クラウド明示プロキシ

Cloud Explicit Proxy は、プロキシ自動構成 (PAC) ファイルを使用して、任意のデバイスからNetskopeクラウドにトラフィックをステアリングするための新しい方法を提供します。 PACファイルは、ブラウザに対し、宛先サーバーではなくプロキシサーバーにトラフィックを転送するように指示するものです。ユーザーがブラウザを開くと、ブラウザはデフォルトのPACファイルのリクエストを送信し、その後 PACファイル内のNetskope URLへのトラフィック転送指示を送信します。 Cloud Explicit Proxy は、 Netskope Clientを使用できない組織にとって優れたトラフィック ステアリング方法です。 さらに、IPSecやGREトンネルを必要とせず、インターネットからアクセス可能です。

次の図は、ユーザーが初めてブラウザーを開いたときの Cloud Explicit Proxy のトラフィック ワークフローを示しています。

以下の図は、ユーザーが初回アクセスを行った後のクラウド明示プロキシのトラフィックワークフローを示しています。

特定の使用ケースでは、Cloud Explicit Proxy を使用するとよいでしょう。 例えば：

• ローミングユーザーにプロキシPACファイルを配布する既存のプロセスがあり、それを SSL復号化例外などの例外のために変更したいのですが、他の設定はすでにPACファイルにスクリプト化されています。

• ローミングユーザーまたは信頼できる場所のユーザーは、アプリケーションの利用にブラウザを多用するため、プロキシCAをブラウザに直接インストールするとともに、ブラウザを使用して対話的に自己認証および認証を行う必要があります。

• ユーザーのブラウザトラフィックには、トンネルや追加のクライアントソフトウェアを使用せずにセキュリティ制御を強化するために、追加のSSL検査が必要です。

一般的なガイドライン

クラウド明示プロキシを設定する際は、以下の点に注意してください。

• SAML 2.0認証を設定 使う SAML プロキシ。 ユーザーIDは使うSAML 2.0のIdPで取得でき、 Settings >Security Cloud Platform >Forward Proxy >SAML で設定できます。 ユーザーのブラウザは使うポート 8081に設定されている必要があります。 認証は使うでユーザーの身元を特定でき、使うしてポリシーを適用できます。 フォワードプロキシの設定後に認証を有効にする方法については、 「フォワードプロキシ認証」を参照してください。

• プロキシを直接使用するようにエンドポイントを設定できます。 例えば：

  

• 明示的プロキシでは、HTTP および HTTPS トラフィックのみを送信します (通常はポート80および443ですが、Netskope はカスタムポートもサポートしています)。これらのポートを通して他のトラフィックを送信しないでください。

• Netskopeクラウドからのトラフィックを除外したい場合は、PACファイルに例外を追加する必要があります。

• 明示的プロキシはユーザー識別にクッキーを利用しています( 使う Cookie Surrogate を参照)。 Firefox の場合、 Enhanced Tracking Protectionを有効にすると、Firefox が特定の Cookie をブロックする可能性があり、ユーザー エクスペリエンスに影響を与える可能性があります。

• Explicit ProxyはユーザーIDを取得するためにIdPに依存するため、IdPのリクエスト/レスポンスをNetskopeに送信するのではなく、トラフィックをIdPサーバーに直接送信する必要があります。

• Box エンドポイントの場合、明示的プロキシを使用する場合は、次の要素を考慮してください。

  • 特定のアプリ、インスタンス、SSL復号化などへのアクセスに関するユーザー固有のポリシーは適用されません。

  • イベント（アプリケーション/ページ）にはユーザー情報は表示されませんが、ユーザーのIPアドレスが表示されます。

明示的プロキシページについて

明示的プロキシページ（ Settings > Security Cloud Platform > Explicit Proxy ）では、以下の操作が可能です。

1. Explicit Proxy用の独自のカスタムPACファイルを作成し、ユーザーのすべてのデバイスに配布するには、サンプルPACファイルテンプレートをダウンロードしてください。変更したPACファイルはオンプレミス環境にホストできるため、デバイスはそれを自動的に取得できます。プロキシしないドメイン、プロキシするサブストリング（HTTP/HTTPS）、およびテナント名を入力してください。

   function FindProxyForURL(url, host) { 
       /* Normalize the URL for pattern matching */
       url = url.toLowerCase();
       host = host.toLowerCase();
       /* Don't proxy local hostnames */
       if (isPlainHostName(host)) {
           return 'DIRECT';
       }
        /* Don't proxy IDP servers. */
       /*
       if (dnsDomainIs(host, '.okta.com'))
       {
           return 'DIRECT';
       }
       */
       /* Don't proxy for domains. */
       /*
       if (dnsDomainIs(host, '.domain-example1.com')) ||
       (dnsDomainIs(host, '.domain-example2.com'))
       {
           return 'DIRECT';
       }
       */
       if (url.substring(0, 5) === 'http:' || url.substring(0, 6) === 'https:') {
           return 'PROXY eproxy-<Tenant Name>:8081';
       }
       return 'DIRECT';
   }

2. Explicit Proxy Destination以下：

   • Certificates: クリックして証明書ページに移動し、エンドポイントに Netskope Root CAをダウンロードしてインストールできます。macOS の場合は、 Keychain AccessツールからCertificatesにインストールしてください。リモートユーザー向けには、別途証明書が用意されています。

   • Explicit Proxy Destination明示的プロキシの宛先を表示します。

   • Download Root Certificate (Remote Users)リモートユーザー用のNetskopeルートCAをダウンロードしてインストールしてください。ルートCAは「証明書」ページからも入手できます。

3. Tenant Lookup Service以下：

   • Tenant Nameテナント名を表示します。絶対です：

     • 交換する<Tenant Name> ＜テナント名＞ サンプルPACファイルテンプレート内。

     • リモートユーザーは組織（テナント）名を検証のために必要とするため、その情報を提供してください。検証が完了すると、 Netskopeリモートユーザーをリダイレクトし、ウェブにアクセスする前に IdP で認証するようにします。 リモートユーザーには認証が必須です。

   • Previewリモートユーザーに表示される検証通知の例をご覧ください。

     

IPアドレス許可リストとユーザーID

Netskopeは、未知の地域からのユーザーに対して認証を要求します。ただし、特定のIPアドレスからの認証されていないトラフィックを許可するかブロックするかを選択できます。

IP Address Allowlist & User Identityセクションでは、以下のことが可能です。

1. クリックすると、 AllowまたはBlockの認証されていないトラフィックが表示されます。

2. 認証されていないトラフィックを許可する送信元IPアドレスを追加します。

3. 認証されていないトラフィックを許可しているIPアドレスの一覧を表示します。各IPアドレスについて、以下の情報が表示されます。

   • Name: IPアドレスの名前。

   • IP Address: ユーザーのデバイスのオンプレミスにおける送信元IPアドレス。

4. クリック以下の選択肢から1つを選んでください。

   • EditIPアドレスとその設定を変更します。一度に編集できるIPアドレスまたはCIDRは1つだけです。詳細については、 「IP アドレスからの認証されていないトラフィックを許可する」を参照してください。

   • DeleteIPアドレスを削除します。

5. 1ページあたり最大100個のIPアドレスを表示できます。

6. 表の複数ページを表示する。

Skope IT で明示的なプロキシ トラフィックを表示する

明示的プロキシを設定すると、ユーザーがウェブサイトにアクセスする際に、Netskopeはサイトに進む前にIdP（アイデンティティプロバイダー）への認証を要求します。Skope ITでこれらのウェブページイベントを表示するには：

1. Skope IT > Page Eventsへ移動してください。

2. クリックイベントページの詳細については、こちらをご覧ください。

3. Page Event DetailsペインのGeneralの下に、 Access MethodにはExplicit Proxyが表示されます。