出版社の選択

ユーザーが承認済みのプライベートアプリにアクセスすると、Netskope Cloud上のNPAクライアントゲートウェイノードでポリシーが適用されます。NPAクライアントゲートウェイは、接続をどのパブリッシャー経由でルーティングするかを選択する役割を担います。

上記の図は、NPA交通管制の構成要素を示しています。

• Netskope Client <-> クライアントゲートウェイ
• クライアントゲートウェイ <-> パブリッシャーゲートウェイ、つまりStitcher（Netskope New Edge ）
• パブリッシャー <-> パブリッシャーゲートウェイ (例: Stitcher)
• パブリッシャー <-> プライベートアプリ

以下のセクションでは、レイテンシベースのパブリッシャー選択が有効になっている場合の想定される動作、レイテンシベースのパブリッシャー選択機能が有効になっていない場合の動作、およびスティッキネスの仕組みについて説明します。

レイテンシに基づくパブリッシャー選定

レイテンシに基づくパブリッシャー選択機能が有効になっている場合、NPAはレイテンシに基づいて、設定済みのパブリッシャープールからユーザーに最も近いパブリッシャーを選択します。

この機能は、NPAゲートウェイとパブリッシャー間の遅延時間に基づいてパブリッシャーを選択することで、パフォーマンスを最適化し、より高速なアクセスを実現します。目標は、最もレイテンシの低いバウンダリからパブリッシャーを選択することで、ゲートウェイからパブリッシャーまでのレイテンシを削減することです。

ユースケース

地理的に分散されたアプリケーション（例えば、Active Directoryサービス）でレイテンシベースのパブリッシャー選択機能が有効になっている場合、レイテンシあたり最適なパブリッシャーが選択されることが期待され、それによってパフォーマンスが向上し、エンドユーザーエクスペリエンスが強化されます。

同様に、アプリケーション検出においても、スコープが定義されている場合、この機能を有効にすることで、エンドユーザーのトラフィックに対して最適なパブリッシャーが確実に選択されるようになります。

レイテンシに基づくパブリッシャー選定はどのように機能するのですか？

• NPAクライアントゲートウェイからパブリッシャーまでの遅延は、以下の2つの部分に分けられます。
  • NPAクライアントゲートウェイからパブリッシャーゲートウェイ（Stitcher）までのレイテンシ。
  • パブリッシャー間ゲートウェイ（Stitcher）のレイテンシ
• NPAクライアントゲートウェイは、 NPAクライアントゲートウェイからパブリッシャーへのレイテンシのルックアップに基づいて、接続のルーティング決定を行います。
• 遅延時間は事前に定義されたバケットごとに記録され、NPAクライアントゲートウェイは最も遅延時間の少ないルートを優先します。

クライアントゲートウェイからパブリッシャーまでの個々のレイテンシ測定値は、事前に定義されたレイテンシ範囲のバケットに分類されます（以下、ミリ秒単位）。

バケット: [0, 32), [32, 64), [64, 128), [128, 256), [256, 512), [512, 1024), など。

アルゴリズムは、最もレイテンシの低いバケットからパブリッシャーを選択します。例えば、プライベートアプリが定義されている場合、複数のパブリッシャーが利用可能であれば、ゲートウェイはレイテンシーが最も低いバケット[0-32]からパブリッシャーの1つを選択します。[0-32) ms バケットにパブリッシャーがない場合は、ゲートウェイは [32-64) バケットからパブリッシャーの 1 つを選択するように試み、以下同様に続きます。

レイテンシの上限値が32、64、128などのパブリッシャーは、高レイテンシのグループに分類されます。例えば、レイテンシが 32ms の Publisher は [32,64) レイテンシ バケットに分類され、レイテンシが 64ms の Publisher は [64,128) レイテンシ バケットに分類されます。

例えば、

Publisher	クライアントゲートウェイからパブリッシャーへのレイテンシ
出版社1	10 ms (preferred route)
出版社2	12 ms (preferred route)
出版社3	42 ms
出版社4	42 ms

レイテンシに基づくパブリッシャー選定のベストプラクティス

• 各リージョンのパブリッシャーインスタンスが、各リージョンのユーザートラフィックを処理できることを確認してください。レイテンシに基づくパブリッシャー選択機能がない場合、ユーザーは両リージョンのパブリッシャー間で負荷が分散される可能性があります。この機能により、パブリッシャーの選定がより予測可能になり、適切なキャパシティプランニングが必要となります。例えば、図では、カリフォルニア州のユーザーは、カリフォルニア州のパブリッシャーを介して、カリフォルニア州のアプリに接続することになります。カリフォルニア州の出版社は、カリフォルニア州のユーザーからのトラフィックを処理できることが不可欠です。
  
• Netskopeは、プライベートアプリをパブリッシャーのできるだけ近く（低遅延）に配置することを推奨しています。
• Netskopeは、この機能を有効にすることでメリットが得られるアプリとポリシーを特定することを推奨します。理想的には、複数のリージョンにパブリッシャーを持つグローバルに分散されたアプリケーションインスタンス（グローバルに分散されたADサーバーなど）が、この機能の恩恵を受けるはずです。レイテンシあたりの最適なパブリッシャーが選択されることが期待されます。
  レイテンシに基づく選択を行わない場合、最適とは言えないパブリッシャーが選択されてしまう可能性がある。

レイテンシベースのパブリッシャー選択が正しく機能していることを検証する方法

1. テナントに対して発行者選択フラグが有効になっている場合、デバイス評価でpublisher_selection:trueと表示されることを確認してください。
   1. Check the device assessment in the npadebuglog.log on the client machine.
   2. The publisher_selection flag should be true.
   3. 以下はmacOSマシンからのログのサンプルです。
2. テナントのUIに、選択したパブリッシャーのレイテンシー詳細が表示されていることを確認してください。
   1. Netskopeのテナントで Skope IT > Network Eventsに行ってください。
   2. View Publisher Latency Detailsをクリックすると、同じレイテンシーバケット内のパブリッシャーとレイテンシー範囲が表示されます。

FAQs

1つのプライベートアプリに複数のパブリッシャーが関連付けられています。NPAはどのようにしてユーザーに最適なパブリッシャーを選定するのですか？

例えば、以下のようなシナリオを考えてみましょう。

プライベートアプリ	提携出版社
#1 Jira	出版社1と出版社2
#2 SQL Server	出版社1、出版社3、出版社4
#3 Web Server	出版社1、出版社2、出版社3、出版社4

また、すべてのパブリッシャーがNetskope Cloudに接続されており、パブリッシャーからそれぞれのプライベートアプリにアクセス可能であると仮定します。

レイテンシベースのパブリッシャー選択が有効になっている場合

プライベートアプリケーション内で一連のパブリッシャーが定義されると、接続は最もレイテンシの低いバケットのパブリッシャープール全体に負荷分散されます。

ユーザーAがプライベートアプリ2と3の両方にアクセスできるとしましょう。

ユーザー A が初めてプライベート アプリ #2 にアクセスすると、パブリッシャー #1 のレイテンシー バケットは [32,64) ms であり、パブリッシャー #3 と #4 はレイテンシー バケット [0,32) ms 内にあるとします。このシナリオでは、 NPAゲートウェイは、レイテンシが最も低いバケットパブリッシャープールの1つに属するパブリッシャー#3をランダムに割り当てる可能性があります。ユーザーAとプライベートアプリ#2に対する以降のすべてのリクエストは、パブリッシャー#3が接続/アクティブな状態である限り、同じパブリッシャー#3を経由します。

同じユーザー A がプライベート アプリ #3 にアクセスしようとすると、これは新しい TCP/UDP フローであるため、 NPA Gateway はプライベート アプリ #3 のアクティブなパブリッシャー リストを取得し、レイテンシが最も低いバケット プールからパブリッシャーを選択します。これはパブリッシャー #1 になる可能性があります。

ユーザーBが初めてプライベートアプリ#2にアクセスする際、トラフィックはパブリッシャー#1を経由する可能性があります。これは、パブリッシャー#1がユーザーBにとって最もレイテンシーの低いバリュエーションに属するパブリッシャーの1つであるためです。同様に、ユーザーBとプライベートアプリ#2からの以降のすべてのリクエストも、同じパブリッシャー#1を経由します。

プライベートアプリごとに、ユーザーに対してパブリッシャーの定着性が維持されることが期待されます。プライベートアプリごとのユーザーのスティッキーは、クライアントが新しいSRPを取得するか、トンネルが再接続されるまで、またはパブリッシャーが接続/アクティブな状態である限り維持されます。

レイテンシベースのパブリッシャー選択が有効になっていない場合

プライベートアプリ内でパブリッシャーのセットが定義されると、接続は異なるパブリッシャー間で負荷分散されます。

ユーザーAがプライベートアプリ1と2の両方にアクセスできるとしましょう。

ユーザーAが初めてプライベートアプリ#1にアクセスしたとき、パブリッシャー#1が選択されたとします。ユーザーAおよびプライベートアプリ#1からの以降のすべてのリクエストは、同じパブリッシャー#1を経由します。

同じユーザー A がプライベート アプリ #2 にアクセスしようとすると、新しい TCP/UDP フローとなるため、 NPAゲートウェイはプライベート アプリ #2 のアクティブなパブリッシャー リストを取得し、パブリッシャー (パブリッシャー #1、パブリッシャー #3、パブリッシャー #4) のいずれかを選択します。

ユーザーBが初めてプライベートアプリ#1にアクセスする際、そのトラフィックはユーザーAの場合のようにパブリッシャー#1を経由するのではなく、パブリッシャー#2を経由する可能性があります。同様に、ユーザーBとプライベートアプリ#1からの以降のすべてのリクエストは、同じパブリッシャー#2を経由します。

レイテンシーベースのパブリッシャー選択と同様に、プライベートアプリごとにユーザーに対してパブリッシャーの定着性が維持されることが期待されます。この粘着性は新しい SRP クライアントまたはトンネルの再接続によって取得されるか、パブリッシャーが接続/アクティブな状態を維持している限り。

セッションに選ばれた出版社はどこで確認できますか？

選択された発行元は、ネットワークイベント内で確認できます。Netskopeテナントで、 Skope IT > Network Eventsに移動します。