NewEdge Express Connect - Netskope 技術文書

NewEdge Express Connect（NEEC）は、イーサネットによる直接接続を介して、プライベートネットワークインフラストラクチャをSASE境界まで拡張することを可能にします。オンプレミスネットワークからNewEdgeデータセンター（DC）への直接転送を確立することで、組織はNewEdge DCへの専用パスを維持しながら、高スループットの要件をサポートできます。この接続モデルは、従来の通信事業者や公共インターネットを介さずに済むため、遅延が低減され、予測可能なネットワーク接続が保証されます。

NEECは、GREやIPsecトンネルを必要とせず、高スループットのステアリングメカニズムを通じて効率的なネットワークアーキテクチャを提供し、顧客エッジとNewEdgeデータセンター間のハンドオフを簡素化します。

Use Cases

High-Throughput Requirements: トラフィック量が従来のトンネルベースのルーティング方式（GREやIPsecなど）の処理能力を超える環境に最適です。
Centralized Traffic EgressデータセンターやMAN/WANブレイクアウトに大量のユーザートラフィックが集中する、集中型出力ポイントを持つ組織をサポートします。
Machine and Unauthenticated Trafficサーバー、IoT、または認証されていないトラフィックをデフォルトルート経由でシームレスにルーティングする方法を提供し、複雑なトンネル構成の必要性を排除します。

Benefits

High-Performance ConnectivityNewEdgeへの専用レイヤー1/2接続を直接提供します。NEECは公共インターネットを迂回することで、従来のトランジットプロバイダーやISPにありがちな、予測不可能な遅延や混雑を解消します。
Highly Resilient ArchitectureNEECは、複数のNewEdgeデータセンターへの接続を通じて高可用性をサポートします。NewEdgeデータセンター内にデュアルネットワークデバイスを導入することで、顧客は複数の冗長性レイヤーを構築し、継続的な稼働時間を確保できます。
Dynamic Routing with BGPNetskopeは、顧客のデータセンターとNewEdge間のルーティングを管理するために、Border Gateway Protocol（BGP）を実装しています。これには、迅速な接続性と障害検出を実現し、迅速なフェイルオーバーを保証する双方向転送検出（BFD）のサポートが含まれます。
Centralized VisibilityNetskopeの管理UIとAPIは、回線の状態とBGPピアリングの状態をリアルタイムで監視し、ネットワークチームが接続状況を可視化できるようにします。
Granular Policy ControlNetskopeのリアルタイム保護とSSL は、ソース基準アクセス方法フィルタとしてNewEdge Express Connectを含んでいます。これにより、管理者はNEECリンクから発信されるトラフィックに基づいて、特定のセキュリティプロファイルを適用できるようになります。
Efficient Multi-Tenancy単一のNEEC物理デプロイメントで、複数のテナントをサポートできます。個々のテナントは論理的に分離され、固有の802.1Q VLANタグによって識別されるため、複雑な組織や分散型組織の管理が簡素化されます。
Enhanced Security: MACsec 暗号化はIEEE 802.1AEによって定義され、暗号化を通じてコネクションレスデータの機密性と整合性を定義しています。これはイーサネットリンク上でポイントツーポイントのセキュリティを提供し、中間者攻撃（MiTM）、パッシブ盗聴、再生などの多くのセキュリティ脅威を特定して防止することができます。Netskopeは特定のNewEdge DCでMACsecをサポートしています。

前提条件と計画

NEECの導入を成功させるには、貴組織のネットワークチームとNetskopeとの連携が必要です。以下の要件を満たす必要があります。

Connectivity and Cross-Connectsお客様は、指定されたNewEdgeデータセンターへの物理的な相互接続の調達および構築に責任を負います。
Routing Protocol Support: 顧客管理ネットワーク動的ルーティング、BFDベースの障害検出、および自動フェイルオーバーを容易にするために、BGPをサポートする必要があります。
Technical Configuration Informationプロビジョニングは、ポイントツーポイントIPアドレス、BGP ASN、802.1Q VLAN IDなどの特定のネットワークパラメータの交換に依存します。
Design Consultation: 実現可能性と設計段階を開始するには、 Netskope営業担当者に連絡する必要があります。担当者は、 Netskopeプラットフォームエンジニアリングチームと連携して、提案されたアーキテクチャを検証し、技術標準に適合していることを確認します。
Traffic Activation Timeline通常、お客様は注文を受けてから8週間以内（またはそれ以下）でNEEC上でのトラフィックの有効化を完了します。実際のスケジュールは、顧客側の要件が満たされるかどうかに左右されます。

NewEdge Express Connectネットワークアーキテクチャ

次のセクションでは、 NewEdge Express Connect (NEEC) を導入する組織で利用されるよくあるネットワークトポロジの概要を説明します。ネットワーク環境はそれぞれ固有の要件を持つため、 Netskopeのエンジニアリングチームは各設計を個別に評価し、最適な耐障害性とパフォーマンスを確保します。

Example 1: Redundant Data Center Connectivity

このシナリオでは、組織は地理的に分散した複数の顧客データセンターを複数のNewEdgeデータセンターに接続します。組織は通常、データセンター相互接続（DCI）を利用して内部サイトを接続し、各サイトから対応するNewEdgeデータセンターへの専用のNEEC接続を確立します。

このトポロジーは、異なるネットワークハードウェアと物理設備全体にわたって、複数の冗長性レイヤーを提供します。パス選択にBGPを活用することで、このアーキテクチャはサイト間でトラフィックがシームレスにフェイルオーバーすることを保証します。

Example 2: Single Data Center to Dual NewEdge DCs

この構成では、組織は単一のプライマリデータセンターを、地理的に離れた複数のNewEdgeデータセンターに接続します。この設計は、統合されたインフラストラクチャを持ち、Netskopeセキュリティクラウドへの高可用性アクセスを必要とする組織向けに最適化されています。

このトポロジーは、パス多様性とハードウェアレベルの冗長性を保証します。組織は、別々のNewEdgeデータセンターへの独立した接続を確立することで、異なるネットワークハードウェアや物理的な場所にわたって継続的なサービス可用性を維持します。BGPは、プライマリパスとセカンダリパスの優先順位を管理するために使用され、NewEdgeデータセンターへの一貫性のある安定した接続を保証します。

Network Configurations

Layer 1

Netskope 、各NewEdge DCに対して、別々のネットワークを介して専用のイーサネットポートペアを提供します。これにより、ハードウェアレベルの冗長性が確保されます。このデュアルポートアーキテクチャにより、組織はNewEdgeデータセンターへの堅牢な接続を確立できます。

Physical Handoff & Transport

Standard Interface: 接続は通常、標準的な波長と光仕様を利用した直接的な光ファイバーの受け渡しによって行われます。
Local Connectivity: NewEdgeデータセンターと同じ施設内に拠点を置く組織の場合、接続は物理的な相互接続によって確立されます。
Remote Connectivity: 組織のインフラストラクチャがNewEdgeの施設外にある場合、NewEdgeのデータセンターへの必要な伝送を提供するために、サードパーティの通信事業者またはネットワークサービスプロバイダーが利用されます。

Layer 2 & Layer 3

Media Access Control Security (MACsec)

MACsecは、レイヤ2のトラフィックに対してハードウェアベースの暗号化を提供し、組織のエッジとNewEdge DC間のポイントツーポイントのデータ機密性と完全性を保証します。

MACsecのサポート状況は、NewEdgeのデータセンターによって異なります。組織でMACsecが必要な場合は、設計段階でNetskopeの営業担当者にご相談の上、地域的な互換性と技術要件をご確認ください。

VLAN Configuration & Assignment

Netskopeの各テナントは、802.1Q（dot1q）VLANを介して回線上で論理的に識別されます。このタグ付けメカニズムにより、追加のカプセル化を必要とせずに、ネイティブで高スループットのトラフィック制御が可能になります。

特定の VLAN ID は、組織とNetskopeプラットフォームエンジニアリングチームとの間の協力協定を通じて決定されます。ローカルのNewEdgeデータセンター内での空き状況に応じて、以下の予約済み範囲から優先VLANをリクエストできます。

200～249
1500年から1549年
2500～2549年

IP Addressing

NewEdge Express Connect (NEEC) 回線ごとに、割り当てられた VLAN は Netskope DC 上の専用のテナント別 VRF (仮想ルーティングおよび転送) にバインドされます。

Point-to-Point (P2P) Addressing

ピアリングインターフェースのIPアドレス指定はローカルに重要であり、顧客エッジとNewEdge DC間の直接接続にのみ使用されます。内部ネットワークやNetskopeインフラとの重複を防ぐため、アドレスは169.254.0.0/16の範囲から選択されます。P2Pリンクの具体的なIPアドレスは、設計段階であなたとプラットフォームのエンジニアリング Netskope合意しています。

Border Gateway Protocol Configuration & Routing

テナントに割り当てられた各 VLAN について、 NewEdge DC と顧客が管理するネットワークハードウェアとの間で外部 Border Gateway Protocol (eBGP) セッションが確立されます。これらのセッションは、動的なルーティングを促進し、接続全体の高可用性を確保します。

Netskope Advertised Routes

Netskopeは、各VLANサブネット上で、お客様の組織に対して以下の経路を通知します。

Default Route: 0.0.0.0/0.
Reserved Health Check IPオンボーディングプロセス中に、NewEdge DCごとにICMP到達可能な特定のIPアドレスが提供されます。
Explicit Proxy IP Addresses: 以下のIPアドレスはNEEC上でアナウンスされますポート80、8080、8081経由:
- 163.116.204.253/32
- 163.116.204.254/32
Specific IPv4 Routes: 組織固有のサービスプロファイルに必要な、Netskopeが所有する特定のIPアドレス範囲またはプレフィックス。

Your Configuration Requirements

以下の図は、NEECアーキテクチャの概念図を示しており、物理トランスポート層、論理ステアリング層、およびBGPルーティング層の統合を説明しています。

Operational Considerations

Traffic Distribution & Capacity

NewEdge Express Connectの回線はすべて、アクティブ/アクティブ構成で提供されます。アーキテクチャの堅牢性を確保するため、一対の回線でサポートされる最大帯域幅は、単一回線の容量と等しくなります。例えば、2つの10Gbpsポートで構成される構成では、メンテナンス時や経路変更時にもフル容量を維持するために、アップストリームとダウンストリームで合計10Gbpsのスループットをサポートします。

Inbound Traffic (Organization to NewEdge)

エンドポイントのIPアドレスが特定のNewEdge DCに関連付けられている限り、指定された任意のDCにトラフィックを転送できます。Netskopeは受信トラフィックの分配方法を指示するものではありません。トラフィックのバランス調整やルーティング方法は、組織の内部インフラストラクチャとルーティング要件に基づいて、組織自身が決定します。カスタムルーティング動作は、 Netskopeプラットフォームエンジニアリングによってレビューされ、同意される必要があります。

Outbound Traffic (NewEdge to Organization)

NewEdge DCは対称リターン用に構成されており、トラフィックが受信時と同じ物理的および論理的なリンク上で発信元IPアドレスに返送されることを保証します（BGP ASパスのプレペンディングやMEDなどの特定の構成によって上書きされない限り）。

Failover & Health Monitoring

Netskopeは各データセンターのサービス可用性を監視し、ヘルスチェックに基づくフェイルオーバーメカニズムを利用します。ローカルフェイルオーバーの判断を容易にするため、NetskopeはICMP到達可能なヘルスチェックVIPを提供します。

マネージドネットワークデバイスは、IPSLA プローブにこれらの VIP を利用できます。これらのプローブの結果に基づいて、機器は適切なルーティングとフェイルオーバーの判断を動的に行い、継続的な接続を確保できます。

Interaction with Other Access Methods

Netskope ClientNetskope Client 、NEECパスを検出すると、データトンネル（TLS/DTLS）を自動的に無効にします。ただし、クライアントは引き続きアクティブな状態を維持し、ユーザーのIDをNetskopeクラウドに送信し、エンドポイントでのエンドユーザーへの通知を円滑に行います。この動作はNetskope ClientがIPsecまたはGREトンネル上で動作する場合と同様です。
IPsec and GRE TunnelsNetskopeは、Express Connect回線上でのIPsecまたはGREトンネルの確立をサポートしていません。NEECは、直接的でカプセル化されていない接続を提供するように設計されているためです。
Cloud Explicit ProxyExpress Connect 上の Cloud Explicit Proxy は、従来のトンネル上の Explicit Proxy とまったく同じように動作し、プライベート相互接続を使用して Netskope DC へのトラフィックを転送します。

Limitations & Considerations

NewEdge Express Connectの技術的な制限事項と注意事項は以下のとおりです。

Restricted EnvironmentsNEECは現在、FedRAMP、PBMM、および中国のデータセンターでは利用できません。
Throughput and Resiliency: アーキテクチャの回復力を維持するため、一対の回線でサポートされる最大帯域幅は、単一の回線の容量と等しくなります（たとえば、デュアル10Gbpsポート構成では、合計で10Gbpsのスループットがサポートされます）。
Route LimitsNetskopeは、テナント/VLANごとに受信できるBGPルートの数を5に制限します。
Endpoint-to-DC Persistence: 正確なユーザー帰属とコンテキストベースのセキュリティのために必要であり、Netskopeの他のステアリング方法と整合しています。
NAT RestrictionsNetskopeは、NEEC回線経由で送信される前にトラフィックに対して実行されるネットワークアドレス変換（NAT）をサポートしていません。
Egress and LocalizationNewEdgeのローカライゼーションゾーンはサポートされていません。トラフィックの送信には、共有IPアドレスと専用IPアドレス（DEIP）のみが利用可能です。
Unsupported Features以下の機能はNEECアクセス方式と互換性がありません。
- クラウドタップ
- アプリケーションレベルの帯域幅制御／QoS。これはアプリケーション固有のシェーピングを指し、物理的なポートレベルのポリシングやシェーピングとは異なります。詳細については、「帯域幅制御」を参照してください。

Configuring NewEdge Express Connect

プロビジョニングプロセスが完了すると、Netskope Admin UI は NEEC の設定と監視のための集中管理インターフェースを提供します。コンソール内で以下のコンポーネントを管理できます。

Site & Circuit Status

管理UIは、NEECインフラストラクチャの運用インベントリを管理します。

Site List: NEEC インスタンスが発生する組織の出口ポイント (「A」側) を表す、定義されているすべてのサイトの概要を提供します。
Circuit Assignment各指定サイトに関連付けられた特定の回路を表示します。

Traffic Configuration

相互接続経由で到着するトラフィックの技術的パラメータを管理できます。

X-Forwarded-For (XFF) Headers: 一般的な認証設定と併用することで、XFFヘッダーによるユーザー識別を可能にします。有効にすると、XFF ヘッダー値をソース IP ポリシーと属性に使用できます。
Trusted XFF Source IPsXFFヘッダーを受け入れる特定の送信元IPアドレスまたはサブネットを定義します。

Policy Configurations

NEEC はNetskopeポリシーエンジンに統合されており、管理者はリアルタイム保護と SSL ポリシーの両方に対して、 Source CriteriaのフィルタとしてExpress Connectを利用できます。

NewEdge Express Connect Management

NewEdge Express Connectページは、相互接続インフラストラクチャの状態と構成を監視するための主要なダッシュボードとして機能します。

NewEdge Express Connectページ（ Settings > Security Cloud Platform > NewEdge Express Connect ）では、以下の操作が可能です。

NEECのサイトを更新してください。
NEECの拠点一覧をご覧ください。各サイトについて、以下の情報が表示されます。
- Site Name:あなたの組織のデータセンターまたは出口ポイントを表すサイト名。名前をクリックするとSite Detailsが表示されます。
- Circuit Name: そのサイトから発信される個々の回路の名前。
- Netskope POP: 回路が終端する特定のNetskope NewEdge DC。
- MACsecポイントツーポイントリンクにおいて、メディアアクセスコントロールセキュリティ（MACsec）暗号化が有効になっているか無効になっているかを表示します。
- Circuit Status: NewEdgeデバイスのポートの物理状態を表示します。
  - 上
  - 下
  - Pending
- VLAN: トラフィック識別のために回線に割り当てられた特定の802.1Q VLAN ID。
- Service StatusExpress Connect パス経由でトラフィックを受信するNetskopeセキュリティサービス (Secure Web Gateway や Cloud Firewall など) の全体的な運用状況。
- BGP Stateボーダーゲートウェイプロトコル（BGP）ピアリングセッションの現在の動作状況を表示します。
クリック受信トラフィックのXFF HTTPヘッダーに含まれるサイトおよび信頼済みIPアドレスのX-Forwarded-For（XFF）ヘッダー設定を編集します。

Using NewEdge Express Connect in SSL Decryption Policies

NewEdge Express Connect を SSL 復号ポリシーのアクセス方法として使用するには:

Policies > SSL Decryptionへ移動してください。
Add Policyをクリックしてください。
New SSL Decryption Policyページで、 Match Criteriaに対して、 Add CriteriaをクリックしてからAccess Methodクリックします。
Access MethodをExpress Connectに設定します。
残りの項目もそれに応じて設定してください。詳細については、「SSL復号化ポリシーの追加」を参照してください。

Using NewEdge Express Connect in Real-Time Protection Policies

NewEdge Express Connect をリアルタイム保護ポリシーのアクセス方法として使用するには:

Policies > Real-time Protectionへ移動してください。
New Policyをクリックし、作成したいポリシーの種類を選択してください。
Real-time Protection Policyページで、 Sourceに対して、 Add CriteriaをクリックしてからAccess Methodクリックします。
Access MethodをExpress Connectに設定します。
残りの項目もそれに応じて設定してください。詳細については、リアルタイム保護ポリシーをご覧ください。

Monitoring NewEdge Express Connect Events in Skope IT

Skope ITでNewEdge Express Connectのアラートを表示するには：

Skope IT > Alertsへ移動してください。
+Add Filterをクリックし、 Access Methodに移動してからExpress Connect選択すると、関連するすべてのイベントが表示されます。
クリック View Detailsイベントの詳細についてはこちらをご覧ください。

Viewing NewEdge Express Connect Transaction Events

次のいずれかのログフィールドを確認することで、 NewEdge Express Connect のトランザクションイベントを表示できます。

x-cs-access-method: エクスプレスコネクト
x-s-dp-name: Netskope POP/DC
x-cs-tunnel-idVLAN

NewEdge Express Connect APIs

次のようにしてNewEdge Express Connect のプログラムによる構成と監視を行うためのステアリング API を利用できます。

Status Monitoring: 回線の状態やBGPピアリングの状態など、リアルタイムの運用メトリクスを取得するためのAPI。
XFF ConfigurationX-Forwarded-For (XFF) 設定を管理するための API を提供し、ユーザー識別の自動有効化と信頼できる送信元 IP 範囲の定義を可能にします。
Site Management: サイトのメタデータおよび関連する回路パラメータを表示および更新するためのプログラムによるアクセス。