GRE - Netskopeナレッジポータル

汎用ルーティングカプセル化（GRE）は、トランスポートプロトコル内でパケットをカプセル化するためのトンネリングプロトコルです。GREトンネルはVPNと同様の機能を持つが、暗号化は行わない。パケットをあるエンドポイントから別のエンドポイントへ転送する。GRE対応のルーター／ファイアウォールは、ペイロードパケットをGREパケット内にカプセル化し、さらにそれをIPなどのトランスポートプロトコルでカプセル化してインターネット経由で送信します。

GREは、HTTP(S)トラフィックと非HTTP(S)トラフィックの両方をNetskopeクラウドに誘導できます。Netskope GREゲートウェイは、トンネルの送信元IPアドレスがNetskope UIで設定されている既知のIPアドレスであることを検証します。

次の図は、 Netskope Secure ウェブゲートウェイを使用した GRE トンネルのトラフィックワークフローを示しています。

Secure Web Gatewayを用いたGREトンネルのトラフィックワークフローを示すネットワーク図Netskope

さらに、Netskope Cloud Firewallをご利用の場合は、非HTTP(S)トラフィックをGREトンネル経由でNetskopeクラウドにルーティングできます。

Netskope Secure ウェブゲートウェイとクラウドファイアウォールを使用した GRE トンネルのトラフィックワークフローを示すネットワーク図。

一般的なガイドライン

GREトンネルを作成または編集する際には、以下の点に注意してください。

Netskope Secure ウェブ Gateway またはNetskope Cloud Firewall のライセンスが必要です。
GREトンネルを確立するために、送信元デバイスを設定してください。詳細については、ルーターまたはファイアウォールのマニュアルを参照してください。
ファイアウォールが設定されている場合は、GREトンネルを許可するように設定してください。ファイアウォールに受信接続をブロックするACLが設定されている場合は、GREトラフィックを許可するルールを設定してください。詳細については、ファイアウォールのマニュアルを参照してください。
ピアデバイスを設定して、トンネルの宛先を、Netskope UI/APIで設定したNetskope POPのVIPに設定するようにしてください。NetskopeのUI/APIで設定されていないPOPに対してGREトンネルを設定した場合、トンネルは起動しません。
Netskope Secure Web Gateway を設定する場合は、GRE トンネルを通して HTTP (ポート 80) と HTTPS (ポート 443) のみを送信してください。また HTTPおよびHTTPSトラフィックに、非標準またはカスタムポートを使用することもできます。
注記
Netskope 、オリジンサーバーがHTTP/2をサポートしている場合、すべてのドメインに対してHTTP/2をネゴシエートします。そうでない場合は、HTTP 1.1にNetskopeバックします。その他のすべてのトラフィックは引き続きHTTP 1.1を利用します。さらに、 Netskope Client 、GRE/IPSEC、およびiOSによるアクセス方法も完全にサポートされています。プロトコルの変更はユーザーにとって完全に透過的であり、管理者による設定は一切不要です。コンタクトアカウントでこの機能を有効にするためのサポート。
Netskope Cloud Firewallを設定する場合は、HTTP(S)以外のトラフィックをGREトンネル経由で送信してください。また HTTP(S)トラフィックに非標準ポートまたはカスタムポートを使用することもできます。
GREトンネル内のエンドポイントに対してNATを実装することはできません。ソースピアネットワークがエンドポイント IP アドレスに基づいて NAT を使用する場合、 Netskope GRE サービスは 1 つの IP アドレスのみを監視するため、GRE ロードバランシング、パフォーマンス、レポート、およびポリシーの粒度に影響します。送信元ピアネットワークは、エンドポイントのIPアドレスに対してNATを実装してはなりません。
Netskopeは、ルーターまたはファイアウォール上の各トンネルに対してICMPキープアライブプロービングを有効にすることを強く推奨します。この機能を有効にすることで、特にトンネル障害が発生した場合に、Netskope UI で信頼性の高いステータス出力が保証されます。Netskopeはまた、20秒ごとにプローブを実行し、6秒ごとに5回再試行することを推奨しています（ベンダーが許可する場合）。同じPOPに接続するトンネルが複数ある場合は、プローブが同じ間隔で到達しないように、プローブのタイムアウトをランダム化する必要があります。例えば、SFO1のNetskope POPに接続されたトンネルが3つある場合、それぞれの探査間隔を20 5 6、19 6 6、22 5 6と設定すべきです。
GREゲートウェイノードは、内部IPパケットの宛先IP値がNetskope POPに対応するGREゲートウェイUIダッシュボードにリストされているGREゲートウェイプローブIPと一致する場合にのみ、ICMPプローブ/キープアライブに応答できます。そうでない場合、GREトンネルはプローブパケットを破棄します。
Netskope Cloud FirewallやNetskope Secure Web Gatewayなどのダウンストリームサービスのヘルスチェックがダウンすると、GREトンネルがダウンし、GRE AUTH FAILUREメッセージを送信してトンネル確立が失敗します。
Netskopeウェブトラフィックの SSL 復号化を適切に実行できるように、エンドポイントにはNetskopeのルート証明書と中間証明書が信頼されている必要があります。 Netskope Clientユーザーのにインストールすると、適切な証明書が自動的にインストールされます。または、 Settings > Manage > Certificates > Signing CAにアクセスして、Netskope のルート証明書と中間証明書をダウンロードし、エンドポイントに配布することもできます。これはNetskope Cloud Firewallのオプション機能です。
WANインターフェース上のGREヘッダーを考慮した最大セグメントサイズ（MSS）を計算します。MSSを設定しないと、トンネルのパフォーマンスに悪影響を与える可能性があります。
Netskopeは、エンドポイントからのトラフィックが少なくとも30分ごとに発生することを推奨しています。
同一ユーザーまたは同一エンドポイントからのトラフィックは、同一のトンネルを経由する必要があり、複数のトンネル間で負荷分散を行うことはできません。
接続の中断を最小限に抑えるため、バックアップトンネルへのフェイルオーバーを設定する必要があります。
注記
トラフィックのフェイルオーバートンネルへのリダイレクトは、Netskopeの可視性および制御範囲外にあるGREゲートウェイ上で発生するため、フェイルオーバーIPSecトンネルを定期的にテストする必要があります。
GREトンネル経由でトラフィックを送信するアプリケーションは、プライマリトンネルからフェイルオーバートンネルへの切り替えイベントを適切に処理できなければなりません。アプリケーションがこの種の切り替えイベントを処理できない場合は、そのアプリケーションのトラフィックをGREトンネル経由で送信すべきではありません。
GREは本質的にステートフルなプロトコルである。定期的な計画メンテナンス中は、GREソフトウェアのアップグレードに伴い、トンネルが一時的に停止したり再開したりする場合があります。

テナントごとに、GREサイトのデフォルトの規模制限は100です。さらに、Netskopeは容量に関する情報をお客様から提供していただく必要があります。Netskope営業担当者に連絡して、増額をリクエストしてください。

高容量GREトンネル

Netskopeは、プライマリおよびバックアップGREトンネルの高帯域幅容量をサポートし、大量のトラフィック要求に対して、送信元デバイスとNetskope間の高性能な接続を提供します。以下の高容量GREトンネルがサポートされています。

Bandwidth	要件
3 Gbps	ライセンス取得済み。能力評価が必要です。
5 Gbps	ライセンス取得済み。能力評価が必要です。

Key Considerations

上記の帯域幅は、任意の時点における最大総スループット（つまり、アップロードとダウンロードのトラフィックの合計）です。
帯域幅は、平均パケットサイズ620バイトのIMIXトラフィックプロファイルに基づいて認定されています。他のテストプロファイルでは、同じパフォーマンスが得られない可能性があります。
大容量トンネルは、アクティブ/スタンバイ構成のトンネルにおいて、プライマリPOPとフェイルオーバーPOPの両方を備えています。高容量トンネルでは、追加のPOPはサポートされていません。
既存のトンネルの帯域幅を大容量（例えば、250Mbpsから3Gbps）にアップグレードする場合、トンネルは一度ダウンしてから再びアップするため、トラフィックの損失が発生する可能性があります。これを防ぐには、Netskopeに直ちに通知してください。これは、メンテナンス期間内に計画された構成更新が必要となるためです。

Netskopeは、容量評価と拡張に基づいてこの機能を提供します。Netskopeの特定のPOPにおける利用可能なリソースによっては、プロビジョニングに最大6週間かかる場合があります。より迅速なプロビジョニングを実現するため、少なくとも6週間前までに以下の情報をNetskopeの営業担当者にお伝えください。

トンネルペアリング	送信元IPアドレス	主要人口	フェイルオーバーPOP
Tunnel-Pair-1	a.b.c.d	NYC3	NYC4
Tunnel-Pair-2	w.x.y.z	ORD2	ORD4

送信元IPアドレスの変更

GREサイトを設定する際は、 Basic SettingsにSource IP Addressを指定してください。

送信元IPアドレスが変更された場合は、Netskopeに直ちに通知する必要があります。これは、メンテナンス期間内に計画された設定更新が必要となるためです。

MTUとMSSの計算

WANインターフェースの設定に基づいて、GREトンネルに必要な最大伝送単位（MTU）と最大セグメントサイズ（MSS）を計算します。MTUが適切に計算されていない場合、断片化が進み、パフォーマンスに影響を与える可能性があります。

以下は、1500バイトのWANインターフェースにおけるMTUとMSSの計算例です。

WAN Interface MTU = 1500
WAN Interface MSS = MTU (1500) - IP (20 bytes header) - TCP (20 bytes header) = 1460
GRE = 4 bytes header
GRE MTU = MTU (1500) - IP (20) - GRE (4) = 1476
GRE MSS = GRE MTU (1476) - IP (20) - TCP (20) = 1436

MTU推奨事項

Cloud Firewall を使用している場合は、クライアントデバイスで L3 MTU サイズを 1476 バイトに設定する必要があります。ルーターまたはファイアウォールのMTU値は、デフォルトのMTU値である1500バイトのままにしておくことができます。
Netskopeは、MTU値が1476バイトに変更されない場合、IPフラグメンテーションを回避するために、クライアントデバイス上のUDPアプリケーションがパスMTU検出（PMTUD）をサポートするようにすることを推奨します。
IPパケットのサイズが1476バイトを超え、かつ「フラグメント禁止（DF）」ビットが設定されている場合、Netskope GREゲートウェイはパケットを破棄し、「フラグメント化が必要でDFが設定されています」というコードを含むICMP宛先到達不能メッセージをクライアントに送信します。IPパケットにDFビットが設定されていない場合、Netskope GREゲートウェイはパケットをサイレントに破棄します。

TCP MSS推奨事項

Netskope GREゲートウェイは、TCPトラフィックに対してMSSを自動的に調整します。

GREトンネルの設定

Netskopeは、お客様のルーター/ファイアウォールから少なくとも2つの異なるNetskope POPへのGREトンネルを設定する必要があります。これにより、2つのIDソースピアのうち1つが一時的に利用できなくなった場合でも、GREを介したトンネリングトラフィックの接続が維持されることが保証されます。プライマリGREトンネルが復旧するまで、バックアップGREトンネルが引き継ぎます。

組織向けにGREトンネルを設定するには：

Netskope UIのGREトンネルを設定し、トラフィックをNetskope POPに誘導します。POPアドレスはNetskopeの管理コンソールで閲覧可能ですSettings > Security Cloud Platform > Traffic Steering > GRE > Netskope POPs。詳細については、「GREサイトの作成」をご覧ください。
ベンダーのソースアイデンティティデバイス用にGREトンネルを設定してください。各トンネルは最大1Gbpsのスループットをサポートします。使うポリシーベースのルーティングで、ポート80および443のHTTP/HTTPSトラフィックをGREトンネル経由で誘導します。クラウドファイアウォールのライセンスをお持ちの場合は、TCP、UDP、ICMPなどのHTTP(s)以外のトラフィックもトンネル経由でルーティングできます。ベンダー固有の統合ガイドについては、 IPSec および GRE を参照してください。
GREトンネルを設定した後、 Netskope ClientインストールやNetskopeルート証明書のプロビジョニングなど、ステアリング/IDオプションを選択します。。詳細については、「IPSec および GRE トンネルのユーザー認証方法」を参照してください。

GREトンネルの監視

プライマリGREトンネルとバックアップGREトンネル間のフェイルオーバーが確実に行われるよう、GREトンネルを監視してください。基本的な検出メカニズムとして、GREキープアライブを有効にする。

Ciscoルーターの場合、 CiscoトンネルでIPSLAまたはキープアライブを設定してトンネルを監視できます。
Cisco のキープアライブ送信元ピアから、送信元と宛先の IP アドレスを逆にした GRE パケットを内部ペイロードとして送信します。 GREの宛先は、トンネルが確立されたことを示すために内部パケットを中継します。
Juniperルーターの場合、 RPMまたはキープアライブを使用してトンネルを監視できます。
Juniper デバイスのキープアライブは、エンドポイントの内部 IP アドレスを含む ICMP パケットを GRE トンネル経由で送信します。 Netskopeはこれらの内部IPアドレスを割り当て、トンネルが確立されたときにNetskope GREゲートウェイが応答するように構成できるようにします。

高可用性を実現するために、キープアライブにより、応答が受信されない場合に GRE エンドポイントがバックアップトンネルにフェイルオーバーできるようになります。 Netskope GREゲートウェイは、テナント固有のプロキシにヘルスチェックの問題がない場合にのみ、キープアライブ応答を返します。

Netskopeは、20秒ごとにプローブを行い、5回再試行することを推奨しています。ベンダーが許可する場合、Netskopeは、プローブが失われたり応答がなかったりした場合の再試行間隔を6秒ごとに設定することを推奨します。例えば：

時間（秒）	イベント	トンネルの状態
0	GREトンネルが稼働しました。	上
20	調査依頼を受信し、応答しました。	上
40	調査依頼を受信し、応答しました。	上
60	Netskopeにプローブが受信されなかったか、プローブ応答がテナントに届きませんでした。	上
66	再試行1：プローブがまだ受信されていません。	上
72	再試行2：プローブがまだ受信されません。	上
78	再試行3回目：プローブはまだ受信されていません。	上
84	再試行4回目：プローブはまだ受信されていません。	上
90	再試行5回目：プローブはまだ受信されていません。	上
91	Netskopeはトンネルの状態をダウンに更新します。	下

同じPOPに接続するトンネルが複数ある場合は、プローブが同じ間隔で到達しないように、プローブのタイムアウトをランダム化する必要があります。例えば、SFO1のNetskope POPに接続されたトンネルが3つある場合、それぞれの探査間隔を20 5 6、19 6 6、22 5 6と設定すべきです。

Netskope GREゲートウェイが1分以内にキープアライブパケットを検出しない場合、トンネルプローブの状態はダウンとフラグ付けされ、GREサービスはNetskope UIでキープアライブの状態をNot Seenに更新します。

GREページについて

ステアリング設定ページ（ Settings > Security Cloud Platform > GRE ）では、以下の操作が可能です。

GREサイトの設定を更新してください。
GREサイトを名前で検索・絞り込む。+ Add Filterをクリックして、検索結果を絞り込むための他のフィルターを追加してください。
- ソースID
- 状態
- Netskope POP
- 交通の種類
新しい GRE サイトを作成するか、 CSV ファイルを使用して複数の GRE サイトをインポートします。
NetskopeのPOPリストと、それぞれのPOPに関する以下の情報をご覧ください。
- GatewayゲートウェイのIPアドレス。
- Probe IP AddressプローブのIPアドレス。
- Location：その地理的位置。
NetskopeのPOPが新しいトンネルを受け入れていないかどうかを確認することもできます。
GRE試験会場一覧をご覧ください。各サイトについて、以下の情報が表示されます。
- NameGREサイトの名前。
- Source IdentityGRE試験会場には適用されません。
- Source IP AddressNetskopeがパケットを受信するルーターまたはファイアウォールの送信元ピアIPアドレス（つまり、出口パブリックIPアドレス）。Netskopeは、ルーターまたはファイアウォールのIPアドレスを通じて、組織に属するトラフィックを識別します。
- StatusGRE試験会場の状況。
  - GREサイトは、ルーターまたはファイアウォールからのキープアライブパケットを監視しています。
  - : 最後の1分間、GREサイトはルーターまたはファイアウォールからのキープアライブパケットを一切観測していません。トンネルがダウンしている場合でも、Netskopeはトンネルパケットの処理を継続します。
  - 最新のGREトンネルステータスを取得するのに遅延が発生しています。これは、GREサービスをホストしている基盤となるインフラストラクチャがメンテナンス中の場合に発生する可能性があります。詳しくはトラストポータルをご覧いただくか、 Netskope 代表者にコンタクトを問い合わせてください。
  - GREサイトは無効になっています。
  ステータスにカーソルを合わせると、以下のキープアライブ情報も表示されます。
  - Keepalive StatusGREサイトでキープアライブを設定した場合のみ、キープアライブ接続をSeenまたはUnseenとして表示します。
  - Keepalive Last UpdatedNetskopeがキープアライブ接続を認識してからの経過時間を表示します。時刻が表示されない場合、Netskopeはキープアライブパケットを認識しません。
  トンネルを永続的なトンネルとして有効にすることができます。ただし、特にトンネル障害が発生した場合にNetskope UIが信頼性の高いトンネル状態を表示するようにするために、Netskopeは、バックアップトンネルへのフェイルオーバーを含め、デバイス上の各トンネルに対してICMPキープアライブプロービングを有効にすることを推奨します。
- Netskope POPGREサイトに関連付けられているNetskopeのプライマリおよびバックアップPOP。サイトに設定されているその他のPOPを表示するには、 View Additional Popsをクリックしてください。
- ThroughputGREサイトのスループット（キロバイト/秒、Kbps）。スループットにカーソルを合わせると、以下の情報も表示されます。
  - User traffic last updatedNetskopeがユーザーのトラフィックを検出してから経過した時間を表示します。時刻が表示されない場合、Netskopeはトラフィックを検出していません。
- Traffic TypeGREサイトを通過するトラフィックの種類。このオプションを使用して、トンネルトラフィックとビルド使用状況レポートを分類できます。
  - ユーザー
  - IoT
  - 混合
  - 機械
  - ゲスト用Wi-Fi
テーブルをサイト名で並べ替えます。
少なくとも1つのオーバーライドSelectチェックボックスをオンにしてEnableクリックすると有効になります。
少なくとも1つのオーバーライドSelectチェックボックスをオフにしてDisableクリックすると無効になります。
少なくとも1つのオーバーライドSelectチェックボックスを選択し、 Deleteをクリックして削除します。
クリックテーブルの列をカスタマイズするか、デフォルトの列に戻す。
クリック以下の選択肢から1つを選んでください。
- View DetailGREのウェブサイトで詳細な情報をご覧ください。
- EditGREサイトとその設定を変更します。詳細については、「GREサイトの作成」をご覧ください。
- Enable: Enable the GRE site.
- DisableGREサイトを無効にします。
- DeleteGREサイトを削除します。
1ページあたり最大100サイトを表示できます。
表の複数ページを表示する。

トラブルシューティング

Certificate Issues

ブラウザで証明書エラーが表示される場合は、Netskopeのルート証明書がユーザーのデバイスにインストールされていることを確認してください。

Connection Issues

エンドツーエンドのトラフィックが機能していない場合：

出口ルーターでGREトンネルの状態を確認し、トンネルが稼働しているかどうかを確認してください。
トンネルインターフェースのカウンターが上昇しているかどうかを確認してください。上昇しているかどうかは、トラフィックが通過していることを示します。
トンネルがダウンしている場合は、出口ルーターから送信されたGRE/ICMPキープアライブに対して、キープアライブ応答が受信されていることを確認してください。
トンネルがダウンしている場合は、エンドツーエンドのトラフィックがルーターのデフォルトゲートウェイを経由して正常に機能しているかどうかを確認してください。
トンネルが稼働している場合は、トラフィックをリダイレクトするように設定されているルートマップを確認してください。
ファイアウォールがGREトラフィックを許可していることを確認してください。
Netskope UIのGREページに、ルーターの出口IPアドレス（つまり、パブリックIPアドレス）を追加したことを確認してください。
ルートマップでポート443/80をGREトンネル経由でリダイレクトするように設定されていることを確認してください。
Netskopeサポートへお問い合わせください。

Performance Issues

Netskope GREのIPアドレスに対してMTRを確認してください。お客様の環境からNetskopeクラウドまでのRTT（ラウンドトリップタイム）を表示する必要があります。パケット損失も表示されます。
Wireshark を使用して、エンドポイントの出力インターフェイスでパケットをキャプチャします。これは完全なTCP統計情報を表示します。

GRE Device Status

GREトンネルの状態を確認するには、送信元ピアデバイスにログインしてください。トンネルがダウンしている場合、デバイスがNetskope GREサービスと通信できないか、このGREノード/サイトがまだプロビジョニングされていない可能性が高いです。Netskope GREのページにアクセスして確認してください。