このトピックでは、Palo Alto GlobalProtectとNetskope Client間のシームレスな相互運用性を実現するための設定の詳細について説明します。
Palo Alto GlobalProtectのフルトンネルが確立されているシナリオでは、クライアントトラフィックが最寄りのデータセンター（POP）を経由してNetskope Cloudにバイパスされるように、以下の手順を実行することをお勧めします。
- Netskopeアドレスオブジェクトの作成
- Googleアドレスオブジェクトの作成
- アドレスグループの作成
- Palo Alto GlobalProtect Gatewayの除外リストにアドレスグループを追加する
- 変更内容の確認
環境
-
管理者レベルのアクセス権限を持つPalo Alto GlobalProtectアカウント。
-
Palo Alto GlobalProtect macOSクライアント バージョン6.3.3-676
-
Palo Alto GlobalProtect Windowsクライアント バージョン6.3.3-676
-
Netskope Clientバージョン138.0.0
相互運用性構成要件
Netskope ClientがNetskopeクラウドへトラフィックを誘導し、かつPalo Alto GlobalProtectが競合なくトラフィックを処理できるようにするためには、以下の構成要件を満たすことを推奨します。
Palo Alto GlobalProtect の構成
PAN GPトンネルが確立されるシナリオでは、クライアントトラフィックが最寄りのPOPを経由してNetskope Cloudにバイパスされるように、以下の手順を実行することをお勧めします。
Netskopeアドレスオブジェクトの作成
このステップでは、アドレスオブジェクトを作成し、Palo Alto GlobalProtectトンネルから除外するNetskopeのIPレンジにマッピングします。Palo Alto GlobalProtectトンネルバイパスのIP範囲のリストはここに記載されています。以下の例では、Netskopeの範囲1はIP範囲8.36.116.0/24のアドレスオブジェクトです。
注記
簡便さを図るために、アドレスオブジェクトの名前としてNetskopeレンジ<x>を使うことを推奨します。ここでxはレンジ番号です。ただし、一般的な慣行や組織のガイドラインに合った命名規則を使うことは自由です。
「範囲IP」リンクに記載されているすべてのIP範囲に対して、アドレスオブジェクト（例：Netskope範囲2、Netskope範囲3など）の作成を継続してください。
Googleアドレスオブジェクトの作成
Netskope Client EDNS機能はGoogle DNSと連携して、最も近いNetskope POPを正確に特定します。 したがって、フルトンネルVPN構成の場合でも、2つのGoogle DNSエニーキャストIPアドレス（8.8.8.8/32と8.8.4.4/32）へのトラフィックは直接通過できるようにする必要があります。以下の例では、アドレスオブジェクト「Google Primary DNS」は、GoogleのエニーキャストIP範囲8.8.8.8/32にマッピングされます。
同様に、8.8.4.4/32 用の別の Google アドレス オブジェクトを作成します。
アドレスグループの作成
アドレスグループを使用すると、1つまたは複数の類似したIPアドレスを特定のグループに追加し、それをGPトンネルバイパス構成に追加できます。そのためには 2つの別々のアドレスグループが必要になります。1つはGoogle DNS用、もう1つはNetskope IP範囲用です。
Google DNS 用のアドレス グループの作成
前の手順で作成した Google エニーキャスト IP アドレスにマッピングされるすべてのアドレスオブジェクトのリストを使用して、アドレスグループを作成します。
Netskopeアドレスグループの作成
NetskopeのIPアドレス範囲にマッピングされるすべてのアドレスオブジェクトのリストを含むアドレスグループを作成します。
バイパスが必要なグループを除外する
変更するGPゲートウェイ構成を探してください。Agent > Client Settingsへ移動
クライアント構成Selectて編集し、2つのアドレスグループを「除外」セクションに追加します。
実行中の設定にすべての変更をコミットします。
Netskope Clientの設定
Netskope ClientをVPNクライアントと一緒にインストールする際は、ステアリング設定 Destination Location 例外を設定してVPNクライアントからのトラフィックを回避します。サードパーティ製 VPN アプリの例外を追加する方法の詳細については、 「VPN アプリケーションの例外設定」を参照してください。
変更内容の確認
Windows および Mac のコマンド / ターミナル プロンプトからnetstat -rnコマンドを実行し、Netskope と Google IP リストが直接アクセスすることを確認します。
