Netskope 、iOS デバイス用の XenMobile オンデマンド VPN をサポートしており、ユーザーのデバイスが企業リソースに安全に接続できるようになります。 iOS向けオンデマンドVPNのXenMobileの設定は、主に以下のタスクで構成されます。
- Add a PKI Entity.
- クレデンシャル プロバイダーを追加します。
- クレデンシャルのポリシーを追加します。
- VPN ポリシーを追加します。
- モバイルデバイスにCitrix Secure HubのiOSアプリをインストールし、デバイスを登録してください。この作業については、この文書では扱っていません。詳細については、 Citrix製品のドキュメントを参照してください。
前提条件
始める前に、Netskope UI を開き、 Settings > Security Cloud Platform > Netskope Client > MDM Distributionに移動して、下にスクロールして「VPN 構成の作成」セクションを探してください。
このセクションから以下のコード文字列をコピーしてください。
- 組織ID。 これは、XenMobile証明書署名要求ページのOUエントリに必要です。
- VPNサーバー名。XenMobile VPN の情報ページのサーバー名入力欄に必要です。 情報ページ。
- PAC URL: XenMobile VPNのプロキシサーバーURLに必要です。 プロキシページ。
XenMobile クレデンシャルプロバイダーの配布ページにインポートするには、CA 証明書も必要です。
iOS VPNのフェイルオープンに関する情報については、 「iOS VPNフェイルオープン」を参照してください。
iOS向けオンデマンドVPN用にXenMobileを設定する
iOS向けオンデマンドVPNでXenMobileを設定するには：
- XenMobileアカウントにログインしてください（https://xms.bowlins.com:4443）。証明書管理で、 Settings > PKI Entitiesに移動し、[追加] をクリックして、[Microsoft 証明書サービス エンティティ] を選択します。これは、この手順の後半で新しいクレデンシャル プロバイダーをセットアップするときに使用します。
- 一般情報については、以下のパラメータを入力してください。
- 名前：このエンティティに固有の名前を入力してください。
- ウェブ登録サービスのルートURL：アカウントのルートURLを入力してください。例えば、
https://RootCA-URL/certsrv。 - certnew.cer ページ名: デフォルト設定のままにしてください。
- certfnsh.asp:デフォルト設定のままにしてください。
- 認証タイプ:
Client Certificate。 - SSLクライアント証明書：XenMobileクライアント証明書を発行するために使用されるユーザー証明書をインポートします。 XenMobileクライアント証明書を発行します。
完了したら、 Nextをクリックしてください。
- テンプレートの場合は、 Addをクリックし、Microsoft 証明書の設定時に作成したテンプレートの名前を入力してから、 Saveをクリックします。完了したらNextをクリックしてください。
- HTTP パラメータをスキップしてNextをクリックしてください。
- CA証明書については、XenMobileクライアント証明書からインポートされたチェーンの一部である、ご使用の環境に対応するルートCAを選択してください。証明書が存在しない場合は、 Import certificateをクリックしてCA証明書を追加し、それを選択してください。完了したら、 Saveをクリックしてください。
- PKI エンティティを作成した後、クレデンシャル プロバイダーを追加する必要があります。 [証明書管理] で、 Settings > Certificate Management > Credentials Providersに移動し、 Addをクリックして新しいクレデンシャル プロバイダーを作成します。
- 「一般」ページで、以下のパラメータを入力してください。
- 名前: 一意のクレデンシャルプロバイダー名を入力します。
- 発行エンティティ：手順2で作成したMicrosoft証明書サービスエンティティSelect 。
- 発行方法:
Sign。 - テンプレート：手順3で作成したテンプレートSelect 。
完了したら、 Nextをクリックしてください。
- 証明書署名要求ページで、以下のパラメータを入力してください。
- 主要アルゴリズム：
RSA - キーのサイズ:
2048 - 署名アルゴリズム:
SHA1withRSA - 被験者名:
CN=$user.mail,emailAddress=$user.mail,OU=<Organization ID from the Netskope UI>,O=Citrix Systemsを入力してください。
完了したら、 Nextをクリックしてください。
- 主要アルゴリズム：
- 配布ページで、以下のパラメータを入力してください。
- CA証明書の発行：ドロップダウンリストから証明書Select 。 証明書をインポートするには、 Import CA certificateをクリックしてください。
- 配布モードSelect ：
Prefer centralized: Server-side key generationSelect 。
完了したら、 Nextをクリックしてください。
- XenMobileの取り消しページで、以下のパラメータを入力してください。
- 発行済み証明書の失効：これらのオプションはいずれも有効にしないでください。
- 通知を送信:
Off。 - PKI の認証を取り消す:
Off。
完了したら、 Nextをクリックしてください。
- 失効PKIページで、「外部失効チェックを有効にする」が
Offになっていることを確認してください。
完了したら、 Nextをクリックしてください。
- 更新ページで、以下のパラメーターを入力してください。
- 証明書の有効期限が切れたら更新します:
On。 - 証明書の有効期限が
30日以内になったら更新してください。 - 通知を送信:
Off。 - 証明書の有効期限が近づいたら通知します:
Off。
完了したら、 Saveをクリックしてください。
- 証明書の有効期限が切れたら更新します:
- 今、デバイスポリシーのためにクレデンシャルを設定してください。 Configure > Device Policiesに移動してMoreをクリックすると、オプションが展開されます。セキュリティの下にあるCredentialsをクリックします。
- iOSのみがプラットフォームとして選択されていることを確認し、一意のポリシー名を入力してください。
完了したら、 Nextをクリックしてください。
- 以下のパラメータを入力してください。
- クレデンシャルのタイプ:
Credential Provider。 - クレデンシャル プロバイダー: Netskopeクレデンシャル プロバイダー (上記の手順 3 で作成したもの) Select 。
- ポリシーを削除します:
Select date。 - ユーザーがポリシーを削除することを許可します:
Always。
完了したら、左側のパネルのAssignmentをクリックしてください。
- クレデンシャルのタイプ:
- 「配送グループを選択」で、
AllUsersを選択してください。
完了したら、 Saveをクリックしてください。
- 今、VPNポリシーを作成しましょう。 Configure > Device Policiesに移動し、 Addをクリックしてから、 VPNをクリックしてください。
- iOS が唯一のプラットフォームとして選択されていることを確認し、一意の VPN ポリシー名を入力します。
完了したら、 Nextをクリックしてください。
- iOSのみがプラットフォームとして選択されていることを確認し、以下のパラメータを入力してください。
- 接続名：一意の接続名を入力してください。
- 接続タイプ:
IPSec - サーバー名またはIPアドレス:Netskope UIの「Create VPN Configuration 」セクションからVPNサーバー名を入力してください(Settings > Security Cloud Platform > Netskope Client > MDM Distribution)。
- ユーザーアカウント：任意でユーザーアカウント名を入力してください。
- 接続の認証タイプ:
Certificate。 - Identity クレデンシャル: クレデンシャル ポリシー (上記のステップ 11 で作成したもの) Select 。
- 接続時にPINの入力を求める:
Off。 - VPNをオンデマンドで有効にする:
On。 - 次に、オンデマンドルールのパラメーターを入力します。
- オンデマンドルール:
EvaluateConnection。 - InterfaceTypeMatch:
Unspecified。
- オンデマンドルール:
- 次に、アクションパラメータを入力します。
- ActionParameters:Domains: オンデマンドドメインを追加します (例:
app.box.com)。ヒント
オンデマンドドメインを1つずつ追加するのではなく、複数のオンデマンドドメインを一度に追加したい場合は、以下に示すようにオンデマンドドメインを含むXMLファイルを作成し、そのコードをOnDemandRules:XMLコンテンツフィールドに貼り付けてください。
<array> <dict> <key>Action</key> <string>EvaluateConnection</string> <key>ActionParameters</key> <array> <dict> <key>Domains</key> <array> <string>.salesforce.com</string> <string>login.salesforce.com</string> <string>app.box.com</string> </array> <key>RequiredURLStringProbe</key> <string>http://addontemp.dp.local/dlr/mac/x1bgjyzwNbwo2u</string> <key>DomainAction</key> <string>ConnectIfNeeded</string> </dict> </array> </dict> </array> - ActionParameters:DomainAction:
ConnectIfNeeded. - RequiredURLStringProbe: プローブするHTTPまたはHTTPSのURLを入力してください。
- ActionParameters:Domains: オンデマンドドメインを追加します (例:
- Next, add the Proxy parameters:
- プロキシ設定:
Automatic。 - プロキシサーバーURL: Netskope UIの[VPN構成の作成]セクションからPAC URLを入力します( Settings > Security Cloud Platform > Netskope Client > MDM Distribution )。
- ポリシーを削除します:
Select date。 - ユーザーがポリシーを削除することを許可します:
Always。
- プロキシ設定:
- 左側のパネルでAssignmentをクリックし、以下のパラメータを入力してください。
- 配送グループを選択してください:
AllUsers。 - これらのオプションを表示するには、「展開スケジュール」セクションを展開してください。
展開する：
On - 展開スケジュール:
Now。 - 展開条件:
On every connection。 - 常時接続用にデプロイします:
On。
- 配送グループを選択してください:
- 完了したら、 Saveをクリックしてください。
XenMobileオンデマンドVPNの設定が完了しました。デバイスにCitrix Secure HubのiOSアプリをインストールし、その後サーバーログインやユーザーログインなどを行ってデバイスを登録できます。詳細については、 Citrix製品のドキュメントを参照してください。
iOSアプリごとのVPN用にXenMobileを設定する
デフォルトでは、すべてのNetskopeテナントはオンデマンドiOS VPNに設定されています。Per-App iOS VPN プロファイルを使用したい場合は、営業担当者、プロフェッショナル サービス担当者、カスタマー サクセス マネージャー、またはサポートに連絡して、Per-App VPN を有効にしてもらいます。
iOSアプリごとのVPN用にXenMobileを設定するには：
- XenMobileアカウントにログインしてください（https://xms.bowlins.com:4443）。Configure > Appsに移動し、 Addをクリックして、次に「Public Store App」を選択します。
- アプリ名とデスクリプションを入力します。
重要
iPhoneとiPadのみをプラットフォームとして選択すべきである。
完了したら、 Nextをクリックしてください。
- ステップ1で入力したアプリを検索してください。
- アプリSelect 、以下のパラメーターを入力してください。
- 名前：そのままにするか、新しい名前を入力してください。
- デスクリプション: そのままにするか、新しいデスクリプションを入力します。
- パッドアプリ:
OFF。 - MDMプロファイルが削除された場合はアプリを削除します:
ON。 - アプリデータのバックアップを防止する:
ON。 - アプリを管理対象にする:
ON。 - デバイスへのライセンス関連付けを強制:
ON。
完了したら、 Nextをクリックしてください。
- iPadについても手順3と4を繰り返してください。
- 左側のパネルで「配送グループ割り当て」 Select 、 AllUsersを選択して、 Saveをクリックします。
- ◇ アプリインベントリポリシーを設定します。 Configure > Device Policiesに移動してAddをクリックしてください。Moreをクリックしてオプションを展開し、「アプリ」の下にある「アプリインベントリ」を選択します。
- ポリシー名を入力し、 Nextをクリックします。
- iOS が唯一のプラットフォームとして選択されていること、および iOS ポリシーがONであることを確認してください。 完了したら、 Nextをクリックしてください。
- 割り当てページで、 AllUsersなどの配信グループを選択し、 Saveをクリックします。
- 今、デバイスポリシーのためにクレデンシャルを設定してください。 Configure > Device Policiesに移動してMoreをクリックすると、オプションが展開されます。セキュリティの下にあるCredentialsをクリックします。
- 固有のポリシー名を入力し、 Nextをクリックしてください。
- iOSのみがプラットフォームとして選択されていることを確認し、以下のパラメータを入力してください。
- クレデンシャルのタイプ:
Credential Provider。 - クレデンシャルプロバイダー: NetskopeクレデンシャルプロバイダーSelect (ドロップダウンリストにNetskopeクレデンシャルプロバイダーが表示されない場合は、 「XenMobile for iOSオンデマンドVPNの構成」の手順1～9を参照してNetskopeクレデンシャルプロバイダーを作成します)。
- ポリシーを削除します:
Select date。 - ユーザーがポリシーを削除することを許可します:
Always。
完了したら、左側のパネルのAssignmentをクリックしてください。
- クレデンシャルのタイプ:
- 「配送グループを選択」で、 AllUsersを選択してください。
完了したら、 Saveをクリックしてください。
- 今、VPNポリシーを作成しましょう。 Configure > Device Policiesに移動し、 Addをクリックしてから、 VPNをクリックしてください。
- iOS が唯一のプラットフォームとして選択されていることを確認し、一意の VPN ポリシー名を入力します。
完了したら、 Nextをクリックしてください。
- iOSのみがプラットフォームとして選択されていることを確認し、以下のパラメータを入力してください。
- 接続名：一意の接続名を入力してください。
- 接続タイプ：この接続に適用するタイプSelect 。
- サーバー名またはIPアドレス: Netskope UI ( Settings > Security Cloud Platform > Netskope Client > MDM Distribution > Create VPN ConfigurationからVPNサーバー名を入力します。
- ユーザーアカウント：任意でユーザーアカウント名を入力してください。
- 接続の認証タイプ：
Certificate - Identity クレデンシャル: クレデンシャル ポリシー (上記のステップ 12 で作成したもの) Select 。
- 接続時にPINの入力を求める：
OFF - VPNをオンデマンドで有効にする：
OFF - Enable per-app VPN:
ON - オンデマンドマッチアプリが有効になりました。
ON - ActionParameters:DomainAction:
ConnectIfNeeded. - RequiredURLStringProbe: プローブするHTTPまたはHTTPSのURLを入力してください。
- Next, add the Proxy parameters:
プロキシ設定:
Automatic。 - プロキシサーバーURL: Netskope UIからPAC URLを入力してくださいSettings > Security Cloud Platform > Netskope Client > MDM Distribution > Create VPN Configuration 。
- ポリシーを削除します:
Select date。 - ユーザーがポリシーを削除することを許可します:
Always。
- 左側のパネルでAssignmentをクリックし、以下のパラメータを入力してください。
- 配送グループを選択してください：
AllUsers - これらのオプションを表示するには、「展開スケジュール」セクションを展開してください。
展開する：
On - 展開スケジュール：
Now - 展開条件:
On every connection - 常時接続のための展開：
On
- 配送グループを選択してください：
- 完了したら、 Saveをクリックしてください。
- ◇ アプリ属性ポリシーを作成します。 Configure > Device Policiesに移動してAddをクリックしてください。Moreをクリックしてオプションを展開し、「アプリ」の下にある「アプリ属性」を選択します。
- ユニークなApp Attributesポリシー名を入力し、 Nextをクリックします。
- 以下のパラメータを入力してください。
- 管理対象アプリバンドルID：手順2で選択したアプリのアプリID Selectドロップダウンリストにない場合は、 Add Newをクリックして入力してください。
- アプリごとのVPN識別子：VPN Selectステップ16で作成した名前を選択してください。
完了したら、 Nextをクリックしてください。
- 配送グループSelect 、 Saveをクリックします。
XenMobileのアプリ別VPNの設定が完了しました。デバイスにCitrix Secure HubのiOSアプリをインストールし、その後サーバーログインやユーザーログインなどを行ってデバイスを登録できます。詳細については、 Citrix製品のドキュメントを参照してください。
iOS VPN オープン失敗
フェールオープン機能により、デバイスを使用する iOS VPN からのトラフィックがNetskopeバイパスし、アプリまたはサービスに直接送信できるようになります。 フェール オープンが有効になっている場合、すべての iOS デバイスはトラフィックをNetskopeに誘導しなくなります。 フェイルオープンは、Netskopeがサービスの中断によって開始した場合、および管理者がNetskopeのUIで有効にした場合に発生します。
iOS VPNでフェイルオープンを有効にするには：
- NetskopeのUIで Settings > Security Cloud Platform > MDM Distributionに移動します。
- 「VPN構成の作成」セクションで、iOS VPNが正常に動作していることを確認してください。そうであれば、
アイコンをクリックすると、詳細設定ダイアログボックスが開きます。
- トグルを有効にしてから、 Saveをクリックしてください。