NetskopeとVeloCloudの設定には、正常に動作する構成を実現するために主に4つの手順が必要です。手順は以下のとおりです。
- Netskopeテナントでトンネル クレデンシャルを構成します。
- VeloCloud Orchestrator上のゲートウェイからNSDトンネルを設定します。
- 接続を確認してください。
- Netskopeのユーザーインターフェースでセキュリティポリシーをテストします。
Netskope UI でのトンネル クレデンシャルの構成
Netskope UI で VeloCloud Orchestrator 用の IPSec VPN トンネルを作成するには、 「IPSec サイトの作成」を参照してください。
VeloCloud Orchestrator のゲートウェイから NSD トンネルを設定する
- VeloCloud Orchestrator にログインし、VeloCloud Edge アプライアンスがオンラインであることを確認します。
- ゲートウェイ経由でVelocloud非SD-WANトンネルを設定します。Configure > Network Services > Non SD-WAN Destinations via Gatewayへ移動してください。Newをクリックして、初期パラメータを入力して選択します。
- トンネル名：トポロジーに合った分かりやすい名前を入力してください。
- タイプ：ドロップダウンリストから「汎用IKEv2ルーター（ルートベースVPN）」 Select 。
- パブリックIPアドレス：プライマリゲートウェイのNetskopeプライマリPOP IPアドレスと、セカンダリゲートウェイのフェイルオーバーPOP IPアドレスを入力してください。
- Nextをクリックして、新しいトンネルが作成されるまでお待ちください。
- 以下のパラメータを入力して選択してください。
- ローカル認証ID：ドロップダウンリストからFQDN Select 、固有の顧客ID URLを入力してください。
- サイトサブネット：チェックボックスを選択して、サイトサブネットを無効にします。
- 冗長なVeloCloudクラウドVPN：このチェックボックスを有効にすると、プライマリVeloCloudゲートウェイとセカンダリVeloCloudゲートウェイの両方からIPsecトンネルが確立されます。
- Advancedをクリックすると、事前共有キー、暗号化、およびトンネルの認証と確立に必要な設定を行うためのフィールドが表示されます。
以下のパラメータを入力して選択してください。
- Enable Tunnel(s): Enable the checkbox.
- PSK: Netskope設定に事前共有キーを入力します。
- 暗号化: ドロップダウン リストから [AES 128] Select 。
- Save Changesをクリックしてください。保存後、トンネル設定がVCOダッシュボードに反映されていることを確認してください。
- プロファイルを構成して ゲートウェイ経由で新しく作成されたNSDトンネル。 Configure > Profilesに移動してQuick Start Profileを選択してください。あるいは、 New Profileを選択し、名前と (オプションで) デスクリプションを入力します。
完了したら、 Createをクリックしてください。
- 新しいプロファイルまたはクイック開始プロファイルで、Cloud VPN をオンに切り替え、新しく作成したトンネルを有効にします。
- 意図したトラフィックをこのNSDトンネル経由でNetskopeに送信し、検査を行うためのビジネスポリシーを作成します。「ビジネス ポリシー」タブSelect 。
- New Ruleをクリックしてください。
- マッチについては、以下のパラメータを選択してください。
- 出典：いずれかをSelect 。
- 宛先：[定義] Select 、[インターネット]を選択します。
- アプリケーション: [定義…] Select 、[ウェブ] と [すべてのウェブ] を選択します。
OKをクリックしてください。
上記では Velocloudは、インターネット宛のHTTP/HTTPSトラフィックをNetskope POPにリダイレクトするだけです。 IPSecトンネル。
新しく作成されたポリシーは最上位にインストールされ、最初に検査されます。
接続を確認する
VeloCloud Orchestratorに必要な設定は完了しており、トンネルはオンラインになっているはずです。VC GatewayとNetskope Security Cloud間の接続を確認してください。
VeloCloud Orchestratorで、 Monitor > Network Servicesに移動します。
 |
プライマリおよびセカンダリのNetskope POPへのIPSECトンネルが正常に接続されていることを確認してください。ステータスは接続済み（緑色のドット）で、プライマリトンネルは 緑色になっています。一方、冗長トンネルはオフラインですが利用可能です。
Netskope UI でセキュリティ ポリシーをテストする
- Netskopeのユーザーインターフェースに戻り、テスト目的でセキュリティポリシーをいくつか設定してください。Policies > Real-time Protectionへ移動してください。ギャンブル関連のウェブサイトをすべてブロックするポリシーを設定します。以下のパラメータを入力して選択してください。
- ユーザー: All Users SelectてNextをクリックしてください。
- クラウド アプリとウェブ: Category Select 、検索フィールドに
Gamblingと入力し始めます。Gambling表示されたら、そのオプションを選択し、次にNextをクリックします。 - DLP/脅威対策: None SelectてNextをクリックします。
- アクティビティSelect : Select Activitiesをクリックし、 Browseを選択して、 Saveをクリックします。 Nextをクリックしてください。
- 追加属性: Access Methodをクリックし、 IPSecを選択して、 Saveをクリックします。User Typeをクリックし、 Userを選択して、 Saveをクリックします。Nextをクリックしてください。
- 操作：[操作]ドロップダウンリストからBlock Select 、次にブロックテンプレートを選択します。 Nextをクリックしてください。
- 通知: None SelectてNextをクリックしてください。
- ポリシーの設定:
Block Gambling Sitesなどのポリシー名を入力し、 Saveをクリックします。
完了したら、 Saveをクリックしてください。
- ポリシー > リアルタイム保護 に移動してください。Apply Changesをクリックしてください。現時点でポリシーが適用されており、ヒット数は0件です。
- この顧客のエッジのLANネットワーク上のWindowsベースのクライアントにログインしてください。ギャンブル関連のサイトを閲覧することに挑戦します。
この操作は、Netskope UIで作成されたリアルタイム保護ポリシーに基づいてブロックされています。
リアルタイム保護ポリシー違反ヒットのヒット数に注意してください。
また、UIのSkope ITにアクセスして、ページイベントでこのアクティビティを確認することもできます。
- 最後に、VeloCloudからトラフィックがゲートウェイ経由でNSDトンネルに到達していることを確認するには、フローをチェックします。
問題のURL（http://www.bet365.com）宛てのトラフィックは、確かにインターネットバックホールを経由してNetskopeのPOPに到達していることに注意してください。