このドキュメントでは、Forcepointプロキシの後にNetskope Explicit Proxyをクラウド上で構成する方法について説明します。 クラウドアプリのトラフィックを誘導するためのExplicit Proxy転送。 主な手順は以下のとおりです。
- コンタクト IP アドレスのホワイトリストに関するカスタマー サポート。
- Forcepointは通常通りクライアント接続をフロントエンド処理するため、SSL検査が有効になっていることを確認してください。
- ForcepointからNetskopeへトラフィックを誘導する クラウド内のアップストリーム明示プロキシ。
- ForcepointはクライアントのIPアドレスを含むX-Forwarded-Forヘッダーを追加します。これにより、XFF挿入が有効になります。
- Forcepoint は、クライアントのユーザー名を含む X-Authenticated-User ヘッダーを追加します。これにより、XAU 挿入が有効になります。
- ForcepointがNetskopeから送られてくるSSL証明書を受け入れるように設定し、証明書の検証を無効にします。
この図は、交通の流れがどのように制御されるかを示しています。
 |
前提条件
Forcepointは、クライアント接続におけるSSLトラフィックを検査することが想定されています。このドキュメントでは、クライアントからForcepointへのトラフィックの誘導方法、またはクライアントがForcepointから提示される証明書を信頼するようにする方法については説明していません。この手順は、それらの問題が解決され、正しく機能していることを前提としています。
重要な考慮事項の一つは、このソリューションが機能するためにはSSLインスペクションを有効にする必要があるということです。必要なヘッダー（XFFとXAU）は、SSLインターセプトが有効になっている場合にのみ追加できるためです。最低限、対象となるクラウドアプリケーション宛てのトラフィックは傍受する必要がある。
Netskopeが管理するアプリに関連付けられているドメインのリストは、UIからダウンロードできます。Settings > Security Cloud Platform > Steering Configurationに移動して、ステアリング設定をクリックします。 Forcepoint にトラフィックを誘導します。 ページ右上隅のDownload Configurationをクリックし、ドメインの種類を選択してドメインリストをダウンロードしてください。
 |
証明書信頼チェーンを設定するためにNetskope証明書を使用する場合は、 Settings > Manage > Certificates > Signing CAにアクセスしてルート証明書と中間証明書をダウンロードしてください。
 |
カスタマーサポートへお問い合わせください
Netskopeのクラウドにおける明示的プロキシは、UIでの設定は不要ですが、デフォルトでは有効になっていません。さらに、ソリューションのセキュリティを維持するために、テナントごとのアクセス制御ルールが設けられています。
この機能を有効にするには、カスタマーサポートにチケットを送信してください。また、プロキシをホワイトリストに登録するために、プロキシのパブリックIPアドレスをご提供いただく必要がありますので、ご準備ください。出所不明の通信は許可されていません。
ForcepointプロキシがSSL復号化を実行していることを確認してください。
主要なSSL復号化設定はForcepointで行われます。HTTPSが有効になっていることを確認してください。
 |
Forcepointは、SSL復号化を回避するサイトやサイトカテゴリを選択的に指定できる機能を提供します。これらのバイパスされたサイトとカテゴリが、Netskopeが管理するアプリケーションと重複しないようにしてください。
 |
親プロキシキャッシュルールを作成する
Netskopeで管理されるクラウドアプリ宛てのトラフィックを識別するクリーンなルールを作成するには、関連するすべてのドメイン名を含む親プロキシキャッシュルールを作成し、 設定手順全体を通してそれを適用するのが最善です。
これはForcepointで可能です。Configuration > Content Routing > Hierarchies > Parent Proxy Cache Rulesへ移動してください。
Netskopeテナントインスタンスが処理可能なドメインのリストは、UIからダウンロードできます。前提条件でダウンロードしたドメインリストを開き、このダイアログボックスに貼り付けてください。
転送ホスト
Netskopeのクラウド上の明示的プロキシにトラフィックを送信するルールを作成するには、まず親プロキシキャッシュルール内で親プロキシとして定義する必要があります。
テナント固有のホストpxc-<tenant-URL>は、カスタマーサポートチケットの処理が完了した後にアクティブ化されます。ポート8080でHTTPトラフィックを受信し、pingにも応答するはずです。Forcepointに指示するには、プロキシを選択してください。 明示的なプロキシモード（HTTP接続方式）。
以下のスクリーンショットは、AcmeCorpという名前のテナント向けにこの設定を行った例を示しています。
トラフィックのリダイレクト
ProxySGがNetskopeのクラウド上の明示的プロキシにトラフィックを送信するには、親プロキシを有効にする必要があります。Configure > Content Routing > Hierarchies > Parent Proxyに移動して、親プロキシのラジオボタンを有効にします。
 |
ヘッダーの挿入
Netskopeが元のクライアントのIPアドレスと関連付けられたユーザー名を認識できるようにするには、Forcepoint Basicの設定で「親プロキシへの認証送信」を有効にする必要があります。
 |
エンドポイント IP アドレス (XFF) を有効にする
Forwarded-For は、接続をプロキシするときに内部 IP アドレスを隠すため、エンドポイントの実際の IP アドレスを伝達するために使用される標準ヘッダー プロキシです。 Configure > Protocol > HTTP > Privacy > Insert Headers > X-Forwarded-Forに移動して、「有効」ラジオボタンをクリックします。
 |
トンネル要求は親をバイパスします
Forcepoint Content Gatewayは、SSL復号化バイパスアクションを実行するために、トンネルリクエストで構成されていることがよくあります。「親をバイパスするトンネル要求を設定する」ラジオボタンが「有効」に設定されていることを確認してください。
 |
プロキシ認証
ユーザー名をX-Forwarded-Forヘッダー経由でNetskopeクラウドに転送するには、Forcepointでプロキシ認証を有効にする必要があります。認証設定がNoneの場合、ユーザー名はNetskopeクラウドに転送されません。このガイドでは、Forcepointプロキシ認証の設定については説明していません。詳しい手順については、Forcepoint製品の取扱説明書を参照してください。
 |
証明書信頼チェーンの設定
Forcepointが破損した信頼チェーンを無視するように設定する必要があります。NetskopeはSSLを解析するため、アプリ用の正規の証明書を持たないことから、この手順は必ず設定する必要があります。これを実現する最も簡単な方法は、Forcepointに対し、クラウド上の明示的プロキシによって提供される証明書を無視するように指示することです。
- Configure > SSL > Incidents > Add Websiteへ移動してください。
- URL欄に
*.<tenant-domain>と入力してください。 - 「URLによる」ラジオボタンSelect 。
- 「アクション」ドロップダウンメニューで「許可」 Select 。
これにより、ForcepointとNetskope間の通信のみが証明書チェックの対象外となることが保証されます。
必要に応じて、カスタマーサポートからNetskope CA証明書を入手し、Forcepointの認証局証明書ストアにインポートすることもできます。そのためには、前提条件に記載されているように Netskope 証明書を取得し、 Configure > SSL > Certificates > Add Root CAに移動してAdd Certificate Authorityをクリックしてください。
 |