ZIAのGRE TunnelとIPsec Tunnelの役割と使い分け

Zscaler には、エンドポイント向けの Z-Tunnel（Client Connector）が用意されています。ユーザー端末から直接 Zero Trust Exchange へ接続できるため、ローミング環境やユーザー単位の制御には非常に有効です。

一方で、Client Connector を導入できない機器や、拠点・データセンター全体のインターネット通信については、ネットワーク側でZscaler Internet Access（ZIA）にトラフィックを集約する仕組みが必要になります。

その役割を担うのが、GRE Tunnel と IPsec Tunnel であり、本記事では、ZIA の拠点接続方式として使われるGRE Tunnel と IPsec Tunnel の役割と使い分けについて整理します。

はじめに
ZIAにおけるトンネル接続の位置づけ
GRE Tunnelとは
IPsec Tunnelとは
GREとIPsecの使い分け
まとめ

はじめに

ZIAを利用するうえで、拠点やデータセンターから ZIA へどのようにトラフィックを接続するかは、設計上の重要なポイントとなります。

ZIA では複数の接続方式が提供されていますが、本記事では GREトンネルとIPsecトンネルにに焦点を当て、それぞれの役割と使い分けを整理します。「結局どちらを選ぶべきか」という設計判断の助けになることを目的とします。

ZIAにおけるトンネル接続の位置づけ

ZIA のトンネル接続は、主に拠点やデータセンターなどのネットワーク単位でインターネット通信を集約し、Zero Trust Exchange（ZIA Public Service Edge）へ転送するための仕組みです。ユーザー端末に Client Connector を導入する方式とは異なり、トンネル接続では「そのネットワークから出ていく通信」をまとめて ZIA に送ります。

重要なポイントは、NAT を行う前の通信をそのまま ZIA に届けることです。これにより、Zscaler 側では送信元 IP 情報を保持したまま、デバイス単位・アプリケーション単位のポリシー適用や詳細なログ取得が可能となります。

GRE Tunnelとは

GRE（Generic Routing Encapsulation）Tunnel は、ZIA への接続方式の中でも最もシンプルなルーテッドトンネルです。GRE トンネルは必ず Primary / Secondary の2本構成で作成され、ファイアウォール内側のルータから Zero Trust Exchange へ張られます。

GRE トンネルでは、トンネル内でクライアントの送信元 IP アドレスが保持されるため、ZIA 側でユーザーやアプリケーション単位のポリシー制御およびログ取得が可能となります。

設定と設計のポイント

GRE Tunnel を設計・設定する際は、接続性や冗長性を確保するため、次の点を考慮します。

静的グローバル IP アドレスを ZIA に登録
GOIP（GSM over IP）により、最寄りの Public Service Edge が自動選択される
内部 GRE IP はトンネルのヘルスチェック用途
国内リージョン優先設定も可能

運用上の注意点

GRE Tunnel を安定して運用するため、次の点に注意してください。

必ず Primary / Secondary の冗長構成
1トンネルあたり 1Gbps を超えない
MTU / MSS は Zscaler 推奨値を設定
トンネル前で NAT を行わない
VoIP / SIP など、送信元 IP を必要とする通信はバイパス推奨

GRE Tunnelのイメージ

以下図は、GRE Tunnel におけるパケットのカプセル化と、ルータから ZIA Public Service Edge までの通信経路を示しています。

IPsec Tunnelとは

IPsec Tunnel は、GRE がサポートされていないルータ環境などで利用される接続方式です。GRE と同様に、ファイアウォール内側のルータやエッジルータから Zero Trust Exchange へ、Primary / Secondary 構成で接続します。

IPsec でもトラフィックは ZIA Public Service Edge に集約され、ポリシー適用およびログ取得が行われます。

IPsec の特徴

IPsec Tunnel には、セキュアな接続を実現するための次のような特徴があります。

IKEv2 を使用（高速かつ安定したネゴシエーション）
1 egress IP あたり最大 200Mbps
必要に応じて egress IP とトンネルを追加

設計・運用上の注意点

IPsec Tunnel を安定して運用するため、次の点に注意してください。

NAT はトンネル前で実施しない
Phase 2 SA は 1トンネルあたり最大8個
ACL を細かく分けず、Include / Exclude をそれぞれ1つに集約
Zscaler IPsec Gateway は FQDN 指定
Null Encryption を使用（不要な暗号化オーバーヘッドを避ける）
IP Payload Compression は無効化

バイパスすべき通信

次の通信は、IPsec Tunnel を経由せずにバイパスすることを推奨します。

VoIP / SIP
送信元 IP 固定が必要な通信
ZPA App Connector
ZIA Virtual Service Edge（旧 VZEN）

IPsec Tunnelのイメージ

以下図は、Primary / Secondary の IPsec Tunnel を介して ZIA Public Service Edge に接続し、トラフィックが ZIA でポリシー適用およびログ取得されるイメージを示しています。

GREとIPsecの使い分け

GRE と IPsec はどちらも有効な接続方式ですが、設計思想は明確です。

観点	GRE Tunnel	IPsec Tunnel
暗号化	なし	あり（推奨はNull）
構成のシンプルさ	◎	△
スループット	高	低め
スケール	◎	○
主な用途	拠点接続	DC / 制約環境