特定の使用ケースでは、IPSec または GRE トンネルを介して明示的なプロキシを使用したい場合があります。 例えば：
- 既存のプロキシPACファイルがあり、それを 例外処理に使用したいのですが、PACファイルには既に他の設定がスクリプト化されています。
- IPSecまたはGREトンネルの発信元機器にリソース制限があり、クラウドへのトラフィックに必要なACL/オブジェクトの数を制限したい場合、PACファイルには既にその情報のすべてまたはほとんどが含まれています。
- 組織にとって極めて重要なサーバーであるため、クライアントをインストールしたり、トンネル経由でサーバーのサブネットをルーティングしたりして、サーバーを操作することは避けるべきです。明示的なプロキシは、設定やロックダウンが可能な優れた代替手段です。 さまざまな方法（例：GPO）があります。
- 明示的なプロキシはブラウザ中心です。WindowsとOS XにはOSベースのプロキシ設定がありますが、これらは一般的に問題なく機能し、明示的なプロキシに関してはOSに依存しないブラウザ（例：Firefox）をすべてのオペレーティングシステムにインストールできます。この方法により、Linux などの明示的なプロキシを使用して、 Netskope Clientでサポートされていないプラットフォームをカバーできます。
一般的なガイドライン
EPoTを設定する際には、以下の点を考慮してください。
- 既存または新しい PAC ファイル、または IPSec または GRE トンネル経由の手動プロキシ設定を使用できます。
- 明示的なプロキシ設定では、HTTP/HTTPSトラフィックを、予約済みのIPアドレス
163.116.128.80または163.116.128.81のポート80（推奨）または8080に、手動で、または PACファイルを使用して指定できます。 DNSレコードepot.goskope.comを指定することもできます。必ず トラフィックを送信するために他のIPアドレスを使用しないでください。 - Netskope strongly recommends using port
80for EPoT and does not recommend port8080. - クラウドファイアウォールを使用する場合：
- あなたが ポート
80の場合、追加の操作は必要ありません。 - あなたが ポート
8080の場合、ステアリング構成のNon-Standard Portsでポート8080も定義する必要があります。
- あなたが ポート
- ブラウザセッションは、ファイアウォール/ルーター上のアクセスリストによってポート
80または8080に一致するIPSecまたはGREトンネルにリダイレクトされ、Netskope IPSecまたはGREヘッドエンドで終端します。 - クラウドフォワードプロキシは、ポート
80または8080で受信したHTTPリクエストを認識し、プロキシ処理のためにポート80または443の適切なクラウドサービスにルーティングします。 - PACファイルにステアリング例外を作成する必要があります。
- どのブラウザでも利用できますが、以下の例外にご注意ください。
- Linux または MacOS では、 OS、ブラウザ（利用可能な場合）、または PAC ファイルで、手動で明示的な設定を行う必要があります。
- Windows 10では、ホスト自体にPACファイルをホストしている場合、FTPおよびファイルプロトコルに既知の問題があります。詳細については、マイクロソフトのドキュメントをご覧ください。
- 現在サポートされているプロキシ設定は、HTTPとHTTPSのみです。Netskopeは、プロキシに送信されるその他のすべてのトラフィック（例：FTP）を破棄します。同様に、Netskope はポート
80、443、8080のみをサポートしています。その他の港湾交通はすべて遮断されます。 - Netskope 、3つのポートすべてを傍受することを推奨していません。 ルーター/ファイアウォールのアクセスリストを傍受し、IPSecまたはGREトンネル経由で送信する理由は以下のとおりです。
- 明示的なプロキシ設定を行うことで、バイパス機能を効果的に無効化できます。例えば、上記の構成例のように
.bestcasinos.netに対してバイパスを設定し、カテゴリとしてギャンブルをブロックしているとします。リクエストは8080上の明示的なプロキシをバイパスし、443を経由して送信され、アクセスリストによって傍受され、その後トンネルを通って送信され、ブロックされます。この動作は、 バイパスのためのPAC/手動明示プロキシ設定の目的を無効にします。
- 簡略化は明示的な代理として使うケースとして非常に良いです。 3つのポートすべてでリッスンするのではなく、1つのポートでリッスンすることで、ホストとルーター/ファイアウォールの設定が簡素化されます。通常、PACファイルはすでに存在しており、使う
80や8080がすでに使う場合は設定を変更する必要はありません。
- 明示的なプロキシ設定を行うことで、バイパス機能を効果的に無効化できます。例えば、上記の構成例のように
トンネル経由の明示的プロキシを使うケース
Netskope 、プロキシ設定が簡単なため、Windows 10 上のすべての Firefox 74.0 (64 ビット) を使います (Windows 上の他のブラウザは OS プロキシ設定を使う傾向があります)。 以下はブラウザの接続設定です。
- IP アドレス
163.116.128.80は明示的プロキシ用に予約されています。 - プロキシに送信すべきでないドメインも、ここで設定できます。この場合、
.bestcasinosites.net、 .zoom.com、.zoom.usと.lastpass.com; ワイルドカードがないことに注意してください。最初のサイトは、ブロッキングを回避するためのバイパスをテストするためのものです。最後の3つのサイトは、それらのサービスが明示的なプロキシによって傍受されたり、破壊されたりしないことを確認するためのものです。 - トラフィックは、対応可能なCPE（顧客宅内機器）によって作成可能なIPSecトンネルを介してNetskopeクラウドに送信されます。サポートされているバージョンや暗号などについては、Netskopeのユーザーインターフェースを参照してください。
80この機能が正しく動作するためには、トラフィックはアクセスリストを介してトンネル経由でクラウドに送信される必要があります。
以下は3つの ケースで、明示的なプロキシなしのIPSecまたはGREトンネル経由の場合と同様に、Skope IT内の異なるIDとキャプチャされる異なる内部IPアドレスを示しています。
使うケース #1: Netskope Clientを使用しない 1 つのデバイス
Skope IT では、アクセス方法が IPSec であることがわかり、 Netskopeデバイスの ID を内部 IP アドレスとしてレポートします。 トラフィックは80を経由しており、ACLによって80トンネルにリダイレクトされ、Netskope Forward Proxyがギャンブルサイトを禁止するポリシーに基づいて傍受およびブロックします。
 |
使うケース #2: Netskope Clientを使用しない 2 つのデバイス
Skope IT では、Windows 10 を実行している 2 つのデバイスが IPSec トンネルを通過し、明示的プロキシ用に構成された Firefox を使用していることがわかります。 Netskopeデバイスの両方の内部 IP アドレスを識別し、アクセス方法を IPSec としてレポートします。
 |
使うケース #3: Netskope Clientを使用する 1 つのデバイスとNetskope Clientを使用しない 1 つのデバイス
Skope IT では、 Netskope 、 Netskope Clientが実行されているにもかかわらず、アクセス方法として IPSec を表示しています。 しかし、Netskopeは内部IPアドレスとともにユーザー名も記録します。
 |
このデバイスにインストールされているNetskope Clientには次の構成設定があります。
 |
Netskope Client 、トンネルとアップストリームプロキシを検出します。 クライアントステアリングが無効になっている間も、ID情報は引き続き渡されます（つまり、この 上のNetskope Client SAML 2.0/Okta ユーザー登録経由で登録されました）。
しかし、Netskope Clientがインストールされていないデバイスでは、内部IPアドレスのみが識別情報として表示されます。
 |
使うケース #4: ギャンブルをブロックするために明示的なプロキシを使う
以下は、明示的プロキシ用のPACファイルスクリプトの例です。
function FindProxyForURL(url, host) {
/* Convert all URLs to lower case, more consistent and better for pattern matching*/
url = url.toLowerCase();
host = host.toLowerCase();
/* Send all hosts with no FQDN direct to internet */
if (isPlainHostName(host)) {
return "DIRECT";
}
/* Don't proxy IDP servers. */
/*
if ((dnsDomainIs(host, '.okta.com'))
{
return 'DIRECT'
}
*/
/* Send Zoom urls direct…if this is not used, proxy will break Zoom! */
if (dnsDomainIs(host, ".zoom.com") || dnsDomainIs(host, ".zoom.us")) {
return "DIRECT";
}
/* Don’t send RFC1918 and a few others to the proxy */
if (
isInNet(host, "10.0.0.0", "255.0.0.0") ||
isInNet(host, "127.0.0.0", "255.0.0.0") ||
isInNet(host, "169.254.0.0", "255.255.0.0") ||
isInNet(host, "172.16.0.0", "255.240.0.0") ||
isInNet(host, "192.168.0.0", "255.255.0.0")
) {
return "DIRECT";
}
/* Send only http and https to proxy on :80 *, bypass all else */
if (url.substring(0, 5) == "http:" || url.substring(0, 6) == "https:") {
return "PROXY 163.116.128.80:80";
}
return "DIRECT";
}
以下に、設定されているブラウザの設定と例外を示します。
- 例のPACファイルは、HTTP/HTTPSの場合、
163.116.128.80:80を指しています。 - ブラウザの設定で、
https://www.bestcasinosites.netプロキシは使用しない（直接アクセスする）。このポリシーはギャンブルをブロックするが、明示的なプロキシを経由するため、このドメインは許可される。 - 上流プロキシに問題が発生した場合（例：トンネルがダウンした場合）のフェイルスルーに関する直接的なステートメント。
PACをブラウザに適用する前に、NetskopeはSkope ITでギャンブルサイトをブロックしました。
 |
bestcasinosites.netにNo Proxy を設定した PAC ファイルを適用した後、Netskope はトラフィック要求を80ではなくネイティブポート443経由で直接送信しました。そのため、Netskopeはそれをトンネルを通してフォワードプロキシに送信してブロックすることはなかった。これによりサイトへのアクセスは許可されましたが、Skope ITにはそのエントリが記録されませんでした。
全体として、トンネル経由の明示的なプロキシは、すべての手動設定を適用する場合やPACを構成する場合にうまく機能し、トンネルはアクセスリストで設定したアクションに応じて動作します。Skope ITでは内部IPアドレスを適切に追跡できます。Netskope Clientは保護されたサイトの場合に自動的に非アクティブ化されますが、IDを追加すると同時に正しい内部IPアドレスも表示します。
使うケース #5: Netskope Clientでステアリングを無効にした明示的プロキシを使う
achecker<Tenant ID>.goskope.com IPSec または GRE トンネルを経由するようにしてください。また、 Client ConfigurationのTunnel Settingsの下でEnable device classification and client-based end user notifications when the client is not tunneling trafficを選択します。
