特定のサービスのみをエッジサービス経由にする

前提条件

クライアントへのSecureEdge Access エージェントのインストールおよび、エンロールメントは完了しているものとする。

SecureEdge側の設定

1: エッジサービスの作成

「インフラストラクチャ」>「Edge Service」にアクセスし、「新規Edge Service」をクリックしてエッジサービスを作成します。

Open

2: 入口の作成

「アクセス」>「入口」にアクセスし、「入口の作成」をクリックして入口を作成します。

Open

3: カスタムアプリケーションを作成

「セキュリティポリシー」>「アプリとリソース」にアクセスし、「新規カスタムアプリケーション」をクリックします。

カスタムアプリケーションには 2種類あります。

新規カスタムネットワークアプリケーション

新規カスタムウェブアプリケーション

4: ゼロトラストアクセスポリシーの設定

「セキュリティ ポリシー」>「アクセス」>「ゼロトラストアクセス」にアクセスして「ポリシーを追加」をクリックします。

ここでは、リソースタイプが重要で、プリセットされているものは「パブリックエンドポイント」を、カスタムアプリケーション（アプリとリソースで作成）は「社内リソース」を選択します。

以上で、SecureEdge側の設定は完了です。

エージェント側（クライアント側）の確認

エージェントが起動していない場合のアクセス結果

エッジサービスを経由せずにそのままインターネットアクセスを実施していることがわかります。

エッジサービスとエージェントに情報が伝搬するまで少し時間がかかりますが、正常に伝搬が完了すると、確認くんへのアクセスが、エッジサービスのアドレスを使って実施されます。

トラブルシューティング

ゼロトラストアクセスポリシーを設定した通信が「入口」に設定されているエッジサービスを経由していない場合、以下のテストを実施ください。

エージェントのトラブルシューティング機能

これを使うとどこでアクセスに問題が発生しているのかわかります。

例：Testing tunnel is connected ：これはエージェントとエッジサービス間でトンネルが張れていることを意味します。

エージェントの設定画面を表示して、「トラブルシューティング」でカスタムアプリケーションとして登録した「確認くんのURL」を入力してチェックし、すべてがグリーンになることを確認します。

実際の動作としては、確認くん（www.ugtop.com）の名前解決をすると、エージェントが動作していないときには、219.94.129.26が返りますが、エージェントが正しく動作すると 192.18.0.5といった内部動作のアドレスが返り、エージェントとエッジサービス間で接続されている TINAトンネル（Barracudaの IPSec拡張プロトコルを TINAと呼んでいます。）を通じてアクセスが行われていることが確認できます。

この中で、リソース登録されていないURLをチェックすると、Resolve given domainが「×」となります。

正しくは、192.18.0.xといった、SecureEdgeの内部IPアドレスが返ってくる必要があるのですが、グローバルの正規のIPアドレスが返ってきた場合エラーとして表示されます。