Netskope IPSec with Cisco Firepower - Netskope 技術文書

Netskopeは、トラフィックルーティング方法としてインターネットプロトコルセキュリティ（IPSec）トンネルをサポートしています。IPSecトンネルを使用すると、ウェブトラフィック（ポート80および443）をNetskopeにルーティングできます。 Netskope IPSecゲートウェイで終端する論理トンネルインターフェイス。 NetskopeのユーザーインターフェースでIPSecトンネルを作成すると、Netskopeはファイアウォール上でトンネルを設定するためのパラメータを提供します。

このガイドは、Firepower Management Center(FMC)バージョン7.0.1を実行した Netskope とCisco Firepower アプライアンス間のIPSecトンネルの設定方法を示しています。 FMCの手順の詳細については、 FMCドキュメントを参照してください。

NetskopeでIPSecトンネルを設定する

Netskope UI で Cisco Firepower アプライアンス用の IPSec VPN トンネルを作成するには、「IPSec サイトの作成」を参照してください。

アクセス制御リストの設定

トンネル内を通過するトラフィックに一致するアクセスリストを設定するには：

Firepower Threat Defense (FTD) 管理で、 Objects > Object Managementに移動します。
Access List > Extended Select 。
新しいアクセスリストを作成するオプションSelect 。
インターネットへのすべてのHTTP/HTTPSトラフィックを照合するために、以下のエントリを作成してください。
- Seq: 1
- Action：許可する
- Source: 内部LANネットワークソース
- Port: any
- Destination: any
- Destination Port: HTTP / HTTPS。標準以外のポートを追加することもできますが、Netskopeにも必ず追加してください。
内部ネットワークからNetskopeプローブのIPアドレスへのICMP通信を許可するには、以下のエントリを作成してください。
- Seq: 2
- Action：許可する
- Source: 内部LANネットワークソース
- Port: any
- DestinationNetskopeプローブのIPアドレス。Netskopeで設定したIPSecトンネルからそれらをコピーできます。
- Destination Port: ICMP
SaveクリックしてからContinueクリックしてください。

フェーズ1提案の構成

Objects > VPN > IKEv2 Policyへ移動してください。
新しいポリシーを作成するオプションSelect 。
フェーズ1のパラメータを設定します。NetskopeでサポートされているIPSecパラメータのリストを表示するには： IPSec 。
SaveクリックしてからContinueクリックしてください。

フェーズ2提案の構成

Objects > VPN > IKEv2 IPsec Policyへ移動してください。
新しいポリシーを作成するオプションSelect 。
フェーズ2のパラメータを設定します。NetskopeでサポートされているIPSecパラメータのリストを表示するには： IPSec 。
SaveクリックしてからContinueクリックしてください。

サイト間トンネルの設定

VPNトンネルを設定するには：

VPNの下で、 Devices > Site-to-Siteに進みます。
新しいVPN Topologyを作成するオプションSelect 。
Edit VPN Topologyウィンドウでは：
- Topology NameVPNの名前を入力してください。
- Policy Based (Crypto Map): Select.
- Network Topology: Point to Pointを選択してください。
- IKE Version: Select IKEv2。
Endpointsタブで：
- Node A (Netskope)
  - Device: Select Extranet。
  - Device Name: デバイス名を入力してください。
  - Static IPプライマリおよびセカンダリのIPSec GWアドレスを次の形式で入力してください：,<Primary IPSec GW> <Secondary IPSec GW>。これらのPOPアドレスはNetskopeでコピーできます。
  - Protected Network: 新しい.
  - Access List Extended: Select 上で作成したアクセスリストです。
- ノードB（FTD）
  - Device:アプライアンスが入ってトンネルを形成する。
  - Interface: WANインターフェース。
  - IP Address: WANインターフェースに関連付けられたIPアドレス。
  - Connection Type: Bi-directional.
  - Protected Network: 新しい.
  - Access List Extended: Select 上で作成したアクセスリストです。
IKEタブをクリックしてください。
IKEv2 Settings以下：
- Policy上記で設定したフェーズ1の提案を選択してください。
- Authentication Type: Pre-shared Manual Keyを選択してください。
- KeyNetskopeで作成した事前共有キー（PSK）を入力してください。
- Confirm Key: Reenter the PSK.
IPsecタブをクリックしてください。
IPsecタブで：
- Crypto Map Type: Select Static。
- IKEv2 Mode: Tunnelを選択してください。
- Transform SetsIKEv2 IPsec Proposals横にあるEditアイコンをクリックし、上記で設定したフェーズ 2 の提案を選択します。
Advancedタブをクリックしてください。
ISAKAMP Settings以下：
- Identity Sent to Peers: Netskopeで設定されたFQDNフィールドに一致する識別子タイプを選択します。
- Peer Identity Validation: Requiredを選択してください。
IPsecとTunnelでは、デフォルト設定を使用します。
Saveをクリックしてください。

既存のNATルールからIPSecトラフィックを除外する

Netskopeクラウドは、クライアントを認証するために、元のクライアントIPアドレスを確認する必要があります。既存のNATポリシーが存在する場合、IPSecトラフィックはそのポリシーの適用対象から除外されなければならない。

Devices > NATへ移動してください。
既存のNATルールの上に、トンネルを通過するすべてのトラフィックに対してNATを無効にする新しいNATルールを追加します。
Interface Objects以下：
- Source: 内部ネットワーク
- Destinatinon: アウトサイドゾーン
Translationタブをクリックし、必要に応じて設定してください。

トンネル経由でトラフィックを誘導するためのポリシーの設定

Policies > Access Controlへ移動してください。
新しいルールを追加する:
- Name: ポリシーの名前を入力してください。
- Insert必須項目に変更。
- Action：許可する。SNORT を使う場合は、TRUST を使うことができます。
- Source Zone内部ゾーン。
- Destination Zone：アウトサイドゾーン。
- Source Zone: 内部サブネット。
- Destination Zone: any-ipv4.
Saveをクリックしてください。

トラブルシューティング

以下のいずれか CLI コマンドを使用して、FMC の IPSec トンネルのトラブルシューティングを行うことができます。 CLIの出力には、稼働中のトンネル数、ピア数、および暗号スイートが表示されます。この情報を使って、トンネルの設置状況を確認したり、位相の不一致を特定したりできます。

トラブルシューティングフェーズ1

フェーズ1のセキュリティアソシエーション（SA）が存在するかどうかを確認するには、次のコマンドを入力してください。

# Show crypto ikev2 sa

トラブルシューティングフェーズ2

フェーズ2のSAが存在するかどうかを確認するには、次のコマンドを入力してください。

# Show crypto ipsec sa