IPSec

インターネットプロトコルセキュリティ（IPSec）は、トランスポートプロトコル内でパケットを認証および暗号化するためのトンネリングプロトコルです。IPSecはVPNと同様の機能を持つが、暗号化機能を備えている。パケットをあるエンドポイントから別のエンドポイントへ転送する。IPSecには、トンネルモードとトランスポートモードの2つのモードがあります。これらの手順はトンネルモード用です。

IPSecは、HTTP(S)トラフィックと非HTTP(S)トラフィックの両方をNetskopeクラウドに誘導できます。IPSec VPN トンネル経由でトラフィックを送信するようにソース ピア IPSec デバイスを構成します。Netskope IPSecゲートウェイは、Netskope管理コンソールで設定されたトンネルの送信元IDを検証します。トンネルの識別情報が不明な場合、トンネルは確立されません。

次の図は、 Netskope Secure ウェブ ゲートウェイを使用した IPSec トンネルのトラフィック ワークフローを示しています。

さらに、Netskope Cloud Firewallをご利用の場合は、HTTP(S)以外のトラフィックをIPSecトンネル経由でNetskopeクラウドにルーティングできます。

IPSecトンネルを作成または編集する際には、以下の点に注意してください。

高容量IPSecトンネリング

Netskopeは、プライマリおよびバックアップのIPSecトンネルに対して高帯域幅容量をサポートし、大量のトラフィック要求に対しても、送信元デバイスとNetskope間の高性能な接続を提供します。以下の高容量IPSecトンネルがサポートされています。

Key Considerations

• 上記の帯域幅は、任意の時点における最大総スループット（つまり、アップロードとダウンロードのトラフィックの合計）です。

• 帯域幅は、 aes256gcm64-modp2048暗号化方式と平均パケットサイズ620バイトのIMIXトラフィックプロファイルに基づいて認定されます。他のテストプロファイルでは、同じパフォーマンスが得られない可能性があります。

• 大容量トンネルは、アクティブ/スタンバイ構成のトンネルにおいて、プライマリPOPとフェイルオーバーPOPの両方を備えています。高容量トンネルでは、追加のPOPはサポートされていません。

• 既存のトンネルの帯域幅を大容量（例えば、250Mbpsから2Gbps）にアップグレードする場合、トンネルは一度ダウンしてから再びアップするため、トラフィックの損失が発生する可能性があります。これを防ぐには、Netskopeに直ちに通知してください。これは、メンテナンス期間内に計画された構成更新が必要となるためです。

• 大容量IPSecサイトにおける送信元IPアドレスのマッピングに関する要件は以下のとおりです。

  • One-to-One Mapping各送信元IPアドレスは、単一の高容量IPSecサイト（アクティブ/バックアップトンネルペア）にのみマッピングできます。複数の高容量IPsecサイトを 同じ送信元IPアドレスで接続することはできません。

  • IP Exclusivity: 送信元 IP アドレスが既に 既存の IPsec サイトに使用されている場合、高容量 IPsec サイトでは再利用できません。

Netskopeは、容量評価と拡張に基づいてこの機能を提供します。Netskopeの特定のPOPにおける利用可能なリソースによっては、プロビジョニングに最大6週間かかる場合があります。より迅速なプロビジョニングを実現するため、少なくとも6週間前までに以下の情報をNetskopeの営業担当者にお伝えください。

送信元IPアドレスの変更

IPSecサイトを設定する際は、 Advanced SettingsにSource IP Addressを指定してください。

送信元IPアドレスが変更された場合は、Netskopeに直ちに通知する必要があります。これは、メンテナンス期間内に計画された設定更新が必要となるためです。

NetskopeはIKEv2のみをサポートしています。IKE接続ごとに同時に存在できる子SAの最大数は10です。以下は、NetskopeがサポートするIKEv2暗号の一覧です。Netskope太字のものを使用することをお勧めします。

コンポーネント	フェーズ1	フェーズ2
暗号化	AES-128-CBC AES-192-CBC AES-256-CBC	AES-128-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM NULL
誠実さ	SHA-1 SHA-256 SHA-384 SHA-512	SHA-1 SHA-256 SHA-384 SHA-512
認証	事前共有鍵（PSK）	該当なし
ディフィー・ヘルマン・グループ	14 15 16 18	14 15 16 18
SA生涯	24時間	2時間
支援対象児童SAの総数	該当なし	10
完全前方秘匿性（PFS）	該当なし
NATトラバーサル（NAT-T）		該当なし
デッドピア検出（DPD）	20 5 6	該当なし

ルーター/ファイアウォールから少なくとも2つの異なるNetskope POPへのIPSecトンネルを設定する必要があります。これにより、2つのIDソースピアのうち1つが一時的に利用できなくなった場合でも、IPSecを介したトラフィックのトンネル接続の回復力が確保されます。バックアップのIPSecトンネルが、プライマリトンネルが復旧するまで引き継ぎます。

組織向けにIPSecトンネルを設定するには：

1. NetskopeのUIでIPSecトンネルを設定し、トラフィックをNetskopeのPOPにルーティングします。POPアドレスはNetskopeの管理コンソールで閲覧可能ですSettings > Security Cloud Platform > Traffic Steering > IPSec > Netskope POPs。詳細については、 「IPSec サイトの作成」を参照してください。
    
2. ベンダーのソースアイデンティティデバイス用のIPSecトンネルを設定してください。ポリシーベースのルーティングを使用して、IPSec トンネルを介してポート 80 および 443 上の HTTP/HTTPS トラフィックを誘導します。 クラウドファイアウォールのライセンスをお持ちの場合は、TCP、UDP、ICMPなどのHTTP(s)以外のトラフィックもトンネル経由でルーティングできます。ベンダー固有の統合ガイドについては、 IPSec および GRE を参照してください。
3. IPSecトンネルの設定後、 Netskope Client のインストールやデバイス上で Netskope ルート証明書のプロビジョニングなど、ステアリングやアイデンティティオプションを選択してください。 詳細については、 「IPSec および GRE トンネルのユーザー認証方法」を参照してください。
    
4. トラフィックがNetskopeクラウドを経由してルーティングされる場合、Netskopeのユーザーインターフェースで接続を管理したり、ポリシーを作成したりできます。
    

IPSecページについて

ステアリング設定ページ（ Settings > Security Cloud Platform > IPSec ）では、以下の操作が可能です。

1. IPSecサイトの設定を更新してください。
2. IPSecサイトを名前で検索およびフィルタリングします。+ Add Filterをクリックして、検索結果を絞り込むための他のフィルターを追加してください。
   • ソースID
   • 状態
   • Netskope POP
   • 交通の種類
3. 新しいIPSecサイトを作成する か、 複数のIPSecサイトをインポートしてCSVファイルを使う。
4. NetskopeのPOPリストと、それぞれのPOPに関する以下の情報をご覧ください。
   • GatewayゲートウェイのIPアドレス。
   • Probe IP AddressプローブのIPアドレス。
   • Location：その地理的位置。

   NetskopeのPOPが新しいトンネルを受け入れていないかどうかを確認することもできます。

5. IPSecサイトの一覧を表示します。各サイトについて、以下の情報が表示されます。
   • Name: IPSecサイトの名前。
   • Source Identity: ルータまたはファイアウォールがインターネット キー交換 (IKE) の際に認証に使用する IP アドレス、FQDN、または電子メール アドレス形式の ID。
   • Source IP AddressNetskopeがパケットを受信するルーターまたはファイアウォールの送信元ピアIPアドレス（つまり、出口パブリックIPアドレス）。Netskopeは、ルーターまたはファイアウォールのIPアドレスを通じて、組織に属するトラフィックを識別します。
   • StatusIPSecサイトのステータス。
     • IPSecサイトは、ルーターまたはファイアウォールからのキープアライブパケットを監視しています。
     • : 最後の 1 分間、IPSec サイトはルーターまたはファイアウォールからのキープアライブ パケットを一切観測していません。トンネルがダウンしている場合でも、Netskopeはトンネルパケットの処理を継続します。
     • 最新のIPSecトンネルの状態を取得するのに遅延が発生しています。これは、IPSecサービスをホストしている基盤となるインフラストラクチャがメンテナンス中の場合に発生する可能性があります。詳しくはトラ ストポータルをご覧いただくか、 Netskope 代表者にコンタクトを問い合わせてください。
     • IPSecサイトは無効になっています。

     トンネルの状態は、RFC DPD規格に基づいて、稼働中または停止中として表示されます。トンネルを永続的なトンネルとして有効にすることができます。ただし、特にトンネル障害が発生した場合にNetskope UIが信頼性の高いトンネル状態を表示するようにするには、Netskopeは、バックアップトンネルへのフェイルオーバーを含め、デバイス上の各トンネルに対してICMPキープアライブプロービングまたはDPDを有効にすることを推奨します。

   • Netskope POPIPSecサイトに関連付けられているNetskopeのプライマリおよびバックアップPOP。サイトに設定されているその他のPOPを表示するには、 View Additional Popsをクリックしてください。
   • ThroughputIPSecサイトのスループット（キロバイト/秒、Kbps）。スループットにカーソルを合わせると、以下の情報も表示されます。
     • User traffic last updatedNetskopeがユーザーのトラフィックを検出してから経過した時間を表示します。時刻が表示されない場合、Netskopeはトラフィックを検出していません。
   • Traffic Type: IPSecサイトを通過するトラフィックの種類。このオプションを使用して、トンネル トラフィックとビルド使用状況レポートを分類できます。
     • ユーザー
     • IoT
     • 混合
     • 機械
     • ゲスト用Wi-Fi
6. テーブルをサイト名で並べ替えます。
7. 少なくとも1つのオーバーライドSelectチェックボックスをオンにしてEnableクリックすると有効になります。
8. 少なくとも1つのオーバーライドSelectチェックボックスをオフにしてDisableクリックすると無効になります。
9. 少なくとも1つのオーバーライドSelectチェックボックスを選択し、 Deleteをクリックして削除します。
10. クリックテーブルの列をカスタマイズするか、デフォルトの列に戻す。
11. クリック以下の選択肢から1つを選んでください。
    • View DetailIPSecサイトで詳細な情報をご覧ください。

      
    • EditIPSecサイトとその設定を変更します。詳細については、 「IPSec サイトの作成」を参照してください。
    • EnableIPSecサイトを有効にします。
    • DisableIPSecサイトを無効にします。

      注記

      IPSecトンネルを無効にしても、現在アクティブなVPN接続は直ちに終了しません。新しいIPSecトンネル接続の確立を阻止し、トンネルを再有効化するまで防げます。

    • DeleteIPSecサイトを削除します。
12. 1ページあたり最大100サイトを表示できます。
13. 表の複数ページを表示する。