Cisco AnyConnect - Documentation technique Netskope

Cet article fournit des instructions pour configurer le trafic dirigé par Netskope afin qu'il aille directement vers le nuage Netskope sans traverser le tunnel VPN complet.

Vous devez ajouter des exceptions à votre configuration de direction Netskope pour contourner le trafic VPN. Pour en savoir plus, voir : Configuration d’exception pour les applications VPN.

Environnement

Netskope Client : 141.0.0
Cisco AnyConnect : 5.1.16.194
Systèmes d'exploitation pris en charge : Windows et macOS

Exigences de configuration de l'interopérabilité

Lorsque vous déployez Netskope Client avec une application VPN tierce, nous recommandons les changements de configuration suivants à la fois dans le client VPN et dans Netskope Tenant. Les changements de configuration suivants garantissent que le client et l'application VPN peuvent fonctionner sans problème et sans conflit.

En travaillant sur l’amélioration des performances de macOS en utilisant le drapeau de fonctionnalité enableMacPerformance, Netskope a observé un problème d’interopérabilité avec Cisco Anyconnect en mode tunnel complet. Pour y remédier, lorsque le tunnel client est établi, un processus de sonde démarre en moins de trois secondes pour détecter le mode tunnel complet AnyConnect. Le client passe en lwip (méthode avant le drapeau enableMacPerformance) si la sonde échoue et génère un événement « tunnel down à cause d’une erreur ». Si cela se produit, le client peut se déconnecter et se reconnecter de manière intermittente pendant 10 à 20 secondes. Comme solution de contournement, Netskope recommande d’ajouter la plage d’IP VIF client macOS (100.127.100.0/24) à la plage d’exclusion du split tunnel Cisco AnyConnect.

Configuration de Cisco AnyConnect pour Netskope Client

Nous recommandons les changements de configuration suivants dans Cisco AnyConnect pour contourner le trafic du client vers Netskope Cloud.

Ajout de listes de contrôle d'accès (ACL) à la politique de partage des tunnels

Connectez-vous en SSH au Cisco ASA (Adaptive Security Appliance) et entrez dans le mode de configuration.

Copiez les ACL suivantes et assurez-vous que vous vous souvenez du nom de cette ACL.

access-list Netskope_NewEdge_Exclusions standard deny 8.36.116.0 255.255.255.0
access-list Netskope_NewEdge_Exclusions standard deny 8.39.144.0 255.255.255.0
access-list Netskope_NewEdge_Exclusions standard deny 31.186.239.0 255.255.255.0
access-list Netskope_NewEdge_Exclusions standard deny 163.116.128.0 255.255.128.0
access-list Netskope_NewEdge_Exclusions standard deny 162.10.0.0 255.255.128.0
access-list Netskope_NewEdge_Exclusions standard deny 8.8.8.8 255.255.255.255
access-list Netskope_NewEdge_Exclusions standard deny 8.8.4.4 255.255.255.255

Spécification des ACL d'exclusion pour diviser la politique des tunnels

En mode configuration, créez une stratégie de groupe et spécifiez les ACL d'exclusion pour la Split Tunnel List.

Entrez la commande suivante :
```
group-policy grouppolicyname attributes
```
Dans l'invite de stratégie de groupe, spécifiez les ACL d'exclusion pour diviser la stratégie de tunnel
```
split-tunnel-network-list value Netskope_NewEdge_Exclusions
```
Enregistrer les modifications dans la mémoire
```
wr mem
```

Configuration de Netskope Client pour Cisco AnyConnect

Pour permettre aux applications tierces de coexister avec Netskope Client, nous recommandons de configurer des exceptions de destination à vos configurations de direction. Pour en savoir plus sur l’ajout d’exceptions, consultez l’article Configuration des exceptions pour les applications VPN .

Vérification de la configuration

Pour vérifier si Netskope Client est capable d'envoyer directement du trafic à Netskope Cloud, vérifiez la table de routage dans le client AnyConnect.