Ce document contient les meilleures pratiques concernant les contournements de pilotage lors du déploiement de Netskope Endpoint sur Azure Virtual Desktop (AVD). Vous pouvez installer Netskope Client dans Azure Virtual Desktop en utilisant les options de déploiement prises en charge par Netskope.
Supporting Operating systems: Windows 10 and 11.
Exigences de configuration
Des configurations spécifiques dans l'interface web de Netskope garantissent que les processus ou le trafic de l'une ou l'autre des applications ne sont pas bloqués ou dirigés vers le Netskope Cloud.
Configurations en Netskope Client
Lors de l'installation de Netskope Client dans Azure Virtual Desktop, configurez les exceptions suivantes dans la configuration de pilotage afin d'assurer le bon fonctionnement du bureau virtuel.
- Emplacement de destination – Pour les emplacements réseau Azure Virtual Desktop.
- Application épinglée par certificat – Pour les agents Azure Virtual Desktop fonctionnant sur Virtual Desktop (optionnel).
Configurer l'exception de l'emplacement de destination
L'exception relative à l'emplacement de la destination permet de contourner le trafic envoyé à des destinations spécifiques définies dans le profil d'emplacement du réseau.
Microsoft fournit un fichier JSON avec des destinations Azure dans https://www.microsoft.com. Cependant, la liste contient toutes les destinations utilisées par l’infrastructure Azure divisées par balises de service (Services). Pour éviter d’exclure toutes les destinations Azure du pilotage, vous pouvez inclure les destinations impliquées dans l’infrastructure Virtual Desktop.
Considérez les étiquettes de service suivantes pour les exclusions de la direction :
- Les adresses IP des passerelles Virtual Desktop sous la balise WindowsVirtuallDesktop Service.
- De plus, ajoutez le trafic destiné aux adresses IP suivantes :
- 169.254.169.254/32
- 168.63.129.16/32
- Adresses IP du trafic de surveillance sous la balise de service AzureMonitor.
Pour en savoir plus, consultez les URL requises pour Azure Virtual Desktop.
Il est difficile d’extraire manuellement les adresses IP du document Microsoft Service Tag. Vous pouvez convertir un fichier JSON Microsoft en un .csv simple en utilisant un script Python puis en les téléversant dans les exceptions. Téléchargez le script Python depuis le portail de support .
Pour utiliser le script Python :
- Téléchargez le fichier JSON le plus récent depuis le site Web de Microsoft : Plages d’adresses IP et balises de service Azure – Cloud public.
- Enregistrez le fichier JSON et le script Python dans le même dossier. Renommez le fichier JSON en AzureIPs.json.
- Exécutez le script Python à partir d'une invite de commande.
- Vérifiez le contenu du fichier AzureWVD.csv créé dans le même dossier. Il contient deux lignes dont la première commence par AzureWVD et la seconde par AzureMonitor.
Une fois le fichier CSV collecté, configurez l'objet d'emplacement réseau via Policies > Network Location.
Pour créer un objet Emplacement réseau :
- Connectez-vous à votre interface web Netskope et allez sur Policies > Network Location (sous Profils).
- Sur la page Emplacement réseau, cliquez sur New Network Location et sélectionnez Multiple Objects.
- Dans la fenêtre contextuelle Upload Network Locations , sélectionnez le fichier csv (taille maximale 8 Mo) contenant la liste des adresses de destination. Le fichier .csv doit contenir des entrées au format suivant : [Nom de l’emplacement réseau], [Adresse IP 1], [Adresse IP 2], , , Par exemple : Emplacement1, 11.2.3.4, 12.3.5.125/16. Par exemple, téléchargez le fichier AzureWVD.csv .
- Cliquez sur Upload pour terminer la procédure.
- Verify the newly created AzureWVD and AzureMonitor network location to see if they contain the imported IPs.
- Cliquez sur Apply Changes.
Pour créer une exception d'emplacement de destination :
- Allez sur Steering Configuration et sélectionnez une configuration.
- Dans l'onglet EXCEPTIONS , cliquez sur la liste déroulante NEW EXCEPTION et sélectionnez Destination Location.
- Dans la fenêtre New Exception, sélectionnez le profil d'emplacement réseau dans la liste. Select AzureWVD et sélectionnez éventuellement AzureMonitor si vous souhaitez exclure le trafic de surveillance.
- Select Treat like local IP address.
- Cliquez sur ADD pour terminer la procédure.
Note
Microsoft met à jour la liste des destinations dans son fichier Service Tags et publie une version New. Étant donné que les adresses IP des passerelles de bureau à distance changent moins souvent, Netskope recommande de mettre à jour la liste d'exclusion si vous rencontrez des déconnexions avec le bureau virtuel lors de la connexion. Dans ce cas, vous devez recréer une exception de pilotage New car les exceptions actuelles sont supprimées lors de l'écrasement de l'emplacement de destination.
Pour mettre à jour les listes AzureWVD et AzureMonitor Network Destination, vous pouvez répéter les étapes de conversion du fichier JSON en fichier .csv. fichier. Une fois que vous avez le fichier .csv créez une exception de pilotage. Lors du téléchargement de AzureWVD.csv dans Policies > Network Location > New Network Location > Multiple Objects, l'interface utilisateur (UI) affiche des entrées en double pour AzureWVD et AzureMonitor. Les anciennes entrées sont supprimées lorsque vous appliquez les modifications.
Configurer l'exception de l'application épinglée du certificat (facultatif)
Vous pouvez ajouter l'exception Certificate Pinned App si vous souhaitez contourner tout le trafic effectué par les Azure Endpoints installés sur le périphérique.
Pour ajouter Azure Virtual Desktop en tant qu'application épinglée de certificat dans l'interface utilisateur Netskope :
- Allez sur Settings > Security Cloud Platform > Steering Configuration.
- Cliquez sur Default tenant config pour modifier les configurations par défaut ou cliquez sur NEW CONFIGURATIONS pour créer une configuration de pilotage New.
- Sur la page de configuration, cliquez sur EXCEPTION > NEW EXCEPTION > Certificate Pinned Applications.
- Dans la fenêtre New Exception, procédez comme suit :
- À partir de l'application épinglée au certificat, sélectionnez l'application. Pour ajouter une application épinglée de certificat New dans la fenêtre Application épinglée de certificat New, procédez comme suit :
- Nom de l'application : Saisissez le nom de l'application.
- Plate-forme : Select le système d'exploitation dans lequel l'application est gérée.
- Définition : Fournir les processus et les .exe(s) que vous souhaitez ignorer. Ajoutez ici les processus suivants :
- WindowsAzureGuestAgent.exe : Service Azure VM Agent
- WaAppAgent.exe : Service Azure RD Agent
- WindowsAzureNetAgent.exe : Service Azure Network Agent
- WindowsAzureTelemetryService.exe : Service de télémétrie Azure
- metricsextension.native.exe : Agent Azure Monitor
- rdagentbootloader.exe: Azure Agent Bootloader
- A partir de Custom App Domains, ajoutez * pour contourner tous les domaines.
- À partir de Actions, sélectionnez Bypass pour Windows.
- Cliquez sur ADD.
- À partir de l'application épinglée au certificat, sélectionnez l'application. Pour ajouter une application épinglée de certificat New dans la fenêtre Application épinglée de certificat New, procédez comme suit :
*login.microsoftonline.com
*microsoft.com
*office365.com
*officeapps.live.com
*sharepoint.com