インターネットプロトコルセキュリティ（IPSec）は、トランスポートプロトコル内でパケットを認証および暗号化するためのトンネリングプロトコルです。IPSecはVPNと同様の機能を持つが、暗号化機能を備えている。パケットをあるエンドポイントから別のエンドポイントへ転送する。IPSecには、トンネルモードとトランスポートモードの2つのモードがあります。これらの手順はトンネルモード用です。
IPSecは、HTTP(S)トラフィックと非HTTP(S)トラフィックの両方をNetskopeクラウドに誘導できます。IPSec VPN トンネル経由でトラフィックを送信するようにソース ピア IPSec デバイスを構成します。Netskope IPSecゲートウェイは、Netskope管理コンソールで設定されたトンネルの送信元IDを検証します。トンネルの識別情報が不明な場合、トンネルは確立されません。
次の図は、 Netskope Secure ウェブ ゲートウェイを使用した IPSec トンネルのトラフィック ワークフローを示しています。
さらに、Netskope Cloud Firewallをご利用の場合は、HTTP(S)以外のトラフィックをIPSecトンネル経由でNetskopeクラウドにルーティングできます。
一般的なガイドライン
IPSecトンネルを作成または編集する際には、以下の点に注意してください。
- IPSecトンネルを確立するために、送信元ピアデバイス（ルーターやファイアウォールなど）を設定してください。詳細については、ルーターまたはファイアウォールのマニュアルを参照してください。
- Ciscoルーターの場合、 CiscoトンネルでIPSLAまたはキープアライブを 設定してトンネルを監視できます。
- Juniperルーターの場合、 リアルタイムパフォーマンスモニタリング（RPM）を使用してVPNを監視できます。
- ファイアウォールを設定して、IPSecトンネルを許可してください。ファイアウォールに受信接続をブロックするACLが設定されている場合は、IPSecトラフィックを許可するルールを設定してください。詳細については、ファイアウォールのマニュアルを参照してください。
- ピアデバイスを設定して、トンネルの宛先を、Netskope UI/APIで設定したNetskope POPのVIPに設定するようにしてください。NetskopeのUI/APIで設定されていないPOPに対してIPSecトンネルを設定した場合、トンネルは起動しません。
- ウェブトラフィックのSSL復号化が正しく機能するためには、エンドポイントがNetskopeのルート証明書と中間証明書を信頼している必要があります。ユーザーのNetskope Clientインストールすると、適切な証明書が自動的にインストールされます。 または、 Settings > Manage > Certificates > Signing CAにアクセスして、Netskope のルート証明書と中間証明書をダウンロードし、エンドポイントに配布することもできます。これはNetskope Cloud Firewallのオプション機能です。
- IPSec を使用するにはNetskope Secure ウェブ Gateway またはNetskope Cloud Firewall ライセンスを持っていることを確認してください。
- Netskope Cloud FirewallやNetskope Secure ウェブ Gatewayなどのダウンストリームサービスのヘルスチェックがダウンすると、IPSecトンネルがダウンし、トンネル確立が失敗してIPSec AUTH FAILUREメッセージが送信されます。
- IPSecトンネル経由でポート80と443のHTTP/HTTPSトラフィックを送信します。Netskopeはカスタムポートもサポートしています。クラウドファイアウォールのライセンスをお持ちの場合は、HTTP(S)以外のトラフィックもトンネル経由で送信できます。
注記
Netskope 、オリジンサーバーがHTTP/2をサポートしている場合、すべてのドメインに対してHTTP/2をネゴシエートします。そうでない場合は、HTTP 1.1にNetskopeバックします。 その他のすべてのトラフィックは引き続きHTTP 1.1を利用します。さらに、 Netskope Client 、GRE/IPSec、およびiOSによるアクセス方法も完全にサポートされています。 プロトコルの変更はユーザーにとって完全に透過的であり、管理者による設定は一切不要です。コンタクト アカウントでこの機能を有効にするためのサポート。
- トンネルの送信元デバイスでは、IPSecおよびIKE SAの鍵交換間隔が、デフォルト値である120（IPSec SA）および1440（IKE SA）よりも少なくとも10分未満であることを確認してください。Netskopeは、エンドポイントからのトラフィックが少なくとも30分ごとに発生することを推奨しています。
- 音声インターネットプロトコル（VoIP）のデータポートをインターネットに直接送信します。
- Netskopeでは、IPSecトンネルを確立するためにネットワークアドレス変換トラバーサル（NAT-T）が必要です。
- Netskopeは、IPSecトンネル内のエンドポイントに対するソースNATの実装をサポートしていません。
- 接続の中断を最小限に抑えるため、バックアップトンネルへのフェイルオーバーを設定する必要があります。
注記
フェイルオーバーIPSecトンネルへのトラフィックリダイレクトは、Netskopeの可視性および制御範囲外であるVPNゲートウェイ上で発生するため、フェイルオーバーIPSecトンネルを定期的にテストする必要があります。
- IPSecトンネル経由でトラフィックを送信するアプリケーションは、プライマリトンネルからフェイルオーバートンネルへの切り替えイベントを適切に処理できなければなりません。アプリケーションがこのような切り替えイベントを処理できない場合は、そのアプリケーションのトラフィックをIPSecトンネル経由で送信すべきではありません。
- Netskopeは、ルーターまたはファイアウォールの各トンネルに対してICMPキーパライブプロービングとIKEデッドピア検出(DPD)を有効にすることを強く推奨しています。これらの機能を有効にすることで、特にトンネル障害が発生した場合でもNetskope UIで信頼性の高いステータス出力が保証されます。Netskopeはまた、20秒ごとに探り、6秒ごとに5回再挑戦することを推奨しています。同じPOPに接続するトンネルが複数ある場合は、プローブが同じ間隔で到達しないように、プローブのタイムアウトをランダム化する必要があります。例えば、SFO1のNetskope POPに接続されたトンネルが3つある場合、それぞれの探査間隔を20 5 6、19 6 6、22 5 6と設定すべきです。
- 同一ユーザーまたは同一エンドポイントからのトラフィックは、同一のトンネルを経由する必要があり、複数のトンネル間で負荷分散を行うことはできません。
- Netskopeは、相互運用性の問題を引き起こす可能性があるため、ピアゲートウェイでメイク・ビフォア・ブレーク（MBB）トンネル再認証セマンティクスを設定することを推奨していません。
- ソース IP アドレス (NAT デバイスなど) ごとの同時セッション/フローの最大数は 10,000 セッションです。
- 単一の IPsec トンネルの背後で接続できるデバイスの最大数は 10,000 デバイスです。
- IPSecは本質的にステートフルなプロトコルである。定期的な計画メンテナンス中は、IPSecソフトウェアのアップグレードに伴い、トンネルが一時的に切断され、その後復旧する場合があります。
- Netskopeは、セキュリティ強化のためにAES-GCMを使用した128ビットの整合性チェック値（ICV）をサポートしています。
高容量IPSecトンネリング
Netskopeは、プライマリおよびバックアップのIPSecトンネルに対して高帯域幅容量をサポートし、大量のトラフィック要求に対しても、送信元デバイスとNetskope間の高性能な接続を提供します。以下の高容量IPSecトンネルがサポートされています。
| Bandwidth | 要件 |
|---|---|
| 500Mbps | 認可は受けていないが、能力評価が必要である。 |
| 1 Gbps | ライセンス取得済み。能力評価が必要です。 |
| 2 Gbps | ライセンス取得済み。能力評価が必要です。 |
Key Considerations
-
上記の帯域幅は、任意の時点における最大総スループット（つまり、アップロードとダウンロードのトラフィックの合計）です。
-
帯域幅は、
aes256gcm64-modp2048暗号化方式と平均パケットサイズ620バイトのIMIXトラフィックプロファイルに基づいて認定されます。他のテストプロファイルでは、同じパフォーマンスが得られない可能性があります。 -
大容量トンネルは、アクティブ/スタンバイ構成のトンネルにおいて、プライマリPOPとフェイルオーバーPOPの両方を備えています。高容量トンネルでは、追加のPOPはサポートされていません。
-
既存のトンネルの帯域幅を大容量（例えば、250Mbpsから2Gbps）にアップグレードする場合、トンネルは一度ダウンしてから再びアップするため、トラフィックの損失が発生する可能性があります。これを防ぐには、Netskopeに直ちに通知してください。これは、メンテナンス期間内に計画された構成更新が必要となるためです。
-
大容量IPSecサイトにおける送信元IPアドレスのマッピングに関する要件は以下のとおりです。
-
One-to-One Mapping各送信元IPアドレスは、単一の高容量IPSecサイト（アクティブ/バックアップトンネルペア）にのみマッピングできます。複数の高容量IPsecサイトを 同じ送信元IPアドレスで接続することはできません。
-
IP Exclusivity: 送信元 IP アドレスが既に 既存の IPsec サイトに使用されている場合、高容量 IPsec サイトでは再利用できません。
-
Netskopeは、容量評価と拡張に基づいてこの機能を提供します。Netskopeの特定のPOPにおける利用可能なリソースによっては、プロビジョニングに最大6週間かかる場合があります。より迅速なプロビジョニングを実現するため、少なくとも6週間前までに以下の情報をNetskopeの営業担当者にお伝えください。
| トンネルペアリング | 送信元IPアドレス | 主要人口 | フェイルオーバーPOP |
|---|---|---|---|
| Tunnel-Pair-1 | a.b.c.d | NYC3 | NYC4 |
| Tunnel-Pair-2 | w.x.y.z | ORD2 | ORD4 |
送信元IPアドレスの変更
IPSecサイトを設定する際は、 Advanced SettingsにSource IP Addressを指定してください。
送信元IPアドレスが変更された場合は、Netskopeに直ちに通知する必要があります。これは、メンテナンス期間内に計画された設定更新が必要となるためです。
Supported IPSec IKEv2 Parameters
NetskopeはIKEv2のみをサポートしています。IKE接続ごとに同時に存在できる子SAの最大数は10です。以下は、NetskopeがサポートするIKEv2暗号の一覧です。Netskope太字のものを使用することをお勧めします。
| コンポーネント | フェーズ1 | フェーズ2 |
|---|---|---|
| 暗号化 | AES-128-CBC AES-192-CBC AES-256-CBC | AES-128-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM NULL |
| 誠実さ | SHA-1 SHA-256 SHA-384 SHA-512 | SHA-1 SHA-256 SHA-384 SHA-512 |
| 認証 | 事前共有鍵（PSK） | 該当なし |
| ディフィー・ヘルマン・グループ | 14 15 16 18 | 14 15 16 18 19（ベータ） 20（ベータ） 21（ベータ） |
| SA生涯 | 24時間 | 2時間 |
| 支援対象児童SAの総数 | 該当なし | 10 |
| 完全前方秘匿性（PFS） | 該当なし |  |
| NATトラバーサル（NAT-T） | | 該当なし |
| デッドピア検出（DPD） | 20 5 6 | 該当なし |
IPSecトンネルの設定
ルーター/ファイアウォールから少なくとも2つの異なるNetskope POPへのIPSecトンネルを設定する必要があります。これにより、2つのIDソースピアのうち1つが一時的に利用できなくなった場合でも、IPSecを介したトラフィックのトンネル接続の回復力が確保されます。バックアップのIPSecトンネルが、プライマリトンネルが復旧するまで引き継ぎます。
組織向けにIPSecトンネルを設定するには：
- NetskopeのUIでIPSecトンネルを設定し、トラフィックをNetskopeのPOPにルーティングします。POPアドレスはNetskopeの管理コンソールで閲覧可能ですSettings > Security Cloud Platform > Traffic Steering > IPSec > Netskope POPs。詳細については、 「IPSec サイトの作成」を参照してください。
- ベンダーのソースアイデンティティデバイス用のIPSecトンネルを設定してください。ポリシーベースのルーティングを使用して、IPSec トンネルを介してポート 80 および 443 上の HTTP/HTTPS トラフィックを誘導します。 クラウドファイアウォールのライセンスをお持ちの場合は、TCP、UDP、ICMPなどのHTTP(s)以外のトラフィックもトンネル経由でルーティングできます。ベンダー固有の統合ガイドについては、 IPSec および GRE を参照してください。
- IPSecトンネルの設定後、 Netskope Client のインストールやデバイス上で Netskope ルート証明書のプロビジョニングなど、ステアリングやアイデンティティオプションを選択してください。 詳細については、 「IPSec および GRE トンネルのユーザー認証方法」を参照してください。
- トラフィックがNetskopeクラウドを経由してルーティングされる場合、Netskopeのユーザーインターフェースで接続を管理したり、ポリシーを作成したりできます。
IPSecページについて
ステアリング設定ページ（ Settings > Security Cloud Platform > IPSec ）では、以下の操作が可能です。
- IPSecサイトの設定を更新してください。
- IPSecサイトを名前で検索およびフィルタリングします。+ Add Filterをクリックして、検索結果を絞り込むための他のフィルターを追加してください。
- ソースID
- 状態
- Netskope POP
- 交通の種類
- 新しいIPSecサイトを作成する か、 複数のIPSecサイトをインポートしてCSVファイルを使う。
- NetskopeのPOPリストと、それぞれのPOPに関する以下の情報をご覧ください。
- GatewayゲートウェイのIPアドレス。
- Probe IP AddressプローブのIPアドレス。
- Location：その地理的位置。
NetskopeのPOPが新しいトンネルを受け入れていないかどうかを確認することもできます。
- IPSecサイトの一覧を表示します。各サイトについて、以下の情報が表示されます。
- Name: IPSecサイトの名前。
- Source Identity: ルータまたはファイアウォールがインターネット キー交換 (IKE) の際に認証に使用する IP アドレス、FQDN、または電子メール アドレス形式の ID。
- Source IP AddressNetskopeがパケットを受信するルーターまたはファイアウォールの送信元ピアIPアドレス（つまり、出口パブリックIPアドレス）。Netskopeは、ルーターまたはファイアウォールのIPアドレスを通じて、組織に属するトラフィックを識別します。
- StatusIPSecサイトのステータス。
IPSecサイトは、ルーターまたはファイアウォールからのキープアライブパケットを監視しています。
: 最後の 1 分間、IPSec サイトはルーターまたはファイアウォールからのキープアライブ パケットを一切観測していません。トンネルがダウンしている場合でも、Netskopeはトンネルパケットの処理を継続します。
最新のIPSecトンネルの状態を取得するのに遅延が発生しています。これは、IPSecサービスをホストしている基盤となるインフラストラクチャがメンテナンス中の場合に発生する可能性があります。詳しくはトラ ストポータルをご覧いただくか、 Netskope 代表者にコンタクトを問い合わせてください。
IPSecサイトは無効になっています。
トンネルの状態は、RFC DPD規格に基づいて、稼働中または停止中として表示されます。トンネルを永続的なトンネルとして有効にすることができます。ただし、特にトンネル障害が発生した場合にNetskope UIが信頼性の高いトンネル状態を表示するようにするには、Netskopeは、バックアップトンネルへのフェイルオーバーを含め、デバイス上の各トンネルに対してICMPキープアライブプロービングまたはDPDを有効にすることを推奨します。
- Netskope POPIPSecサイトに関連付けられているNetskopeのプライマリおよびバックアップPOP。サイトに設定されているその他のPOPを表示するには、 View Additional Popsをクリックしてください。
- ThroughputIPSecサイトのスループット（キロバイト/秒、Kbps）。スループットにカーソルを合わせると、以下の情報も表示されます。
- User traffic last updatedNetskopeがユーザーのトラフィックを検出してから経過した時間を表示します。時刻が表示されない場合、Netskopeはトラフィックを検出していません。
- Traffic Type: IPSecサイトを通過するトラフィックの種類。このオプションを使用して、トンネル トラフィックとビルド使用状況レポートを分類できます。
- ユーザー
- IoT
- 混合
- 機械
- ゲスト用Wi-Fi
- テーブルをサイト名で並べ替えます。
- 少なくとも1つのオーバーライドSelectチェックボックスをオンにしてEnableクリックすると有効になります。
- 少なくとも1つのオーバーライドSelectチェックボックスをオフにしてDisableクリックすると無効になります。
- 少なくとも1つのオーバーライドSelectチェックボックスを選択し、 Deleteをクリックして削除します。
- クリック
テーブルの列をカスタマイズするか、デフォルトの列に戻す。 - クリック
以下の選択肢から1つを選んでください。- View DetailIPSecサイトで詳細な情報をご覧ください。
- EditIPSecサイトとその設定を変更します。詳細については、 「IPSec サイトの作成」を参照してください。
- EnableIPSecサイトを有効にします。
- DisableIPSecサイトを無効にします。
注記
IPSecトンネルを無効にしても、現在アクティブなVPN接続は直ちに終了しません。新しいIPSecトンネル接続の確立を阻止し、トンネルを再有効化するまで防げます。
- DeleteIPSecサイトを削除します。
- View DetailIPSecサイトで詳細な情報をご覧ください。
- 1ページあたり最大100サイトを表示できます。
- 表の複数ページを表示する。
