SSEゲートウェイとは何ですか？

SSEゲートウェイは、Versaのセキュリティサービスエッジ（Security Service Edge）の適用ポイントであり、Versa がホストするクラウドゲートウェイまたはオンプレミス型アプライアンスとして展開されます。このゲートウェイは、SASE のクライアントトンネルおよびサイト間接続を終了させ、通過するトラフィックに対して認証、復号、および脅威対策・アクセスポリシーの適用を行います。

主なポイント

• SSEゲートウェイは、VersaにおけるSASE トラフィックの適用ポイントです。
• SASE のクライアントトンネルとサイト間トンネルの両方を終了させます。
• Director 経由で展開され、その後 Concerto で検出・オンボーディングされます。
• 使用中のすべてのゲートウェイのFQDNをカバーするパブリックCA証明書が必要です。
• 「信頼済みネットワーク検出」機能により、信頼済みネットワーク上ではトンネルをスキップできるようになります。

このページの内容： その重要性 ・ 仕組み ・ SSE Gatewayの導入モデル · SSEゲートウェイとVersa · よくある質問

SSEゲートウェイはなぜ重要なのでしょうか？

セキュリティ・サービス・エッジは、トラフィックが実際にセキュリティ・スタックを通過する場合にのみ機能します。つまり、すべてのZTNAチェック、すべてのTLS検査、すべての脅威対策の判断は、トラフィックがインターネットやプライベートアプリケーションに到達する前に、どこかのデバイス上で実行されなければなりません。 SSEゲートウェイこそが、その「どこか」です。つまり、リモートユーザーのクライアントトンネルや支店のサイト間トンネルが、トラフィックが他の場所へ進む前に到達する唯一の適用ポイントです。これがなければ、SASE のポリシーは単なる文書に過ぎませんが、これがあれば、ポリシーはトラフィックが実際に経験する内容となります。

ゲートウェイでの適用を一元化しているからこそ、SASE は、非常に異なる接続タイプ間でも一貫した動作を実現しています。インターネット経由でノートPCから作業するユーザー、SD-WANオーバーレイを介して同じプライベートアプリケーションにアクセスする支店、そして数十人のユーザーが共有するターミナルサーバーセッション――これらすべてに、同一の「ID認識型」かつ「セキュリティ状態認識型」のポリシーを適用する必要があります。そして、トラフィックの到達経路にかかわらず、認証、復号、アクセス制御がゲートウェイで統合されているため、これを実現できるのです。

SSEゲートウェイとは何ですか？

SSEゲートウェイは、2種類の接続を処理します。Versa SASE クライアントは、ポータルのFQDNに対して登録を行い、ユーザーごとに認証を行うことで、SSEゲートウェイへ直接IPsec、TLS、またはDTLSトンネルを構築します。サイトは、サイト間IPsecまたはSD-WANオーバーレイトンネルを介してSSEゲートウェイに接続するため、個々のクライアントだけでなく、支店全体のトラフィックを同じ適用ポイント経由でルーティングすることができます。 いずれの場合も、トラフィックがゲートウェイに到達すると、同じ認証、TLS復号、脅威対策、およびアクセスポリシーの評価が適用されます。

クライアントはFQDNによってゲートウェイを特定するため、TLS証明書の適用範囲はネットワークへの到達可能性と同様に重要です。公的CAによって署名されたゲートウェイのデバイス証明書は、クライアントやブラウザが使用するあらゆるFQDNのバリエーション――セキュアアクセス用のルートドメイン、およびクライアントレスなリバースプロキシアクセス用の別の myapps ワイルドカード。高可用性を確保するために展開された冗長ゲートウェイには、有効期限がずらされた独自の証明書が必要です。これにより、一方のゲートウェイでの更新時期が、そのペアとなるゲートウェイの有効期限切れと重なることがないようにします。

SSE Gatewayの導入モデル

ゲートウェイは、Director 上で「Cloud-Security」デバイスタイプとして、Hub Controller ロールを使用してプロビジョニングされます。ゲートウェイごとに専用のテンプレートワークフローが 1 つ、専用のデバイスグループが 1 つ割り当てられます。テンプレートはゲートウェイ間で共有されません。ゲートウェイの WAN インターフェースには、各回線がどのような用途に使用されるかを定義する回線タグが付与されます： NO_DIA 特定の回線でのインターネットへの直接アクセスを無効にし、 NO_S2S サイト間トンネルからこれを除外し、 NO_RAC_RAS SASE クライアントからの接続をブロックし、さらに DIA_ON_PROVIDER プロバイダレベルでサブテナントのインターネットトラフィックに対するソースNATを有効にします。回線にタグを付けないままにしておくと、3種類のトラフィックすべてで利用可能になります。

デプロイされると、ゲートウェイはVersa のConcertoから検出されます。管理者は、所有するDirectorノードをConcertoに追加し、テナント検出を実行すると、そのDirectorのプロバイダーテナントの下でプロビジョニングされたゲートウェイが、リージョンやテナントへのオンボーディング対象として表示されます。 ゲートウェイは、トラステッドネットワーク支援モードで動作させることもできます。このモードでは、既存のSD-WANまたはIPsecトンネルの背後にあるプライベートIPから接続するクライアントを認識し、冗長なSASE トンネルの構築を省略しつつ、軽量な制御チャネルを介してIDとポスチャの追跡を継続します。

SSEゲートウェイおよびVersa

SSEゲートウェイの展開とテナントのオンボーディングでは、Director側でのテンプレートおよびデバイスグループの作成、証明書のインストール、DNSおよび時刻の設定、そしてConcerto側でのゲートウェイFQDNの検出とルートドメインの設定に至るまでの全手順を順を追って説明します。 「信頼済みネットワーク検出（ゲートウェイ支援型）」機能により、SSEゲートウェイはクライアントの送信元IPアドレスに基づいて信頼済み接続と信頼できない接続を判別し、すでにセキュアなネットワーク内にあるクライアントについてはトンネルの作成を省略しつつ、制御チャネルを通じてユーザー固有のポリシーを引き続き適用することができます。

また、このゲートウェイは、クライアント単独では対応できないシナリオにおいても、アイデンティティを確実に把握します。共有のWindowsターミナルサーバーの背後では、通常、VOSアプライアンスはログインしているユーザーごとに1つのIPアドレスしか認識できませんが、ターミナルサーバーエージェントが、SD-WANオーバーレイまたはポータルURLへのIPsecトンネルを介して、各セッションをSSEゲートウェイに登録します。これにより、ゲートウェイはネットワークトラフィックだけでは得られなかった、ユーザーごとの可視性とポリシーの適用を実現します。

よくある質問

SSEゲートウェイとSASE クライアントの違いは何ですか？

クライアントはトンネルを構築するエンドポイントソフトウェアであり、SSEゲートウェイはトンネルが終端する適用ポイントです。クライアントはユーザーを認証し、トラフィックを転送します。ゲートウェイは、そのトラフィックが到着すると、それを検査・復号し、ポリシーを適用します。

SSEゲートウェイは、クライアントトンネルとサイト間トンネルの両方を処理できますか？

はい。同じゲートウェイが、個々のユーザーからのSASE クライアント接続と、支店全体からのIPsecまたはSD-WANサイト間トンネルの両方を終端処理し、両方に同じ認証、復号、およびアクセスポリシーのスタックを適用します。そのため、単一のゲートウェイ設計で、リモートユーザーと接続された拠点の両方をカバーでき、それぞれに個別のインフラストラクチャを用意する必要がありません。

SSEゲートウェイには、なぜCAが署名したパブリック証明書が必要なのでしょうか？

クライアントは、ゲートウェイが提供するFQDNにHTTPS経由で接続します。また、公的CAによって署名された証明書により、クライアントベースおよびクライアントレス接続のいずれにおいても、すべてのデバイスに追加のルート証明書をインストールすることなく、ゲートウェイを信頼できるようになります。これは、セキュアアクセスおよびリバースプロキシのFQDNのいずれのバリエーションにおいても必要となります。

SSEゲートウェイにおける「Trusted Network Detection」とは何ですか？

これにより、ゲートウェイはクライアントの送信元IPアドレスから、ユーザーがすでにSD-WANオーバーレイの背後に位置するオフィスなど、既存のセキュアな接続が確立されているネットワーク内にいるかどうかを認識し、身元およびセキュリティ状態に関するポリシーを適用しつつ、冗長なクライアントトンネルの構築を省略することができます。

SSEゲートウェイは、共有ターミナルサーバーセッションをどのように処理するのでしょうか？

デフォルトでは、1つのターミナルサーバーIPアドレスを共有しているユーザーを区別することはできません。ターミナルサーバーエージェントは、既存のSD-WANまたはIPsecトンネルを介して、各ユーザーセッションをゲートウェイに個別に登録するため、ゲートウェイは1つの共有ポリシーではなく、ユーザーごとのアクセス制御を適用することができます。

SSEゲートウェイの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SSEゲートウェイについてお読みの方は、次にこれらもぜひチェックしてみてください。