この記事では、Netskopeの誘導トラフィックをVPNトンネル全体を経由せずにNetskopeクラウドに直接送信するように設定する手順を説明します。
VPNトラフィックを回避するために、Netskopeのステアリング設定に例外を追加する必要があります。詳細については、 「VPN アプリケーションの例外設定」を参照してください。
環境
-
Netskope Client ：138.0.0
-
Cisco AnyConnect: 5.1.16
-
対応OS：WindowsおよびmacOS
相互運用性構成要件
Netskope Clientをサードパーティ製のVPNアプリと併用して導入する場合、VPNクライアントとNetskope Tenantの両方で以下の設定変更を行うことをお勧めします。以下の設定変更により、クライアントとVPNアプリの両方が競合することなくスムーズに動作することが保証されます。
macOSのパフォーマンス向上プロジェクトに取り組んでいる際、 Netskope Cisco Anyconnectのフルトンネルモードでの相互運用性の問題を観察しました。 これに対応するため、クライアントトンネルが確立されると、3秒以内にプローブプロセスを開始することでAnyConnectのフルトンネルモードを検出します。 プローブが失敗した場合、クライアントはlwip（enableMacPerformanceフラグが設定される前の方式）に切り替え、「エラーによりトンネルがダウンしました」イベントを生成します。この場合、クライアントは10～20秒間、断続的に切断と再接続を繰り返す可能性があります。回避策として、NetskopeはmacOSクライアントのVIFIP範囲(100.127.100.0/24)をCisco AnyConnectの分割トンネル除外範囲に追加することを推奨しています。
Netskope Client向けCisco AnyConnectの設定
Netskope Cloudへのクライアントトラフィックをバイパスするために、Cisco AnyConnectで以下の設定変更を行うことをお勧めします。
スプリットトンネルポリシーにACL（アクセス制御リスト）を追加する
-
Cisco ASA (Adaptive Security アプライアンス) に SSH で接続し、設定モードに入ります。
-
以下のACLをコピーし、このACLの名前を覚えておいてください。
access-list Netskope_NewEdge_Exclusions standard deny 8.36.116.0 255.255.255.0 access-list Netskope_NewEdge_Exclusions standard deny 8.39.144.0 255.255.255.0 access-list Netskope_NewEdge_Exclusions standard deny 31.186.239.0 255.255.255.0 access-list Netskope_NewEdge_Exclusions standard deny 163.116.128.0 255.255.128.0 access-list Netskope_NewEdge_Exclusions standard deny 162.10.0.0 255.255.128.0 access-list Netskope_NewEdge_Exclusions standard deny 8.8.8.8 255.255.255.255 access-list Netskope_NewEdge_Exclusions standard deny 8.8.4.4 255.255.255.255
スプリットトンネルポリシーへの除外ACLの指定
設定モード中に、グループポリシーを作成し、スプリットトンネルリストへの除外ACLを指定します。
- 次のコマンドを入力してください。
group-policy grouppolicyname attributes
- グループポリシープロンプトで、トンネルポリシーを分割する除外ACLを指定します。
split-tunnel-network-list value Netskope_NewEdge_Exclusions
- 変更内容をメモリに書き込む
wr mem
Cisco AnyConnect 用の Netskope Client の設定
サードパーティのアプリと Netskope Client共存できるようにするには、ステアリング設定にDestination Locationの例外を設定することをお勧めします。 例外の追加方法の詳細については、 「VPN アプリケーションの例外設定」の記事を参照してください。
構成の確認
Netskope ClientがNetskope Cloudに直接トラフィックを送信できるかどうかを確認するには、AnyConnectクライアントのルーティングテーブルを確認してください。