Was ist Source IP Anchoring (SIPA)?
Source IP Anchoring, kurz SIPA, ist eine Zscaler-Funktion, mit der ausgehender Internet-Traffic von Nutzern über feste, dem Unternehmen zugeordnete IP-Adressbereiche verlässt. Statt dass der Ausstiegspunkt je nach nächstgelegenem Zscaler-Rechenzentrum variiert, sehen Zielsysteme für bestimmten Traffic konsequent dieselbe, dem Unternehmen zugewiesene IP-Herkunft. Das ist vor allem dann relevant, wenn externe Dienste den Zugriff anhand fester IP-Adressen einschränken, etwa bei Partnerportalen oder Anwendungen mit IP-Whitelisting.
Source IP Anchoring im Detail
Ohne SIPA kann der sichtbare Ausstiegspunkt des Zscaler-Traffics je nach Standort des Nutzers und genutztem Zscaler-Rechenzentrum wechseln, was für die meisten Internetziele unproblematisch ist. Für Zielsysteme, die Zugriffe per IP-Whitelist einschränken, ist eine wechselnde Quell-IP jedoch ein Hindernis. Technisch setzt SIPA dafür auf ZIA-Weiterleitungsrichtlinien, die ausgewählten Verkehr gezielt über einen ZPA App Connector leiten; die sichtbare Quell-IP ist dann die des App Connectors. Interne Ziele erreicht der Verkehr über das Intranet, externe über das Internet. Für die Nutzung ist keine eigene Private-Access-Lizenz nötig, wohl aber ein eigenes Source-IP-Anchoring-Abonnement; nicht unterstützt wird das Real Time Streaming Protocol (RTSP).
Die Einrichtung erfolgt in der Regel gezielt für die Nutzergruppen oder Ziele, die eine feste Quell-IP benötigen, nicht pauschal für den gesamten Unternehmenstraffic.
Warum ist Source IP Anchoring im Zscaler-Betrieb wichtig?
Fehlt SIPA für ein Nutzersegment, das eigentlich eine feste Quell-IP braucht, scheitern Zugriffe auf IP-beschränkte Zielsysteme, obwohl die eigentliche Zscaler-Richtlinie den Zugriff erlaubt. Für Nutzer sieht das wie ein Fehler der Zielanwendung aus, obwohl die Ursache im Netzwerkanteil der Konfiguration liegt.
Solche Fälle sind ohne Kenntnis von SIPA für den Support schwer zu erkennen, weil weder Anwendung noch Zscaler-Richtlinie auf den ersten Blick fehlerhaft erscheinen.
Typische Fehlerquellen
- Nutzergruppe wird nicht rechtzeitig einer SIPA-Konfiguration zugeordnet, etwa nach einer Reorganisation.
- Zielsystem ändert seine IP-Whitelist, ohne dass die Zscaler-Konfiguration angepasst wird.
- Fehlende Dokumentation, welche Anwendungen überhaupt SIPA voraussetzen.
- Verwechslung von IP-bezogenen Zugriffsfehlern mit allgemeinen Zscaler-Policy-Problemen.
Source IP Anchoring in der Praxis: so hilft CentaurNexus
CentaurNexus zieht in Connectivity Triage Map die ZDX-Kette und den Policy-Status zusammen und ordnet eine gemeldete Zugriffsstörung im Klartext ein, ob die Ursache eher am Gerät, am Netzwerk oder auf der Zscaler-Seite liegt, statt den Support raten zu lassen. Bei netzwerkseitigen Ursachen wie einer fehlenden oder falsch gegriffenen SIPA-Konfiguration hilft das, den Fall gezielter an die Administration zu übergeben, auch wenn die Konfiguration selbst weiterhin dort geprüft wird. Wie Root-Cause-Diagnose bei Zugriffsstörungen konkret abläuft, zeigt der Leitfaden Ist es Zscaler oder das WLAN? Root-Cause-Analyse in Minuten.
Verwandte Begriffe
Häufige Fragen zu Source IP Anchoring
Source IP Anchoring, kurz SIPA, ist eine Zscaler-Funktion, mit der ausgehender Internet-Traffic von Nutzern über feste, dem Unternehmen zugeordnete IP-Adressbereiche verlässt. Zielsysteme sehen dadurch immer dieselbe, dem Unternehmen zugewiesene IP-Herkunft, unabhängig davon, von welchem Standort ein Nutzer tatsächlich zugreift.
Viele externe Dienste, etwa Partnersysteme, Banking-Portale oder SaaS-Anwendungen mit IP-Whitelisting, erlauben Zugriff nur von bekannten IP-Adressen. Source IP Anchoring stellt sicher, dass Zscaler-Traffic aus einem definierten, vorhersehbaren IP-Bereich kommt, den solche Zielsysteme zulassen können.
Ist SIPA falsch konfiguriert oder nicht für die passenden Nutzergruppen aktiv, scheitern Zugriffe auf IP-beschränkte Zielsysteme, obwohl die Zscaler-Richtlinie selbst korrekt ist. Solche Fälle wirken für Nutzer wie ein Anwendungsfehler, liegen aber am Netzwerkanteil der Konfiguration.
Der Geltungsbereich hängt von der jeweiligen Konfiguration im Mandanten ab und wird typischerweise gezielt für Nutzergruppen oder Zielsysteme mit IP-Anforderungen eingerichtet, nicht pauschal für den gesamten Internet-Traffic.
Ohne SIPA kann der Ausstiegspunkt des Traffics je nach nächstgelegenem Zscaler-Rechenzentrum variieren. Mit SIPA bleibt die sichtbare Quell-IP für bestimmte Ziele konstant, auch wenn der Nutzer von unterschiedlichen Standorten aus zugreift.
- Zscaler Help Portal: Understanding Source IP Anchoring - help.zscaler.com/zia/understanding-source-ip-anchoring
- Interner Leitfaden: Ist es Zscaler oder das WLAN?
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.