例外の追加

ステアリング設定はトラフィックをNetskopeクラウドに誘導します。ステアリング設定で例外を指定することで、選択したソース(例:アプリ、ドメインなど)からそれぞれの宛先に直接トラフィックを送り、Netskopeクラウドを回避できます。例えば、使うフルトンネルVPN環境では、特定のトラフィックを Netskope クラウドではなく、それぞれのVPNゲートウェイに直接送りたい場合もあります。 この記事では、ステアリング設定にさまざまな例外を追加する方法について解説します。

例外事項をより深く理解するために、Netskopeでは以下の記事を参照することをお勧めします。

• ダイナミックステアリングの有効化

• Netskope Client概要

操舵例外ガイドライン

例外を作成する際には、以下の点を考慮してください。

• Netskopeアカウントに管理者権限があることを確認してください。

• Netskope Secure ウェブ ゲートウェイがユーザー ID を取得するために Cookie サロゲート機能を使用する場合、OU およびユーザー グループ ベースの例外は適用できません。

• GREおよびIPSec展開の場合、 Netskope Secureウェブゲートウェイは、 Netskope Client （インストールされ有効になっている場合）またはSAML認証を介してユーザーIDを取得します。 万が一、 Netskope Secure Web GatewayがユーザーIDを認識する前にトラフィックが到着した場合、OUおよびユーザーグループに基づく例外は適用できません。

• Netskope Secure Web GatewayがユーザーIDを認識していない場合、デフォルトの例外設定が適用されます。

例外トラフィックログ

デバイス上でローカルにトラフィックをバイパスした場合、トラフィックはNetskopeに送信されず、Skope ITイベントにも記録されません。Netskopeでは、バイパスされたトラフィックのログのみを確認できます。

サポートされている例外

サポートされている例外は以下のとおりです。

*コンタクトNetskopeすべてのトラフィック モードで非ウェブ トラフィックにカテゴリ例外を適用したくない場合にサポートします。

フレキシブルダイナミックステアリングにおける例外動作

柔軟な動的ステアリングオプションでは、管理者が動的ステアリングモードをあるモードから別のモードに変更するたびに、例外動作が変わります。

ステアリングモードを編集する際は、以下のシナリオと例外的な動作を参照してください。

Scenario 1: 管理者がダイナミックステアリングモードをEnabledからDisabledに変更します。Existing On-Prem列とExisting Off-Prem列の値は、 Dynamic Steeringが有効になっているときにUIで選択されたトラフィックモードを表します。New Traffic Mode列は、管理者がUI上で「動的ステアリングを有効にする」オプションを無効にした後に選択するトラフィックモードを表します。

Scenario 2: 管理者がダイナミックステアリングモードをDisabledからEnabledに変更します。Existing Traffic Mode列は、UI上のEnable Dynamic Steering オプションが無効になっている場合に、WebUIで選択されたトラフィックモードを表します。New On-Prem列とNew Off-Prem列の値は、管理者がUIで「動的ステアリングを有効にする」オプションを有効にした後に選択するトラフィックモードを表します。

ダイナミックステアリングが無効になっている状態でステアリング構成を複製し、複製プロセス中にダイナミックステアリングを有効にすると、システムはオンプレミスセクションとオフプレミスセクションの両方ではなく、どちらか一方のセクションにのみ例外情報を入力します。両方の環境に例外を適用するには、まずダイナミックステアリングを無効にしたプロファイルを複製して保存し、その後、後続の変更としてダイナミックステアリングを有効にします。

応用

自家製アプリケーションを使用する組織は、アプリケーション例外を使用して、カスタム アプリケーション定義からのトラフィックをバイパスできます。 アプリ定義を使用すると、カスタムアプリ、コネクタ、またはプライベートアプリを追加できます。アプリ定義の作成方法の詳細については、 「アプリ定義」を参照してください。

アプリケーション例外の追加

アプリケーション例外を追加するには：

1. Settings > Security Cloud Platform > Steering Configurationへ移動してください。

2. Steering Configurationページで、クリックします例外を追加したいステアリング構成について。

3. View Exceptionsをクリックしてください。

4. Exceptionsタブで、 New ExceptionをクリックしてからApplicationクリックします。

5. New Exceptionウィンドウでは：

   • Exception Type: Applicationを選択し、ドロップダウンリストからアプリケーションを選択してください。アプリケーションを検索することもできます。

   • Action以下のいずれかの操作を選択してください。

     • Bypass選択したアプリをバイパスして、すべてのトラフィックを直接宛先に送信することを選択します。これはデフォルトの動作です。

     • Bypass, except for DNS traffic: 「DNSトラフィックの方向転換」オプションを有効にして、ポート53（DNSの標準ポート）を含むアプリケーションを選択した場合、選択したアプリケーションをバイパスし、DNSトラフィックを除くすべてのトラフィックを宛先に送信するように選択します。

   • Notes：必要に応じて、例外に関するコメントまたはメモを入力してください。

     

6. Addをクリックしてください。

カテゴリ

カテゴリとは、類似した種類のコンテンツを提供するウェブサイト（サイト）の集合を定義するものです。例えば、「アート」カテゴリーは、知的または美的要素のみに基づいて評価された創造的なアート作品を掲載するウェブサイトの集まりです。例外として「アート」カテゴリを選択すると、このカテゴリ内のすべての宛先（ウェブサイト）へのトラフィックはNetskopeクラウドを経由せず、それぞれの宛先に直接送信されます。

セッションがバイパスカテゴリに属するかどうかを識別するために、 Netskope Client Netskopeクラウドにいくつかの初期パケットを送信します。 そのため、Netskopeクラウドに転送されるパケットがいくつか確認できる場合があります。カテゴリを確認した後、 Netskope Clientユーザーのローカルでトラフィックをバイパスします 。

カテゴリ例外の追加

カテゴリ例外を追加するには：

1. Settings > Security Cloud Platform > Steering Configurationへ移動してください。

2. Steering Configurationページで、例外を追加したいステアリング構成の… をクリックします。

3. View Exceptionsをクリックしてください。

4. Exceptionsタブで、 New ExceptionをクリックしてからCategoryクリックします。

5. New Exceptionウィンドウでは：

   • Exception Type: Categoryを選択し、例外を作成するデフォルトまたはカスタムのカテゴリを選択してください。

   • Action: 指定されたドメイン/IPアドレスのDNSトラフィックはNetskope Cloudをバイパスし、直接宛先に送信されます。この項目は変更できません。

   • Notes：必要に応じて、カテゴリ例外に関するコメントまたはメモを入力してください。

   

6. Addをクリックしてください。

証明書ピン留めアプリケーション

アプリケーションを証明書ピン留めアプリケーション例外として追加することで、そのようなアプリケーションからのトラフィックはNetskopeクラウドによってバイパスされます。ピン留めされたアプリは、接続先のWebサイトの公開証明書または鍵を保存し、それをNetskopeクラウドに提示します。Netskopeクラウドは、宛先のWebサイト/サーバーに接続する際に、ピン留めされた証明書とサーバー証明書を照合して検証します。検証が成功した場合、Netskopeクラウドはピン留めされたアプリケーションからのトラフィックをバイパスします。

証明書ピン留めアプリケーション例外の追加

証明書が固定されたアプリケーションの例外を設定するには、以下の手順に従ってください。

1. Settings > Security Cloud Platform > Steering Configurationへ移動してください。

2. Steering Configurationページで、更新したい設定を見つけてクリックします。

3. Exceptions タブをクリックしてください。

4. ExceptionsタブでNew Exception > Certificate Pinned Applicationをクリックします。

5. New Exceptionウィンドウで、以下を設定します。

   • Exception Type: Select Certificate Pinned Application。 あらかじめ定義されたアプリ、またはカスタムアプリを選択してください。クリック証明書ピン留めアプリのページで、定義済みおよびカスタムの証明書ピン留めアプリを表示します。新しいものを作成するには、 + アイコンをクリックして 新しい証明書固定アプリを作成します。

   • Custom App Domains: アプリケーションは、管理対象デバイスからトラフィックを送信するためにこれらのドメインを使用します。

     カスタムアプリドメインを追加するには、アプリケーションのドメインをカンマで区切って入力します。

     • Netskopeはワイルドカードドメイン(例:*.example.com)をサポートしていません。ただし、証明書が固定されているアプリケーションの場合、指定されたドメインのサブドメインは自動的にバイパスされます。example.com のような特定のドメイン名を入力する必要があります。drive.example.com、mail.example.com、または *。各ドメインは宛先ホスト名使う接尾辞マッチングとマッチングされます。 例えば、ドメイン名「example.com」ホスト名「mail.example.com」に一致しますただし、「mail.1example.com」は除く。* 任意のホスト名に一致します。

     • 証明書が固定されたアプリのトラフィックの宛先ホスト名がCustom App Domains定義と一致する場合、トラフィックはバイパスされます。トンネルモードの選択を解除すると、トラフィックはローカルでバイパスされます。一方、トンネルモードを選択し、ホスト名がサフィックスマッチング（*すべてに一致）によってドメインと一致する場合、トラフィックはトンネル化され、Netskopeプロキシ上でバイパスされます。

       このフィールドを有効にするには、 Netskope営業担当者に連絡してください。 有効化後、カスタム証明書をピン留めするすべてのアプリのドメインを入力する必要があります。ドメインが設定されていない場合、アプリは動作しなくなります。

   • Actions:  Netskopeがプラットフォームごとに選択されたアプリケーションのトラフィックをどのように処理するかを定義します。このセクションでは、管理者はエンドポイントからの受信トラフィックに対して、以下のいずれかのアクションを選択できます。

     • BypassNetskopeプロキシによる検査を行わずに、トラフィックを宛先に直接送信します。

     • BlockNetskope Client 、証明書がピン留めされたアプリケーションからのトラフィックをブロックします。

       トンネルモードは、「詳細オプション」をクリックした場合にのみ表示されます。

     プラットフォームごとに、トラフィックをバイパスするかブロックするかを選択できます。AndroidとChrome OS向けに新しいアプリケーションを追加するためのプラットフォームオプションはそれぞれ別々に用意されています。証明書が固定されたアプリケーションを追加する場合、 :

     • Android 9以前のバージョン向けのドメインベースの設定。

     • Android 10以降向けのプロセスベースの設定。

   • Advanced Options:  このオプションを有効にすると、エンドユーザーデバイスからのトラフィックを細かく制御できます。Advanced Optionsを使えば、各OSごとに以下のオプションでドリルダウンをバイパスできます。

     このオプションが無効になっている場合（デフォルト）。このオプションを無効にすると、エンドユーザーデバイスからのトラフィックを制御できるようになります。トラフィックを迂回するか、遮断するかを選択できます。

     Supported platforms: Windows、macOS、Linux、iOS、Android。 ChromeOSBypassとBlockのみをサポートしています。

     • Devices matching specific Device Classification: webUIは管理プロファイルを含む複数のデバイスに対して Device Classification ルールを表示します。Select それぞれのオペレーティングシステムに対するデバイス分類プロファイルです。

       Managedを選択すると、証明書ピン留めアプリケーション例外がデバイス分類プロファイルに一致するすべてのデバイスに適用され、管理対象デバイスとして分類されることを意味します。 Managedを選択すると、すべてのラベルがグレー表示になり、自動的に選択されます。ドロップダウンリストには、管理者が追加のデバイス分類プロファイルを設定している場合、それらのプロファイルも表示され、管理者は必要に応じて選択できます。この例外は、Netskope Client バージョン 110.0.0 以前のバージョンに適用できます。

     • Tunnel Mode: Netskope経由でトラフィックを送信します。このオプションは、シングルサインオン（SSO）サービスに必要です。 ソース検証のためのNetskopeのパブリックIPアドレス。 Domainsには、バイパスしたいトンネルドメインを入力してください。

       Tunnel Modeを有効にするには、 Steering configurationでBypass exception trafficをNetskope Clientに設定してください。

     必要に応じて複数のアクションを使用できます。

     • Bypass + Managed Devices: Netskope Clientはマネージドデバイスにのみバイパスルールを適用し、マネージドデバイスモードが有効になっているとWebUIのCustom App Domains 設定は使うしません。

     • Bypass + Tunnel Mode: Netskope Client Netskopeを経由してトラフィックをトンネル接続しますが、SSL検査は回避します。 これは通常、SSO（シングルサインオン）に必要です。

     • Bypass + Managed Devices + Tunnel Mode: Netskope Clientバイパス ルールを管理対象デバイスにのみ適用し、管理対象デバイス モードが有効な場合、WebUI のCustom App Domains 設定は使用されません。 バイパス処理が実行された後、 Tunnel Modeが選択されている場合、 Netskope Client WebUIで設定されたドメインに基づいてトラフィックをトンネルします。

     例外を管理対象デバイスにのみ適用する場合は、 Advanced Optionsを使用します。 これにより、管理対象デバイスのみが、ピン留めされたアプリを使用するためにNetskope Cloudをバイパスしたり、特定のドメインをNetskope Cloud経由でトンネル接続したりすることが保証されます。

6. Addをクリックして保存し、例外を構成に適用します。

新しく作成された証明書ピン留めアプリケーションの例外は、例外リストでアクション、タイプ、メモ、最終更新日時などの詳細情報とともに確認できます。これは、設定が正常に適用されたことを確認するものです。

定義済みの証明書がピン留めされたアプリケーションのドメイン例外を表示する

Exceptionsページでは、ステアリング設定のためにNetskopeクラウドからバイパスされる、事前定義済みおよびカスタムの証明書ピン留めアプリケーションを確認できます。定義済みの証明書ピン留めアプリケーション例外の一覧を表示するには：証明書ピン留めアプリケーション。

証明書がピン留めされたアプリケーション例外をクリックすると、バイパス設定を編集したり、Netskope をバイパスするデフォルトのApp Domainsのリストを表示したりできます。

ドメイン例外は 例外で設定されたドメインとの間のトラフィックをバイパスします。 ドメイン例外を追加する一般的な理由は、Macbook を macOS アップデートでアップグレードするために使用するドメインを追加するなど、ソフトウェア アップデートに使用するドメインからのトラフィックをバイパスすることです。

ドメイン例外を追加するには：

Default Domain List

ドメインベースの例外に追加できるデフォルトドメインのリストを以下に示します。

*.apple.com
*.bitdefender.com
*.cdn-apple.com
*.cdn.office.net
*.data.microsoft.com
*.emsisoft.com
*.itunes.apple.com
*.kaspersky.com
*.mcafee.com
*.mp.microsoft.com
*.mzstatic.com
*.nai.com
*.oracle.com
*.paloaltonetworks.com
*.relay.teams.microsoft.com
*.sls.microsoft.com
*.smartscreen-prod.microsoft.com
*.symantec.com
*.symantecliveupdate.com
*.tr.teams.microsoft.com
*.turn.teams.microsoft.com
*.update.microsoft.com
*.webex.com
*.windows.com
*.windowsupdate.com
*.windowsupdate.microsoft.com
aru-akam.oracle.com
bitdefender.com
cdn-apple.com
data.microsoft.com
emsisoft.com
ftp.nai.com
gateway.icloud.com
heartbeat.s2.spn.com
kaspersky.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
macromedia.com
mcafee.com
message.s2.spn.com
metrics.icloud.com
mobile.twitter.com
mp.microsoft.com
mzstatic.com
officecdn.microsoft.com
p37-caldav.icloud.com
paloaltonetworks.com
setup.icloud.com
smartscreen-prod.microsoft.com
sophos.com
sophosupd.com
sophosxl.net
staticupdates.paloaltonetworks.com
support.oracle.com
update.avg.com
update.fortiguard.net
update.grisoft.com
update.nai.com
update.symantec.com
updates.oracle.com
updates.paloaltonetworks.com
upgrade.bitdefender.com
vimeo.com
webex.com
windowsupdate.microsoft.com
wns.windows.com
ws-ee-maidsvc.icloud.com

DNS例外を使用すると、DNSトラフィックをバイパスできます。

DNS例外を追加するには：

宛先ロケーション例外は、ネットワークロケーションプロファイルで定義された特定の宛先に送信されるトラフィックをバイパスします。Netskope ClientをVPNアプリケーションなどのサードパーティ製アプリと一緒にインストールする場合、VPNトラフィックをバイパスしてそれぞれのVPNゲートウェイに直接送信するための例外を追加する必要があります。宛先場所の例外を使用すると、IPアドレス、IPアドレス範囲、またはCIDRネットマスクとして宛先を追加できます。

宛先ロケーション例外を追加する前に、ネットワークロケーションオブジェクトを追加する必要があります。ネットワークロケーションとは、公開IPアドレスのリストを含むプロファイルのことです。

宛先場所の例外を追加するには：

送信元位置例外は、ネットワーク位置プロファイルで定義された特定のアドレスセット（トラフィックの送信元として扱われる）からのトラフィックをバイパスします。

リリースバージョン123.0.0では、Netskope はSource LocationsおよびSource Countriesステアリング例外を非推奨としました。これらは Netskope Client によって評価されなくなったためです。この機能は、機能フラグ（ベータ版）によって制限されています。テナントの機能フラグを有効にするには、 Netskopeサポートまたは営業担当者にお問い合わせください。 テナントでこの機能フラグが有効になると、例外のウェブUIで次の変更を確認できます。
– ソース国とソースロケーションは、 New Exceptionドロップダウンリストで使用できなくなります。これは、ソースの場所とソースの国を使う新しいステアリング例外を作成できないことを意味します。

– ソースロケーションを含む既存のステアリング例外については、WebUI に SSL 復号化拒否ルールで再設定するよう警告メッセージが表示されます。
– 引き続き+Add Filter オプションを使用して、既存のソースロケーションとソース国の例外を表示できます。

「送信元国」例外を使用すると、特定の地域からのトラフィックをバイパスできます。

ソース国例外を追加するには：