IPSecサイトの作成

IPSecサイトを編集した場合は、更新された設定を適用するためにサイトを再起動してください。

IPSecサイトを作成するには：

1. Settings > Security Cloud Platform > IPSecへ移動してください。

2. New IPSec SiteをクリックしてからCreate Newクリックしてください。

3. New IPSec SiteウィンドウのSite Nameに、IPSec サイトの名前を入力します。

4. Basic Settingsタブで：

   • Source Identity：一意のIPアドレス、完全修飾ドメイン名（FQDN）、またはIDを電子メールアドレス形式で入力します。 例えば、1.1.1.1 または sourcelocation@company.com などです。ルーターまたはファイアウォール インターネット鍵交換 (IKE) 中の認証のための送信元ID。 これは実際のDNSレコードである必要はありません。

   • Primary Netskope POPお住まいの国で最も近いNetskope主要接続拠点（POP） Select 。 各POPには特定の日付（例：Day-1、Day-2など）が付加されており、これはNetskopeが特定のPOPを最新ソフトウェアでアップグレードするリリース展開日です。Netskopeは通常、異なる日に異なるPOP（接続拠点）のセットをアップグレードします。Netskopeは、最適なパフォーマンスを実現するために、以下のことを推奨します。

     • 地理的に最も近い POP を使用します。

     • ネットワーク内の各送信拠点に、少なくとも2つのPOP（Point of Presence）を設定してください。

     • POP（Point of Presence）が、異なるリリース展開日に配置されるようにしてください。例えば、プライマリPOPに(Day-1)が付加されている場合、フェイルオーバーPOPには(Day-2)などの別の日付を付加して、耐障害性を向上させる必要があります。以下に重要な注意点をいくつか示します。

       • Netskopeは、予期せぬ事態によりデプロイメントのスケジュールが変更された場合、通知します。

       • POPの展開が一時的に翌日に延期された場合でも、NetskopeのUIには元の展開日が表示されます。

       • 完全に動作するまで、新しい POP を選択することはできません。

   • Failover Netskope POP: お住まいの国で2番目に近いNetskope POPを バックアップ/フェイルオーバーサイトとしてSelect 。 最適なパフォーマンスを得るには、前述の推奨事項を参照してください。いつでもクリックできますプライマリPOPとフェイルオーバーPOPを交換する。

   • Sort Netskope POPs by geographical distanceNetskope POPリストを地理的な距離が近い順に並べ替えるには、 Select 。 IPアドレスまたは経度と緯度の座標を入力することで、最寄りのPOPを検索できます。

   • Pre-Shared Key (PSK): トンネルの両側が相互認証するために使用する事前共有キーを入力してください。 相互認証を行うためのキーです。 PSKはトンネルごとに固有のものでなければならない。

   • Encryption Cipher: IPSec トンネルの暗号化アルゴリズムSelect 。

   • Maximum BandwidthIPSecトンネルの最大帯域幅を入力してください。トンネルのサイズは最大2Gbpsまで可能です。

     500 Mbps、1 Gbps、または2 Gbpsのオプションを有効にするには、 Netskope 営業担当者またはサポートにコンタクトを依頼してください。 詳細については、高容量IPSecトンネリングをご覧ください。

   

5. (Optional) In the Advanced Settings tab:

   • Traffic TypeGREサイトを通過するトラフィックの種類を選択してください。このオプションを使用して、トンネル トラフィックを分類し、使用状況レポートを作成できます。

     • ユーザー

     • IoT

     • 混合

     • 機械

     • ゲスト用Wi-Fi

   • Source IP AddressNetskopeがパケットを受信するルーターまたはファイアウォールの送信元ピアIPアドレス（つまり、出口パブリックIPアドレス）を入力してください。Netskopeは、ルーターまたはファイアウォールのIPアドレスを通じて、組織に属するトラフィックを識別します。

   • Additional Netskope POP最大で8つのPOPを選択できますが、追加のPOPはベストエフォートとなります。ライセンスを取得した大容量トンネルの場合、追加のNetskope POPはサポートされていません。Netskopeは、最適なパフォーマンスを実現するために、以下のことを推奨します。

     • 地理的に最も近いPOPを特定するためのIPアドレスまたは地理座標。

     • ネットワーク内の各送信拠点に、少なくとも2つのPOP（Point of Presence）を設定してください。

     • POP（Point of Presence）が、異なるリリース展開日に配置されるようにしてください。例えば、プライマリPOPに(Day-1)が付加されている場合、フェイルオーバーPOPには(Day-2)などの別の日付を付加して、耐障害性を向上させる必要があります。

       この機能を有効にするには、 Netskope営業担当者またはサポートにお問い合わせください。

   • RekeyIPSec SAの有効期限が切れたときに、キーを再生成するかどうかSelect 。 Netskopeデフォルト設定を使用することをお勧めします。

     • 「鍵の再生成のみ」を選択した場合、Netskopeはデフォルト値である2時間後にIPSecの鍵の再生成を開始します。

     • 再認証のみを選択した場合、Netskopeはデフォルト値として24時間でIKE再認証を開始します。

     • 再キー生成と再認証の両方を選択した場合、NetskopeはIPSecの再キー生成とIKEの再認証を、それぞれデフォルト値である2時間と24時間で開始します。

     • 両方を選択解除した場合、Netskopeは鍵の再生成や再認証を開始しません。

   • Reauthentication: 有効期限が切れたときに新しい IKE および IPSec SA を作成する場合にSelect 。 Netskopeデフォルト設定を使用することをお勧めします。

     • Netskopeは主にレスポンダーとして機能するため、鍵の再生成と再認証の設定はデフォルトで無効になっています。
     • これらの設定を有効にする前に、トンネルを徹底的にテストしてください。
     • NetskopeはIKE（フェーズ1）の鍵再生成をサポートしていませんが、IKEの再認証をサポートしています。IKEの再認証はデフォルトでは無効になっているため、上記で有効にすることができます。
     • これらの設定のいずれかを変更した場合は、更新された設定を適用するためにサイトを再起動してください。

   • Trust X-Forwarded-For HeaderトンネルレベルでX-Forwarded-For(XFF)HTTPヘッダーに含まれるIPアドレスを信頼する Select 。 テナントレベルでXFFを信頼して いる場合は 、このオプションを選択できません。

     • Apply to all traffic: IPSecトンネルを通過するすべてのユーザートラフィックを識別するために、XFF HTTPヘッダーを使用します。

     • Apply to specific NAT/proxy IP(s): 使う XFF HTTPヘッダーは、特定のNATおよびプロキシIPアドレスからのトラフィックをIPSecトンネルを通過するものを識別します。 複数のIPアドレスを追加するには、 +Add Anotherをクリックしてください。

   

6. Save and Copy POPs InfoをクリックしてIPSecサイトを保存し、Netskope POP情報をクリップボードにコピーします。ルーター/ファイアウォール上でプライマリおよびバックアップのIPSecトンネルを確立するには、この情報が必要です。