Netskope Clientサポート

Netskope Clientは、軽量で非侵入的なエージェントがエンドポイントにインストールされるエージェントベースの展開方法です。 Netskope Client管理対象デバイスにインストールして、オンプレミスとリモート (オフネットワーク) の両方にあるデバイスの可視性とポリシーの適用を提供できるため、最も包括的なカバレッジを提供します。

Netskope Client特定のルールとポリシーに基づいて、ユーザーのデバイスからNetskopeクラウドへのトラフィックを誘導します。 HTTP(S)トラフィックと非HTTP(S)トラフィックはNetskopeゲートウェイに送信され、トラフィックの種類に基づいて、HTTP(S)トラフィックはNetskopeプロキシに転送され、非HTTP(S)トラフィックはNetskopeクラウドファイアウォールに転送されます。Netskopeクラウドはポリシーの適用を実行し、その活動はクラウド上のNetskopeコンソールに表示されます。

この記事では、HTTP(S)以外のトラフィックをNetskopeクラウドファイアウォールに誘導することに焦点を当てます。

Netskope Cloud Firewallの典型的なネットワーク図（ Netskope Clientを使用した場合）は以下のとおりです。

Netskope Client は、要求されたレコードに基づいて DNS ステアリングのバイパスを適用するために、Cloud Firewall に送信する前に DNS クエリを読み取ります。If the Netskope Client cannot read the actual query inside the DNS packet (for instance if the DNS query is DNScrypt on UDP/TCP 53), the query is steered inside the tunnel without the possibility to perform DNS Steering Bypasses. 一部のドメインでは、DNSルックアップの応答が標準的なリクエストに収まらないほど大きいため、別の方法（TCPポート53）を使用してリクエストが自動的に再試行されます。これらのケースでは、Netskope Clientがその後ドメインのアドレスを正しく認識できない場合があります。その結果、そのドメインに対してドメインまたは DNS の例外を設定した場合でも、そのドメインへのトラフィックは Netskope トンネルを経由し続ける可能性があります。回避策として、影響を受けるドメインに対してIPベースの宛先ロケーション例外を追加するか、ドメインルックアップに依存しないようにSNIベースのステアリングを有効にしてください。

Netskope Client は、TCP ベースのトラフィックをinfoログレベル (デフォルト) の Cloud Firewall トンネリングエントリとしてログに記録し、UDP ベースのトラフィックをdebugログレベルの Cloud Firewall トンネリングエントリとしてログに記録します。

Netskope Client （クラウドファイアウォール搭載）は、以下のオペレーティングシステムをサポートしています。

古いバージョンのWindowsやmacOSをお持ちの場合は、動的ステアリング、フォールバック、クローズ動作失敗Netskope Clientを参照してください。

Netskope Client設定して、HTTP(S) 以外のトラフィックをNetskope Cloud Firewall にルーティングするには、以下の手順に従ってください。

Netskope Client HTTP(S)トラフィックだけでなく、HTTP(S)以外のトラフィックもNetskopeクラウドにルーティングする必要があります。 交通誘導オプションを設定するには、以下の手順に従ってください。

次に、アプリ定義を作成し、続いてリアルタイム保護ポリシーを作成します。以下のリンクをクリックすると、それぞれの手順に進むことができます。

Netskope Clientで特定の非HTTP(S)アプリケーションをバイパスする必要がある場合は、以下の手順に従ってください。

Netskope Client 「すべてのトラフィック」モードの場合、またはクラウドファイアウォールが有効になっている場合、以下のトラフィックはデフォルトでバイパスされます。

さまざまな Netskope Client 展開オプションに関するドキュメントは こちらでご覧いただけます。

Netskope Client Dynamic Steering, Fall Back, and Fail Close Behavior

このドキュメントでは、Netskope Clientにおけるさまざまなトラフィックステアリングの種類と、動的ステアリング、フォールバック、およびフェイルクローズ動作の管理方法について概説します。特に、フレキシブル動的ステアリングの有効化に基づいて、これらの動作の違いを説明します。

イベント管理

NSproxyによって管理されるフローはトランザクションイベントを生成し、Cloud Firewallによって管理されるフローはネットワークイベントを生成します。

以下の状況を考慮してください。

1. HTTP-AD disabledを使用すると、ポート 80 または 443 へのトラフィックは NSproxy に直接送信されます。
   1. Steering Configuration > Non-Standard Portsのポート宛てのその他のトラフィックも、選択されたドメインとポートの組み合わせで NSproxy に送信されます。
2. このトラフィックは443番ポート宛てで、nsproxyに送信されました。
3. NSproxy respects cloud firewall policy as well.
4. CFW ポリシーがポート 80 を許可する場合、ポリシーの評価は停止され、最終的な判定は allowになります。
5. CFW ポリシーが無効になっている場合、プロキシは次のポリシーの評価を続行し、 blockに到達します。

Traffic Steering Types

Netskope Clientにおける様々なトラフィックステアリングタイプの簡単な定義：

• Cloud Apps Only: 詳細な分析のために、選択されたアプリケーションのみをNetskopeゲートウェイに誘導します。
• Web Traffic: すべてのHTTP(S)トラフィック（通常はポート80と443）をNetskopeゲートウェイにルーティングし、詳細な分析を行います。
• All Traffic: すべてのHTTP(S)トラフィックと非HTTP(S)トラフィックをNetskopeゲートウェイにルーティングし、詳細な分析を行います。
• None (New with Flexible Dynamic Steering): Netskope Client 、トンネルを確立したり、トラフィックを誘導したりすることはありません。

Dynamic Steering Behavior Based on Flexible Dynamic Steering Enablement

Netskope Clientのダイナミックステアリング機能により、エンドポイントの場所（オンプレミスまたはリモート）に基づいてトラフィックモードを変更できます。具体的な動作は、Netskopeテナントで「柔軟な動的ステアリング」が有効になっているかどうかによって異なります（クライアントバージョン112.0.0以降で利用可能）。

1. When Flexible Dynamic Steering is NOT Enabled (Legacy Behavior)

フレキシブルダイナミックステアリングが有効になっていないテナントまたはクライアント（あるいは、それをサポートしていない古いクライアントバージョン/オペレーティングシステム）の場合、ダイナミックステアリングの動作は次のようになります。

• Dynamic steering based on location:
  • Netskope Client のトラフィック ステアリング タイプは、エンドポイントがon-premisesとして検出された場合に自動的に“Cloud Apps Only”に変更されます。
  • Netskope Client のトラフィック ステアリング タイプは、エンドポイントがremote (off-premises)として検出された場合に自動的に“All Traffic”に変更されます。

2. When Flexible Dynamic Steering IS Enabled (Enhanced Behavior)

フレキシブルダイナミックステアリングを有効にすると（既存のテナントではNetskopeサポートし、新しいテナントでは自動的に有効になります）、管理者はオンプレミスとオフプレミスの両方のシナリオでステアリングモードをきめ細かく制御できるようになります。 これにより、「クラウドアプリのみ」／「すべてのトラフィック」という固定的な枠組みを超えた、カスタマイズされたポリシーが可能になります。

• Configurable Dynamic Steering based on location:
  • On-Premiseシナリオの場合、管理者は以下から希望するステアリングモードを選択できます。
    • Cloud Apps Only
    • Web Traffic
    • All Traffic
    • None （クライアントはトラフィックを誘導しません）
  • Off-Premise （リモート）シナリオの場合、管理者は以下から希望のステアリングモードを選択できます。
    • Cloud Apps Only
    • Web Traffic
    • All Traffic
    • None （クライアントはトラフィックを誘導しません）

この柔軟性の向上により、組織はさまざまなネットワーク環境に対して、より正確な制御ポリシーを定義できるようになります。

Netskope Client Fallback Behavior

Netskope Clientは、理想的な操舵構成を維持できない状況でも適切に処理できるように設計されています。 このようなシナリオでは、クライアントは「ウェブトラフィック」ステアリングタイプにフォールバックする可能性があります。

• Netskope Client Netskopeゲートウェイがクラウドファイアウォールに対応していない場合、 “Web Traffic”ステアリングタイプにフォールバックします。
• Netskope Client は、Windows 7、8、および 8.1 オペレーティングシステムでは、 “Web Traffic”ステアリングタイプにフォールバックします。
• Netskope Client は、macOS Catalina 以前のオペレーティングシステムでは、 “Web Traffic”ステアリングタイプにフォールバックします。
• Netskope Clientの旧バージョンでは、Netskopeテナントでクラウドファイアウォールが有効になっている場合、 “Web Traffic”ステアリングタイプにフォールバックします。

Netskope Client Fail Close Behavior

「フェイルクローズ」モードでは、 Netskope Client 、 Netskopeクラウドへの安全な接続を確立または維持できない場合に、トラフィックをブロックすることでセキュリティを優先します。

• Netskope Clientは、「Fail Closed」モードでは、HTTP(S)トラフィックと非HTTP(S)トラフィックの両方を破棄します。
• Netskope Clientは、「フェイルクローズ」モードでは設定された例外をバイパスし、重要なトラフィックの継続を可能にします。
• Netskope Clientは、「フェイルクローズ」モードではICMPトラフィックを破棄しません。

Netskope Client Netskopeゲートウェイに接続されると、クライアント設定ウィンドウは以下の画像のようになります。 Traffic Steering TypeがAll Trafficに設定されていることに注意してください。これは、クラウドファイアウォールモードが有効になっており、HTTP(S)トラフィックと非HTTP(S)トラフィックの両方がNetskopeゲートウェイにルーティングされることを意味します。