Netskope IPSecとF5 BIG-IPローカルトラフィックマネージャー

Netskopeは、トラフィックルーティング方法としてインターネットプロトコルセキュリティ（IPSec）トンネルをサポートしています。IPSecトンネルを使用すると、ウェブトラフィック（ポート80および443）をNetskopeにルーティングできます。 Netskope IPSecゲートウェイで終端する論理トンネルインターフェイス。NetskopeのユーザーインターフェースでIPSecトンネルを作成すると、Netskopeはファイアウォール上でトンネルを設定するためのパラメータを提供します。 

このガイドでは、 Netskopeとバージョン15.1.10.2を実行しているF5 BIG-IPシステム間のIPSecトンネルの設定方法と、 2-Armデプロイメントモードについて説明します。 F5 BIG-IP TMOSにおけるCLIの手順の詳細については、 F5のドキュメントを参照してください。

以下は、F5 BIG-IP Local Traffic Manager (LTM) の概要です。

• VLAN

  • 外部（インターフェース 1.1/タグなし）

  • 内部（インターフェース 1.2/タグなし）

• サブネット/自己IPアドレス

  • 外部: 10.0.10.245/24

  • 内部: 10.0.20.245/24

• ルート: デフォルト (0.0.0.0/0): 10.0.10.1

前提条件

IPSecを設定する前に、 Netskopeのガイドラインを確認してください。F5 BIG-IP LTMについて：

• F5 BIG-IPがNetskopeのPOPに到達するための経路を確実に設定してください。

• ファイアウォールでUDP用のポート500と4500が許可されていることを確認してください。

• アーキテクチャによっては、内部セグメントからのトラフィックを受信するために、F5 BIG-IP LTM上にフォワーディングIP仮想サーバーを作成する必要がある場合があります。

NetskopeでIPSecトンネルを作成する

Netskope UIでF5 BIG-IPシステムのIPSec VPNトンネルを作成するには、 「IPSecサイトの作成」を参照してください。

F5 BIG-IP LTMでトラフィックセレクタを作成する

1. Network > IPsec > Traffic Selector > Createへ移動してください。

2. 交通情報セレクターの名前を入力してください。

3. Configuration内:

   • Source IP Address or CIDRソースを入力してください。これは任意のIPアドレスまたはサブネットを指定できます。この例では、10.0.20.0/24 です。

   • Source Port（オプション）ソースポートを入力してください。

   • Destination IP Address or CIDR目的地を入力してください。これは任意のIPアドレスまたはサブネットを指定できます。この例では、(0.0.0.0/0) のいずれかになります。

   • Destination Port（オプション）宛先ポートを入力してください。Netskopeにウェブトラフィックのみを送信したい場合は、宛先ポートを80に設定し、宛先ポートを443に設定した別のトラフィックセレクタを作成できます。

   • ProtocolIPSecトンネルを通して送信するプロトコルを選択してください。この例では、 All Protocolsです。Netskopeにウェブトラフィックのみを送信したい場合は、 TCPを選択してください。

   • Direction: Bothを選択してください。

   • Action: Use the default option.

   • IPsec Policy Name: + のサインをクリックしてIPSecポリシーを作成してください。 手順については次のセクションを参照してください。

     

IPSec ポリシーの作成

1. IPSec ポリシーの名前を入力します。

2. Configuration内:

   • IPsec Protocol: ESPを選択してください。

   • Mode: Tunnelを選択してください。

   • Tunnel Local AddressIPSecトンネルを作成する際の、自身のIPアドレスを入力してください。通常はRFC 1918で定義されたIPアドレスですが、自己IPとしてパブリックIPが割り当てられている場合は、そのパブリックIPが使用されます。

   • Tunnel Remote AddressNetskope UIでコピーしたプライマリNetskope POPのIPSecゲートウェイIPアドレスを入力してください。

3. IKE Phase 2では、以下のパラメータを設定してください。NetskopeでサポートされているIPSecパラメータのリストを表示するには： IPSec 。

   • Authentication Algorithm: SHA-256を選択してください。

   • Encryption Algorithm: AES-256を選択してください。

   • Perfect Forward Secrecy: NONEを選択してください。

   • IPComp: NONEを選択してください。

   • Lifetime1440分と入力してください。

   • KBLifetime: 0キロバイトを入力してください。

     

4. Saveをクリックしてください。

5. Traffic SelectorページのIPsec Policy Nameで、作成したIPSecポリシーを選択してください。

6. Saveをクリックしてください。

IKEピアの作成

TBD

1. Network > IPsec > IKE Peers > Createへ移動してください。

2. IKEピアの名前を入力してください。

3. General Properties内:

   • Remote AddressNetskope UIでコピーしたプライマリNetskope POPのIPSecゲートウェイIPアドレスを入力してください。

   • State: Enabledを選択してください。

   • Version： 選ぶ Version 2.

4. IKE Phase 1 Algorithmsでは、以下のパラメータを設定してください。NetskopeでサポートされているIPSecパラメータのリストを表示するには： IPSec 。

   • Authentication Algorithm: SHA-256を選択してください。

   • Encryption Algorithm: AES256を選択してください。

   • Pseudo-Random Function v2 only: SHA-256を選択してください。

   • Perfect Forward SecrecyNetskopeはIKEフェーズ1でPFSをサポートしていません。

   • Lifetime1440分と入力してください。

5. IKE Phase 2 Credentials内:

   • Authentication Method: Preshared Keyを選択してください。

   • Preshared KeyNetskopeのユーザーインターフェースで入力したのと同じ事前共有キーを入力してください。

   • Verified Preshared Key: 事前共有キーをレンタルします。

     

6. Common Settings内:

   • Traffic Selector上記で作成したトラフィックセレクターを選択してください。

   • NAT Traversal: Onを選択してください。

   • Passive選択を解除してください。

   • Presented ID Type: Addressを選択してください。

   • Presented ID: Overrideを選択してください :

   • Presented ID ValueF5 BIG-IP がNetskopeに接続する際に使用するパブリック IP アドレスを入力してください。 それはNAT処理されたパブリックIPアドレスであるべきです。

   • Verified ID Type: Addressを選択してください。

   • Verified ID: Overrideを選択してください。

   • Verified ID ValueNetskope UIでコピーしたプライマリNetskope POPのIPSecゲートウェイIPアドレスを入力してください。

   • Proxy Support: Enabledを選択してください。

   • DPD Delay30秒を入力してください。

   • Replay Window Size: 64個のパケットを入力してください。

     

7. Saveをクリックしてください。

IPSecトンネルの状態を確認する

On Netskope:

F5 BIG-IP LTMについて：

トラブルシューティング

Netskopeでトラブルシューティングを行うには：

• IKEフェーズ1リクエストがNetskopeに到達した際にエラーが発生していないか、Sumoログを確認するようNetskopeサポートに依頼してください。

• 関連記事で言及されている録画済みのセッションを確認してください。

F5 BIG-IP LTM のトラブルシューティングを行うには：

• Network > IPsec > IKE Daemon > Set Log LevelからDebug2へ移動します。ログは/var/log/racoon.logファイルに保存されます。

• トラフィックセレクターに一致するトラフィックを生成します。tcpdumpを実行して、クライアントからNetskopeに生成されたトラフィックがF5に到達しているかどうかを確認します。

• 数分お待ちください。トンネルが起動していない場合、tmipsecdデーモンを再起動する必要があるかもしれません。

  # tmsh restart /sys service tmipsecd

• IPsec PolicyのLocal Tunnel AddressとRemote Tunnel Addressが正しいかどうか確認してください。

• IPsec PolicyのPresented ID ValueとVerified ID Valueが正しいことを確認してください。

• IPsec PolicyおよびIKE Peers設定の暗号スイートが Netskope UI のものと同じかどうかを確認してください。