Netskope Endpoint SD-WAN 構築してみた！(後半)

ZTNA Next L3E(Endpoint SD-WAN)についてGatewayの構築からテナント設定まで一連の設定を実施してみましたので紹介します。
本ブログはNetskope Endpoint SD-WAN構築してみた！の後編となります。

■全体の流れ

後編では主にテナント側を設定していきます。全体の設定の流れとしては以下の通りです。

Netskope SSEテナントの設定
Borderless SD-WANオーケストレーターの設定
Borderless SD-WANクライアントポリシーの作成
Borderless SD-WANクライアントテンプレートの作成
ユーザーとユーザーグループの設定
Netskope ClientへのEndpoint SD-WANの追加デプロイ

以降でもう少し詳しく手順を説明していきます。

手順についてはメーカードキュメントサイトを参考に設定を紹介しております。
※メーカードキュメントサイトについてはEndpoint SD-WAN含むBorderless SD-WANご利用の方が参照できるサイトとなります。Borderless SD-WANご利用中の方でログイン方法が分からないなどございましたらお問い合わせ下さい。

1．Netskope SSEテナントの設定

クライアント登録用証明書のダウンロード
1. 管理コンソールにログインし、Settings -> Manage -> Certificatesへ移動します。
2. 「NETSKOPE INTERMEDIATE CERTIFICATE」をダウンロードします。
ユーザーの追加
1. SSEテナント側にユーザーが登録されていない場合は任意の方法でユーザーを追加します。
Borderless SD-WANの有効化
1. Settings -> Security Cloud Platform -> Steering Configurationへ移動します。
2. 該当のSteering Configurationを選択し、「Steer Borderless SD-WAN apps」を有効にして、保存します。

2．Borderless SD-WANオーケストレーター(テナント)側の設定

中間証明書のアップロード
1. Administration -> Settings -> CA Certificatesへ移動します。
2. 「Add」をクリックして、先ほどダウンロードした中間証明書のテキストをペーストし保存します。
ハブのデプロイ
ハブの設定
※ハブのデプロイと設定に関しては前半のブログにて説明しておりますのでこのブログでは省略します。

3．Borderless SD-WANクライアントポリシーの作成

ポリシー作成
1. Configure -> Policiesに移動し、「+」ボタンをクリックして新しいポリシーを作成します。
2. Overviewタブにてポリシー名前を付け、Typeは「Client」を選択します。
3. Topologyタブで、クライアントトラフィックの宛先ハブを選択します。
4. AppXタブで、SD-WANゲートウェイ経由でアクセスする必要のあるプライベートIP宛先やトラフィッククラス（アプリケーションまたはL4プロトコル）に基づくルールを作成し、ポリシーを保存します（下図参考）

4．Borderless SD-WANクライアントテンプレートの作成

テンプレートの作成
1. Configure -> Templatesに移動し、「+ Create Gateway」を選択します。
2. モデルの選択画面が表示されるため「Client」をモデルとして選択し、「create」を選択します。
3. Basicタブで任意のテンプレートの名を入力します。
4. Clientタブで、各クライアントワークステーションに割り当てるIPアドレスプールを設定します。このIPは、プライベートリソースへのトラフィックのソースアドレスとして使用されます。
5. DNSサーバーとサフィックスの設定
  必要に応じて、DNSサーバーとDNSサフィックスの設定を行います。
  ※注意：「Virtual Interface」と「Always On」の設定は変更しないでください。
6. テンプレートの保存
  設定が完了したら、「Save」をクリックしてテンプレートを保存します。
  ※テンプレートではその他細かい設定（On-premise DetectionやDevice Classification機能等）の設定が可能となりますが、今回は省略いたします。

5．ユーザーとユーザーグループの設定

ユーザーの作成
1. Administration -> Membersに移動し、「+」を選択します。
2. ユーザーの詳細（名前、メール、役割）を入力して保存します。
  ※手動での登録以外にidPと連携してユーザー同期することも可能となります。

ユーザーグループの作成
1. Administration -> User Groupsに移動し、「+ Add User Group」をクリック。
2. グループ名を入力し、自動プロビジョニングを選択します。

6．Netskope ClientへのEndpoint SD-WANの追加デプロイ

WindowsおよびMacへクライアントのインストールを実施します。
※Netskope Clientがインストール済みの端末の場合は手順２のBorderless SD-WANモジュールのインストール以降が手順となります。

Windowsの場合
1. ユーザーアカウント作成時に受け取ったメールからNetskope Clientをダウンロードしてインストール。
2. オーケストレーターからBorderless SD-WANモジュールのインストーラーをダウンロードし、インストール。
3. Netskope ClientのUIでモジュールがインストールされているか確認。

Macの場合
1. ユーザーアカウント作成時に受け取ったメールからNetskope Clientをダウンロードしてインストール。
2. オーケストレーターからBorderless SD-WANモジュールのインストーラーをダウンロードし、インストール。
3. システム設定で「Netskope Borderless SD-WANモジュール」を有効にする。

※クライアント側でBorderless SD-WANモジュールがインストールされ起動するとNetskope ClientのConfiguration画面では以下のような表示になります。