ステアリング構成の作成

このセクションでは、選択した組織単位（OU）/ユーザーグループに対してステアリング構成を作成する手順について説明します。

カスタムステアリング構成を作成するには：

1. Settings > Security Cloud Platform > Steering Configurationへ移動してください。

2. New Configurationをクリックしてください。

   または、 …クリックしてからEdit Configurationをクリックして、既存のステアリング設定のいずれかを選択してください。

3. New Configurationウィンドウに、ステアリング構成の名前を入力します。40文字を超えることはできません。

4. Match Criteria タブをクリックしてください。バージョン 124.0.0 では、拡張されたMatch Criteria 機能を使用してステアリング プロファイルを区別し、次のオプションを使用できます。

   • User Group/ OU: バージョン124.0.0では、Netskopeは、ステアリングプロファイルの設定時に複数のユーザーグループ/組織単位を選択できる機能を追加しました。複数選択オプションを使用すると、グループ、OU、またはカスタムユーザー属性（LDAP属性）によって識別されるユーザーグループごとにステアリングプロファイルを柔軟に設定し、どのアプリケーションまたはトラフィックをルーティングまたはバイパスする必要があるかを定義できます。

   • OS Family: バージョン124.0.0では、異なるオペレーティングシステム（Windows、macOS、Linux、Android、iOS）に基づいてステアリングプロファイルを区別することができます。このオプションでは、OSタイプをマッチング基準として選択することで、ステアリングプロファイルの設定に柔軟性を持たせることができます。

   • Device Tags: バージョン 134.0.5 では、これらのデバイス タグを使用して、ステアリング ポリシーをデバイスに関連付けることができます。 ドロップダウンメニューに表示されるオプションから最大5つのデバイスタグを追加できます。ステアリングを有効にするには、少なくとも1つのタグが一致する必要があります。このリストには、「タグの管理」で作成されたすべてのデバイスタグが表示されます。

   選択したユーザーグループ/OUおよびOSファミリーに関連付けられた新しいマッチ基準をサポートする最大数のステアリングポリシーは100です。

   

   Netskope Clientは、3つの基準で選択されたすべての項目をチェックし、一致する場合は、そのデバイスにステアリング設定を適用します。

5. Traffic Steeringタブをクリックしてください。このオプションでは、ステアリングプロファイルを設定できます。 以下のオプションがあります。

   • Enable Dynamic Steering: Netskope Client を使うオンプレミス検出を有効にし、ユーザーのデバイスがオンプレミスかオフプレミスかを判別します。有効にすると、オンプレミスとオフプレミスの設定が表示されます。

     – 動的ステアリングを有効にした後、Netskopeは動的ステアリングを無効にしないことを推奨しています。なぜなら、トラフィックモードやバイパスオプションの選択において柔軟性が向上するためです。ダイナミックステアリングを連続的に切り替えると、ステアリング設定における例外が失われる可能性があります。
     – ダイナミックステアリングが無効になっている状態でステアリング構成をクローンし、クローン作成プロセス中にダイナミックステアリングを有効にすると、システムはオンプレミスセクションとオフプレミスセクションの両方ではなく、どちらか一方のセクションにのみ例外情報を入力します。両方の環境に例外を適用するには、まずダイナミックステアリングを無効にしたプロファイルを複製して保存し、その後、後続の変更としてダイナミックステアリングを有効にします。

   • On-Premises Detection Profile: このセクションで作成したオンプレミス構成を最大 3 つSelect 。

   • Specify the match criteria for this steering configuration: ドロップダウンメニューの「オンプレミス」または「オフプレミス」設定を使用して、Netskope Clientのトラフィックを制御できます。オンプレミスとオフプレミスそれぞれについて、以下のステアリングオプションから1つを選択してください。

     • Cloud Apps Only: 詳細な分析を行うためだけに、特定のクラウドアプリケーションをNetskopeクラウドに誘導してください。例外を設定し、カスタムアプリケーションに対して特別な対応を許可することができます。

     • Web Traffic: すべてのウェブトラフィック（HTTPおよびHTTPS）をNetskopeクラウドに送信し、詳細な分析を行います。個人情報やプライベートなコンテンツを含むトラフィックについては、例外を設定できます。このオプションを選択するには、SWG/ Next Gen Secure Web Gatewayライセンスが必要です。

     • All traffic: すべてのHTTP(S)トラフィックと非HTTP(S)トラフィックをNetskopeクラウドに送信し、詳細な分析を行います。このオプションを選択するには、クラウドファイアウォールのライセンスが必要です。

       Netskope Cloudでバイパスするように設定されている場合でも、Netskope Clientでは非HTTP（s）TCPクラウドファイアウォールトラフィックがバイパスされます。

     • None: クライアントはトンネルを確立せず、オンプレミス環境の状態変化を引き続き監視します。オンプレミス環境の状態が変化し、新しいトラフィック制御モードにトンネルが必要な場合、クライアントはトンネルを確立します。

   • Bypass exception traffic at: 以下のいずれかを選択してください。

     • クライアント – ローカルデバイス上でのトラフィックバイパス。

     • Netskope Cloud – トラフィックはファイアウォールをバイパスします。

   • DNS traffic: Select 、DNSトラフィックをNetskopeクラウドに送信して詳細な分析を行うことができます。 このオプションは、ウェブトラフィックおよびすべてのトラフィックタイプ、ならびにオフプレミス構成でのみ利用可能です。 このオプションを選択するには、クラウドファイアウォールとDNSのライセンスが必要です。

   • Private App Segments: オンプレミスおよびオフプレミス構成向けに、プライベートアプリセグメントを制御します。操縦できます:

     • All Private App Segments: Netskope Client GRE、IPSec、明示的プロキシなどの他のステアリングモードが存在する場合に、ステアリングを行う必要があるかどうかを選択します。

     • Specific Private App Segments: 特定のプライベートアプリセグメントを制御する。例えば、既存のVPNが有効で、プライベートデータセンター内のすべてのオンプレミスアプリへのアクセスが許可されている場合、それらのアプリの選択を解除し、AWS、Azure、またはGCPでホストされているアプリのみを選択できます。これにより、既存のVPNでオンプレミスのアプリケーションへのアクセスを提供できるだけでなく、Netskope Private Accessを使用してパブリッククラウド上のアプリケーションにもアクセスできるようになります。

     • None: クライアントのプライベートアクセスを無効にします。

     アプリ定義に移動して、この設定で制御したいプライベートアプリを選択してください。 

     プライベートアプリセグメントタブをクリックし、プライベートアプリの場合は、「ステアリング設定Selectをクリックし、アプリのステアリング設定を選択します。 「保存」をクリックしてください。

   • In presence of other steering methods: Netskope Client 、他の制御方法が存在する場合、プライベートアプリの制御を行うか行わないかを決定します。 以下の選択肢から1つを選んでください。

     • Steer: Netskope Client GRE/IPsecトンネル経由でNPAトラフィックをルーティングします。

     • Not Steer: Netskope Clientは、ネットワーク内でIPSec、GRE、明示的プロキシなどの他のルーティング方式を検出すると、自動的に無効になります。

   • Status: ステアリング設定を有効または無効にします。Netskopeは、ステアードアイテムと例外を設定するまでは無効にしておくことを推奨します。

6. Non-Standard Portsタブをクリックしてください。

   • Steer non-standard ports: Netskope Client任意のポートでウェブトラフィック（HTTP/HTTPS）をルーティングできるようにします。 制御するポートまたはドメインを入力してください。+ 新しいをクリックして複数のポートを追加します。 「詳細」をクリックすると、以下のオプションが表示されます。

     1. 制御するポート番号またはドメイン/IPアドレスを入力してください。

     2. 複数のポートを追加するには、 + Newをクリックしてください。

     3. Moreをクリックすると、以下のオプションが表示されます。

        • Import from CSV: 制御したいポートとドメインを含むCSVファイルをインポートしてください。

        • Download Sample CSV: サンプルCSVテンプレートをダウンロードするには 複数のポートまたはドメインを追加し、CSVファイルをインポートします。

        • Delete All: リストされているすべてのポートを削除します。

   • ポート番号は、Skope IT Page Eventsページの「ドメイン」、「ページ」、「アプリ」の各列に表示されます。

   Steer non-standard port 設定で FQDN が設定されており、サーバーが IP アドレス経由でアクセスされる場合、 Netskope Client Netskope Clientは FQDN と IP アドレスのマッピングを保持しないため、このリクエストを非ウェブ トラフィックとして扱います。 これを回避するには、 Non-Standard Web Port設定でFQDNとIPアドレスの両方を指定してください。

7. Fail Closeタブをクリックしてください: 「Fail Close」は、Netskope へのインターネット セキュリティ トンネルが確立されていない場合、すべてのトラフィックをブロックします。ドメインベース、IPベース、および証明書ピン留めによる例外は適用されますが、カテゴリベースの例外はブロックされます。

    – バージョン 136.0.0 以降、NetskopeはWebUIのClient Configuration > Tunnel SettingsからFail Close設定をSteering Configuration > Fail Close に移しました。
   これはベータ版の機能です。コンタクト Netskope サポートチームまたは営業担当者にこの機能をテナントのために有効にしてください。
   – 対応OS:Windows
   – macOSおよびiOSデバイスでFail Closeを有効にするには、管理者が使う クライアント設定を行う必要があります。

   

   マルチユーザー環境では、フェイルクローズは、プロビジョニングされていないユーザーのすべてのトラフィックをブロックします。ただし、少なくとも1人のユーザーがマルチユーザーデバイスに正常に登録され、フェイルクローズオプションが有効になっているクライアント構成にマッピングされている場合に限ります。

   Netskopeインターネットサービスのトンネルが確立できない場合は、そのデバイスからのルーティングされたトラフィックをブロックすることをNetskopeは推奨します。

   クライアントバージョン136.0.0では、Netskopeは、フェイルクローズ機能を強化し、管理者がユーザーがオンプレミスかオフプレミスかに基づいてフェイルクローズ設定を有効または無効にできるようにしました。以前は、フェイルクローズはグローバル設定であり、場所によって区別することができませんでした。

   Netskope Clientはフェイルクローズモード時にはデフォルトでRFC-1918のIPアドレス/サブネットをバイパスします。より広く言えば、 Netskope Client はRFC-1918アドレス範囲やサブネットをオンプレミスモードまたはオフプレミスモードでトンネルしません。

   – Netskopeサポートに連絡して「Fail CloseでプライベートIPアドレスをブロック」を有効にする。これはバージョン130.0.0から Netskope Client サポートされています。
   – Destination LocationのLocal IP address rangeのステアリング例外をフェイルクローズで使う。
   
   この構成は Private Access トラフィックには適用されません。 これはインターネットセキュリティにのみ適用されます。

   フェイルクローズを有効にすると、次のことが可能になります。

   • Show Notification: インターネットセキュリティトンネルがNetskopeに確立されていない場合、失敗クローズ通知が即座に表示されます。通知の表示を遅延させる時間間隔を秒単位で設定することもできます。例えば、ユーザーがネットワークを切り替える場合、通常、マシンがWi-Fiに接続されるまでには時間がかかります。この移行により、インターネットセキュリティトンネルが切断され、「接続失敗」通知が発生する可能性があります。Show Notificationオプションを使用すると、管理者はタイマーを設定して、障害終了通知ポップアップの表示を遅延させ、ユーザーが Wi-Fi に再接続するのに十分な時間を与えることができます。 

     

   • Private App Traffic:  このオプションを有効にすると、フェイルクローズ時にプライベートアクセス通信を許可できます。

   • Captive Portal Detection Timeout (Minutes): キャプティブポータルとは、キャプティブポータルが有効になっているネットワークにユーザーがアクセスしようとした際に表示されるウェブページのことで、ユーザーがネットワークにアクセスする前に認証を行うためのものです。 例えば、空港やレストランなど、キャプティブポータルが有効になっている場所で無料Wi-Fiやホットスポットに接続しようとする場合、ネットワークにアクセスするために一連の操作を行う必要があります。

     このオプションを使用すると、管理者はキャプティブポータルの猶予期間を定義できます。トンネルが切断された場合、または確立できない場合で、かつフェイルクローズが有効になっている場合、キャプティブポータルの検出がトリガーされます。Netskope Clientがキャプティブポータルを検出している場合、または検出中の場合、キャプティブポータルの検出が完了するまで、設定された期間の間、フェイルクローズを強制しません。検出完了後にキャプティブポータルが検出されない場合、再度フェイルクローズが実行されます。これはWindows OSのネイティブなキャプティブポータル検出をサポートし、ユーザーがキャプティブポータル認証を実行できるようにします。

     Netskope Client Windows および macOS プラットフォーム上でキャプティブ ポータル検出を実行します。 管理者は、キャプティブポータル検出タイムアウト入力ボックスに1～10（分）の値を入力できます。

     

8. Enforce Enrollmentタブをクリックして、使うこのタブを使えばエンドユーザーの登録Netskope Client強制できます。

   • Steering Profile ID: IDは自動的に生成されます。管理者は、ステアリングプロファイルIDをコピーし、 Netskope Clientインストール時に引数として渡すことができます。

   • Allowed destinations without enrollment: 設定された宛先は、ユーザーがNetskope Clientに登録されていない場合、TCP ポート 80 および 443 で直接通信することが許可されます。 ユーザーがNetskope Clientに登録するまで、TCPポート80および443上のその他のすべてのトラフィックはブロックされます。

     • FQDN

     • Wildcard

     • IPv4アドレス

     • IPv4サブネット

     • IPv4アドレス範囲

     • IPv6アドレス

     • IPv6サブネット

     • IPv6範囲

     

     IPv6領域における略記法はサポートしていません。たとえば、
     1234:5678:9abc:def1:2345:6789:abcd::-1234:5678:9abc:def1:2345:6789:abcd:100
     代わりに、次の形式を使用します:
     1234:5678:9abc:def1:2345:6789:abcd:0-1234:5678:9abc:def1:2345:6789:abcd:100

   • Message: クライアント登録手続きを完了していないエンドユーザー向けのポップアップリマインダーに表示されるメッセージを入力してください。メッセージ入力欄には最大1024文字まで入力できます。

     

   管理者は通知メッセージに会社のロゴを追加することもできます。会社のロゴをカスタマイズするには、 WebUIの「設定」＞「ツール」にある「テンプレート」を選択してください。

9. Saveをクリックしてください。

10. 制御対象項目（アプリケーションなど）を追加します。

11. ステアリング例外を追加します。

12. ステアリングエラー設定を確認してください。

13. クリックカスタムステアリング構成を選択し、次に構成を有効化、無効化、または編集します。

    

このセクションでは、ステアリング構成を作成するために利用できるさまざまなオプションについて説明します。

カスタムステアリング構成を作成するには：

1. Settings > Security Cloud Platform > Steering Configurationへ移動してください。

2. New Configurationをクリックするか、そしてEdit Configurationを選択して、ダイナミックステアリングを有効にする既存のステアリング構成のいずれかを選択します。

3. New Configurationウィンドウに、ステアリング構成の名前を入力します。40文字を超えることはできません。

   • 名前：ステアリング設定の名前を入力してください。40文字を超えることはできません。

   • ユーザーグループ/OU: カスタムトラフィックステアリング設定を組織単位（OU）に適用するか、ユーザーグループに適用するかを選択します。このオプションは、初めてカスタムステアリング設定を作成する際にのみ表示されます。

4. Traffic Steeringタブをクリックしてください。このオプションでは、ステアリングプロファイルを設定できます。 以下のオプション。

   • Enable Dynamic Steering: Netskope Clientのトラフィックは、ドロップダウンメニューのオンプレミスまたはオフプレミス設定で調整できます。On-PremisesとOff-Premisesには、以下のステアリングオプションから1つを選択できます。

   • • Cloud Apps Only: 詳細な分析を行うためだけに、特定のクラウドアプリケーションをNetskopeクラウドに誘導してください。例外を設定し、カスタムアプリケーションに対して特別な対応を許可することができます。

     • Web Traffic: すべてのウェブトラフィック（HTTPおよびHTTPS）をNetskopeクラウドに送信し、詳細な分析を行います。個人情報やプライベートなコンテンツを含むトラフィックについては、例外を設定できます。このオプションを選択するには、SWG/ Next Gen Secure Web Gatewayライセンスが必要です。

     • All traffic: すべてのHTTP(S)トラフィックと非HTTP(S)トラフィックをNetskopeクラウドに送信し、詳細な分析を行います。このオプションを選択するには、クラウドファイアウォールのライセンスが必要です。

       Netskope Cloudでバイパスするように設定されている場合でも、Netskope Clientでは非HTTP（s）TCPクラウドファイアウォールトラフィックがバイパスされます。

     • None: クライアントはトンネルを確立せず、オンプレミス環境の状態変化を引き続き監視します。オンプレミス環境の状態が変化し、新しいトラフィック制御モードにトンネルが必要な場合、クライアントはトンネルを確立します。

       設定を行う際は、以下の点にご注意ください。

       • Netskope Client設定で構成された OU とユーザー グループに対してのみ、動的ステアリングを行うことができます。

       • ダイナミックステアリングを行うには、 Netskope Client設定でOn-Premises Detection有効にしてください。

       Netskope Clientのトラフィックは、ドロップダウンメニューのオンプレミスまたはオフプレミス構成から制御できます。

   • Netskope ClientまたはNetskopeクラウドで例外トラフィックをバイパスします。 選択する場合：

     • Client: ローカルデバイス上でのトラフィックバイパス。

     • Netskope Cloud: トラフィックはファイアウォールを迂回する。

   • DNS traffic: Select 、DNSトラフィックをNetskopeクラウドに送信して詳細な分析を行うことができます。 このオプションは、ウェブトラフィックおよびすべてのトラフィックタイプ、ならびにオフプレミス構成でのみ利用可能です。 このオプションを選択するには、クラウドファイアウォールとDNSのライセンスが必要です。

   • Private App Segments: オンプレミスおよびオフプレミス構成向けに、プライベートアプリセグメントを制御します。操縦できます:

     • All Private App Segments: Netskope Client GRE、IPSec、明示的プロキシなどの他のステアリングモードが存在する場合に、ステアリングを行う必要があるかどうかを選択します。

     • Specific Private App Segments: 特定のプライベートアプリセグメントを制御する。例えば、既存のVPNが有効で、プライベートデータセンター内のすべてのオンプレミスアプリへのアクセスが許可されている場合、それらのアプリの選択を解除し、AWS、Azure、またはGCPでホストされているアプリのみを選択できます。これにより、既存のVPNでオンプレミスのアプリケーションへのアクセスを提供できるだけでなく、Netskope Private Accessを使用してパブリッククラウド上のアプリケーションにもアクセスできるようになります。

   • Status: ステアリング設定を有効または無効にします。Netskopeは 、ステアリング項目 や 例外を設定するまで無効化することを推奨しています。

5. Non-Standard Portsタブをクリックしてください。

6. Steer non-standard ports Select 。 これにより、 Netskope Client任意のポートでウェブトラフィック (HTTP/HTTPS) を制御できるようになります。 制御するポートまたはドメインを入力してください。+ 新しいをクリックして複数のポートを追加します。 「詳細」をクリックすると、以下のオプションが表示されます。

   1. 制御するポート番号またはドメイン/IPアドレスを入力してください。

   2. 複数のポートを追加するには、 + Newをクリックしてください。

   3. Moreをクリックすると、以下のオプションが表示されます。

      • Import from CSV: 制御したいポートとドメインを含むCSVファイルをインポートしてください。

      • Download Sample CSV: サンプルCSVテンプレートをダウンロードするには 複数のポートまたはドメインを追加し、CSVファイルをインポートします。

      • Delete All: リストされているすべてのポートを削除します。

   ポート番号は、Skope IT Page Eventsページの「ドメイン」、「ページ」、「アプリ」の各列に表示されます。

   Steer non-standard port 設定で FQDN が設定されており、サーバーが IP アドレス経由でアクセスされる場合、 Netskope Client Netskope Clientは FQDN と IP アドレスのマッピングを保持しないため、このリクエストを非ウェブ トラフィックとして扱います。 これを回避するには、 Non-Standard Web Port設定でFQDNとIPアドレスの両方を指定してください。

7. Saveをクリックしてください。