Ajout d'exceptions

Une configuration de pilotage dirige le trafic vers le cloud Netskope. En spécifiant des exceptions dans une configuration de pilotage, vous pouvez envoyer le trafic d'une source sélectionnée (par exemple, applications, domaines, etc.) directement vers leur destination respective et contourner le cloud Netskope. Par exemple, dans un environnement utilisant une configuration VPN à tunnel complet, vous pourriez souhaiter envoyer un trafic spécifique directement à la passerelle VPN correspondante plutôt qu'au cloud Netskope. Cet article donne un aperçu de l'ajout de diverses exceptions à une configuration de direction.

Pour mieux comprendre les exceptions, Netskope vous recommande de consulter les articles suivants :

• Activation du pilotage dynamique

• Vue d'ensemble de Netskope Client

Lignes directrices pour les exceptions en matière de pilotage

Lorsque vous créez des exceptions, tenez compte des éléments suivants :

• Assurez-vous que vous disposez des droits d'administrateur sur votre compte Netskope.

• Les exceptions basées sur les OU et les groupes d'utilisateurs ne peuvent pas être appliquées lorsque la passerelle Web sécurisée Netskope utilise la fonction de substitution de cookie pour obtenir l'identité de l'utilisateur.

• Dans le cas des déploiements GRE et IPSec, Netskope Secure Web Gateway obtient l'identité de l'utilisateur à l'aide de Netskope Client (s'il est installé et activé), ou par l'authentification SAML. Si, par hasard, le trafic arrive avant que l'identité de l'utilisateur ne soit connue de Netskope Secure Web Gateway, les exceptions basées sur les OU et les groupes d'utilisateurs ne peuvent pas être appliquées.

• Si l'identité de l'utilisateur n'est pas connue de la passerelle Web sécurisée Netskope, la configuration d'exception par défaut sera appliquée.

Journaux de trafic d'exception

Si vous avez contourné le trafic localement sur le périphérique, le trafic ne sera pas envoyé à Netskope et ne sera pas enregistré dans les événements de Skope IT. Vous ne pouvez voir que les journaux du trafic contourné sur Netskope.

Exceptions prises en charge

Les exceptions prises en charge sont les suivantes :

*Contactez l'assistance Netskope si vous ne souhaitez pas appliquer les exceptions de catégorie pour le trafic non-web en mode Tout le trafic.

Comportement des exceptions dans la direction dynamique flexible

Dans les options de pilotage dynamique flexible, le comportement des exceptions change chaque fois que l'administrateur modifie le mode de pilotage dynamique d'un mode à l'autre.

Reportez-vous aux scénarios suivants et au comportement d'exception lors de l'édition du mode de pilotage :

Scenario 1: L'administrateur modifie le mode de direction dynamique de Enabled à Disabled. Les valeurs des colonnes Existing On-Prem et Existing Off-Prem représentent les modes de trafic sélectionnés sur l'interface utilisateur lorsque Dynamic Steering est activé. La colonne New Traffic Mode représente le mode de trafic que l'administrateur sélectionne après avoir désactivé l'option Activer la direction dynamique dans l'interface utilisateur.

Scenario 2: L'administrateur modifie le mode de direction dynamique de Disabled à Enabled. La colonne Existing Traffic Mode représente le mode de trafic sélectionné sur l'interface Web lorsque l'option Enable Dynamic Steering de l'interface utilisateur est désactivée. Les valeurs des colonnes New On-Prem et New Off-Prem représentent les modes de trafic que l'administrateur sélectionne après avoir activé l'option Activer la direction dynamique dans l'interface utilisateur.

Lorsque vous clonez une configuration de pilotage avec le Dynamic Steering désactivé et que vous l’activez pendant le processus de clonage, le système ne remplit les exceptions que dans la section Sur site ou hors site, et non dans les deux. Pour appliquer des exceptions aux deux environnements, clonez d’abord le profil avec le volant dynamique désactivé, enregistrez-le, puis activez le volant dynamique comme modification ultérieure.

Application

Les organisations qui utilisent des applications développées en interne peuvent utiliser l'exception Application pour contourner le trafic provenant de leurs définitions d'applications personnalisées. Les définitions d'applications vous permettent d'ajouter des applications personnalisées, des connecteurs ou des applications privées. Pour en savoir plus sur la création de définitions d'application, consultez la section Définition d'application.

Ajout d'une exception d'application

Pour ajouter une exception d'application :

1. Allez sur Settings > Security Cloud Platform > Steering Configuration.

2. Sur la page Steering Configuration , cliquez pour la configuration de direction à laquelle vous souhaitez ajouter des exceptions.

3. Cliquez sur View Exceptions.

4. Dans l'onglet Exceptions , cliquez sur New Exception puis sur Application.

5. Dans la fenêtre New Exception:

   • Exception Type: Choisissez Application et sélectionnez des applications dans la liste déroulante. Vous pouvez également rechercher des applications.

   • Action: Choisissez l'une des actions suivantes.

     • Bypass: Choisissez de contourner les applications sélectionnées, en envoyant tout le trafic directement à la destination. Il s'agit de l'action par défaut.

     • Bypass, except for DNS traffic: Si vous activez l’option Diriger le trafic DNS et sélectionnez une application incluant le port 53 (le port standard pour DNS), choisissez de contourner les applications sélectionnées, envoyant tout le trafic sauf le DNS à destination.

   • Notes: Si vous le souhaitez, vous pouvez saisir des commentaires ou des notes concernant l'exception.

     

6. Cliquez sur Add.

Catégorie

Une catégorie définit un ensemble de destinations (sites web) qui proposent des types de contenu similaires.  Par exemple, la catégorie Art est une collection de sites web qui contiennent des œuvres d'art créatives jugées uniquement pour leurs composantes intellectuelles ou esthétiques. Lorsque vous sélectionnez la catégorie Art en tant qu'exception, le trafic vers toutes les destinations (sites web) de cette catégorie contourne le nuage Netskope et va directement vers leurs destinations respectives.

Pour déterminer si une session appartient à une catégorie de contournement, le site Netskope Client envoie quelques paquets initiaux au nuage Netskope. Il se peut donc que vous observiez quelques paquets transmis au nuage Netskope. Après avoir confirmé la catégorie, le site Netskope Client contourne le trafic localement sur le périphérique de l'utilisateur.

Ajout d'une catégorie d'exception

Pour ajouter une catégorie d'exception :

1. Allez sur Settings > Security Cloud Platform > Steering Configuration.

2. Sur la page Steering Configuration, cliquez sur … pour la configuration de pilotage à laquelle vous souhaitez ajouter des exceptions.

3. Cliquez sur View Exceptions.

4. Dans l'onglet Exceptions , cliquez sur New Exception puis sur Category.

5. Dans la fenêtre New Exception:

   • Exception Type: Choisissez Category et sélectionnez les catégories par défaut ou personnalisées pour lesquelles vous souhaitez créer des exceptions.

   • Action: Le trafic DNS pour le domaine/adresse IP spécifié(e) contourne Netskope Cloud et va directement à sa destination. Vous ne pouvez pas modifier ce champ.

   • Notes: Si vous le souhaitez, vous pouvez saisir des commentaires ou des notes pour la catégorie d'exception.

   

6. Cliquez sur Add.

Applications avec certificat épinglé

En ajoutant des applications en tant qu'exception d'application épinglée par un certificat, le trafic de ces applications est contourné par le nuage Netskope. Une application épinglée stocke le certificat public ou la clé de son site web de destination et le présente au nuage Netskope. Lorsqu'il contacte le site web/serveur de destination, le nuage Netskope vérifie le certificat épinglé avec le certificat du serveur. S'ils sont validés, le nuage Netskope contourne le trafic provenant de l'application épinglée.

Ajout d'une exception d'application épinglée de certificat

Procédez comme suit pour configurer une exception d'application à certificat épinglé :

1. Allez sur Settings > Security Cloud Platform > Steering Configuration.

2. Sur la page Steering Configuration, localisez la configuration que vous souhaitez mettre à jour et cliquez sur .

3. Cliquez sur l'onglet Exceptions .

4. Dans l'onglet Exceptions , cliquez sur New Exception > Certificate Pinned Application.

5. Dans la fenêtre New Exception, configurez les éléments suivants :

   • Exception Type: Select Certificate Pinned Application. Choisissez une application prédéfinie ou personnalisée. Cliquez pour voir les applications épinglées par certificats prédéfinies et personnalisées sur la page Applications épinglées par certificat.  Pour créer un New , cliquez sur l’icône + pour créer une application épinglée New certificat.

   • Custom App Domains: L'application utilise ces domaines pour envoyer du trafic à partir du périphérique géré.

     Pour ajouter des domaines d'application personnalisés, entrez les domaines d'application et séparez-les par des virgules.

     • Netskope ne prend pas en compte les domaines jokers (par exemple, *example.com) pour les applications épinglées par certificat, cependant, il faut automatiquement contourner les sous-domaines de domaines spécifiés. Vous devez entrer des noms de domaine spécifiques, comme example.com, drive.example.com, mail.example.com, ou *. Chaque domaine est apparié avec le nom d’hôte de destination en utilisant la correspondance des suffixes. Par exemple, le nom de domaine « example.com » Correspond au nom d’hôte « mail.example.com » mais pas « mail.1example.com ». * correspond à n’importe quel nom d’hôte.

     • Si le nom d'hôte de destination du trafic de l'application épinglée par le certificat correspond à la définition de Custom App Domains, le trafic est contourné. Si vous ne sélectionnez pas le mode tunnel, le trafic est contourné localement ; en revanche, si vous sélectionnez le mode tunnel et que le nom d'hôte correspond à des domaines via la correspondance des suffixes (* correspond à tous), le trafic est acheminé par tunnel et contourné sur le proxy Netskope.

       Contactez votre représentant commercial Netskope pour activer ce champ. Une fois qu'elle est activée, vous devez saisir les domaines pour toutes les applications personnalisées à certificat épinglé. Si les domaines ne sont pas configurés, les applications cesseront de fonctionner.

   • Actions:  Définit la manière dont Netskope traite le trafic de l'application sélectionnée par plate-forme. Cette section permet aux administrateurs de choisir l'une des actions suivantes pour le trafic entrant du terminal :

     • Bypass: Envoie le trafic directement à la destination sans inspection proxy de Netskope.

     • Block: Netskope Client bloque le trafic en provenance de l'application dont le certificat a été épinglé.

       Le mode tunnel n'est visible que lorsque vous cliquez sur Options avancées.

     Vous pouvez choisir de contourner ou de bloquer le trafic par plateforme. Il est possible d'ajouter une application New pour Android et Chrome OS. Lors de l'ajout d'une application épinglée à un certificat, utilisez :

     • Configuration basée sur un domaine pour Android 9 ou moins.

     • Configuration basée sur les processus pour Android 10 ou supérieur.

   • Advanced Options:  L'activation de cette option permet un contrôle précis du trafic provenant du périphérique de l'utilisateur final. Avec Advanced Options, vous pouvez affiner les actions de contournement en utilisant les options suivantes pour chaque système d'exploitation :

     Lorsque cette option est désactivée (par défaut). La désactivation de cette option permet de contrôler le trafic provenant de l'utilisateur périphérique. Vous pouvez soit contourner, soit bloquer le trafic.

     Supported platforms: Windows, macOS, Linux, iOS et Android. ChromeOS ne supporte que Bypass et Block.

     • Devices matching specific Device Classification: L’interface web affiche Device Classification règles pour plusieurs périphériques, y compris le profil Géré. Select un profil de classification périphérique pour les systèmes d’exploitation respectifs.

       Si vous sélectionnez Managed, cela signifie que l'exception relative à la demande de certificat épinglé est appliquée à TOUS les périphériques correspondant à un profil de classification des périphériques et classés comme périphériques gérés. Après avoir sélectionné Managed, toutes les étiquettes sont grisées et sélectionnées automatiquement. Dans la liste déroulante, si l'administrateur a configuré des profils de classification périphérique supplémentaires, ces profils apparaissent également et l'administrateur peut les sélectionner si nécessaire. Vous pouvez appliquer cette exception sur Netskope Client avec la version 110.0.0 ou antérieure.

     • Tunnel Mode: Achemine le trafic via Netskope. Cette option est requise pour les services d'authentification unique (SSO) qui utilisent l'adresse IP publique de Netskope pour la validation de la source. Dans Domains, entrez les domaines de tunnel que vous souhaitez contourner.

       Assurez-vous de régler Bypass exception traffic sur Netskope Client dans le Steering configuration pour activer le Tunnel Mode.

     Vous pouvez utiliser plusieurs actions selon vos besoins :

     • Bypass + Managed Devices: Le Netskope Client applique les règles de contournement uniquement au périphérique géré, et le paramètre Custom App Domains dans l’interface Web n’est pas utilisé lorsque le mode périphérique géré est activé.

     • Bypass + Tunnel Mode: Le site Netskope Client tunnelise le trafic via Netskope mais contourne l'inspection SSL. Ceci est généralement nécessaire pour le SSO.

     • Bypass + Managed Devices + Tunnel Mode: Le Netskope Client applique les règles de contournement uniquement au périphérique géré, et le paramètre Custom App Domains dans l’interface Web n’est pas utilisé lorsque le mode périphérique géré est activé. Après l’action de contournement, si le Tunnel Mode est sélectionné, le Netskope Client tunnelera le trafic en fonction des Domaines configurés dans l’interface Web.

     Utilisez Advanced Options lorsque vous souhaitez que les exceptions ne s'appliquent qu'au périphérique géré. Cela permet de s'assurer que seul le périphérique géré contourne Netskope Cloud pour une application épinglée, ou pour tunneliser des domaines spécifiques via Netskope Cloud.

6. Cliquez sur Add pour enregistrer et appliquer l'exception à la configuration.

Vous pouvez voir l'exception de l'application épinglée de certificat nouvellement créée dans la liste des exceptions, ainsi que les détails de l'action, du type, des notes et de la dernière modification. Cela confirme que la configuration a été appliquée avec succès.

Visualisation des exceptions de domaine pour les applications épinglées par certificat prédéfini

Sur la page Exceptions , vous pouvez voir les applications à certificats prédéfinis et personnalisés qui sont contournées du cloud Netskope pour votre configuration de pilotage. Pour consulter la liste de toutes les exceptions prédéfinies d'applications à certificat épinglé : Applications à certificat épinglé.

Vous pouvez cliquer sur l'exception de l'application épinglée au certificat pour modifier les paramètres de contournement et afficher une liste des App Domains par défaut qui contournent Netskope.

L'exception de domaine est utilisée pour contourner le trafic vers et depuis les domaines tels que configurés dans l'exception. Une raison courante d'ajouter des exceptions de domaine est de contourner le trafic provenant de domaines utilisés pour les mises à jour de logiciels, comme l'ajout de domaines utilisés pour mettre à niveau les MacBooks avec les mises à jour de macOS.

Pour ajouter une exception de domaine :

Default Domain List

Consultez la liste suivante des domaines par défaut que vous pouvez ajouter dans les exceptions basées sur les domaines :

*.apple.com
*.bitdefender.com
*.cdn-apple.com
*.cdn.office.net
*.data.microsoft.com
*.emsisoft.com
*.itunes.apple.com
*.kaspersky.com
*.mcafee.com
*.mp.microsoft.com
*.mzstatic.com
*.nai.com
*.oracle.com
*.paloaltonetworks.com
*.relay.teams.microsoft.com
*.sls.microsoft.com
*.smartscreen-prod.microsoft.com
*.symantec.com
*.symantecliveupdate.com
*.tr.teams.microsoft.com
*.turn.teams.microsoft.com
*.update.microsoft.com
*.webex.com
*.windows.com
*.windowsupdate.com
*.windowsupdate.microsoft.com
aru-akam.oracle.com
bitdefender.com
cdn-apple.com
data.microsoft.com
emsisoft.com
ftp.nai.com
gateway.icloud.com
heartbeat.s2.spn.com
kaspersky.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
macromedia.com
mcafee.com
message.s2.spn.com
metrics.icloud.com
mobile.twitter.com
mp.microsoft.com
mzstatic.com
officecdn.microsoft.com
p37-caldav.icloud.com
paloaltonetworks.com
setup.icloud.com
smartscreen-prod.microsoft.com
sophos.com
sophosupd.com
sophosxl.net
staticupdates.paloaltonetworks.com
support.oracle.com
update.avg.com
update.fortiguard.net
update.grisoft.com
update.nai.com
update.symantec.com
updates.oracle.com
updates.paloaltonetworks.com
upgrade.bitdefender.com
vimeo.com
webex.com
windowsupdate.microsoft.com
wns.windows.com
ws-ee-maidsvc.icloud.com

L'exception DNS vous permet de contourner le trafic DNS.

Pour ajouter une exception DNS :

L'exception relative à l'emplacement de la destination permet de contourner le trafic envoyé à des destinations spécifiques définies dans le profil d'emplacement du réseau. Lorsque vous installez Netskope Client avec des applications tierces, comme une application VPN, vous devez ajouter des exceptions pour contourner le trafic VPN et l'envoyer directement à la passerelle VPN concernée. L'exception Emplacement de la destination vous permet d'ajouter des destinations cibles sous forme d'adresse IP, de plage d'adresses IP ou de masque de réseau CIDR.

Avant d'ajouter des exceptions d'emplacement de destination, vous devez ajouter des objets d'emplacement de réseau. Un emplacement réseau est un profil contenant une liste d'adresses IP publiques.

Pour ajouter une exception de lieu de destination :

L'exception relative à l'emplacement de la source permet de contourner le trafic provenant d'un ensemble spécifique d'adresses (considérées comme la source du trafic), tel que défini dans le profil d'emplacement du réseau.

Avec la version 123.0.0, Netskope déprécie les exceptions de pilotage Source Locations et Source Countries car elles ne sont plus évaluées par Netskope Client. Cette fonctionnalité est disponible en version bêta. Contactez le support Netskope ou votre représentant commercial pour activer cette fonctionnalité pour votre locataire. Une fois cette fonctionnalité activée pour votre locataire, vous pouvez voir les changements suivants sur l'interface Web des exceptions :
– Les pays sources et les emplacements sources ne sont plus disponibles dans la liste déroulante New Exception . Cela signifie que vous ne pouvez pas créer New exceptions de pilotage à l'aide d'emplacements sources et de pays sources.

– Pour les exceptions de routage existantes contenant des emplacements sources, l'interface web affiche un message d'avertissement invitant à reconfigurer les règles SSL « Ne pas déchiffrer ».
– Vous pouvez toujours utiliser l’option +Add Filter pour afficher les exceptions existantes concernant les emplacements sources et les pays sources.

L'exception Pays source vous permet de contourner le trafic provenant de lieux géographiques spécifiques.

Pour ajouter une exception de pays source :