この記事では、Netskope Private Access (NPA) アプリケーションを、Server Message Block (SMB) や Distributed File System (DFS) などのファイル共有プロトコル用に設定する方法について説明します。
SMBは、ネットワーク上でファイルへの共有アクセス、ネットワークブラウジング、印刷、およびプロセス間通信を提供するための通信プロトコルです。CIFSやSambaなど、よく知られたSMBプロトコルの実装がいくつか存在する。SMBプロトコルは、TCPやUDPといった下位レベルのトランスポートプロトコルに依存している。SMBはクライアント・サーバー方式で動作し、クライアントが特定の要求を行い、サーバーがそれに応じて応答します。従来のファイル共有リソースには、例えば\FileServer1Toolsまたは\FileServer2Toolsの形式で SMB プロトコルを使用してアクセスできます。
DFSは、分散型SMBファイル共有リソースを論理的にグループ化し、それらを階層的な名前空間に透過的にリンクする機能を提供する。例えば、個々のファイル共有リソースを閲覧する代わりに、クライアントは\YourWindowsDomainPublicSoftwareにアクセスし、その近さと可用性に応じて\FileServer1Softwareまたは\FileServer2Softwareに透過的にリダイレクトされます。
DFS 名前空間を構成するさまざまな要素のデスクリプションを次に示します。
- 名前空間サーバー：名前空間サーバーは名前空間をホストします。名前空間サーバーは、メンバサーバーまたはドメインコントローラーのいずれかです。
- 名前空間ルート: 名前空間ルートは、名前空間の開始点です。上記の例では、ルートの名前は Public であり、名前空間パスは
\YourWindowsDomainPublicです。このタイプの名前空間は、ドメイン名で始まり、そのメタデータがActive Directoryドメインサービス（AD DS）に保存されるため、ドメインベースの名前空間です。 - フォルダー：フォルダーターゲットのないフォルダーは名前空間に構造と階層を追加し、フォルダーターゲットのあるフォルダーはユーザーに実際のコンテンツを提供します。ユーザーが名前空間内にフォルダーターゲットを持つフォルダーを参照すると、クライアントコンピューターは参照を受け取り、その参照によってクライアントコンピューターは透過的にいずれかのフォルダーターゲットにリダイレクトされます。
- フォルダターゲット:フォルダターゲットはデータやコンテンツが保存される場所です。前の例では、Tools という名前のフォルダーには、
\FileServer1Softwareと\FileServer2Softwareという 2 つのフォルダーターゲットがあります。
SMBの実装の大部分は、KerberosやNTLMといったWindows Active Directory認証サービスと密接に統合されている。Kerberosプロトコルは、ファイル共有リソースへのアクセスにおける主要な認証および認可方法です。特定のリソースにアクセスするために、クライアントはキー配布センター（KDC）として機能するActive DirectoryドメインコントローラーからKerbeosチケットを取得します。このチケットはSMBプロトコルによって伝送され、宛先のファイル共有サービスに提示されます。ファイル共有サービス側もKDCを使用してこのチケットの妥当性を検証します。NTLMプロトコルは フォールバックとして Kerberosは、レガシークライアントまたはドメインに参加していないクライアントではサポートされていません。
SMBファイル共有リソースやDFSネームスペースサーバーが別々のサイトに設置された別々のサーバーに構成されている分散展開の場合、トラフィックを均等に分散させるためには、異なるパブリッシャーに関連付けられた個別の構成を作成する必要があります。
 |
Active Directory Domain Services(Kerberosを含む)の適切な展開 についてはこの記事で 説明されており、ドメイン参加エンドポイントがDFS/SMB共有にアクセスする必要がある場合、これを前提条件として守 must 。ドメイン参加されていないデバイスやレガシークライアントを持つ特定の使うケースでは、NTLM認証に依存することがあります。 この場合、Active Directoryドメインコントローラーへの接続は必須ではありませんが、以下の構成に加えて、当該記事で説明されているパブリッシャーDNSオプションを使用して内部ドメインリソースを解決するためのプライマリアプリケーションを作成し、ユーザーに割り当てる必要があります。
プライベートアプリケーションを作成するには、Netskope UIにログインし、 Settings > Security Cloud Platform > App Definition > Private App Segmentsに移動して、次のパラメータを使用して「ファイル共有サイト1」という名前の新しいプライベートアプリセグメントを作成します。
- ホスト（上記の図の例を参照）：
- 10.0.1.30
- 10.0.1.40
- ブラウザアクセス切り替えが無効になっています。
- プロトコルとポート:
- TCP: 135, 137, 139, 445
- UDP: 137, 138, 389, 443, 445
- パブリッシャー: このケースでは、 pub1を選択します。これはファイル共有サービス専用であり、これらのリソースへのトラフィックを処理するのに最適な位置にあるためです。 その物理的な場所に複数のパブリッシャーが展開されている場合は、冗長性を確保するために、それらをこのアプリケーションにサービスを提供するパブリッシャーのリストに追加することもできます。
- 使う パブリッシャーの DNS トグルが無効になっています。
Saveをクリックしてください。
同じ手順を繰り返して、別の ファイル共有サイト 2 という名前のプライベート アプリ セグメントを作成しますが、 宛先の IP アドレスを10.0.2.30 、発行者をpub2に設定し、 Saveをクリックします。
上記の構成ではポートが使用されます。
| ポート | デスクリプション |
|---|---|
| TCP: 135 | RPC通信 |
| TCP: 137 | NetBIOSセッションサービス |
| TCP:139 | NetBIOSセッションサービス |
| TCP:445 | NetBIOSなしのTCP経由SMB |
| UDP:137 | UDP経由のSMB（ネームサービス） |
| UDP:138 | UDP経由のSMB（データグラム） |
| UDP: 389 | LDAPディレクトリ、レプリケーション、ユーザーおよびコンピュータ認証、グループポリシー、信頼関係 |
| UDP: 443 | サーバーでSMB over QUICが有効になっている場合は、このポートを追加してください。これは、ここに記載されているガイダンスに基づいています。 |
| UDP: 445 | NetBIOSなしのUDP経由のSMB |
注記
上記の構成は、SMB プロトコルおよびクライアントの古いバージョンとの下位互換性を提供することを目的としています (つまり、Windows 2000以前のバージョン）。最新のSMB実装では、上記で述べたActive Directoryドメインサービスへの接続に加えて、TCP:445の設定のみが必要となります。レガシーSMBプロトコルに関連する接続要件を評価し、ネットワークの過剰な露出を防ぐために、TCP:139、UDP:137、UDP:138ポートを構成から削除することを検討することをお勧めします。
上記のファイル共有アプリケーションを定義した後、リアルタイム保護ポリシーでそれらを目的のユーザーやグループに割り当てることで、SMB/DFSリソースへのZTNAベースのアクセスを提供できます。