プロキシ処理からのステアリング設定の切り離し

プロキシ処理を単純化するため、Netskopeはステアリング構成をプロキシ処理から切り離しています。

Netskopeは2025年に新しいテナント向けにこの動作を有効化しており、既存のテナントがこの新機能を利用できるように今移行を展開しています。

この変更は次の2つの領域に影響します。

• ステアリング例外からのプロキシバイパス
• Netskopeプロキシによる非標準ポート管理

用語

このガイドでは以下の用語を使用します。

Term	意味
Netskope Client	エンドポイントにインストールされる Netskope Client。
Netskope Proxy	Netskope Cloudにステアリングされたウェブトラフィックのインラインプロキシ処理。
RTP	リアルタイム保護。
Steering Configuration	どのトラフィックを Netskope Security Cloud にステアリングし、どのトラフィックをバイパスするかを Netskope Client に指示する設定。
Steering Exception	ステアリング構成のエントリで、トラフィックをステアリングから除外するもの。この移行に関連する例外タイプは、ドメイン、カテゴリ、送信先の場所、ソースの場所、ソース国の5つのみです。
Steering bypass	リクエストは Netskope Security Cloud をバイパスし、デバイスは直接宛先に到達します。
Proxy bypass	Netskopeプロキシはリクエストを受信しますが、SSLインターセプションとアクセス制御をスキップし、宛先に転送します。
Coupled Proxy	現在の動作：ステアリング例外は、ステアリングバイパスおよびプロキシバイパスの両方として機能します。
Decoupled Proxy	ターゲットの動作：ステアリング例外は、ステアリングバイパスとしてのみ機能します。Netskopeプロキシは、SSLおよびRTPポリシーを個別に評価します。
Non-standard port	80および443以外の任意のTCPポート。

Netskopeがステアリング構成をプロキシ処理から切り離している理由

結合プロキシの動作は、しばしば混乱を引き起こします。

• これは、より高い柔軟性を提供する SSL Decryption およびリアルタイム保護ポリシーと重複しています。
• Netskopeプロキシはステアリング例外を部分的にしかサポートしません。動的ステアリングをサポートしておらず、評価するのは5つの例外タイプのみです（下記を参照）。
• ソースの場所とソースの国はステアリングに影響しません。Netskopeプロキシのみがそれらを評価します。
• ステアリング例外からのプロキシバイパスが、カスタムSSL復号化ポリシーに影を落とす可能性があります
• ステアリング例外からのプロキシバイパスはイベントにのみ表示されるため、解釈が難しくなります。
• 2つの異なる構成が非標準ポートのアクセス制御に影響します：ステアリング構成とRTPポリシー

デカップルドプロキシ（Decoupled Proxy）の場合：

• Netskope ClientとNetskope Proxyは個別の構成を使用します
• ステアリング例外によるプロキシのバイパスがなくなります
• ステアリングおよびプロキシバイパスを完全に制御できます。
• プラットフォームの操作がより簡単になります

ステアリング例外によるプロキシバイパス

このセクションでは、ステアリング例外（Steering Exception）が現在の Netskope Proxy にどのように影響するか、結果として生じるプロキシバイパスを特定する方法、および移行後に何が変更されるかについて説明します。

ステアリングのバイパスとプロキシのバイパス

2つのバイパスケースの確認：

• ステアリングのバイパス：リクエストがNetskope Security Cloudをバイパスし、デバイスが直接宛先に到達します。
• プロキシバイパス：Netskope Proxyがリクエストを受信しますが、SSLインターセプションとアクセス制御をスキップし、その後リクエストをリモート宛先に転送します。

結合されたプロキシの動作

結合プロキシを使用する場合、ステアリング例外はステアリングバイパスとプロキシバイパスの両方として機能します。

Netskope Proxyは、SSLおよびRTPポリシーの前にステアリング例外を評価します。サポートされているステアリング例外のいずれかに一致するトラフィックは検査をバイパスします：プロキシはSSLをインターセプトせず、RTPポリシーを評価しません。

Netskope Proxy が評価するバイパス例外タイプは次の 5 つのみです：

• ドメイン
• カテゴリ
• 目的地
• 発生源の位置
• 原産国

ステアリング構成でダイナミックステアリング（Dynamic Steering）を使用している場合、オンプレミスとオフプレミスの両方のバイパス例外が、すべての場所およびすべてのアクセス方法で適用されます。

これは、すべてのトラフィックタイプに影響します。

• Netskope ClientがDynamic Steeringでトラフィックを部分的にステアリングする場合、プロキシはSteering Exceptionsに一致するステアリングされたトラフィックを検査しません
• Netskope Clientが宛先ドメインを特定できないためにトラフィックのステアリングを行う場合、プロキシはステアリング例外に一致するステアリング済みトラフィックを検査しません
• Netskope Clientがまだカテゴリを解決できないためにトラフィックをステアリングする場合、プロキシはステアリング例外に一致するステアリング済みトラフィックを検査しません。
• その他のアクセス方法の場合、プロキシは、ステアリング除外（Steering Exceptions）に一致するステアリング対象トラフィックを検査しません。

Proxy-bypass-only Steering Exceptions

ソースの場所とソース国のステアリング例外は現在プロキシバイパスのみであり、Netskope Clientは評価しません。

Unaffected behavior

Netskope Proxyは他のバイパス例外タイプを評価しないため、移行は必要ありません。これらには、Certificate Pinned Applications、Applications、Service & Destination Profileが含まれます。

Tunnel + Bypass （証明書ピン留めアプリケーション）も影響を受けません。移行後も、このトラフィックには引き続きプロキシバイパスが適用されます。

プロキシバイパスの特定

Netskope Proxyがステアリング例外のためにバイパスを適用すると、次の2つのイベントタイプが生成されます。

• トランザクションイベント（網羅的）：x-ssl-bypass/SSL Bypass=はい、x-ssl-bypass-reason/SSL Bypass Reason= Steering Exception - [Configuration Name]
• ページイベント（部分）：バイパス=Yes、バイパス理由=Steering Exception - [Configuration Name]

プロキシバイパスを検出するフィルターを備えたSkope ITトランザクションイベントの例：

イベントを開くと、RTP Action: NotChecked と SSL Bypass Reason: Steering Exception – Default tenant config が表示されます。

プロキシバイパスとして分類されたステアリング除外を確認するには、このフィルターをステアリング除外に適用します。

デカップルされたプロキシの動作

デカップルドプロキシ（Decoupled Proxy）を使用した場合、ステアリング例外はステアリングバイパスとしてのみ機能します。

切り離し後、Netskopeプロキシはステアリング構成とは独立してSSLおよびRTPポリシーを評価します。

Netskope Client Tunnel + Bypass mode with certificate-pinned applications still applies.

切り離し後、ステアリングバイパスではサポートされていないため、ステアリング例外ではソースロケーションおよびソース国オプションを提供しなくなります。

非標準ポート管理

デカップリングにより、Netskopeプロキシが非標準ポート上のトラフィックを処理する方法も変更されます。非標準ポートとは、80および443以外のすべてのTCPポートです。

結合されたプロキシの動作

カップルプロキシを使用する場合、Netskopeプロキシはデフォルトで非標準ポートを制限します。

初期動作では、ステアリング構成内で非標準ポート構成を追加しない限り、Netskopeプロキシは非標準ポートを拒否します。

これが発生すると、Netskopeプロキシはx-action-reason「unallowed-custom-port」を指定したトランザクションイベントを生成します。

デカップルされたプロキシの動作

切り離されたプロキシにより、Netskope Proxyはデフォルトですべてのポートを許可します。

移行後、Netskopeプロキシはデフォルトでは非標準ポートを拒否せず、構成済みのRTPポリシーに従ってすべてのリクエストを処理します。

サービスプロファイルを使用して、ポートごとにアクセス制御を定義できるようになりました。

移行プロセス

既存の構成を移行するため、Netskopeは結合プロキシの動作を非結合プロキシモードで再現する移行プロセスを実行します。

• NetskopeはステアリングバイパスをSSL Do Not Decryptポリシーとして複製します
• Netskope は、ステアリングバイパスを RTP 許可ポリシーとして複製します。
• Netskopeが構成を適用します
• Netskopeにより、デカップルドプロキシモードが有効になります

結合プロキシモードを再度有効にすることでロールバックします。

Netskopeは段階的に移行を実行します。

前提条件

テナントに保留中の構成がないことを確認してください。

Changes Applied at Migration

移行により、既存のステアリングバイパスを再現する宛先プロファイル、カスタムカテゴリ、SSL復号化ポリシー、RTPポリシーが作成されます。

ステアリング設定評価の複製

Netskope Client がステアリング構成を評価して適用する方法を理解することが重要です。

• Netskope Clientは、上から下へステアリング構成を評価します。
• 最初に一致したグループ/OU がステアリング設定と含まれるステアリング例外を選択します。
• デフォルトのステアリング構成は、グループ/OUが一致しない場合にのみ適用されます。

As a consequence, an end user only has the steering bypasses of one specific Steering Configuration, even if they belong to other groups/OUs.In addition, Default Steering Exceptions don’t apply to all users, only the users without specific Steering Configuration.

SSL復号およびRTPポリシーで同じ動作を再現するために、移行によりネガティブグループ/OU条件が追加されます。

例外タイプマッピング

例外の種類	宛先プロファイル ＋ カスタムカテゴリ	SSL 復号ポリシー	RTPポリシー
ドメイン	ns-migrate <Steering Name> dst-profile-domainns-migrate <Steering Name> cust-cate-domain	ns-migrate <Steering Name> ssl-cate	ns-migrate <Steering Name> rtp-cate
カテゴリ	なし	ns-migrate <Steering Name> ssl-cate	ns-migrate <Steering Name> rtp-cate
目的地	ns-migrate <Steering Name> dst-profile-dst-locns-migrate <Steering Name> cust-cate-dst-loc	ns-migrate <Steering Name> ssl-dest-loc	ns-migrate <Steering Name> rtp-cate
発生源の位置	なし	ns-migrate <Steering Name> ssl-src-loc	ns-migrate <Steering Name> rtp-src-loc
原産国	なし	ns-migrate <Steering Name> ssl-src-country	ns-migrate <Steering Name> rtp-src-country

目的地プロフィール

移行により、2つのステアリング例外タイプが宛先プロファイルに複製されます。

• Domains Steering Exceptions → Destination Profile “ns-migrate <Steering Name> dst-profile-domain”
• 宛先ロケーションに紐付けられたネットワークロケーション → 宛先プロファイル 「ns-migrate <Steering Name> dst-profile-dst-loc」

カスタムカテゴリ

移行では、作成される宛先プロファイルごとにカスタムカテゴリも作成されます：

• Destination Profile “ns-migrate <Steering Name> dst-profile-domain” → Custom Category “ns-migrate <Steering Name> cust-cate-domain”
• 宛先プロフィール “ns-migrate <Steering Name> dst-profile-dst-loc” → カスタムカテゴリ “ns-migrate <Steering Name> cust-cate-dst-loc”

SSL復号化ポリシー

ステアリング構成ごとに、移行によって既存のSSL復号化ポリシーの最上部に最大4つのポリシーが作成されます：

SSL 復号ポリシー	Criteria	アクション
ns-migrate <Steering Name> ssl-cate	Groups/OU to match the Steering Configuration groups/OUCategory: Steering Exception categoriesns-migrate <Steering Name> cust-cate-domain	復号しない
ns-migrate <Steering Name> ssl-dest-loc	ステアリング設定グループ/OUに一致させるグループ/OU送信先の場所：ステアリング例外の送信先の場所にアタッチされたネットワークの場所	復号しない
ns-migrate <Steering Name> ssl-src-loc	ステアリング構成のグループ/OUに一致させるグループ/OUソース ロケーション：ステアリング例外のソース ロケーションに関連付けられたネットワーク ロケーション	復号しない
ns-migrate <Steering Name> ssl-src-country	ステアリング設定のグループ/OUに一致させるグループ/OU送信元国：ステアリング例外からの送信元国	復号しない

RTPポリシー

ステアリング構成ごとに、移行によって RTP ヘッダーポリシーの最上部に最大 3 つのポリシーが作成されます：

RTPポリシー	Criteria	アクション
ns-migrate <Steering Name> rtp-cate	ステアリング構成グループ/OUに一致するグループ/OU カテゴリ: ステアリング除外カテゴリ“ns-migrate <Steering Name> cust-cate-domain”“ns-migrate <Steering Name> cust-cate-dst-loc”	Allow
ns-migrate <Steering Name> rtp-src-loc	ステアリング構成のグループ/OUに一致させるグループ/OUソース ロケーション：ステアリング例外のソース ロケーションに関連付けられたネットワーク ロケーション	Allow
ns-migrate <Steering Name> rtp-src-country	ステアリング設定のグループ/OUに一致させるグループ/OU送信元国：ステアリング例外からの送信元国	Allow

移行のロールバック

移行後に問題が発生した場合は、テナントのステアリング例外（Steering Exceptions）からNetskopeでプロキシバイパスを再度有効にすることができます。

1. テナントを結合プロキシモードに戻すには、Netskopeサポートにお問い合わせください。
2. Netskopeが動作を元に戻したら、自動作成されたSSL復号およびRTPポリシーを無効にします。

移行後のフォローアップ

移行後、Netskopeが推奨するもの：

• 自動移行された設定の確認
• 新しいポリシーに一致するトランザクションイベントを確認する
• 廃止予定または不要なポリシーについては、削除する数日前または数週間前に無効にしてください

移行の例

このセクションでは、参考として移行の例を示します。

この例では、4つのステアリング設定と動的ステアリングが有効になっているテナントを使用しています。

移行前

以下のスクリーンショットは、移行前のテナント構成を示しています。

移行前のステアリング構成

上から順に評価される4つのステアリング設定：

Group Inet1 — five exceptions:

Group Inet5, On-Premises — five exceptions:

Group Inet5, Off-Premises — five exceptions:

Standard Users — four exceptions:

デフォルトのテナント設定 — 移行された5つのすべてのタイプを網羅する8つの例外：

移行前の送信先プロファイル

4つの宛先プロファイルが存在します：

移行前のカスタムカテゴリ

4つのカスタムカテゴリが存在します。

移行前のSSL復号化ポリシー

SSL復号化ポリシーは3つあります。

移行前のRTPポリシー

Header Policies グループに5つのポリシーが存在します：

移行前のトランザクション イベント

Netskopeプロキシはステアリング例外にバイパスを起因させ、RTPを評価しません：

Opening the event shows RTP Action: NotChecked and SSL Bypass Reason: Steering Exception – Default tenant config.

移行後

生成されたすべての構成名には「ns-migrate」プレフィックスが付加されます。

移行後の監査ログ

監査ログ（Audit Logs）には、移行が実行したすべてのアクションが表示されます：

移行後の宛先プロファイル

移行により、5つの宛先プロファイルが追加されました：

各宛先プロファイルの詳細：

宛先プロファイル名	デスクリプション	コンテンツ
ns-migrate Default tenant config dst-profile-domain	ステアリング構成からのドメイン例外の宛先プロファイル：デフォルトのテナント構成	# Corporate Domains *.nslabs.eu # Sample steering exception to migrate *.example.com
ns-migrate Default tenant config dst-profile-dst-loc	ステアリング構成からの宛先ロケーション例外の宛先プロファイル：デフォルトテナント構成	# Corporate VPN #Network Location: VPN Public IPs 1.2.3.4
ns-migrate標準ユーザー dst-profile-domain	ステアリング構成からのドメイン例外の宛先プロファイル：標準ユーザー	# default domains *.apple.com *.bitdefender.com *.cdn-apple.com ...
ns-migrate Group Inet5 dst-profile-domain	ルーティング設定からのドメイン例外の宛先プロファイル：グループ Inet5	# off-prem: [default domain] *.apple.com *.bitdefender.com *.cdn-apple.com ... # on-prem: [default domain] *.apple.com *.bitdefender.com *.cdn-apple.com ... # On-Prem domain steering exception *.mycompany.local # Off-Prem domain steering exception *.netflix.com
ns-migrate Group Inet1 dst-profile-domain	ステアリング設定からのドメイン例外の宛先プロファイル：グループ Inet1	# default domains *.apple.com *.bitdefender.com *.cdn-apple.com ... # Steering exception for Inet1 *.github.com

移行後のカスタムカテゴリ

既存のカスタムカテゴリに加えて生成されたカスタムカテゴリ：

カスタムカテゴリは宛先プロファイルに1:1でマッピングされます。

カテゴリ名	宛先プロファイルを含める
ns-migrate Default tenant config cust-cate-domain	ns-migrate Default tenant config dst-profile-domain
ns-migrate Default tenant config cust-cate-dst-loc	ns-migrate Default tenant config dst-profile-dst-loc
ns-migrate Standard Users cust-cate-domain	ns-migrate標準ユーザー dst-profile-domain
ns-migrate Group Inet5 cust-cate-domain	ns-migrate Group Inet5 dst-profile-domain
ns-migrate Group Inet1 cust-cate-domain	ns-migrate Group Inet1 dst-profile-domain

移行後のSSL復号化ポリシー

生成された7つのポリシーがリストの一番上に配置され、すべて「Do Not Decrypt」に設定されます。

追加されたポリシーの詳細：

ポリシーID	名前	デスクリプション	グループの基準	その他の基準	アクション
1	ns-migrate Group Inet1 ssl-cate	ステアリング除外構成から移行: グループ Inet1	グループ inet1	Category:Finance/AccountingInternet TelephonyStreaming & Downloadable AudioStreaming & Downloadable VideoTelecom and Call CenterWeb Conferencingns-migrate Group Inet1 cust-cate-domain	復号しない
2	ns-migrate Group Inet5 ssl-cate	ステアリング例外設定から移行されました: Group Inet5	Group inet5NOT:Group inet1	Category: Finance/AccountingInternet TelephonyStreaming & Downloadable AudioStreaming & Downloadable VideoTelecom and Call CenterWeb Conferencingns-migrate Group Inet5 cust-cate-domain	復号しない
3	ns-migrate Standard Users ssl-cate	ステアリング例外構成から移行済み：標準ユーザー	すべてのユーザーをグループ化 NOT:Group inet1 Group inet5	カテゴリ：Finance/AccountingInternet TelephonyStreaming & Downloadable AudioStreaming & Downloadable VideoTelecom and Call CenterWeb Conferencingns-migrate Standard Users cust-cate-domain	復号しない
4	ns-migrate Default tenant config ssl-src-loc	ステアリング例外構成からの移行：デフォルトテナント構成	NOT:Group inet1Group inet5Group all users	送信元 IP（Egress）：管理対象ネットワーク例外	復号しない
5	ns-migrate Default tenant config ssl-dest-loc	ステアリング例外構成からの移行：デフォルトテナント構成	NOT:Group inet1Group inet5Group all users	宛先IP：VPNパブリックIP	復号しない
6	ns-migrate Default tenant config ssl-cate	ステアリング例外構成からの移行：デフォルトテナント構成	NOT:Group inet1Group inet5Group all users	カテゴリ：ステアリング例外 – Defaultns-migrate Default tenant config cust-cate-domain	復号しない
7	ns-migrate Default tenant config ssl-src-country	ステアリング例外構成からの移行：デフォルトテナント構成	NOT:Group inet1Group inet5Group all users	送信元国：ドイツ	復号しない

移行後のRTPポリシー

移行により、生成された6つのポリシーが「Header Policies」グループの先頭に配置され、既存の脅威保護ポリシーよりも優先されます。

追加されたポリシーの詳細：

Policy ID	Name	Description	Group Criteria	Other Criteria	Action
1.1	ns-migrate Group Inet1 rtp-cate		グループ inet1	Category:Finance/AccountingInternet TelephonyStreaming & Downloadable AudioStreaming & Downloadable VideoTelecom and Call CenterWeb Conferencingns-migrate Group Inet1 cust-cate-domain	Allow
1.2	ns-migrate グループ Inet5 rtp-cate		Group inet5NOT:Group inet1	カテゴリ：ファイナンス/アカウンティングインターネットIP電話ストリーミングおよびダウンロード可能なオーディオストリーミングおよびダウンロード可能なビデオテレコムとコールセンターWeb会議ns-migrate グループ Inet5 cust-cate-domain	Allow
1.3	ns-migrate Standard Users rtp-cate		すべてのユーザーをグループ化 NOT:Group inet1 Group inet5	Category:Finance/AccountingInternet TelephonyStreaming & Downloadable AudioStreaming & Downloadable VideoTelecom and Call CenterWeb Conferencingns-migrate Standard Users cust-cate-domain	Allow
1.4	ns-migrate Default tenant config rtp-src-loc		NOT:Group inet1Group inet5Group all users	送信元 IP（Egress）：管理対象ネットワーク例外	Allow
1.5	ns-migrate Default tenant config rtp-cate		NOT:Group inet1Group inet5Group all users	カテゴリ：ステアリング例外 – Defaultns-migrate デフォルトテナント設定 cust-cate-domainns-migrate デフォルトテナント設定 cust-cate-dst-loc	Allow
1.6	ns-migrate Default tenant config rtp-src-country		NOT:Group inet1Group inet5Group all users	送信元国：ドイツ	Allow

移行後のステアリング構成

移行後、ステアリング例外では「ソースの場所（Source Location）」と「ソースの国（Source Country）」が提供されなくなりますが、その他の例外は引き続き表示されます。

移行後のトランザクションイベント

After migration, the 新しい ポリシー replace the Steering Exception bypass:

バイパスの理由は今 SSL Do Not Decrypt Bypass Policy Matched であり、SSLポリシーおよびリアルタイム保護ポリシーで生成されたポリシーの名前を指定します。リアルタイム保護ポリシーは、NotCheckedではなくAllowになりました。