Introducción
Este documento describe cómo resolver problemas de compatibilidad entre Netskope y el cliente de roaming de Umbrella.
Overview
Este KBA está dirigido a los usuarios del proxy de Netskope que experimentan un problema en el que el cliente de roaming no puede sincronizar con el panel de Umbrella. Esto provoca que el cliente de roaming no se active correctamente en la red. En este artículo se trata la exclusión de las sincronizaciones del proxy de Netskope.
Esta información se aplica a los clientes de roaming en Windows y MacOS.
Impacto
Cuando SSL se tuneliza a través del proxy de Netskope, dirigiendo el tráfico SSL a los servidores de Netskope, el cliente de roaming no puede sincronizarse correctamente con Umbrella. Esto hace que permanezca en un estado no protegido y no cifrado. En algunos casos, el cliente puede ir cifrado antes de la primera sincronización, lo que da lugar a un problema conocido que provoca un error al resolver los dominios internos (que no están en la lista de sufijos de búsqueda de DNS local).
Varias aplicaciones nativas se comportan con Netskope como si estuvieran ancladas a certificados, lo que hace que no se acepten certificados de terceros. Esta fijación se produce como resultado de la estructura criptográfica de .NET utilizada por el cliente de itinerancia.
Resolución: Omitir cliente de roaming del proxy
La solución es excluir el proceso de servicio del cliente de roaming de ser dirigido a través del proxy de Netskope a través de su función "Certificate Pinned Applications".
Las aplicaciones, si se definen, permiten bloquear o omitir una aplicación. Si selecciona Omitir (necesario para la sincronización del cliente de itinerancia), el cliente Netskope no dirige el tráfico desde el punto final al proxy Netskope en la nube y las aplicaciones siguen funcionando. Si selecciona Bloquear, el cliente Netskope bloquea el tráfico. De forma predeterminada, se omiten todas las aplicaciones, pero la configuración necesaria es omitir el servicio del cliente de roaming.
Para editar las aplicaciones fijadas de certificado y agregar el servicio de cliente de roaming de Umbrella, siga estos pasos:
- Vaya a Configuración > Administrar > Aplicaciones ancladas de certificado > Configuración avanzada. Se muestra la ventana Advanced Settings (Parámetros avanzados).
- En la ventana Configuración avanzada, seleccione Configuración personalizada para cada aplicación. Utilice estos subpasos para agregar un servicio/aplicación personalizado
- En la lista Aplicación, seleccione Microsoft Office 365 Outlook.com (no hay ninguna opción de Umbrella, esto nos permite avanzar) y, para Acción, seleccione Omitir.
- En Modo, seleccione Directo.
- En el campo Proceso del Plugin, ingrese "ercservice.exe" para el cliente de roaming autónomo. Para el módulo de roaming de AnyConnect, ingrese "acumbrellaplugin.exe".
- Haga clic en Submit (Enviar). Se cerrará la configuración avanzada.
- En el equipo cliente, reinicie el agente Netskope para obtener inmediatamente estos nuevos parámetros. (Normalmente, el cliente se actualiza en el plazo de una hora cuando los clientes se ponen en contacto con Netskope para obtener actualizaciones.)
La configuración avanzada existe. Se cree que cualquiera de los dos escenarios funciona; sin embargo, se recomienda Bypass + Direct.
- Omisión + Directa: Si selecciona esta opción, omitirá las aplicaciones/dominios configurados del cliente. No se traslada a Netskope.
- Omisión + Túnel: Si selecciona esta opción, el cliente tuneliza el tráfico de las aplicaciones/dominios, pero el proxy de Netskope lo omite. Esta opción es útil para dominios asociados con un servicio de autenticación SSO porque estos servicios utilizan la IP de origen de la nube de Netskope para determinar si Netskope protege el acceso a la aplicación en la nube.
Comentarios