Overview
L'appliance unique DSPM regroupe les services side-car et DLP (Prévention des pertes de données) dans une seule machine virtuelle. Ce modèle unifié simplifie le déploiement en réduisant le processus à une seule image, une seule commande CLI et une seule clé de licence.
C’est la voie de déploiement standard pour la plupart des clients. Après le déploiement, l’appliance s’enregistre automatiquement auprès de votre locataire Netskope et crée automatiquement son pool de side-cars. Aucune création manuelle de pool, gestion de jetons ou liaison DLP (Prévention des pertes de données) n’est requise.
Pour les scénarios de balayage à grande échelle nécessitant le déploiement séparé de l’appliance DLP (Prévention des pertes de données) et des side-cars, consultez les instructions dédiées de déploiement autonomes.
Pour en savoir plus : Déployer l'appliance DLP (Prévention des pertes de données) pour DSPM.
Conditions préalables
Avant de déployer le Single Appliance, assurez-vous de respecter les exigences suivantes.
-
Network Planning: L’Appliance Unique doit avoir une connectivité HTTPS sortante (port 443) vers le plan de contrôle Netskope. Assurez-vous que l’appareil peut atteindre :
- Your tenant hostname (e.g.,
tenant.goskope.com) config-tenant.goskope.comcallhome-tenant.goskope.com- Les domaines de passerelle applicables et les adresses IP Netskope
- Your tenant hostname (e.g.,
-
Networking Considerations:
-
Assurez-vous que les IP Netskope et Amazon S3 (par exemple,
*.s3-us-west-1.amazonaws.com) soient autorisées à être listées. Sitenant.goskope.com'est votre nom d’hôte locataire, autorisez également les IP pourconfig-tenant.goskope.cometcallhome-tenant.goskope.com. -
Vous devez également autoriser la liste des domaines passerelle suivants :
dlpappliancegw.sv5.goskope.com dlpappliancegw.bom3.goskope.com dlpappliancegw.am2.goskope.com dlpappliancegw.sjc1.goskope.com dlpappliancegw.fr4.goskope.com dlpappliancegw.ruh1.goskope.com dlpappliancegw.mel2.goskope.com dlpappliancegw.sjc2.goskope.com dlpappliancegw.zur2.goskope.com dlpappliancegw.lon3.goskope.com dlpappliancegw.sin2.goskope.com dlpappliancegw.dfw3.goskope.com dlpappliancegw.fra2.goskope.com
– Si vous utilisez un DRM avec DLP (Prévention des pertes de données), vous devez également autoriser les points de terminaison Microsoft AIP.
– Tous les services intégrateurs doivent pouvoir atteindre l’appareil via HTTPS (TCP 443).
– L’interception SSL du trafic provenant de l’appliance DLP (Prévention des pertes de données) isn’t recommandée. Si un proxy est en place, assurez-vous d’importer les certificats correspondants.
– Déploiement de multiples appliances DLP (Prévention des pertes de données) derrière un équilibreur de charge réseau isn’t pris en charge pour des scénarios de requêtes asynchrones.
Pour la liste complète des exigences de sortie et de port, voir Paramètres du pare-feu pour les instances hébergées par DSPM.
-
-
Appliance Sizing: Sauf indication contraire, déployez un appareil de taille moyenne. La petite taille est destinée uniquement aux tests de preuve de concept.
AWS GCP Azure VM (ESXi/Hyper-V/KVM) Concurrent Requests Min Disk Small c5ad.4xlarge n2-standard-16 Standard-F16s_v2 16 cores / 32 GB 480 rps (burst 576) 351 GB Medium c5ad.8xlarge n2-standard-32 Standard-F32s_v2 32 cores / 64 GB 1280 rps (burst 1536) 351 GB Large c5ad.16xlarge n2-standard-64 Standard-F64fs_v2 64 cores / 128 GB 2880 rps (burst 3456) 351 GB Dans les régions AWS où c5ad n’est pas disponible, utilisez c5a. Pour garantir des performances optimales, utilisez SSDs pour toutes les instances. ESXi ne prend pas en charge le redimensionnement dynamique après la création.
Si vous déployez un dispositif de taille incorrecte, le dispositif unique ne prend pas en charge la mise à l'échelle des ressources à la hausse ou à la baisse. Vous devez redéployer à la taille appropriée.
Processus de déploiement
Les étapes suivantes décrivent le processus de bout en bout pour récupérer la clé de licence, télécharger l’image de l’appliance et la connecter à votre environnement DSPM.
Étape 1 : Récupérer la clé de licence
La configuration de l’appliance utilise la clé de licence pour valider votre droit DLP (Prévention des pertes de données). La console Netskope le génère automatiquement.
- Connectez-vous à la console Netskope.
- Naviguez jusqu’à DSPM > Administration > Sidecar.
- Copiez la valeur License Key affichée sur cet écran.
Étape 2 : Télécharger l’image de l’appareil unique
La méthode de téléchargement dépend de la plateforme de déploiement de votre cible. Utilisez l’assistant dans l’interface DSPM pour assigner ou télécharger l’image.
- Allez sur DSPM > Administration > Sidecar.
- Cliquez + ADD SINGLE APPLIANCE. Le magicien commence par trois étapes : Platform > Assign / Download > Deployment.
- Note: Informations actuelles sur un seul appareil s’affiche en haut de l’assistant, incluant DLP (Prévention des pertes de données) Version, Sidecar Version, Taille de l’image et Date de sortie.
- Select votre plateforme cible. L'assistant s'adapte en fonction de votre sélection :
Pour AWS (AMI) :
- Select AMI.
- Cliquez sur Assign.
- Entrez votre Account ID et sélectionnez la Region.
- Cliquez sur Submit.
Pour Azure (VM Image) :
- Select VM Image.
- Cliquez sur Download.
- Copiez le hachage SHA-1 pour vérification.
- Télécharger le fichier image.
Pour ESXi :
- Select ESXi.
- Cliquez sur Download.
- Copiez le hachage SHA-1 pour vérification.
- Téléchargez le fichier
.ova.
Pour GCP (Image Machine) :
- Select Machine Image.
- Cliquez sur Assign.
- Entrez votre Account ID et sélectionnez la Region.
- Cliquez sur Submit.
Pour Hyper-V :
- Select Hyper-V Image.
- Cliquez sur Download.
- Copiez le hachage SHA-1 pour vérification.
- Télécharger le fichier image.
Pour KVM :
- Select KVM Image.
- Cliquez sur Download.
- Copiez le hachage SHA-1 pour vérification.
- Téléchargez le fichier image QCOW2.
Étape 3 : Déployer l’appareil unique
Suivez les instructions ci-dessous pour la plateforme choisie afin de créer l’instance de la machine virtuelle en utilisant l’image que vous avez assignée ou téléchargée à l’étape 2.
AWS:
- Allez sur la console EC2 et cliquez sur Lancer l’instance.
- Sous AMI, trouvez l’image Single Appliance dans My AMIs > Shared with me.
- Définissez le Type d’Instance selon la table de taille dans Prérequis.
- Configurez le stockage à un minimum de 351 Go en utilisant gp3.
- Aucune paire de clés SSH n’est requise. Configurez les groupes réseau et de sécurité selon les besoins. L’appareil ne doit pas être accessible au public.
- Select procéder sans paire de clés et lancer l’instance.
Azure:
Lors du déploiement, Azure peut afficher une notification « Provisionnement du système d’exploitation expiré ». C’est attendu et vous pouvez l’ignorer sans problème. Vérifiez que l’état de l’instance indique « En cours » pour confirmer la préparation.
- Extraire les VHD du fichier téléchargé :
tar -xvf {downloaded_vhd_tar_file} -C {path} - Créez un compte de stockage sous votre groupe de ressources.
- Créez un conteneur sous le compte de stockage.
- Sur la page Compte de stockage, allez à Security + Networking > Shared access signature.
- Activez toutes les permissions, réglez Start Time 24h avant maintenant et End Time 24h après maintenant.
- Cliquez Generate SAS and connection string et copiez le SAS token.
- Installez AzCopy si ce n’est pas déjà installé.
- Note : Utilisez AzCopy pour téléverser. Télécharger de gros fichiers via le portail Azure est peu fiable et peut entraîner une corruption de fichiers.
- Téléchargez la VHD :
azcopy copy "{local_path}.vhd" "https://{account_name}.blob.core.windows.net/{container_name}/{vhd_name}.vhd?{SAS_TOKEN}" --blob-type PageBlob - Allez dans Images dans Azure.
- Choisissez votre abonnement > Réglez OS Type: Linux > Select votre VHD depuis le stockage > Configurez Account Type: SSD Premium > Définissez Chiffrement : Plateforme gérée.
- Cliquez sur Review + create.
- Créez une instance à partir de l’image. Select un minimum de 351 GB Premium SSD disk.
- Configurez le réseau et créez la VM.
vSphere (ESXi) :
Téléchargez l’image .ova sur votre système local avant de la téléverser sur vSphere (vSphere ne prend pas en charge les importations URL directes lorsque l’URL dépasse sa longueur maximale supportée).
- Cliquez avec le bouton droit sur un hôte, un cluster ou un centre de données et sélectionnez Déployer le modèle OVF.
- Select Fichier local > Télécharger des fichiers, choisissez votre fichier
.ova, cliquez sur Suivant. - Saisissez le nom d’une VM, sélectionnez le lieu de déploiement, cliquez sur Suivant.
- Select ressource de calcul, cliquez sur Suivant.
- Consultez les détails et acceptez les contrats de licence, cliquez sur Suivant.
- Select le format de stockage de données et de disque virtuel (par exemple, Thin Provision), cliquez sur Suivant.
- Cartographiez les réseaux sources vers les ports réseau de destination, cliquez sur Suivant.
- Personnalisez les paramètres du modèle si applicable, cliquez sur Suivant.
- Relisez le résumé, choisissez éventuellement Démarrer après le déploiement, cliquez sur Terminer.
GCP:
- Allez dans Compute Engine > Instances VM et cliquez sur Créer une instance.
- Dans la configuration de la machine, indiquez un nom et sélectionnez N2 sous Usage général.
- Dans Type de machine, sélectionnez selon la table de taille dans Prérequis.
- Dans OS et Stockage, cliquez sur Changer, sélectionnez l’image Appliance unique partagée à votre projet, et réglez la taille à un minimum de 351 Go.
- Configurez les groupes réseau et de sécurité selon les besoins, puis cliquez sur Créer.
Hyper-V :
- Ouvre le gestionnaire Hyper-V.
- Dans le volet Actions, cliquez sur Importer la machine virtuelle.
- Cliquez sur Suivant, puis accédez au dossier racine des fichiers VM exportés. Cliquez sur Select un dossier > Suivant.
- Select la machine virtuelle dans la liste, puis cliquez sur Suivant.
- Choisissez Enregistrer la machine virtuelle sur place (utilisez l’identifiant unique existant).
- Lire et cliquer sur Terminer.
- Avant de démarrer l'instance, cliquez avec le bouton droit sur la machine virtuelle > Paramètres > Carte réseau et sélectionnez le commutateur réseau approprié.
- Démarrez la machine virtuelle depuis le volet Actions ou en cliquant avec le bouton droit > Démarrer.
KVM:
- Créez un répertoire modèle et extrayez :
mkdir single-appliance-templatetar -xvf single-appliance.tar - Extraire l’image disque QCOW2 :
tar -xzvf netskope-single-appliance-kvm-qcow2-*.qcow2.tar.gz -C /home/ubuntu/single-appliance-template/ - Déploiement en utilisant
virt-install:sudo virt-install --name single-appliance --ram 65536 --vcpus 32 --os-variant ubuntu24.04 --disk path=/home/ubuntu/single-appliance-template/<image_file>.qcow2,size=452 --import --network default --check path_in_use=off - Lorsque
virt-installconnecte la console, appuyez sur CTRL+C pour sortir. Le processus de démarrage continue en arrière-plan. - Vérifier l’état de la VM :
sudo virsh list --all - Vérifier le réseau :
sudo virsh net-list - Trouver l’adresse IP :
sudo virsh net-dhcp-leases default - Connectez-vous via SSH :
sudo ssh nsadmin@{IP}
Étape 4 : Connectez et attachez l’appareil
Une fois l'instance créée, connectez-la à Netskope afin qu'elle puisse télécharger la configuration et les profils requis.
-
SSH dans l’instance comme
nsadminavec le mot de passe par défautnsappliance:ssh nsadmin@<instance_ip>
-
Select le personnage de l’appareil électroménager. Lors de la première connexion, l’appareil affiche un assistant de sélection de persona. Select DSPM de configurer l’appareil comme un Appliance Unique (DLP (Prévention des pertes de données) + sidecar combinés).
Cette sélection n'apparaît qu'une seule fois et can’t être modifiée après confirmation. L'option alternative, DLP, configure l'appliance en tant qu'appliance DLP (Prévention des pertes de données) autonome à utiliser avec des side-cars distincts.Attendez que l’initialisation soit terminée. Après avoir sélectionné DSPM, l’appareil installe les composants du sidecar.
-
Changez immédiatement le mot de passe par défaut :
nsappliance> auth change-password
-
Configurez le DNS (si le DNS n’est pas fourni via DHCP) :
nsappliance> configure nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
-
Si vous devez configurer l’interface réseau manuellement au lieu d’utiliser le DHCP :
nsappliance> configure nsappliance(config)> set interface v4 dhcp enable false nsappliance(config)> set interface v4 static enable true nsappliance(config)> set interface v4 static ip x.x.x.x nsappliance(config)> set interface v4 static gw x.x.x.x nsappliance(config)> set interface v4 static netmask x.x.x.x nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
-
Pour revenir à la configuration DHCP automatique :
nsappliance> configure nsappliance(config)> set interface v4 dhcp enable true nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
Assurez-vous que la résolution DNS fonctionne sur l’appareil avant de procéder.
-
-
Assurez-vous d’avoir un jeton REST API v1. Si vous en avez déjà un, passez à l’étape suivante. Pour générer un jeton, allez dans Settings > Tools > Rest API v1 et cliquez sur Generate New Token.
-
Demandez la clé de licence que vous avez récupérée à l’étape 1 :
nsappliance> configure nsappliance(config)# set system licensekey <license-key> nsappliance(config)# save nsappliance(config)# exit
-
Vérifiez l’état de la liaison. La valeur
callhome_reachabledoit êtretrue, ettenant-urletserialdoivent être remplies :nsappliance> status tethering
La valeur decallhome_reachabledoit êtretrue, ettenant-urletserialdoivent se remplir -
Retournez à l’assistant UI DSPM (Step 3: Deployment), confirmez que la clé de licence correspond à celle que vous avez appliquée, puis cliquez sur Done.
Après un tethering réussi, l’appareil termine l’initialisation et commence à traiter les requêtes. Le temps d’initialisation peut être plus court sur les plateformes locales telles qu’ESXi. Un pool de side-cars est créé automatiquement et apparaît dans DSPM > Administration > Sidecar. Pour plus de détails sur la gestion de votre pool de side-cars, consultez la présentation de l’administration des sidecars du DSPM.
Step 5: Configure a Proxy (Optional)
Si votre organisation aligne le trafic sortant via un proxy, configurez-le à l’aide de l’interface de l’appareil (CLI).
-
Configurez les détails du proxy :
nsappliance> configure nsappliance(config)# set management-plane upstream-proxy-server hostname 10.10.10.10 nsappliance(config)# set management-plane upstream-proxy-server port 8000 nsappliance(config)# set management-plane upstream-proxy-server username <USERNAME> nsappliance(config)# set management-plane upstream-proxy-server password <PASSWORD> nsappliance(config)# set management-plane upstream-proxy-server trusted-ca
-
Copiez-collez votre certificat de CA serveur formaté en PEM unique (sans clés).
-
Press
Ctrl-Dwhen done. -
Sauvegarder et redémarrer :
nsappliance(config)# save nsappliance(config)# exit nsappliance> restart dlpaas all
-
Configurez la CA de confiance :
nsappliance> configure nsappliance(config)# set management-plane upstream-proxy-server trusted-ca
-
Copiez-collez votre certificat de CA serveur formaté en PEM unique (sans clés).
<PASTE PEM Formatted CA CHAIN>
-
Press
Ctrl-Dwhen done.<Press Ctrl-D>
-
Sauvegarder et redémarrer :
nsappliance(config)# save nsappliance(config)# exit nsappliance> restart dlpaas all
Étape 6 : Configurez le calendrier de mise à niveau
Après le déploiement, configurez le calendrier automatique de mise à jour pour votre Appliance Unique.
- Allez sur DSPM > Administration > Sidecar.
- Cliquez sur le nom de la piscine généré automatiquement.
- Dans le panneau de détails de la piscine, cliquez sur Edit Schedule.
- Choisissez quand appliquer les améliorations après la sortie (Within the first week after release, Within the second week after releaseou Within the third week after release).
- Select le jour de la semaine et l’heure de début (dans le fuseau horaire local de l’appareil).
- Cliquez sur Save Schedule.
Si vous rencontrez des problèmes pendant ou après le déploiement, consultez la section Dépannage DSPM avec DLP (Prévention des pertes de données).