モニタリングソース - Netskope技術文書

Stations

Netskopeの「Enterprise Station」は、合成テストを実行できるコンテナベースのソフトウェアです。

「ネットワークプローブ」テストを使用すると、ルーティングモード構成に基づいて、企業サイトとNetskope POPまたはカスタムターゲット間のアンダーレイネットワークパスを検出できます。
「App Probe」テストを使用すると、ルーティングモードのシナリオ（ Netskope NewEdge Cloudを経由するトラフィックと迂回するトラフィック）の両方において、あらゆる種類のウェブベースサービスの可用性とパフォーマンスをテストできます。

技術要件

Hardware & software specifications

Netskopeの「Enterprise Station」は、以下の最小仕様を満たすあらゆる種類のハードウェアおよびソフトウェアプラットフォーム上で動作します。

CPU とオペレーティングシステムは x86_64 または ARM64 アーキテクチャを使用する必要があります
RAM容量1GB（1.5GB推奨）
ハードディスク容量1GB（高速SSDは不要）
Dockerコンテナエンジンのサポート

Network Flows during Setup Phase

セットアップ段階では、Enterprise Stationが稼働しているマシンは、DockerHubリポジトリからNetskopeのDockerイメージをダウンロードするために、TCPポート443（HTTPS）でインターネットに接続できる必要があります。達成可能な目標は以下のとおりです。

registry-1.docker.io
hub.docker.com
production.cloudfront.docker.com
Docker Hubは、イメージのプッシュとプル用のCDNとしてAmazon CloudFrontを追加しました。使う「生産。クラウドフロント。docker.com」「 production.cloudflare.docker.com 」の代わりに。詳細はこちらをご覧ください。
docker-pinata-support.s3.amazonaws.com
cdn.auth0.com
login.docker.com
auth.docker.io

エンタープライズステーションが展開されると、TCPポート443で https://events.goskope.com に認証要求を送信し、Netskopeプラットフォームに対して認証を行います。

Network Flows During Normal Operations

エンタープライズステーションは、ネットワークプローブテストとアプリケーションプローブテストを実行します。

両タイプのテストで収集されたデータはHTTPS(TCPポート443)を通じて https://events.goskope.com に送信されます。エンタープライズステーションから設定の更新を自動的にチェックするには、エンタープライズステーションが同じ https://dem-config.goskope.com エンドポイントに接続する必要があります。

Network Probe Specific Flow

「NSClient接続の監視」オプションが有効になっている場合、GSLBサービスとのやり取りには、Netskopeをバイパスするために以下の手順が必要です。

gateway.gslb.goskope.com/へのTCPポート443トラフィック

デフォルトでは、NSClient はベストプラクティスに従い、ポート 80/443 で *.goskope.com トラフィックをルーティングしません。

ネットワークプローブテストは UDPまたはICMPのいずれかを使用する可能性があるため、以下のフローを許可する必要があります。

ICMP方式の場合：

Source	Destination	IPプロトコル	タイプ	Comment
Enterprise StationのホストIP	Netskope POPs IPs	ICMP	8	エコーリクエスト
any	Enterprise StationのホストIP	ICMP	11	輸送中に寿命を超えた
Netskope POPs IPs	エンタープライズステーションホストIP	ICMP	0	エコー返信

UDP方式の場合：

Source	Destination	IPプロトコル	港
Enterprise StationのホストIP	Netskope POPs IPs	UDP	33.434 – 33.535

Source	Destination	IPプロトコル	タイプ	Code	Comment
Netskope POPs IPs	Enterprise StationのホストIP	ICMP	3	3	目的地に到達できません – 港に到達できません
any	Enterprise StationのホストIP	ICMP	11	0	輸送中に寿命を超えた

ネットワークプローブテストの実施方法の詳細については、「ネットワークプローブ」のセクションを参照してください。

App Probe Specific Flow

アプリプローブテストは、ウェブリクエストを通じてあらゆる種類のHTTPSターゲットを対象とするものです。

その行動は、通常のインターネット閲覧者と全く同じである。

App Probe テストでは TCP ポート 443 を使用する必要があります。

Deployment

Netskopeの「Enterprise Station」の導入は、以下の3つのステップで構成されます。

Netskopeの設定ユーザーインターフェースでエンタープライズステーションを作成します。
Enterprise StationのDockerコンテナのデプロイ。
エンタープライズステーションの起動。

Step 1: Enterprise Station creation

「設定」メニューから「ステーション」リンク（1）をクリックすると、既に展開されているエンタープライズステーションのリストが表示されます。

「ステーションの作成」(2) をクリックして、新しいエンタープライズステーションの作成プロセスを開始します。

エンタープライズステーションの作成は、名前を入力し、サイトを割り当て、ルーティングモードを選択するだけで簡単に行えます。

Provider フィールドとデスクリプションフィールドはオプションです。プロバイダーフィールドは、多くの場合エンタープライズステーションが接続されているローカル ISP を識別するために使用されます。

サイトドロップダウンリストには、作成されたすべてのサイトが表示されます（詳細については、「サイト」セクションを参照してください）。Enterprise Stationがリンクされているサイトを、以下のリストからSelect 。

「ルーティング」パラメータを使用すると、「誘導」トラフィックと「バイパス」トラフィックを選択できます。

「Steered」オプションを選択すると、Enterprise Stationの合成テストはNetskope NewEdge Cloudインフラストラクチャを経由して実行されます。

ネットワークプローブテストは、NetskopeのPOP（サイト設定に従って）に対して実行されます。
App Probesテストは、Netskopeインフラストラクチャを介して監視対象アプリケーションに対して実行されるため、各段階（サイトとNetskope POP間、Netskope POP内、Netskope POPと監視対象アプリケーションサーバー間）でのパフォーマンスメトリクスを取得できます。

「バイパス」オプションを選択すると、Enterprise Stationの合成テストはNetskope NewEdge Cloudインフラストラクチャをバイパスします。

ネットワークプローブテストは、Netskope POPを経由せずに、設定されたターゲットに対して実行されます。
App Probesテストは、Netskopeのインフラストラクチャを完全にバイパスして、監視対象アプリケーションに対して実行されます。パフォーマンス指標は、サイト間および監視対象のアプリケーションサーバー間のエンドツーエンドで測定されます。

「ギャップ制限」とは、ネットワークプローブテストを中止する前に、識別できない（ネットワークプローブテストに応答がない）連続ホップの最大数を指します。これは、ネットワークプローブテストが応答しないターゲットに無期限に到達しようと試みるのを防ぎます。デフォルト値は8です。非常に複雑なネットワークアーキテクチャを扱う場合は、この値を増やす必要があるかもしれません。最大値は16です。
ネットワークプローブがノードを検出できず、ターゲットに到達できない場合、Netskopeインターフェースにはデータは表示されません。

設定が完了したら、「作成」をクリックして設定を確定してください。

エンタープライズステーションは作成されましたが、まだ起動されていません。

既存のエンタープライズステーションの一覧を表示すると、新しく作成されたエンタープライズステーションとそのステータス（「未設定」）を確認できます。

Enterprise Stationの設定メニューに戻るには、リストからその名前をクリックするだけです。

Step 2: Enterprise Station installation

Automated installation

Netskope Enterprise Station を展開する最も簡単な方法は、インストールスクリプトを使用することです。

この場合、技術要件の項に記載されている最小要件を満たすLinuxオペレーティングシステムを実行するマシンを用意するだけで済みます。

以下のオペレーティングシステムがサポートされています。

オペレーティング·システム	サポートされているリリース
Debian / Raspbian	リリース12以降
Ubuntu	リリース20.04、22.04、24.04（LTSのみ）
RHEL / Rocky / AlmaLinux	リリース8以降
CentOS	Linux 7、Stream 8以降
openSUSE Leap	リリース15以降

ローカルマシンにスクリプトを入手するには、Enterprise Stationの設定画面に移動し、「インストーラーのダウンロード」をクリックしてください。

スクリプトファイル名はstation_<station_name>.shです。

インストーラースクリプトをダウンロードしたら、それをEnterprise Stationをデプロイするホストに移動します（通常はSFTPまたはSSH経由）。

インストーラーを起動するには、bashコマンド（ rootアカウントで実行）を実行します。

bash ./station_<station_name>.sh

Enterprise Station はNetskopeプラットフォームに対して認証する必要があります。これは、インストーラーに埋め込まれている API キーを使用することで行われます。

Manual installation

Enterprise Stationコンテナを手動でデプロイする前に、デプロイ先のホストにDockerエンジンがインストールされていることを確認してください。次に、 Docker Composeソフトウェアのバージョン1.21.0以降をインストールしてください。

これが完了したら、次の docker-compose.yml ファイルを作成します。

version: '3'

services:
  ns-station:
    image: "netskopedem/ns-station:latest"
    labels:
      com.centurylinklabs.watchtower.enable: true
    restart: unless-stopped
    volumes:
      - /srv/netskope/ns-station/runner_xxxxx/storage:/run/kdstation/storage
    network_mode: "bridge"
    environment:
      KD_STORAGE_PATH: "/run/kdstation/storage/storage.db"
      KD_LOG_LEVEL: "INFO"
      KD_BOOTSTRAP_API_KEY: "<ADD STATION KEY HERE>"
      KD_NSPROXY_CACERT: "<ADD NETSKOPE CA HERE>"

  watchtower:
    image: "containrrr/watchtower"
    restart: unless-stopped
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    environment:
      WATCHTOWER_LABEL_ENABLE: 1
      WATCHTOWER_POLL_INTERVAL: 172800
      WATCHTOWER_CLEANUP: 1
      WATCHTOWER_INCLUDE_RESTARTING: 1
      WATCHTOWER_INCLUDE_STOPPED: 1
      WATCHTOWER_REVIVE_STOPPED: 1

前述したように、開始するとき、Enterprise Station はNetskopeプラットフォームに対して認証する必要があります。これは API キーを通じて行われます。

このキーを取得するには、エンタープライズステーションの設定画面に移動し、「キーの生成」をクリックします。

上記のテンプレートで指定されているKD_STATION_API_KEY変数をこのキーに置き換え、docker-compose.yml ファイルを含むフォルダからdocker compose up -dコマンドを実行して docker-compose.yml を起動します。

Step 3: Enterprise Station activation

Enterprise Stationの展開が正常に完了すると、次の画面が表示されます。

表示されているIPアドレスは、先ほどデプロイしたエンタープライズステーションのパブリックIPアドレスと一致しているはずです。

「はい、これは正しいIPアドレスです」ボタンをクリックして、Enterprise Stationの登録を確定する必要があります。

DEM Enterprise Station: Operational & Support Guidelines

1. Software Updates and Release Cycle

Netskope DEMエンタープライズステーションは、コンテナ化されたデプロイメント方式を採用することで、エンタープライズステーションへの頻繁な機能改善とセキュリティアップデートを実現しています。

Release Cadence: Netskopeは、Enterprise Stationの新しいバージョンを毎月リリースしています。これにより、ステーションが最新の機能、セキュリティパッチ、および安定性の向上を常に適用した状態を維持できます。
Update Mechanism: アップデートは完全なDockerイメージとして提供されます。Netskopeによって新しいイメージがリポジトリにプッシュされると、Enterprise Stationはその変更を検出するように設計されています。
Automatic Application: 新しいバージョンが利用可能になると、インストール済みのステーションは1～2日以内に自動的にアップデートされます。アップデートは、新しいDockerイメージをダウンロードし、コンテナを再起動して変更を適用することで行われます。

現在、アップデートプロセスは完全に自動化されており、導入の安全性と安定性を確保しています。現時点では、お客様はこれらのアップグレードを拒否することはできません。ただし、このプロセスはシームレスに行われるように設計されており、お客様による操作は必要ありません。

2. Shared Responsibility Model

Enterprise Stationの最適なパフォーマンスを確保するためには、顧客とNetskope間の責任分担を理解することが重要です。

Netskope Responsibility:

Container Management: ホスト内で実行されているコンテナイメージの保守、セキュリティ、および更新。
Application Logic: Netskopeは、エンタープライズステーションの内部コンポーネントが正常に機能し、Netskopeバックエンドと互換性があることを保証します。

Customer Responsibility:

Host OS Management: 顧客は、Dockerコンテナを実行する基盤となるホストオペレーティングシステム（OS）のプロビジョニング、保守、セキュリティパッチ適用、および健全性について責任を負います。Netskopeはホストマシンを管理したり、アクセスしたりしません。
Network Configuration: 顧客は、エンタープライズステーションがNetskopeクラウドと通信できるように、許可リストとファイアウォールルールが正しく設定されていることを確認する必要があります。

3. Third-Party Applications and Monitoring

顧客は、エンタープライズステーションをホストするサーバー上に、エンドポイント検出・対応（EDR）エージェントやその他の監視ソフトウェアを必要とする場合が多い。Netskopeのこれらのアプリケーションに関するポリシーは以下のとおりです。

Compatibility: Netskopeは、ホストOSにインストールされているサードパーティ製アプリケーションについては、Enterprise Stationコンテナの動作を妨げない限り、特に制限を設けていません。
Exclusions Required: パフォーマンスの低下やサービスの中断を防ぐため、セキュリティスキャンソフトウェア（AV/EDR）は、特定のエンタープライズステーションのディレクトリとプロセスを除外するように構成する必要があります。
Log Export: 監視目的で、エンタープライズステーションはログを標準出力に直接エクスポートします。サードパーティ製の監視ソリューションを利用している顧客は、この出力ストリームからログを取得するようにエージェントを設定する必要があります。

4. Support and Backward Compatibility

Bug Fixes: Netskopeは、Enterprise Stationの旧バージョンに対してバグ修正をバックポートしません。特定された問題を解決するには、修正プログラムを含む最新バージョンにステーションをアップグレードする必要があります。
Backend Compatibility: Netskopeのクラウドバックエンドは、アップグレードサイクル中のサービス継続性を確保するため、以前のバージョンのEnterprise Stationとの互換性を維持しています。