Netskopeに関しては、ステアリングバイパスとSSLバイパスの2種類のバイパス方法があります。
| バイパスの種類 | デスクリプション |
|---|---|
| ステアリングバイパス | トラフィックはデバイスレベルでNetskopeを完全にバイパスされ、宛先に直接送信されます。Netskopeクラウドには決して到達しません。 |
| SSL復号化バイパス | ウェブおよび SSL/TLS 暗号化トラフィックのみに適用されます。 トラフィックはNetskopeクラウドに送信されますが、SSLインスペクションはバイパスされます。これは、アプリケーションが証明書ピン留めされている場合（そして検査時にエラーが発生する場合）でも、Netskopeにトラフィックのフィルタリングとスキャンを試みさせたい場合に役立ちます。 |
推奨される 可能な場合は、ステアリングバイパスよりもSSLバイパスを使用してください。
重要
可能な限り、ステアリングバイパスよりもSSLバイパスをお勧めします。 過剰な操舵バイパスは、組織をより高いリスクにさらす可能性があります。
注記
Netskope 、SSL証明書ピンニングを使用するアプリケーションのバイパスリストを自動的に管理するため、ユーザーがそれらを追加する必要はありません（ CrowdStrike 、Dropbox、iCloudなど）。
このリストはSettings > Security Cloud Platform > Steering Configurationで確認できます。ステアリングプロファイルSelect 、 Exceptionsタブに移動して、バイパスされたアプリケーションリストを確認します。
SSLバイパス
SSLバイパスを追加するには、 Policies > SSL Decryptionに移動してAdd Policyをクリックします。
 |
新しい SSL バイパス ポリシーを追加します。 複数の異なる基準を使用することができます。
[新しい SSL 復号化ポリシー] ページで、 Add Criteriaボタンをクリックします。 次の基準は SSL バイパスに使用できます。
- 送信元IPアドレス：例：
10.0.10.5/32、10.0.65.0/24 - 送信元IPアドレス（出力）：例：
10.0.10.5/32、10.0.65.0/24 - 宛先IPアドレス: 例えば、
1.2.3.4 - カテゴリー: 例えば、
Finance - ドメイン: 例えば、
*.example.com - サービス: 例えば、
TCP, FTP, IMAP, POP3 - ユーザー: 例えば、
user@company.com - アプリスイート: 例えば、
Microsoft 365, Amazon, Adobe - 応用例：例えば、
Microsoft Teams, Box, Slack - アクセス方法: 例えば、
Client, GRE, Explicit Proxy - OSファミリー: 例えば、
ChromeOS, Android, iOS
注記
名前付きの送信元および宛先ネットワークロケーションを定義するには、 Policy & Network Locationに移動し、目的の IP 範囲を使用して新しいNetwork Locationを作成します。
SSL検査の上記の基準を回避するには、必ずアクションDo Not Decryptを選択してください。
ポリシーに名前を付け、 Enabledに設定されていることを確認し、 Saveをクリックします。
重要
バイパスを追加したら、 Policy > SSL Decryptionの下のApply Changesクリックするのを忘れないでください。変更を有効にするには、これが必要です。
 |
ステアリングバイパス
ステアリングバイパスを追加するには、 Settings > Cloud Security Platform > Steering Configurationに移動し、デフォルトのテナントステアリング構成（または存在するその他のステアリング構成）をクリックして変更します。
 |
ステアリングバイパスは、 Netskope Clientに割り当てられているステアリング構成プロファイルを変更することによって追加されます。
Exceptionsタブをクリックし、次にNew Exceptionをクリックします。
 |
ステアリング例外を追加するには、 Exceptionsタブに移動してNew Exceptionをクリックします。
以下の基準は ステアリングバイパスを追加する際の基準となります。
- 応用例：例えば、
Microsoft Teams - カテゴリー: 例えば、
Finance - 証明書ピン留めされたアプリケーション: 例えば、証明書ピン留めされている既知のアプリ
- ドメイン: 例えば、
app.company.com - ソース位置：例：
10.0.0.5/32、10.0.65.0/24 - 目的地: 例えば、
1.2.3.4 - ソース国: 例:
China、Russia。
注記
名前付きの送信元および宛先ロケーションを定義するには、 Policies > Network Locationに移動し、目的の IP 範囲を使用して新しいネットワークロケーションを作成します。
ステアリングバイパスは に即座に追加され、次のチェックイン時（15分ごと）にNetskope Clientに自動的に適用されます。
推奨バイパス
Netskopeは、最低限以下のバイパス対策を講じることを推奨します。
| バイパス | タイプ | デスクリプション |
|---|---|---|
| 認証バイパス／SSOログインページ | ステアリングバイパス | 最善の方法は、SSOプロバイダーのログインページのURLを迂回することです。オンプレミス環境で管理対象外のデバイスからユーザーが接続する場合など、特定のシナリオでは、Netskopeは接続を許可する前に、ユーザーの身元を確認するためにSSOプロバイダーにリダイレクトします。しかし、SSOプロバイダーへのリダイレクトもブロックされます。なぜなら、SSOプロバイダーはまだ認証されていないためです（ループが発生します）。 これは通常、ドメインベースのバイパスです。
条件付きアクセスを使用する場合は、このバイパスを必ず含める必要があります。そうしないと、トラフィックがNetskope IPアドレスから送信されたように見え、条件付きアクセスが失敗/アクセス拒否される可能性があります。 |
| VPNゲートウェイ | ステアリングバイパス | NetskopeからVPNホスト名と宛先IPアドレスがすべてバイパスされるようにしてください。Netskopeがこれらの接続を傍受して検査した場合、VPNへの接続が失敗する可能性が高くなります。これらのバイパスは、ドメインベースと宛先ネットワークロケーションベースの両方で適用されます。 |
| エンドポイント（EDR）エージェント／クライアント | SSLバイパス | 一部のEDRベンダー（ CrowdStrikeなど）は、エージェントがクラウドに対して行う接続に証明書ピンを付けることで、改ざんを防止しています。 これらがSSL検査から除外されるようにする必要があります。これらのバイパスは通常、 *.cloudsink.netのようにドメインベースになります。詳細については、ベンダーのドキュメントを参照してください。 |