Netskope SAML FPセッションの動作
Netskope SAML Forward Proxyは、IPアドレスとユーザーのセッションマッピングおよび認証トークンを維持します。IPアドレスとユーザーのマッピング設定は、すべてのテナントに適用されるグローバル設定です。認証トークンの有効期間は、テナントごとに1日から180日までカスタマイズできます（デフォルトは7日間）。その他の要因としては、以下のようなものがあります。
- Netskopeユーザーを識別するために、NS Auth CookieとユーザーとIPアドレスのマッピングを組み合わせたハイブリッド方式を採用しています。
- NetskopeはIPセッションキャッシュを24時間保持します。Netskopeのクッキーは、24時間ごとに再検証されます。
- Netskope AuthのCookieの有効期限は7日間です。したがって、この7日間は再認証は不要です。
- ブラウザにCookieを保存するCookieベースの認証方法もあります。この使用ケースは主に内部 NAT の背後にあるデバイス用ですが、複数のユーザーが同じサーバーに同時にログオンする Citrix XenApp ホスト環境にも使用できます。
Skope ITで、トラフィックがIPSec/GREから来ているかどうかを確認するにはどうすればよいですか？
You can add the Access Method column and check for IPSec or GRE.
 |
 |
IPSec/GREでユーザー名の代わりにIPアドレスが表示されるのはなぜですか？
IPSec/GREは、次のような場合にIPアドレスを表示します。
- SAML認証は有効になっていません。
- デバイス分類は、 Netskope Clientのクライアント構成で有効になっていません。
IPSec/GREは、ユーザー名を表示したり、ユーザー認証をサポートしたりするように設定できますか？
はい、IPSec/GREはユーザー名を表示でき、ユーザー認証もサポートしています。これを実現するには、いくつかの方法があります。
- IPSec/GRE用のIDPを使用してSAML認証を設定します。
- Netskopeテナントに Directory Importer または SCIM 統合を使用してユーザーをオンボードし、 Netskope Clientエンドポイントに展開して、IPSec/GRE 経由でユーザー ID を提供します。
IPSec/GREを使用するために、Netskopeテナントにユーザーをプロビジョニングする必要はありますか？
いいえ、テナント内のトラフィックにおけるユーザーIDを取得するためにユーザー認証のみを行う場合は、テナントにユーザーをプロビジョニングする必要はありません。 However, it is strongly recommended to provision users and groups into the tenant.
ユーザーがプロビジョニングされていない場合、以下の制限が適用されます。
- 特定のユーザーまたはグループにポリシーを割り当てることはできません。
- リアルタイムポリシーはすべてのユーザーに適用されますが、送信元（ユーザーのIPアドレス）に基づいてフィルタリングするオプションがあります。これは、ほとんどの組織のデバイスでは DHCP を使用することができないため、IP が変更される可能性があります。
IPSec/GREはSSL復号バイパスポリシーをサポートしていますか？
はい、IPSec/GREはSSL復号バイパスポリシーをサポートしています。
これは、ドメイン、カテゴリ（事前定義済み／カスタム）、送信元ロケーション（ユーザー／送信元IP）などの特定の基準に適用できるほか、これらのマッチング基準の組み合わせにも適用できます。
注記
Netskope SAML Forward Proxy を介してユーザーが認証された場合、IPSec/GRE を介してルーティングされるトラフィックの SSL 復号化ポリシーでは、ユーザー/グループ/OU の基準もサポートされます。
IPSec/GREは高度なDLPと高度な脅威対策をサポートしていますか？
Yes.
IPSec/GREはステアリング例外をサポートしていますか？
はい、IPSec/GREは、送信元IPアドレス、ドメイン、カテゴリ（事前定義またはカスタム）、宛先、および送信元国に対するステアリング例外をサポートしています。ステアリング例外はプロキシをバイパスし、すべてのリアルタイムポリシーと脅威ポリシーをバイパスするだけでなく、SSLもバイパスします。
IPSec/GREは複数のステアリング例外設定をサポートしていますか？
はい、Netskope SAMLフォワードプロキシ経由でユーザー認証を行う場合、複数のステアリング構成がサポートされます。SAMLフォワードプロキシが無効になっている場合、またはユーザーが認証されていない場合は、デフォルトのステアリング設定がユーザー/エンドポイントに適用されます。
IPSec/GREは証明書ピン留めステアリング例外をサポートしていますか？
いいえ、IPSec/GREはアプリケーションがブラウザ経由でアクセスされたのか、ネイティブアプリケーション経由でアクセスされたのかを識別できないため、例外処理における証明書ピン留めアプリケーションはサポートされていません。
IPSec/GREを使用してトラフィックをNetskopeクラウドプロキシにルーティングしている場合、ネイティブアプリのみをバイパスしてブラウザベースのアクセスを検査するオプションは利用できません。
IPSec/GREでは、ステアリング例外イベントはログに記録されますか？
はい、それらはSkope IT > Page Eventsの下に表示されます。
 |
 |
 |
IPSec/GREではSNIエラー設定はサポートされていますか？
はい。以下は、ブラウザに表示されるSNIエラーメッセージの例です。
 |
 |
注記
送信元IPアドレス、カテゴリ、またはドメインに対してSSL復号化ポリシーまたはステアリング例外が設定されている場合、トラフィックが傍受されてSNIエラールールがチェックされないため、SNIエラー設定は適用されません。
Netskope Client 、IPSec/GREを検出した際に自動的に無効化されますか？
はい、Netskope Client がネットワークの変更を検出すると (例:LAN から Wi-Fi への接続）、クライアント サービスの再起動、またはデバイスの電源オン/再起動が発生すると、クライアントは他のステアリング方式をチェックし、IPSec/GRE を検出した場合は自身を無効にします。The achecker-<tenant URL> needs to be steered to IPSec/GRE for the Client to detect and disable itself 。
Netskope Client IPSec/GREにユーザーIDを提供できますか？
はい、テナントUIのSettings > Devices > Client Configurationsで、 「クライアントがトラフィックをトンネリングしていないときに、デバイス分類とクライアントベースのエンドユーザー通知を有効にする」を有効にする必要があります。これは、電子メール招待、IdP モード、シングル ユーザー、およびマルチユーザー モードに適用されます。
 |
注記
ローカルアカウントはマルチユーザーモードではサポートされていません。クライアントは無効のままとなり、ユーザーIDは提供されません。
Netskope Clientインストールされ、フォワードプロキシSAML認証が有効になっている状態でIPSec/GREに設定されている場合でも、ユーザーに認証を求めるプロンプトが表示されますか？
いいえ、クライアントがユーザーIDを提供するため、ユーザーに認証を求めることはありません。
Netskope ClientとIPSec/GREでは、デバイス分類（管理対象／管理対象外）は機能しますか？
No.
IPSec/GREトンネルにトラフィックを誘導するにはどうすればよいですか？
IPSec/GREトンネルにトラフィックを誘導するには、2つの方法があります。
- ポリシーベースルーティング。
- PACファイルを使います。 1つのIPアドレス/ポートのトラフィックをIPSec/GREトンネルにルーティングするように設定します。