注記
この機能は、IPSec、GRE、またはNetskope Clientのトラフィック制御方式で利用可能です。
405: “method not allowed, please contact support to migrate v1 DNS Profiles”
このエラーが表示された場合は、Netskopeカスタマーサポートチーム（support@netskope.com）までお問い合わせください。
DNSプロファイルを使用すると、すべてのDNSトラフィックを制御、検査、ログ記録したり、ブロックされたDNSトラフィックを制御したりできます。DNSプロファイルを設定する際、特定のドメインカテゴリに対して実行するアクションを設定したり、特定のドメインを許可またはブロックしたりすることができます。さらに、すべてのDNSトンネルをブロックすることも、除外するDNSトンネルを選択することもできます。
DNSプロファイルを作成するには：
- Policies > DNSに移動します。
- New DNS Profileをクリックしてください。DNS Profileページが表示されます。
- DNSプロファイルの名前を入力してください。
- Inheritance GroupをSelect 。 該当のフィールドをクリックして検索してください。
- Only blocked DNS trafficまたはAll DNS trafficイベントを生成するかどうかSelect 。
- DNS Domainタブでは、以下の操作が可能です。
このセクションでは、利用可能なドメインカテゴリに対するアクションを設定できます。カテゴリやアクションで検索することもできます。
利用可能なアクションはNone 、 Block 、またはSinkholeです。検出されたDNSトラフィックがどのドメインカテゴリにも一致しない場合、Netskopeは何もアクションを起こしません。
- ドメインカテゴリのアクションとしてSinkhole選択した場合は、 Sinkhole IP Addressを入力してください。
- Domain AllowlistとDomain Blocklistフィールドでは、すべてのDNSリクエストを許可またはブロックするドメインを指定できます。
ドメインについては、 Record Typeを指定するか、 All Record Typesを選択してください。ドメインを追加するには+ Addクリックするか、CSVファイルをアップロードするにはImport From CSVをクリックしてください（最大アップロード容量は8MBです）。
注記
ドメインブロックリストは、ドメイン許可リストよりも優先されます。
- DNS Tunnelタブの下で、 Block All DNS Tunnelsを有効にできます。
- Block All DNS Tunnels有効にすると、 DNS Tunnel Allowlistも設定できます。ドロップダウンリストからDNSトンネルをSelectまたは検索してください。
- Custom DNS Serverの下で、カスタム DNS 機能を有効にして、転送用に最大 5 つのパブリック IPv4 アドレスをカンマまたは改行で区切って入力できます。DNSサーバーは、ウィンドウに入力された順序で評価されます。
Netskopeは、デフォルトのDNSサーバーがプライベートサーバーである場合、Netskopeクラウドからアクセスできない場合、またはリクエストを拒否している場合に、宛先をこれらのDNSサーバーに転送して解決します。
Always use custom DNS servers instead of default serverオプションは、すべての DNS トラフィックの宛先アドレスをカスタム DNS サーバーの IP アドレスに置き換えます。
Use Netskope DNS resolverオプションはデフォルトおよびカスタム DNS サーバーが失敗した場合、 Netskopeの内部 DNS リゾルバを使用します。 - DNSプロファイルを保存するには、 Saveをクリックしてください。
注記
カスタムDNSサーバーは、標準以外のポートでは動作しません。
ポート53経由で送信される非DNS TCPアプリケーショントラフィックは、DNSトラフィックであるとみなされ、それに応じて処理されます。
TCPフローの実行中にサーバーが到達不能とマークされた場合、カスタムDNSサーバーをフローの途中で変更することはできません。これは、新しいサーバーとの新しい接続シーケンスが必要となるためです。
DNSプロファイルを作成した後は、それをリアルタイム保護ポリシーに追加しなければなりません。詳細はリアルタイム 保護ポリシーをご覧ください。
宛先プロファイルと継承グループ
宛先プロファイルは、現在のドメインリストを置き換えます 許可リストとブロックリスト内。
この機能により、継承グループもサポートされます。 親プロファイルとして複数の DNS プロファイルを追加できます。親プロファイルは保護されている場合も保護されていない場合も構いません。 継承グループ内の DNS プロファイルは、一致したリアルタイム ポリシー ルールからの子 DNS プロファイルに加えて評価されます。
Terminology:
- Child DNS Profile – 一致したリアルタイム ポリシー ルールで DNS プロファイルを使用する
- Parent DNS Profiles – 「保護済み」または「保護なし」に分類されるDNSプロファイルのグループ
- Protected Parent DNS Profiles – 子DNSプロファイルによって動作を上書きできない親DNSプロファイル。子DNSプロファイルの評価前に評価されます
- Unprotected Parent DNS Profiles – 子DNSプロファイルによって動作が上書きされる可能性のある親DNSプロファイル。子DNSプロファイルの評価後に評価されます
- Inheritance Group – 親 DNS プロファイルを「保護済み」または「保護されていない」グループに追加できるエンティティとして
Inheritance Groupを作成するには：
-
Inheritance Groups > New Inheritance Groupをクリックしてください。
-
Inheritance Group Nameを記入し、 Protected Parent DNS ProfilesとUnprotected Parent DNS Profiles.を選択してください。
子DNSプロファイルは保護されていない親DNSプロファイルを上書きしますが、保護された親DNSプロファイルによって上書きされます。
