レガシーアプリケーションのPingサポート

一部のレガシーアプリケーションやスクリプトは、TCPまたはUDP接続を開く前にICMP pingをサーバーに送信して応答を待ちます。例えば、スクリプトが複数のファイルサーバーに ping を送信し、最も速く応答したサーバーに接続する場合があります。Netskope Private Access (NPA) の Ping サポートにより、これらのアプリケーションは変更なしで動作します。

この機能が有効になっている場合、Netskope Client は NPA トンネル経由でプライベート アプリケーションに ping 要求（ICMP echo request）を送信します。Publisher はそれをアプリケーション サーバーに転送し、サーバーの実際の echo reply がアプリケーションに戻ります。NPA はサーバーの代わりに返信を生成しません。サーバー、Publisher、またはパスがダウンしている場合、ping は失敗します。

要件

• 対応OS：Windows。macOSとLinuxには対応していません。
• サポートされているトラフィック：IPv4 ICMPエコー要求およびエコー応答。デフォルトのペイロードサイズは32バイト（Windowsの場合）です。

アクセス制御の方法

• 宛先は、ユーザーが誘導されるプライベートアプリで定義する必要があります。リアルタイム保護ポリシーでも、ユーザーがそのアプリにアクセスできるようにする必要があります。
• マッチングはdestination host onlyを使います。アプリケーション定義やポリシー内のポートとプロトコルは、Pingに対しては無視されます。例えば、fileserver.corp.localのTCP 445へのアクセスが許可されているユーザーは、fileserver.corp.localへPingを打つこともできます。
• プライベートアプリが一致しない場合、またはポリシーでアクセスが許可されていない場合、pingはタイムアウトします。ユーザーは「宛先到達不能」応答を受け取りません。
• プライベートアプリではない、またはバイパスされている送信先は影響を受けません。それらの ping は、以前と同様にローカルネットワークを使用します。
• プライベートアプリには、ホスト名またはIPアドレスでpingを送信できます。

サポートされる範囲と制限事項

• エコー要求とエコー応答のみがサポートされています。その他のICMPメッセージタイプはドロップされるため、traceroute (tracert) does not workはNPA経由で行われません。
• カスタムパケットサイズはサポートされていません。パス MTU より大きい ping は断片化され、断片化された ping はドロップされるため、タイムアウトになります。
• IPv6およびICMPv6はサポートされていません。
• Rate limit: 各クライアントは、20 ping のバーストを許可し、その後 1 秒あたり 5 ping を許可します。このレートを超える ping はドロップされます。標準的な ping の使用には影響しません。
• Policy changes on Windows: 「許可」から「ブロック」への変更など、ポリシーへの変更がpingに適用されるまでに約30秒かかることがあります。Windowsは同じpingセッションを再利用するため、既存のセッションが約30秒間アイドル状態になると変更が適用されます。
• Logging: 現時点では、pingトラフィックはネットワークイベントに記録されません。
• プライベートアプリでDNS検証が有効になっていて、アプリケーションに到達できない場合、名前解決が失敗し（「ホストが見つかりません」）、pingは送信されません。

Pingのタイミング

Pingのラウンドトリップタイムには、クライアント → Netskopeデータプレーン → パブリッシャー → アプリケーションサーバーというZTNAパス全体が含まれます。これらは外部のTLS-over-TCPトンネルの影響も受けるため、TCPの再送によって稀に高い値になることがあります。パブリッシャーのDNSが無効になっている場合、宛先の解決が行われるため、ホスト名への最初のPingに時間がかかることがあります。パスの選択は、宛先や接続によって異なる場合があります。

これらの結果は、アプリケーションの互換性のために存在します。それらを使用してネットワークの遅延やパケット損失を測定したり、どのサーバーが最も近いかを判断したりしないでください。

トラブルシューティングとサポート

Netskopeサポートは、NPAプライベートアプリのクライアントサイドのping結果を診断のエビデンスとして受け付けません。接続の問題については、PublisherログとPublisher側の診断を提供してください。これには、Publisherからアプリケーションサーバーへのpingが含まれます。有効になっている場合は Publisherからログを収集する を使うか、 Ping、Traceroute、またはTelnetを使ったパフォーマンスと接続のトラブルシューティング を参照してください。