オンプレミスのゲートウェイの設定

ESXi 上のゲートウェイの設定は、次の 2段階に分けて実行します。

• ゲートウェイイメージ (OVA ファイル) をダウンロードして、ESXi に導入します。

• Sophos Central でゲートウェイ設定を追加し、ESXi でゲートウェイを起動するために使用する ISO ファイル (「シードとして使用するイメージ」) を生成します。

可用性を確保するために、ゲートウェイクラスタを設定することもできます。これを行うには、ここにある説明に従って、ゲートウェイの追加インスタンスを設定します。

ツーアームプロキシを使用している場合は、ネットワーク設定を参照してください。

イメージのダウンロードと導入

1. Sophos Central で「デバイス > インストーラ」にアクセスします。

2. 「Zero Trust Network Access」を参照します。

   1. ゲートウェイイメージのダウンロードリンクをクリックします。
   2. 使用許諾契約に同意し、(プロンプトが表示された場合は) ソフトウェアの輸出コンプライアンスに関するフォームに同意します。
   3. ゲートウェイイメージがダウンロードされます。これは、ESXi サーバー用の ZTNA ゲートウェイの汎用 OVA イメージです。何回でも再使用できます。

   

3. OVA イメージを ESXi ホストに導入します。VMware vSphere で、ホストを右クリックして、「OVA テンプレートのデプロイ」を選択します。これによって、導入をガイドするアシスタントが実行されます。

   警告

   自動電源オンのオプション (ESXi でのデフォルト) をオフにするか、完了後に ZTNA ゲートウェイが起動しないようにしてください。これを実行しないと、ゲートウェイは ISO ファイルなしで起動し、手順の再実行が必要になります。

   

設定の追加とゲートウェイの起動

1. Sophos Central に戻り、「マイプロダクト > ZTNA > ゲートウェイ」の順に選択します。「ゲートウェイの追加」をクリックします。

   

2. 「ゲートウェイモード」で 、「オンプレミス」を選択します。

   

3. 「ゲートウェイの追加」で、次の手順を実行します。

   1. ゲートウェイ名とゲートウェイ FQDN を入力します。
   2. リソース (アプリ) のドメインを入力します。
   3. 「プラットフォームの種類」で、「VMware ESXi」を選択します。

   4. 「導入モード」を選択します。

      • 「ワンアーム」では、受信トラフィックと送信トラフィックに外部インターフェースが使用されます。
      • 「ツーアーム」では、外部インターフェースと内部インターフェースの両方が使用されます。

   5. 「インターフェースの設定」を入力します。

      • 「DHCP」を選択した場合は、DHCP サーバーで予約を設定します。

        警告

        ゲートウェイは、IP アドレスの変更を処理できません。DHCP が割り当てた初期 IP アドレスが常に保持されるように、予約を設定する必要があります。

      • 「静的 IP」を選択した場合は、IP アドレス、サブネット、DNS サーバーの設定を入力します。

      ツーアーム導入では、複数の内部ネットワークでホストされているアプリがある場合、「静的ルート」を指定する必要があります。

   6. 先ほど作成した証明書をアップロードします。

   7. 「保存して、ファイルを生成」をクリックします。

   注

   このリリースで対応しているワイルドカード証明書は 1つのみです。

   

4. 「ゲートウェイ」ページで、ゲートウェイの状態が「導入待機中」になります。

   これで、シードとして使用するイメージ、ISO をダウンロードする準備ができました。これは、ゲートウェイを起動し、登録プロセスを完了するために必要です。ISO はゲートウェイごとに一意です。それを再使用することはできません。

   注

   イメージをダウンロードする前に、ゲートウェイクラスタを作成することを推奨します。クラスタが不要な場合は、ステップ 6 に進んでください。

   。

5. 新しいゲートウェイをクリックして、詳細ページを開きます。「インスタンスの追加/編集」をクリックします。

   

6. 「インスタンスの追加/編集」で、次の手順を実行します。

   1. 「別のインスタンスの追加」をクリックします。クラスタリングは自動的にオンになります。

   2. 「クラスタ仮想 IP」を入力します。これは、クラスタ管理および負荷分散に使用されます。ゲートウェイインスタンスと同じ IP 範囲にある必要があります。

      ツーアーム導入の場合、外部クラスタ VIP は負荷分散のためのみに使用されます。外部の負荷分散を使用する場合、これは空白のままにしてください。

   3. 新しいインスタンスの「VM 名」と「インターフェース IP」を入力します。

      ツーアーム導入の場合、内部および外部インターフェース IP を入力します。

   4. 操作を繰り返して、さらにインスタンスを追加します。

      注

      クラスタには、少なくとも 3つのインスタンスが必要です。最大 9つのインスタンスを追加できますが、その数は常に奇数である必要があります。

      注

      クラスターをアクティブに保つには、クラスター内のゲートウェイの少なくとも半分がアクティブであることを確認してください。

   

7. 各 ISO ファイルをダウンロードし、ホストにマウントします。その後、次のようにゲートウェイに接続します。

   1. VMware vSphere を参照します。
   2. ゲートウェイ VM を右クリックし、「設定の編集」を選択します。
   3. 「ハードウェア」タブの「CD/DVD ドライブ」に、ISO ファイルが表示されていることを確認し、「接続」を選択します。
   4. 「状態」で、「電源オン時に接続」を選択します。
   5. 「保存」をクリックします。

   シリアルデバイスが「仮想ハードウェア」タブに表示される場合は、安全に取り外すことができます。

   ゲートウェイが ISO ファイルで起動すると、Sophos Central に連絡して登録します。

   

8. Sophos Central に戻ります。「ゲートウェイ」ページで、ゲートウェイの状態が「承認待機中」に変わります。

   プロンプトが表示されたら、ゲートウェイの登録を承認します。

   承認が有効になるまでに最大 10分かかる場合があります。その後、ゲートウェイの状態が「接続」に変わります。表示されるオプションを使用して、必要に応じてパスワードを作成できます。

   注

   ゲートウェイインスタンスのクラスタがある場合は、最初のゲートウェイインスタンスのゲートウェイ登録のみを承認します。残りのインスタンスは、明示的に承認しなくても管理されます。

   注

   ISO ファイルは、ゲートウェイにマウントしたままにしておく必要があります。ゲートウェイの起動後にマウントを解除することはできません。

これで、オンプレミスのゲートウェイの設定が完了しました。

新しいバージョンの仮想マシンが使用可能になると、「バージョン」列に緑色のチェックマークが表示されます。バージョン番号をクリックして、アップデートを開始またはスケジュール設定してください。詳細は、ゲートウェイの「ゲートウェイのアップデート」を参照してください。

Microsoft Hyper-V でゲートウェイを設定するには、次の手順を実行します。

• ゲートウェイ VM イメージをダウンロードして導入します。

• ゲートウェイ設定を追加して、ISO ファイル (シードとして使用するイメージ) を生成します。

• ISO ファイルをダウンロードして、ゲートウェイを起動します。

イメージのダウンロードと導入

1. Sophos Central で「デバイス > インストーラ」にアクセスします。

2. 「Zero Trust Network Access」で、「Hyper-V 用のゲートウェイ VM イメージのダウンロード」をクリックします。

   VM イメージを含む ZIP ファイルがダウンロードされます。

   

3. ダウンロードした ZIP ファイルから Hyper-V ベースイメージを展開します。

   これによって、ゲートウェイの設定に必要な .vhdx ファイルを入手できます。このファイルを使用して複数の VM を導入することはできませんが、コピーを作成して追加の VM 用に使用することはできます。

4. Hyper-V マネージャーの「仮想マシン」リストの「操作」で、「新規」をクリックします。

   

5. VM の名前を入力します。

   

6. 世代を選択します。「第 1世代」は、32ビットと 64ビットの両方の OS をサポートしています。

   

7. 「メモリの割り当て」で、最低 4096 MB の起動メモリを入力します。

   

8. 「ネットワークの構成」で、ネットワークアダプタを選択します。

   

9. 「仮想ハードディスクの接続」で、「既存の仮想ハードディスクを使用する」を選択し、VMイメージのダウンロードから展開した .vhdx ファイルを参照します。

   

10. 「完了」をクリックします。

    

11. 新しい VM の「設定」に移動します。

    1. 「ハードウェア > プロセッサ」で、「仮想プロセッサの数」を 「2」に設定します。

    2. ゲートウェイがツーアーム導入の場合は「ネットワークアダプタ」に移動し、VM に新たにアダプタを追加します。

    

    注

    VLAN を使用している場合は、ネットワークイインターフェースに適切な VLAN ID をタグ付けしてください。

12. 「適用」および「保存」をクリックします。

「ゲートウェイの追加」設定

1. Sophos Central に戻り、「マイプロダクト > ZTNA > ゲートウェイ」の順に選択します。「ゲートウェイの追加」をクリックします。

   

2. 「ゲートウェイモード」で 、「オンプレミス」を選択します。

   

3. 「ゲートウェイの追加」で、次の手順を実行します。

   1. ゲートウェイ名とゲートウェイ FQDN を入力します。
   2. リソース (アプリ) のドメインを入力します。
   3. 「プラットフォームの種類」で、「Hyper-V」を選択します。

   4. 「導入モード」を選択します。

      • 「ワンアーム」では、受信トラフィックと送信トラフィックに外部インターフェースが使用されます。
      • 「ツーアーム」では、外部インターフェースと内部インターフェースの両方が使用されます。

   5. 「インターフェースの設定」を入力します。

      • 「DHCP」を選択した場合は、DHCP サーバーで予約を設定します。

        警告

        ゲートウェイは、IP アドレスの変更を処理できません。DHCP が割り当てた初期 IP アドレスが常に保持されるように、予約を設定する必要があります。

      • 「静的 IP」を選択した場合は、IP アドレス、サブネット、DNS サーバーの設定を入力します。

      ツーアーム導入では、複数の内部ネットワークでホストされているアプリがある場合、「静的ルート」を指定する必要があります。

   6. 先ほど作成した証明書をアップロードします。

   7. 「保存して、ファイルを生成」をクリックします。

   注

   このリリースで対応しているワイルドカード証明書は 1つのみです。

   

4. 「ゲートウェイ」ページで、新しいゲートウェイの状態が「導入待機中」になります。ゲートウェイをクリックして、詳細を表示します。

   

5. ゲートウェイの詳細で、ISO イメージがダウンロード可能であることがわかります。これは、ゲートウェイを起動するために必要となります。ISO はゲートウェイごとに一意です。それを再使用することはできません。

   イメージをダウンロードする前に、ゲートウェイクラスタを作成することを推奨します。クラスタが不要な場合は、「ISO ファイルのダウンロードとゲートウェイの起動」セクションに進んでください。

   

6. ゲートウェイの詳細で、「インスタンスの追加/編集」をクリックします。

   

7. 「インスタンスの追加/編集」で、「別のインスタンスの追加」をクリックします。クラスタリングは自動的にオンになります。

   

8. 新しいインスタンスの詳細を次のように入力します。

   1. 「クラスタ仮想 IP」を入力します。これは、クラスタ管理および負荷分散に使用されます。この IP アドレスは、ゲートウェイインスタンスと同じ IP 範囲内にある、この設定でまだ未使用のものにしてください。

      ヒント

      ツーアーム導入の場合、外部インターフェース IP アドレスは負荷分散のためのみに使用されます。外部の負荷分散を使用する場合、このフィールドは空白のままにしてください。

   2. 新しいインスタンスの「VM 名」と「インターフェース IP」を入力します。

      ツーアーム導入の場合、内部および外部インターフェース IP を入力します。

   3. 操作を繰り返して、さらにインスタンスを追加します。

      注

      クラスタには、少なくとも 3つのインスタンスが必要です。最大 9つのインスタンスを追加できますが、その数は常に奇数である必要があります。

      注

      クラスターをアクティブに保つには、クラスター内のゲートウェイの少なくとも半分がアクティブであることを確認してください。

   

次に、ISO ファイルをダウンロードし、ゲートウェイを起動します。

ISO ファイルのダウンロードとゲートウェイの起動

各インスタンスの ISO ファイルをダウンロードし、ゲートウェイ VM に添付して、次のようにゲートウェイを起動します。

1. ゲートウェイの詳細で、各インスタンスに移動し、「イメージのダウンロード」をクリックします。

   

2. Hyper-V マネージャーで、VM の「設定」に移動します。「DVD ドライブ」で、次の手順を実行します。

   1. 「コントローラー」で「IDE コントローラー 1」を選択します。
   2. 「メディア」で「イメージファイル」を選択し、シード ISO へのパスを入力します。
   3. 「適用」および「保存」をクリックします。

   注

   ISO ファイルは、ゲートウェイにマウントしたままにしておく必要があります。ゲートウェイの起動後にマウントを解除することはできません。

   

3. ゲートウェイインスタンスの電源をオンにします。数分間待ちます。

4. Sophos Central で、「マイプロダクト > ZTNA > ゲートウェイ」に移動し 、新しいゲートウェイをクリックして詳細ページを開きます。

   ゲートウェイの状態が「ゲートウェイの承認を待機中」に変わります。「承認」をクリックします。

   

   注

   ゲートウェイインスタンスのクラスタがある場合は、最初のゲートウェイインスタンスのゲートウェイ登録のみを承認します。残りのインスタンスは、明示的に承認しなくても管理されます。

5. ゲートウェイの状態が「アクティブ」に変わります。

これで、オンプレミスのゲートウェイの設定が完了しました。

新しいバージョンの仮想マシンが使用可能になると、「バージョン」列に緑色のチェックマークが表示されます。バージョン番号をクリックして、アップデートを開始またはスケジュール設定してください。詳細は、ゲートウェイの「ゲートウェイのアップデート」を参照してください。

Amazon Web Services (AWS) で ZTNA ゲートウェイを設定するには、次の手順を実行します。

1. Sophos Central で、「マイプロダクト > ZTNA > ゲートウェイ」の順に選択します。

   

2. 「ゲートウェイ」ページで、「ゲートウェイの追加」をクリックします。

   

3. 「ゲートウェイモード」で 、「オンプレミス」を選択します。

   

4. 「ゲートウェイの追加」ダイアログで、次のように詳細を追加します。

   1. ゲートウェイ名と FQDN を入力します。
   2. リソース (アプリケーション) のドメインを入力します。
   3. 「プラットフォームの種類」で、「Amazon Web Services」を選択します。
   4. 「IdP」で、先ほど設定した IｄP を選択します。
   5. 先ほど作成した証明書をアップロードします。
   6. 「保存」をクリックします。

   

5. 「ゲートウェイ」ページに、新しいゲートウェイが表示されます。横にある「スタックの起動」リンクをクリックします。

   

AWS でのスタックの作成

AWS の CloudFormation で、「スタックのクイック作成」テンプレートを表示できます。既にソフォスで一部設定済みです。以下の手順を実行して、完了します。

1. 「スタックのクイック作成」ページで、次の手順を実行します。

   1. 画面の右上で AWS リージョンを選択します。
   2. 「スタックの名前」にカスタム名を入力します。

   

2. 「基本設定」で、ゲートウェイの可用性を確保するために、2つまたは 3つのアベイラビリティゾーンを選択します。

   

3. 「VPC ネットワークの設定」で、次の手順を実行します。

   1. アベイラビリティゾーンの数を設定します。これは、1つ前のステップで選択したゾーンの数と一致する必要があります。
   2. サブネットが既存のリソースと競合しないようにします。
   3. 「MaxNumberOfNodes」で、ノードの最大数を設定します。デフォルトでこれは 3つです。
   4. 「NodeInstanceType」で、使用する EC2 インスタンスの種類を選択します。
   5. 「NumberOfNodes」で、必要なノードの数を設定します。デフォルトは、アベイラビリティゾーンごとに 1つです。

   自動スケーリングは、現在 ZTNA では使用できません。

   

4. 「スタックの作成」をクリックし、処理が完了するまで待ちます。これには、最大 1時間かかる場合があります。完了すると、新しいスタックは AWS のスタックリストに表示され、詳細は次のようになります。

   

5. Sophos Central で、新しいゲートウェイを参照します。「承認」をクリックします。

   承認が有効になるまでに最大 10分かかる場合があります。その後、ゲートウェイの状態が「接続」に変わります。

   

   注

   ゲートウェイインスタンスのクラスタがある場合は、最初のゲートウェイインスタンスのゲートウェイ登録のみを承認します。残りのインスタンスは、明示的に承認しなくても管理されます。

新しい VPC の設定

次のように VPC を設定します。

1. AWS で、「仮想プライベートクラウド > VPC」を参照します。

   

2. 新しい VPC を参照し、VPC ID を探します。この ID を使用して、作成した他のコンポーネントを検索できます。

   

3. EC2 インスタンスを参照し、新しい VPC ID のあるインスタンスを検索します。これによって、ZTNA ゲートウェイクラスタを構成するインスタンスが検出されます。名前を変更します。

   

   注

   クラスターをアクティブに保つには、クラスター内のゲートウェイの少なくとも半分がアクティブであることを確認してください。

4. 「負荷分散」で、VPC ID を使用して、ZTNA の負荷分散を検索します。詳細を開き、「DNS 名」をコピーします。これは、負荷分散を指定するゲートウェイのパブリック DNS レコード (CNAME) を作成するために必要です。

   

ピアリング接続の作成

ゲートウェイは常に新しい VPC 内にあるため、ピアリングを使用して、アプリケーションが存在する VPC に接続する必要があります。

1. 「VPC > ピアリング接続」を参照します。「ピアリング接続の作成」をクリックして、次の手順を実行します。

   1. 「VPC ID (リクエスタ)」で、ZTNA ゲートウェイの ID を選択します。
   2. 「VPC ID (アクセプタ)」で、リソースが存在する VPC を選択します。
   3. 「ピアリング接続の作成」をクリックします。

   

2. 「サブネット」を参照し、リソースのサブネットと、ゲートウェイのプライベートサブネットをルートテーブルに追加します。これによって、ZTNA はピアリング接続を使用してリソースに接続できます。

   

これで、オンプレミスのゲートウェイの設定が完了しました。

新しいバージョンの仮想マシンが使用可能になると、「バージョン」列に緑色のチェックマークが表示されます。バージョン番号をクリックして、アップデートを開始またはスケジュール設定してください。詳細は、ゲートウェイの「ゲートウェイのアップデート」を参照してください。