Créez un éditeur New

Le Netskope Publisher permet un accès réseau sans confiance aux applications et aux hôtes dans votre nuage public ou votre centre de données privé.  Cela inclut la possibilité d'exploiter un éditeur dans les services Web d'Amazon. 

Le Netskope Publisher permet un accès réseau sans confiance aux applications et aux hôtes dans votre nuage public ou votre centre de données privé.  Cela inclut la possibilité d'utiliser un éditeur dans Azure. 

Le Netskope Publisher permet un accès réseau sans confiance aux applications et aux hôtes dans votre nuage public ou votre centre de données privé.  Cela inclut la possibilité d'exploiter un éditeur dans Google Cloud Platform. 

Le Netskope Publisher permet un accès réseau sans confiance aux applications et aux hôtes dans votre nuage public ou votre centre de données privé.  Cela inclut la possibilité d'exploiter un éditeur dans VMWare ESXi. 

Le Netskope Publisher permet un accès réseau sans confiance aux applications et aux hôtes dans votre nuage public ou votre centre de données privé.  Cela inclut la possibilité d'exploiter un éditeur dans Hyper-V. 

Ce document décrit comment configurer un éditeur Netskope NPA sur un hôte Linux avec une KVM (machine virtuelle basée sur le noyau) à l’aide de l’image Publisher QCOW2. Ces instructions sont basées sur Ubuntu 22.04 comme système d’exploitation hôte, mais s’appliquent à toute distribution Linux supportant KVM et libvirt.

Conditions préalables

Pour compléter cette configuration, vous avez besoin de :

• A Netskope tenant with NPA enabled.
• Un jeton d’enregistrement Publisher (généré à partir du locataire Netskope).
• Un hôte Linux avec accélération KVM disponible (à vérifier avec kvm-ok).
• Au moins 4 Go de RAM et 2 vCPU gratuits pour la VM du publicateur.
• 20 Go d’espace disque libre pour l’image QCOW2.

Installer KVM et outils requis

sudo apt update
sudo apt install -y cpu-checker qemu-kvm libvirt-daemon-system libvirt-clients virtinst bridge-utils

# Verify KVM is available
kvm-ok
# Should print: "KVM acceleration can be used"

# Add yourself to the kvm and libvirt groups (log out and back in afterwards)
sudo usermod -aG kvm,libvirt $USER

Démarrez le libvirt réseau par défaut (créé par l’installation ci-dessus ; il doit être activé) :

sudo virsh net-start default
sudo virsh net-autostart default
sudo virsh net-list # confirm "default" is active

Téléchargez l’image éditeur QCOW2

wget https://s3-us-west-2.amazonaws.com/publisher.netskope.com/latest/NetskopePrivateAccessPublisher.qcow2
wget https://s3-us-west-2.amazonaws.com/publisher.netskope.com/latest/NetskopePrivateAccessPublisher.qcow2.SHA256.txt

# Verify the checksum
EXPECTED=$(cat NetskopePrivateAccessPublisher.qcow2.SHA256.txt)
ACTUAL=$(sha256sum NetskopePrivateAccessPublisher.qcow2 | awk '{print $1}')
[[ "$EXPECTED" == "$ACTUAL" ]] && echo "OK" || echo "MISMATCH"

# Move the image into libvirt storage
sudo mv NetskopePrivateAccessPublisher.qcow2 /var/lib/libvirt/images/npa-publisher.qcow2
sudo chown libvirt-qemu:kvm /var/lib/libvirt/images/npa-publisher.qcow2

Créer la VM éditeur

Lancez la VM avec le libvirt réseau NAT par défaut. La VM reçoit une IP sur le libvirt réseau interne 192.168.122.0/24 , et l’hôte peut atteindre directement la VM.

sudo virt-install \
  --name npa-publisher \
  --memory 4096 \
  --vcpus 2 \
  --disk path=/var/lib/libvirt/images/npa-publisher.qcow2,format=qcow2,bus=virtio \
  --os-variant ubuntu22.04 \
  --network network=default,model=virtio \
  --graphics none \
  --console pty,target_type=serial \
  --import \
  --noautoconsole

Confirmez que la VM fonctionne :

sudo virsh list --all

Enregistrer l'éditeur

Vous pouvez accéder à la VM Publisher via la console série libvirt ou via SSH. Les deux méthodes fonctionnent pour compléter le magicien.

Option A : Connecter via la console série (recommandée pour KVM)

La console série fonctionne quelle que soit la configuration réseau et est le moyen le plus fiable d’interagir avec une nouvelle VM Publisher.

sudo virsh console npa-publisher
# Press Enter at the blank screen to see the login prompt
# To exit the console later, press Ctrl + ]

Option B : Connecter via SSH

Attendez 30 à 60 secondes après le démarrage de la VM pour que le DHCP se termine, puis cherchez l’adresse IP de la VM :

sudo virsh domifaddr npa-publisher
# IP will be 192.168.122.x for default NAT

ssh ubuntu@<VM_IP>

Première connexion avec l’Assistant

1. Connectez-vous avec les identifiants par défaut : nom d’utilisateur ubuntu, mot de passe ubuntu.
2. On vous invitera à créer un mot de passe New . Règles de mot de passe :
   • Minimum 14 caractères
   • Au moins une lettre majuscule
   • Au moins une lettre minuscule
   • Au moins un chiffre
   • Au moins un caractère non alphanumérique
   • Pas de palindromes
3. Utilisez le magicien éditeur :

   sudo ./npa_publisher_wizard

4. Depuis le menu de l’assistant, sélectionnez Register, et collez votre jeton d’enregistrement quand vous le demandez.
5. Sinon, enregistrez-vous de manière non interactive avec cette commande :

   sudo ./npa_publisher_wizard -token <REGISTRATION_TOKEN>

6. Vérifier le statut d’éditeur dans le locataire Netskope ; Cela devrait apparaître comme Connected.

Opérations courantes de VM

# List VMs
sudo virsh list --all

# Stop / start the VM
sudo virsh shutdown npa-publisher
sudo virsh start npa-publisher

# Force off (if shutdown hangs)
sudo virsh destroy npa-publisher

# Connect to the console (Ctrl + ] to exit)
sudo virsh console npa-publisher

# Delete the VM and its disk
sudo virsh destroy npa-publisher
sudo virsh undefine npa-publisher --remove-all-storage

Options réseau avancées

Le réseau NAT par défaut fonctionne dans la plupart des cas. Si vous avez besoin que la VM Publisher soit accessible sur votre réseau local physique, remplacez l’argument --network dans la commande virt-install :

Pont vers une carte réseau physique

La VM reçoit une IP sur votre réseau local (même sous-réseau que l’hôte). Nécessite un pont br0 préconfiguré sur l’hôte.

--network bridge=br0,model=virtio

MACVTAP Direct

Accès rapide au réseau local sans configurer de pont. Notez que l’hôte lui-même ne peut pas se connecter en SSH à la VM dans ce mode (d’autres machines LAN le peuvent). Remplacez eth0 par le nom réel de l’interface hôte.

--network type=direct,source=eth0,source_mode=bridge,model=virtio

MacVTAP ne fonctionne pas sur les instances cloud (AWS EC2, GCP, Azure) car le réseau cloud filtre les adresses MAC non-ENI. Utilisez-le uniquement sur des hôtes virtualisés physiques ou sur site.

Dépannage

Network not found: no network with matching name ‘default’
Démarrez le réseau par défaut :

sudo virsh net-start default
sudo virsh net-autostart default

Si le réseau par défaut a été supprimé (ce qui est inhabituel), recréez-le à partir du XML libvirt fourni :

sudo virsh net-define /usr/share/libvirt/networks/default.xml
sudo virsh net-start default
sudo virsh net-autostart default

virt-install: command not found
Installer virtinst:

sudo apt install -y virtinst

VM has no IPv4 address (après virsh domifaddr)
Attends 30 à 60 secondes que le DHCP se termine et vérifie à nouveau. Si la VM n’a toujours pas d’IP (DHCP indisponible sur votre réseau, IP statique requise), connectez-vous via virsh console et utilisez l’assistant Publisher pour configurer le réseau de manière interactive (IP statique, DNS, passerelle).

Permission denied (publickey,password) when SSHing
L’éditeur exige une authentification par mot de passe. Utilisez les identifiants par défaut (ubuntu/ubuntu) lors de la première connexion ; Vous serez obligé de changer immédiatement le mot de passe.

Le Netskope Publisher permet un accès réseau sans confiance aux applications et aux hôtes dans votre nuage public ou votre centre de données privé. Il est notamment possible d'exploiter un éditeur sur une installation autonome d'Ubuntu 22.04 ou de Red Hat Enterprise Linux 9.6. Tout serveur x86 fonctionnant sous Ubuntu 22.04 ou RHEL 9.6, qu'il soit sur site ou dans un nuage public, et qu'il soit physique ou virtuel, qui satisfait aux exigences est pris en charge.

Cette rubrique explique comment créer une instance Publisher sur une installation Linux autonome. La connaissance de l'interface utilisateur Netskope est requise, ainsi que.. :

• A Netskope Tenant.
• Une copie de votre jeton d'enregistrement de l'éditeur.
• Un système Ubuntu 22.04 ou Red Hat Enterprise Linux 9.6 installé avec la configuration suivante :
  • Vous devez avoir un utilisateur non root avec les droits sudo pour installer l'éditeur avec un script.

  Important

  Assurez-vous que votre dossier /tmp dispose d'une autorisation 777 pour que les déploiements de Publisher et les mises à jour du système d'exploitation soient réussis.

Exécutez la commande suivante dans la session SSH non racine de votre système d'exploitation Linux pour télécharger et installer les composants nécessaires à l'éditeur. Cela peut prendre environ 10 minutes.

curl https://s3-us-west-2.amazonaws.com/publisher.netskope.com/latest/generic/bootstrap.sh | sudo bash; sudo su - $USER; exit

À la fin de ce processus, vous disposez d'un éditeur Netskope entièrement fonctionnel et vous pouvez l'enregistrer auprès de Netskope.

Enregistrer l'éditeur