAPv2、二要素認証、SMSまたはメールによるワンタイムパスワード、TOTP、SAML、および証明書ベースのデバイス認証を含む、エンタープライズグレードの認証機能を備えています。 このアプリケーションは、主要なデスクトップおよびモバイルプラットフォームすべてに対応しているため、ユーザーがどのデバイスを使用しているかに関係なく、接続体験や適用されるポリシーは一貫しています。

接続には2つの段階があります。 まず、クライアントはセキュアアクセスポータルに登録します。このポータルは、ユーザーを認証（ローカルまたはLDAP経由）し、設定、ポリシー、ルーティング情報をプッシュ配信するとともに、トンネル確立に使用するワンタイムシークレットを発行します。その後、VPNセッション自体のためにセキュアアクセスゲートウェイに接続しますが、どのポリシーを適用するか、どのゲートウェイを優先するか、トラフィックをスプリットトンネルするかといった動作は、ユーザー、グループ、地域、またはデバイスごとに制御されます。

SASE クライアントの導入モデル

同じクライアントアプリは、2つのバックエンドのいずれかから管理されます。「Director管理モデル」では、管理者がDirector内の「Services」>「Secure Access」>「Portal and Gateway」で、VOSデバイス上で直接Versa Secure Access Serviceを設定します。この際、セキュアアクセスプロファイル、ルート、DNSリゾルバーはテンプレートごとに定義され、ポータルとゲートウェイの役割は、同じデバイス上に配置することも、2つの別々のデバイスに配置することも可能です。Concerto管理モデルでは、クライアントはConcertoの「SASE 」ワークフローを通じて設定された、クライアントベースのセキュアなアクセスルールによって管理されます。これにより、ユーザーはVOSがホストするポータルとゲートウェイのペアではなく、Versa クラウドゲートウェイに接続されます。どちらのモデルが適用されるかは、テナントのSASE サービスがDirectorから管理されるか、Concertoから管理されるかによって決まります。それ以外については、クライアントバイナリ、サポートされるプラットフォーム、および機能セットの大部分は同じです。

SASE クライアント＆Versa

SASE クライアントは、VersaのSecure Access Serviceにおけるユーザー側のエッジ機能です。このクライアントはポータルに登録され、ゲートウェイへトンネル接続を行い、そこからVOSの支社トラフィックを保護するNGFW、IPS、ポリシー適用といった同一のセキュリティスタックを経由します。 デジタルエクスペリエンスの監視や定期的なメトリクスレポートなどの機能により、クライアントおよび接続のテレメトリデータがVersa Analyticsにフィードバックされます。また、エンドポイント情報プロファイルにより、管理者はアクセスを許可する前にデバイスのセキュリティ状態を分類して対応措置を講じることができ、設定可能な間隔（通常は10分ごと）で再チェックが行われます。「強制トンネル」および「分割トンネル」の設定により、クライアントがどのトラフィックをトンネルに誘導するかを決定します。 カスタムブランディング、改ざん防止機能、FIPS準拠の暗号化アルゴリズムといったエンタープライズ向け制御機能により、規制対象の環境での導入にも最適です。クライアントの機能セットについては、「Versa SASE クライアントアプリケーションの使用」および「Versa SASE クライアントとConcertoの使用」 を参照してください。また、Director側の設定については、「Versa Secure Access Serviceの構成」を参照してください。

よくある質問

SASE クライアントは、どのオペレーティングシステムに対応していますか？

Android 6.0 以降（Chromebook を含む）、iOS 13 以降、Linux（Debian 10 または Fedora 34 以降）、macOS 10.14 以降、および Windows（Windows 10、11、およびいくつかの Windows Server バージョンを含む）。ただし、Microsoft が Windows 7 および 8.1 のサポートを終了したため、これらのバージョンに対するサポートは限定的です。

SASE クライアントは、以前はどのような名称でしたか？

以前のソフトウェアリリース（Android版7.4.3、macOS版7.3.7、Windows版7.4.5以前）では、このアプリケーションは「Versa Secure Access（VSA）クライアント」という名称でした。この名称変更は、Versaの「SASE 」というより広範な位置づけを反映したものであり、クライアントの基本的な機能は引き継がれています。

「セキュアアクセスポータル」と「セキュアアクセスゲートウェイ」の違いは何ですか？

ポータルは、ユーザーの認証、デバイスの登録、および設定、ポリシー、ルートのプッシュを行います。ゲートウェイは、クライアントがその後、実際のVPNセッションを確立するためにトンネル接続を行う対象となります。これらの役割は、同じVOSデバイス上で実行することも、2台の別々のデバイス上で実行することも可能です。

SASE クライアントは、DirectorとConcertoの両方から管理できますか？

クライアントソフトウェアはどちらの場合も同じですが、特定のテナントは一度に1つのバックエンドから管理されます。そのバックエンドとは、Directorを通じてVOSデバイスに直接設定されるVersa のSecure Access Service、あるいはConcertoを通じて設定されるセキュアなクライアントベースのアクセスルールのいずれかです。

SASE クライアントは、ユーザーをどのように認証するのですか？

このポータルでは、ローカル認証およびLDAP認証に加え、二要素認証、SMSまたはメールによるワンタイムパスワード、TOTP、SAML、および証明書ベースのデバイス認証に対応しています。これらは、セキュアアクセスプロファイルを通じて、ユーザー、グループ、リージョン、またはデバイスごとに設定可能です。また、新しいリリースでは、認証順序を設定し、ユーザー認証とデバイス認証のどちらを先に実行するかを選択することもできます。

SASE クライアントの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SASE クライアントについてお読みの方は、次に以下の内容もぜひご覧ください。