*.acme.comのようなワイルドカードのプライベート アプリ セグメント定義の場合、パブリッシャーの反対側に実際の DNS レコードが存在するかどうかに関わらず、 SRPに一致するホスト名に対してスタブ IP ( 100.64.0.0/16 ) が返されます。
このワイルドカードアプリ検証機能が有効になっている場合、 Netskope Clientによって傍受されたDNSリクエストは、ドメインが内部ネットワーク上で解決できるかどうかを判断するためにパブリッシャーに送信されます。 解決できないドメインの場合、DNSリクエストはローカルネットワークに送信され、NPAによるトラフィックのルーティングから除外されます。これは、アプリセグメントの発見などの重要なケースにとって非常に役立つ可能性があります。存在しないドメインを誘導しないようにし、内部と外部の両方で共有されているドメインにも役立ちます。
注記
NPAのプライベートドメインは、パブリックドメインとは分離されるべきである。代わりに特定のプライベートドメインを設定できます。 パブリックドメインと重複するワイルドカードドメインの代わりに。
使うケース
- プライベートアプリセグメントアプリの定義:
*.acme.com - 定義に一致するアプリが 3 つあると仮定します。
support.acme.com(NPA を介して制御されない、かつパブリッシャーによって解決できない)、jira.acme.com(NPA を介して制御される)、mytest.jira.acme.com(NPA を介して制御される)、test.acme.com(存在しないドメイン)。 - エンドユーザーが上記の4つのアプリにアクセスしようとします。
期待される動作は以下のとおりです。
|
ドメイン | Behavior |
|---|---|
|
| Netskope Client検証のためにDNSリクエストをパブリッシャーに送信します。 パブリッシャーはクライアントにNXDOMAINを返します。その後、DNSリクエストはローカルネットワークに送信されます。ここで重要な違いは、ローカルDNSリゾルバがドメインを正常に解決し、トラフィックをSWG経由または直接宛先にルーティングできるかどうかにある。 |
|
| Netskope Client検証のためにDNSリクエストをパブリッシャーに送信します。 解決が成功すると、クライアントに通知され、スタブIP（ 100.64.0.0/16 ）が割り当てられてキャッシュされます。交通の流れはNPA経由で円滑に行われるでしょう。 |
test.acme.com | Netskope Client検証のためにDNSリクエストをパブリッシャーに送信します。 パブリッシャーはクライアントにNXDOMAINを返します。その後、DNSリクエストはローカルネットワークに送信されます。 |
注記
- この機能は、NetskopeリリースR114以降で一般提供されています。この機能を有効にするためのコンタクトNetskopeサポート。 R116 以降、この機能は新しいテナントでデフォルトで有効になります。
- この機能は、プライベートアプリへのアクセスに必要な前提条件です。 PQDN が機能するための前提条件です。
- この機能をサポートするために必要なNetskope Client最小バージョンはR111以上です。 R110以下のバージョンでは、この機能は動作しません。
- Publisherのバージョンに依存しません。