Pare-feu natif Mac - Documentation technique Netskope

Les périphériques Apple fonctionnant sous macOS intègrent des mécanismes de pare-feu permettant d'autoriser ou de bloquer le trafic entrant ou sortant. Divers outils MDM permettent de déployer des politiques de configuration qui peuvent activer ou désactiver les pare-feux et également déployer des règles de pare-feux. Ce document énumère les exigences de configuration nécessaires au bon fonctionnement de Netskope Client et de Mac Native Firewall.

Environnement

Ce document a été créé à l'aide des éléments suivants :

Netskope Client : 141.0.0
OS: macOS

Interoperability Configuration Requirements

Netskope recommande les configurations suivantes pour s'assurer que Netskope Client peut diriger le trafic directement vers le nuage de Netskope.

Netskope recommande une posture de sécurité en couches, utilisant les règles de filtrage des paquets de macOS pour appliquer des restrictions au niveau de l’hôte parallèlement à la sécurité Internet et à l’accès à privilèges minimes de Netskope. Lors de la configuration d’un pare-feu natif Mac, listez la plage d’IP Netskope ainsi que d’autres exceptions de service connues.

Configuration du pare-feu Mac Native

Lors de la configuration des politiques pour le déploiement du client, assurez-vous que vous ajoutez des options dans votre outil MDM pour activer le pare-feu et ouvrir les ports 80 et 443.

Pour déployer Netskope Client dans une machine virtuelle (VM), assurez-vous que le client de la machine hôte est désactivé.

Enable Firewall

Les références suivantes peuvent fournir des directives de configuration spécifiques à MDM pour activer ou désactiver les pare-feu dans un périphérique macOS :

Verifying Interoperability

Agent Netskope

Consultez la liste des cas d'utilisation validés que vous pouvez utiliser pour vérifier les opérations du client.

Pare-feu Mac

Netskope Client est capable de contourner l'exception et de tunneliser le trafic comme spécifié dans la configuration de pilotage.

Pour valider le pare-feu Mac, activez le pare-feu sur votre machine macOS depuis System Settings > Network > Firewall.

Après avoir activé le pare-feu, aucun trafic n'est autorisé et il est bloqué. Procédez comme suit pour bloquer le port 443 :

Ouvrez le fichier /etc/pf.conf à l'aide de l'éditeur vim.
Ajoutez la règle suivante à la fin du fichier pf.conf - pour bloquer le port 443 :

block in proto tcp from any to any port 443

block out proto tcp from any to any port 443
Exécutez la commande suivante pour activer le filtre

sudo pfctl -e -f /etc/pf.conf
La règle à bloquer est maintenant définie et bloque tout trafic de site web.

tail -f /Library/Logs/Netskope/nsdebuglog.log