Configurer les attributs globaux pour la sécurité Internet

Overview

Ce paramètre contrôle la manière dont le Netskope Linux Client gère les entrées de la table de routage réseau pour les exceptions de routage IP, en particulier lors d'une coexistence avec des solutions VPN tierces.

Behavior

Lorsque Bypass Linux Client Route IP Exception est :

• Enabled: Le Client évite d'insérer des routes d'hôtes/sous-réseaux statiques dans la table de routage Linux 9. Tout le trafic est transféré vers le service client Netskope local (stAgentSvc), qui agit comme un proxy local intelligent pour diriger le trafic vers l'interface appropriée (interface physique, interface VPN tierce ou tunnel Netskope).
• Disabled: Le client crée des entrées de routage explicites pour les adresses IP exemptées dans la table de routage du noyau, ce qui force le trafic à sortir directement par l'interface physique.

Quand utiliser

Activez cette option sur les périphériques Linux où des clients VPN tiers (ou des réseaux à interfaces multiples) coexistent avec le Netskope Client et où le trafic exempté doit transiter par le tunnel VPN tiers plutôt que par l'adaptateur physique.

Overview

Ce paramètre identifie et contourne automatiquement les applications mobiles Microsoft Office sur Android qui utilisent l'épinglage de certificats SSL codé en dur.

Behavior

Lorsque Bypass Certificate Pinned Office Applications on Android OS est : 

• Enabled: Les connexions des applications Microsoft Office sur Android sont détectées et contournées localement au niveau de la couche du système d'exploitation, ce qui évite les interruptions de l'inspection SSL.

• Disabled: Le trafic provenant des applications Microsoft Office suit les règles de routage standard. Si le déchiffrement SSL est activé pour le trafic, la validation de l'épinglage de certificat échouera et bloquera la connectivité.

Quand utiliser

À activer pour les déploiements Android lorsque les utilisateurs finaux signalent des erreurs de connexion ou d’authentification dans les applications Microsoft 365 / Office natives en raison du épinglage de certificats.

Overview

Ce paramètre évalue et contourne le trafic IP privé/local RFC 1918 directement au niveau du pilote réseau du noyau (WFP sur Windows).

Behavior

Lorsque Bypass Private IP (Local) Traffic at the Client Driver est :

• Enabled: Les connexions destinées aux sous-réseaux locaux/privés (par ex. 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) sont immédiatement libérées par le pilote du noyau, contournant ainsi le traitement par l'agent de l'espace utilisateur.

• Disabled: Le trafic IP privé est transmis au service d'agent de l'espace utilisateur (stAgentSvc) pour évaluer les règles d'exception de pilotage avant d'être contourné.

Quand utiliser

Activez cette option pour réduire l'utilisation du processeur et de la mémoire des points de terminaison, ainsi que pour minimiser la latence du trafic réseau local interne et non piloté (imprimantes, serveurs locaux, communications LAN). 

Overview

Ce paramètre applique les règles d'exception de routage configurées (IP, domaines, ports) directement dans la couche du pilote réseau du noyau pour un traitement précoce des paquets. Ce paramètre s'applique uniquement aux points de terminaison Windows, au sein du pilote de noyau WFP (Windows Filtering Platform).

Behavior

Lorsque Handle Exceptions at Driver est :

• Enabled: Le pilote de noyau évalue directement les exceptions de routage. Le trafic correspondant est immédiatement contourné sur l'interface physique sans passer par le service d'agent en mode utilisateur.
• Disabled: Tous les flux interceptés sont transmis au service en espace utilisateur (stAgentSvc) pour l'évaluation du routage et la mise en correspondance des exceptions.

Quand utiliser

 À activer pour optimiser le débit du réseau Clientnet et améliorer les performances sur les points de terminaison à large bande passante.

Overview

Ce paramètre empêche le Netskope Client d’intercepter le trafic acheminé via les proxys de bouclage locaux (127.0.0.1 / localhost).

Behavior

Lorsque Ignore Loopback Proxy est : 

• Enabled: Le trafic destiné ou provenant des écouteurs proxy de bouclage local est ignoré et contourné par le pilote Netskope.

• Disabled: Les flux de proxy de bouclage (loopback) sont capturés par le pilote et évalués par rapport aux règles de routage, ce qui peut créer des boucles de routage ou entrer en conflit avec les outils de développement locaux.

Quand utiliser

À activer lorsque les terminaux exécutent des proxys locaux, des agents de sécurité ou des environnements de développement à l'écoute sur localhost pour éviter une boucle de proxy ou des blocages de connexion.

Overview

L'activation de ce paramètre étend les exceptions de routage basées sur l'adresse IP et le domaine au trafic UDP en plus de TCP. Par défaut, le Netskope Client applique uniquement les exceptions de routage aux flux TCP ; le trafic UDP est soit rejeté (comme le comportement de repli QUIC/HTTP/3), soit continue d'être acheminé vers Netskope. Ce paramètre garantit que les exceptions de pilotage configurées s’appliquent de manière cohérente aux protocoles TCP et UDP, que le Netskope Client se trouve en mode de pilotage Web-Only ou Cloud Firewall (All-Traffic). Lorsqu’elle est activée, le trafic UDP correspondant aux exceptions de pilotage configurées est contourné localement au niveau de l’extrémité en utilisant les mêmes politiques d’exception appliquées au trafic TCP.

Behavior

Lorsque Bypass UDP Traffic est :

• Enabled: Le Netskope Client évalue les règles d'exception de routage (IP, sous-réseau et domaine/FQDN) par rapport aux flux réseau TCP et UDP. Le trafic UDP correspondant à une exception est immédiatement contourné localement sur l'interface physique sans entrer dans le tunnel Netskope ni être abandonné.

• Disabled: Les exceptions de pilotage évaluent et font uniquement correspondre le trafic TCP. Les paquets UDP destinés à des adresses IP ou à des domaines exceptés continuent d’être acheminés par tunnel vers la passerelle Netskope (en mode Cloud Firewall) ou sont interceptés/supprimés (par exemple, le blocage de QUIC en mode Web) au lieu de respecter l’exception de contournement.

Quand utiliser

Activez cette fonctionnalité si les applications basées sur UDP continuent d'être pilotées ou interceptées malgré la correspondance avec les exceptions de pilotage configurées, ou pour résoudre les problèmes d'interopérabilité impliquant des applications et des logiciels réseau qui communiquent via UDP. Les exemples courants incluent :

• Logiciel de téléphonie Voice over IP (VoIP) et SIP
• Outils de visioconférence et de collaboration (flux multimédias Zoom, Microsoft Teams, Webex)
• Protocoles de streaming en temps réel, jeux ou services UDP propriétaires
• Scénarios où le trafic HTTP/3 / QUIC vers des domaines exceptés spécifiques doit être contourné directement vers Internet plutôt que bloqué ou piloté

Overview

Ce paramètre limite strictement les exceptions de routage par catégorie d’URL/de domaine au trafic Web HTTP/HTTPS dans les déploiements de pare-feu cloud (tous trafics). Les catégories d'URL et de domaine sont dérivées de l'en-tête de l'hôte HTTP et des métadonnées TLS SNI. En mode All-Traffic (pare-feu cloud), les protocoles non Web (tels que SSH, RDP ou les services TCP/UDP personnalisés) peuvent partager l'espace IP avec des destinations Web catégorisées. Par conséquent, si ce paramètre est désactivé, ces protocoles non Web risquent d'hériter par inadvertance des contournements de catégorie Web.

Behavior

Lorsque Ignore Category Exceptions for Non-Web Traffic in All-Traffic Mode est : 

• Enabled: Les exceptions basées sur les catégories s'appliquent uniquement aux protocoles Web. Les flux TCP/UDP non Web bruts ignorent les règles d'exception de catégorie et poursuivent l'inspection par le pare-feu cloud.

• Disabled: Les flux non Web peuvent tenter une mise en correspondance des catégories ou hériter par inadvertance de contournements de catégories Web, ce qui entraîne un routage incohérent.

Quand utiliser

Enable in Cloud Firewall environments to prevent broad web category exceptions from unintentionally bypassing non-web enterprise protocols.

Overview

Ce paramètre exempte automatiquement les demandes de téléchargement de fichiers de configuration automatique du proxy (PAC) d'un tunnelage via Netskope.

Behavior

Lorsque Bypass PAC Download Flow est :

• Enabled: Les requêtes HTTP/HTTPS visant à récupérer les fichiers PAC (via WPAD ou des URL PAC explicites) sont contournées vers l'adaptateur réseau physique, ce qui permet aux points d'extrémité de récupérer les configurations de proxy indépendamment du tunnel Netskope.

• Disabled: Les requêtes de téléchargement de fichier PAC peuvent être interceptées et envoyées via le tunnel, ce qui peut provoquer des dépendances circulaires ou des échecs d'amorçage si le tunnel nécessite une résolution assurée par le fichier PAC.

Quand utiliser

À activer dans les architectures de proxy hybrides ou chaînées où les périphériques s'appuient sur des fichiers PAC pour le routage réseau en amont.

Overview

Ce paramètre détermine comment le Netskope Client pour macOS gère les connexions à double pile (IPv4/IPv6) pour le trafic contourné localement lorsque la connectivité IPv6 sur le chemin du réseau local est interrompue, bloquée ou non routée. Sur macOS (Big Sur et versions ultérieures), l’extension réseau du Netskope Client gère de manière transparente par proxy les connexions tunnellisées et contournées. Lorsque ce paramètre est activé, si une tentative de connexion IPv6 initiale échoue ou se bloque sur une destination contournée localement, le Netskope Client bascule activement pour établir la connexion sur IPv4. Cela garantit un accès ininterrompu aux applications et au Web, quel que soit le mode de routage utilisé (applications cloud, Web uniquement ou tout le trafic / pare-feu cloud).

Behavior

Lorsque Use IPv4 Address for Bypass Traffic est :

• Enabled: Lorsqu'une connexion contournée est initiée vers une destination dotée d'adresses IPv4 et IPv6, le Netskope Client applique le comportement de repli double pile de la RFC 6555. Si le chemin IPv6 échoue ou ne parvient pas à se connecter, Network Extension bascule automatiquement vers l'adresse IPv4, ce qui évite les interruptions de connexion ou les expirations de délai des applications.
• 
  Disabled: L’extension réseau du Netskope Client n’initie pas de basculement IPv4 automatique lorsqu’une connexion de contournement IPv6 sortante échoue. Si IPv6 est activé sur le point de terminaison macOS mais bloqué ou interrompu le long du chemin réseau en amont, la connexion échouera ou se bloquera indéfiniment.

Quand utiliser

• Who is Affected: Périphériques macOS exécutant macOS 11 (Big Sur) et versions ultérieures avec IPv6 activé sur les adaptateurs réseau, fonctionnant dans des environnements où les périphériques réseau amont, les pare-feux ou les FAI bloquent ou configurent mal le routage IPv6.
• Scope of Impact: Perte partielle ou totale de la connectivité aux pages Web contournées localement, aux applications SaaS ou aux ressources VPN internes — particulièrement perceptible dans les navigateurs modernes tels que Google Chrome (v104+) et les applications Chromium qui privilégient de manière agressive les connexions IPv6.
• Affected Steering Modes: Toutes les configurations de routage (applications cloud, Web uniquement et pare-feu cloud / tout le trafic).
• Resolution: Activez l’utilisation d’une adresse IPv4 pour le trafic de contournement afin de garantir un basculement automatique vers IPv4 pour tout le trafic contourné localement sans exiger des utilisateurs qu’ils désactivent globalement IPv6 sur leurs points de terminaison Mac.

Overview

Ce paramètre ajoute des contournements de routage natifs pour les protocoles Apple AirDrop et la découverte Bonjour/mDNS en mode Pare-feu cloud (Tout le trafic) sur macOS.

Behavior

Lorsque Enable AirDrop Traffic Exception in Cloud Firewall Mode est :

• Enabled: Les connexions Wi-Fi/Bluetooth pair à pair AirDrop et les diffusions de découverte sont automatiquement contournées au niveau du système.

• Disabled: Cloud Firewall intercepte ou bloque les connexions AirDrop de pair à pair, empêchant le partage de fichiers local entre les périphériques Apple.

Quand utiliser

Enable on macOS fleets using Cloud Firewall mode where users require seamless Apple AirDrop functionality.

Overview

Ce paramètre détermine si le Netskope Client désactive automatiquement son tunnel de routage du trafic lorsqu'il détecte que le trafic réseau est déjà acheminé vers Netskope par une autre méthode en ligne (telle qu'un tunnel IPsec/GRE sur site, un tunnel SD-WAN ou un équipement Dataplane On-Premises).
Par défaut, le Netskope Client effectue une sonde de découverte de la méthode d'accès lors de la connexion à un réseau. S'il constate qu'un équipement réseau de périphérie ou un équipement sur site a déjàchemine et analyse le trafic Web/cloud vers Netskope, le client désactive automatiquement son propre tunnel de routage local afin d'éviter une double encapsulation de tunnel, une dégradation des performances du réseau ou des boucles de routage. L'activation de l'option « Override Access Method Detection » demande au client d'ignorer ces résultats de méthode d'accès en ligne et de le forcer à établir et à maintenir son propre tunnel direct vers le cloud Netskope.

Behavior

Lorsque Override Access Method Detection est : 

• Enabled: Le Netskope Client ignore et supplante tous les signaux positifs de méthode d'accès alternative renvoyés par les sondes réseau. Le client se connectera always establish and maintain its own SSL/DTLS tunnel directement à Netskope, même lorsque le point de terminaison est situé sur un réseau d'entreprise derrière un tunnel IPsec, GRE ou DPOP actif.
• Disabled: The Client actively checks for alternate inline steering paths during network initialization or network interface changes. If an inline steering method (IPsec, GRE, DPOP, Secure Forwarder, Express Connect, AWS Access Gateway) is detected, the Client auto-disables its own steering tunnel for web/cloud traffic and reflects this state in the system tray/menu.

Quand utiliser

• Endpoint-Level Steering Priority: Organisations qui nécessitent un routage strict au niveau des points de terminaison, une classification des périphériques, ou une inspection par le pare-feu cloud (CFW) à partir du Client, même lorsque les périphériques sont connectés au sein d'un bureau avec un tunnel site à site IPsec/GRE.
• Mixed-Policy / Dedicated Egress Environments: Lorsque le trafic d’un bureau d’entreprise achemine à travers un tunnel IPsec/GRE pour la connectivité générale d’une succursale, mais que des points de terminaison managés spécifiques exécutant le Netskope Client doivent maintenir des tunnels individuels au niveau du périphérique pour l’application de politiques granulaires par utilisateur/groupe ou le dépannage.
• Lab & Testing Scenarios: Lors du test et de la validation des fonctionnalités côté client, des contrôles de posture ou des corrections de bogues sur un réseau d’entreprise ou de laboratoire où un appareil IPsec, GRE ou DPOP actif est présent.

Overview

Ce paramètre bloque les requêtes DNS standard transmises sur le port TCP 53 directement au niveau du point de terminaison. 

Behavior

Lorsque Block DNS over TCP est : 

• Enabled: Le trafic DNS envoyé sur le port TCP 53 est bloqué au niveau du pilote client, ce qui oblige les résolveurs DNS à utiliser l'UDP ou des canaux DNS sécurisés désignés.

• Disabled: Les requêtes DNS sur le port TCP 53 sont routées ou transférées conformément aux configurations de routage standard.

Quand utiliser

Activez ce paramètre pour empêcher la tunnellisation DNS sur TCP et imposer une conformité stricte avec UDP ou le DNS chiffré sur l'ensemble des points de terminaison.

Overview

This setting blocks non-web (non-HTTP/HTTPS) IPv6 traffic at the endpoint to eliminate security blind spots on dual-stack networks.

Behavior

Lorsque Block IPv6 Non-web Traffic est :

• Enabled: Le trafic IPv6 non Web est bloqué par le Netskope Client, ce qui incite les applications à basculer vers IPv4 (qui est piloté et inspecté) ou à stopper l'égression de données IPv6 non inspectées.

• Disabled: Le trafic IPv6 non Web est contourné ou laissé sans inspection si le pilotage du pare-feu cloud IPv6 n'est pas configuré.

Quand utiliser

À activer dans les environnements où l'inspection par pare-feu cloud IPv6 n'est pas configurée, garantissant que tout le trafic non Web est acheminé sur des chemins IPv4 inspectés.

Overview

Ce paramètre impose une isolation stricte en bloquant le trafic IP privé/local RFC 1918 lorsque le Netskope Client se trouve dans un état de fermeture en cas d'échec (Fail-Close).

Behavior

Lorsque Block Private IP Traffic in Fail-Close est :

• Enabled: Si le tunnel Netskope ne parvient pas à se connecter et que le mode d'échec sécurisé (Fail-Close) est actif, tout le trafic sortant, y compris celui des sous-réseaux locaux/privés, est bloqué.

• Disabled: In Fail-Close mode, public internet access is blocked, but local private IP subnets remain accessible for local network management and diagnostics.

Quand utiliser

À activer dans les environnements Zero Trust à haute sécurité où les points de terminaison ne doivent jamais communiquer sur aucun réseau sans un tunnel de sécurité Netskope actif.

Overview

Ce paramètre réduit la consommation d'énergie sur les appareils Android en plaçant les pulsations keepalive du client dans un état basse fréquence lorsque le périphérique entre en veille profonde.

Behavior

Lorsque Battery Save For Sleep Mode (Android Only) est :

• Enabled: Background tunnel polling and keepalives are throttled when the screen is turned off or in Android Doze mode, preserving battery life. 

• Disabled: Le client maintient en permanence des signaux de maintien de connexion (keepalives) standard à haute fréquence en arrière-plan.

Quand utiliser

À activer pour les flottes Android où les utilisateurs signalent une consommation élevée de la batterie en cas d'inactivité ou pendant la nuit.

Overview

Ce paramètre contrôle la façon dont le Netskope Client gère son tunnel de routage du trafic pendant la phase Modern Standby de Windows (également connue sous les noms d'activé en permanence, connecté en permanence ou veille connectée).
Dans les matériels modernes Windows 10 et 11, les périphériques entrent dans un état de veille connectée à faible consommation où le système d'exploitation réactive périodiquement les tâches d'arrière-plan (telles que la synchronisation des e-mails, les notifications push et la télémétrie du système d'exploitation) lorsque l'écran est éteint.
Lorsque Maintain Connection for Short Sleep for Windows 10 & 11 est activé, le Netskope Client ignore les transitions d'état d'alimentation vers et depuis la veille et aligne strictement le cycle de vie de son tunnel sur network interface availability. Chaque fois que la carte réseau est active pendant la veille moderne (Modern Standby), le client maintient ou établit son tunnel pour router et inspecter le trafic d'arrière-plan. Lorsqu'il est désactivé, le client déconnecte explicitement son tunnel lors du passage en mode veille et ne se reconnecte que lorsque le système se réveille complètement, laissant le trafic d'arrière-plan sans surveillance pendant le sommeil.

Behavior

Lorsque Maintain Connection for Short Sleep for Windows 10 & 11 est :

Enabled: 

• Le Netskope Client ignore les transitions d'alimentation du système vers ou depuis les états Veille connectée.
• Le cycle de vie du tunnel est dissocié des notifications de mise en veille et lié directement au network adapter’s operational state sur le périphérique.
• Lorsque Windows active périodiquement la carte réseau en mode veille moderne pour effectuer la synchronisation des données en arrière-plan, le Netskope Client initie ou maintient automatiquement le tunnel, garantissant ainsi que tout le trafic configuré généré lorsque l'écran est éteint est sécurisé et acheminé via Netskope.
• Si Windows met la carte réseau en veille ou l'arrête, le tunnel se déconnecte proprement et se rétablit dès que la connectivité réseau est rétablie.

Disabled: 

• Le client écoute activement les notifications d'alimentation du système d'exploitation entrant en mode veille moderne / veille connectée.
• Lors de l'activation du mode veille connectée (Connected Standby), le Netskope Client explicitly tears down its tunnel.
• Le tunnel reste inactif pendant toute la durée du cycle Modern Standby du système.
• Impact: Tout trafic d'arrière-plan généré par le système d'exploitation ou les applications en arrière-plan pendant la mise en veille moderne contourne le pilotage Netskope (en sortant directement par l'interface physique ou en échouant si des limites de réseau strictes sont appliquées). Le client initie une reconstruction complète du tunnel uniquement après que l’utilisateur a réveillé la machine.

Quand utiliser

• Zero Trust & Compliance for Modern Workstations: Organisations qui exigent une inspection continue du trafic à 100 %, une protection des données et l'application des règles de pare-feu, même lorsque les ordinateurs portables sont en mode veille/veille prolongée avec des tâches d'arrière-plan actives.
• Fast Resumption / Low Wake Latency: Recommandé pour tous les ordinateurs portables Windows 10 & 11 modernes (Intel EVO, AMD modernes, périphériques Microsoft Surface) afin d'éliminer les délais de connexion perçus par l'utilisateur lors de l'ouverture du capot de l'ordinateur portable ou de la réactivation de l'écran.
• When to Disable (Troubleshooting): Dans les environnements rares où les points de terminaison subissent des cycles réseau agressifs ou des instabilités (flapping) en mode Veille moderne, entraînant une décharge excessive de la batterie ou une instabilité des pilotes d'adaptateur pendant la mise en veille.

Overview

Ce paramètre contrôle la façon dont le Netskope Client pour macOS gère son tunnel de routage du trafic pendant la mise en veille du système, la fermeture du capot et les cycles de Power Nap de macOS.
Sur le matériel Mac moderne (Apple Silicon et Intel), macOS peut exécuter des tâches de maintenance périodiques en arrière-plan (telles que les récupérations de Mail, la synchronisation iCloud, les mises à jour de Localiser et les sauvegardes Time Machine) lorsque l'écran est en veille.
Lorsque l'option Maintenir la connexion en veille courte pour macOS est activée, le Netskope Client ignore les transitions d'état d'alimentation du système macOS vers et hors du mode veille, et lie strictement son cycle de vie de connexion et de déconnexion de tunnel au availability of the network interface sur le périphérique. Chaque fois que la carte réseau macOS est active pendant la mise en veille ou les fenêtres de maintenance Power Nap, le Netskope Client maintient ou établit son tunnel pour garantir que tout le trafic d'arrière-plan est acheminé et inspecté. Lorsqu'il est désactivé, le client supprime explicitement son tunnel lors de la mise en veille et ne se reconnecte qu'après que le Mac a été entièrement réveillé par l'utilisateur.

Behavior

Lorsque Maintain Connection for Short Sleep for macOS est :

Enabled:

• Le Netskope Client ignore les notifications d'événements d'alimentation de mise en veille et de fermeture du capot du système d'exploitation.
• Le cycle de vie du tunnel est découplé des états d’alimentation du système et géré exclusivement par network interface reachability.
• If macOS keeps the Wi-Fi/Ethernet adapter active or periodically brings it up during sleep/Power Nap to sync background tasks, the Netskope Client detects the active network and immediately establishes or maintains its tunnel.
• If macOS turns off or sleeps the network adapter, the Client disconnects its tunnel accordingly. Dès que l'interface réseau est réactivée par le système d'exploitation, le Client réagit immédiatement et reconstruit le tunnel.
• Result: Le trafic d’arrière-plan généré lorsque l’écran est en veille est acheminé et inspecté en toute sécurité via Netskope chaque fois qu’une connectivité réseau existe, et les utilisateurs bénéficient d’une reprise de connexion quasi instantanée lors du réveil de leur périphérique.

Disabled: 

• Le client écoute activement les notifications de mise en veille de macOS (par exemple, la fermeture du capot, les transitions de mise en veille du système).
• Lors de la réception d'un événement de mise en veille, le Netskope Client se déconnecte explicitement et supprime son tunnel.
• Le tunnel reste hors ligne pendant toute la durée de l’état de veille.
• Impact: Toute activité d'arrière-plan ou synchronisation réseau initiée par macOS ou des applications d'arrière-plan pendant la mise en veille/Power Nap contourne le routage Netskope (soit en se repliant sur un routage direct non acheminé, soit en échouant si des contrôles de sortie stricts sont appliqués). Le Client initie une reconstruction complète du tunnel uniquement après que l'utilisateur a réveillé le Mac.

Quand utiliser

• Continuous Compliance & Data Protection for Mac Fleets: Les organisations qui exigent une inspection à 100 %, l'application des règles du pare-feu cloud et une couverture DLP (Prévention des pertes de données) pour le trafic de synchronisation en arrière-plan généré pendant les cycles de mise en veille ou de Power Nap de macOS.
• Eliminating Wake Latency on MacBooks: Recommandé sur l'ensemble des parcs sous macOS (en particulier les ordinateurs portables MacBook Air / MacBook Pro sous macOS 11 Big Sur à macOS 15 Sequoia) pour éliminer le délai de reconnexion du tunnel de 3 à 8 secondes et empêcher la réactivation des portails captifs lors de l'ouverture du capot de l'ordinateur portable.
• When to Disable (Troubleshooting): Dans de rares environnements clients où les périphériques macOS subissent des cycles d'alimentation Wi-Fi agressifs en mode veille, ce qui entraîne une décharge imprévue de la batterie ou des incidents au niveau de l'interface réseau.

Overview

Ce paramètre permet au pilote réseau Netskope Client sous Windows de mettre en mémoire tampon et de réassembler les segments de flux TCP initiaux entrants pendant la négociation TLS. Cela garantit que le client peut entièrement reconstituer et extraire le SNI complet avant de déterminer s'il convient d'acheminer, de contourner ou de traiter le trafic, ce qui évite les fuites de trafic non classifié, les chutes de connexion ou l'application incorrecte de politiques pour les applications utilisant des négociations TLS fragmentées. 

Behavior

Lorsque Support Multi-Segment SNI on Windows est : 

Enabled: 

• Le pilote réseau du client Windows inspecte et met en mémoire tampon les segments de flux TCP initiaux pour réassembler l'enregistrement TLS ClientHello complet.
• Le Client extrait avec succès le domaine SNI même lorsque l’en-tête d’extension s’étend sur deux paquets TCP ou plus.
• Le domaine extrait est évalué par rapport aux règles de routage et d'exception du locataire, garantissant des décisions de routage précises à 100 % dans les environnements à IP partagée et CDN.

Disabled: 

• Le pilote inspecte uniquement le premier paquet TCP d'une connexion. Si le message TLS ClientHello est segmenté et que l'extension SNI tombe dans le deuxième segment ou dans un segment ultérieur, le pilote ne parvient pas à analyser le nom de domaine.
• Le client se replie sur des décisions de routage basées sur IP/DNS. Dans les environnements avec des adresses IP partagées (p. ex., Google, Cloudflare, Akamai, Fastly), ce repli peut entraîner des flux mal classés, tels que le contournement du trafic qui aurait dû être acheminé, ou le routage du trafic non géré qui aurait dû être contourné.

Quand utiliser

• Shared IP / Multi-Tenant SaaS Environments: Recommandé chaque fois que “Perform SNI check” est actif pour différencier les services partageant des infrastructures IP communes (par exemple, permettant l'inspection de Google Drive d'entreprise tout en contournant ou en isolant le trafic YouTube non géré).
• CDN and Cloudfront/Cloudflare Interoperability: Lors de l'accès à des applications Web hébergées derrière des CDN, des proxies inverses ou des piles TLS modernes qui segmentent les paquets ClientHello.
• Large TLS Handshake Extensions: Environnements où les clients négocient des négociations de poignée de main TLS avec des listes d'extensions étendues, des jetons ALPN ou des échanges de clés hybrides post-quantiques qui dépassent les tailles de MTU à paquet unique standard.

Overview

Ce paramètre réactive automatiquement le service Netskope Client lors de la déconnexion ou de la connexion de l'utilisateur, ou du redémarrage du système, annulant ainsi la désactivation temporaire préalable de l'utilisateur.

Behavior

Lorsque AutoStart Netskope ClientCASB/Internet Security Service with Reboot/Relogin est : 

• Enabled: Si un utilisateur autorisé désactive temporairement le client (via le mot de passe fourni par l'administrateur ou le menu de la barre des tâches), le client se réactive automatiquement lors de la prochaine connexion ou du prochain redémarrage.

• Disabled: Le client reste désactivé jusqu'à l'expiration de la minuterie de désactivation ou jusqu'à ce que l'utilisateur réactive manuellement la protection.

Quand utiliser

Activez cette option pour maintenir une sécurité continue des points de terminaison et empêcher les utilisateurs de désactiver définitivement les contrôles de sécurité d'une session à l'autre. 

Overview

Ce paramètre lance une boîte de dialogue de navigateur sécurisée et intégrée lorsqu'un portail captif Wi-Fi est détecté, guidant l'utilisateur pour terminer l'authentification réseau.

Behavior

Lorsque Enable Captive Portal Dialog est :

• Enabled: Lors de la détection d'un portail captif, le client ouvre une fenêtre contextuelle affichant la page de connexion du portail et retarde l'initialisation du tunnel jusqu'à ce que la connectivité Internet soit établie.

• Disabled: Le client s'appuie entièrement sur l'assistant du portail captif du système d'exploitation ou sur la navigation dans le navigateur initiée par l'utilisateur, ce qui peut entraîner des expirations de délai de connexion.

Quand utiliser

À activer pour les effectifs mobiles et itinérants se connectant à des réseaux Wi-Fi d'hôtels, d'aéroports et d'invités qui nécessitent des connexions via une page d'accueil (splash page) du navigateur.

Overview

Ce paramètre utilise le moteur moderne Microsoft Edge WebView2 (Chromium) pour toutes les invites de l'interface utilisateur de Netskope Client, l'authentification SAML et les notifications d'alerte sous Windows. 

Ce paramètre nécessite l'installation de Microsoft Edge WebView2 Runtime sur le point d'extrémité. Si ce paramètre est activé mais que le composant WebView2 Runtime n'est pas présent, le client se replie sur le composant de navigateur Web hérité (MSHTML/IE) de la même manière que lorsque ce paramètre est désactivé.

Behavior

Lorsque WebView2 Support (Default Enabled) est :

• Enabled (Default): Les boîtes de dialogue d'authentification et les notifications des clients s'affichent via WebView2, basé sur Chromium moderne, et prennent en charge les standards Web modernes, l'accès conditionnel ainsi que FIDO2/WebAuthn.

• Disabled: Le Client revient à des composants WebBrowser (MSHTML/IE) hérités, ce qui peut empêcher l’affichage des pages de connexion IDP modernes.

Quand utiliser

Conserver l'activation (valeur par défaut) dans les environnements Windows modernes ; désactiver uniquement pour résoudre les problèmes de connexion des IDP hérités.

Overview

Ce paramètre configure la validation des certificats de classification des périphériques afin d'évaluer uniquement les certificats d'entité finale (utilisateur/périphérique) et non les certificats d'autorité de certification intermédiaires ou racines dans le magasin de certificats local. 

Behavior

Lorsque Device Classification Client Certificate Check Flow est : 

• Enabled (Default): Seuls les certificats explicites de client/périphérique d'entité finale sont validés pour la classification des périphériques gérés. Les certificats intermédiaires et d'autorité de certification (CA) sont ignorés.

• Disabled: N'importe quel certificat de la chaîne de confiance (y compris les autorités de certification racines/intermédiaires) peut satisfaire à la règle, ce qui peut amener des machines non gérées dotées d'autorités de certification importées à être classées comme gérées.

Quand utiliser

Conservez cette option activée (par défaut) pour garantir des contrôles de posture de type zéro-trust stricts où seuls des certificats valides de périphérique/utilisateur accordent le statut de périphérique géré.

Overview

Ce paramètre supprime les notifications contextuelles automatisées et les invites dans Mozilla Firefox relatives à l'injection de certificats Netskope ou à la validation d'extensions.

Behavior

Lorsque Disable Firefox Popup est :

• Enabled: Les fenêtres contextuelles de configuration et de certificat spécifiques à Firefox sont supprimées lors du démarrage du client et de l'installation du certificat.

• Disabled: Firefox peut afficher des invites ou des avertissements lors des flux de travail d’injection ou de validation de certificats.

Quand utiliser

À activer dans les environnements d’entreprise gérés où les certificats racine sont déployés via MDM/GPO et où les notifications des utilisateurs finaux au démarrage du navigateur ne sont pas nécessaires. 

Overview

Ce paramètre permet aux logiciels de sécurité tiers autorisés (EDR, antivirus, scanners de vulnérabilité) d'inspecter et de lire la mémoire des processus de Netskope Client pendant que la protection automatique du client (ClientSelf-Protection) est active. Ce paramètre s'applique uniquement à Windows, où il modifie le masque d'accès à la mémoire des processus (PROCESS_VM_READ) que le système d'exploitation accorde à d'autres processus pour le Netskope Client.

Behavior

Lorsque Disable READ Prevention when Self-Protection is ON est :

• Enabled: Un accès en lecture seule aux processus et à la mémoire de Netskope est autorisé pour les applications externes, ce qui permet aux outils EDR (par exemple, CrowdStrike, Defender, SentinelOne) d'inspecter les binaires sans déclencher de blocages anti-altération. La prévention de l'écriture/la résiliation reste entièrement active.

• Disabled: La protection autonome stricte empêche tous les processus autres que Netskope de lire ou d'écrire dans la mémoire de Netskope, ce qui peut amener les outils EDR à consigner des événements de falsification faux positifs.

Quand utiliser

Ce paramètre s'active dans les environnements où les agents EDR/antivirus tiers surveillent les processus en cours d'exécution afin d'éviter les fausses alertes de falsification tout en maintenant la sécurité du Client. Compromis en matière de sécurité : l'activation de ce paramètre permet également à tout processus local privilégié ou administratif, et pas seulement aux outils EDR approuvés, de lire la mémoire des processus du Netskope Client, ce qui assouplit la protection contre les falsifications à l'échelle du locataire. À utiliser uniquement comme solution de contournement ciblée, et non comme paramètre par défaut.

Overview

Ce paramètre contrôle le comportement d'enrôlement du Netskope Client dans multi-user and shared desktop environments (tels que Citrix Virtual Apps/Desktops, VMware Horizon RDS/VDA, Microsoft Remote Desktop Services et les postes de travail physiques partagés) lorsque l'enrôlement par le fournisseur d'identité (IdP) est configuré.
Dans un environnement multi-utilisateur, chaque utilisateur actif se connectant à l'hôte nécessite un profil d'identité individuel et une configuration de personnalisation (branding) afin que son trafic Web et cloud soit attribué avec précision dans SkopeIT.
Lorsque ce paramètre est activé, le client impose strictement une authentification interactive SAML/IdP pour chaque session utilisateur sur la machine. S'il est désactivé, le client autorise fallback to UPN (User Principal Name)-based enrollment, en interrogeant silencieusement le jeton de domaine du système d'exploitation / Active Directory pour l'identité de l'utilisateur connecté sans nécessiter d'invite IdP interactive.

Behavior

Lorsque Netskope ClientPerforms Only IDP-Based Enrollment on Multi-User Environment est :

Enabled: 

• Strict IDP-Only Enforcement: Le Netskope Client only inscrira les utilisateurs via le fournisseur d'identité configuré (par ex. Okta, Entra ID / Azure AD, PingIdentity).
• Chaque utilisateur se connectant à un poste de travail multi-utilisateurs se voit présenter une fenêtre d'authentification IDP interactive (nsapp.exe WebView) pour établir l'identité de sa session.
• No Silent Fallback: Si l'authentification IDP échoue ou est annulée, le client not tentera d'inscrire l'utilisateur de manière silencieuse via le nom principal d'utilisateur (UPN).

Disabled (Default): 

• UPN Fallback Permitted: Si l'authentification IDP ne peut pas être achevée, n'est pas joignable ou rencontre une vérification initiale sur un système multiutilisateur, le Client falls back to UPN-based enrollment.
• Le client interroge le jeton de session Windows/AD local, extrait le nom principal d'utilisateur (User Principal Name) de l'utilisateur (par exemple, user@corp.domain.com / sAMAccountName) et contacte automatiquement l'API Netskope Provisioner pour télécharger le fichier de configuration de personnalisation de l'utilisateur sans nécessiter d'authentification interactive par navigateur.

Quand utiliser

• Strict Multi-Factor / Conditional Access Policies: Organisations nécessitant une authentification multifacteur (MFA) obligatoire, FIDO2/WebAuthn ou une vérification stricte de l'accès conditionnel de l'IdP sur chaque bureau virtuel ou session de serveur de terminal avant que le routage Netskope ne commence.
• Non-AD / Non-Hybrid Joined VDI Fleets: Environnements multi-utilisateurs partagés où les UPN de système d'exploitation locaux ne correspondent pas aux adresses e-mail d'identité cloud, ce qui évite les inscriptions UPN non valides ou ne correspondant pas.
• When to Keep Disabled (Allow UPN Fallback): Environnements dotés d'une synchronisation de domaine Active Directory robuste (Azure AD Connect / SCIM) où les administrateurs souhaitent une inscription silencieuse transparente et sans invite pour les utilisateurs sur des sessions RDS/Citrix partagées sur la base de leur session de connexion Windows existante.