内容

お問い合わせ内容

ZTNAクライアントレスを介して公開されるブラウザベースのアプリケーションに対してアクセス制御を実装しようとすると、特定の許可リストに掲載されたパブリックIPアドレスに基づいてアクセスを制限する機能が設定オプションとして利用できないことがわかります。要件は、カスタムドメインを使用してZTNA Clientless経由でアクセスするアプリケーションの他のすべての送信元IPをブロックしながら、指定された送信元IPアドレスからのアクセスのみを許可することです。

環境

- Cisco Secure Access - Zero Trust Network Access(ZTNA)

- ZTNAクライアントレス（ブラウザベースのアクセス）

- カスタムドメインを使用して公開されたアプリケーション

- すべてのソフトウェアバージョンが該当

解決策

ZTNAクライアントレスURLの送信元IPアドレスベースのアクセス制限は、Cisco Secure Accessプラットフォームではサポートされていません。この制限は、カスタムドメインまたは標準のZTNA URLのどちらを使用するかに関係なく、ZTNAクライアントレスを通じて公開されるすべてのアプリケーションに適用されます。

ZTNAクライアントレスアーキテクチャは、アプリケーションレベルでIPベースのアクセスコントロールリスト(ACL)または許可リスト機能を実装する機能を提供しません。アクセスコントロールは、ゼロトラストフレームワーク内の次のような他の認証および認可メカニズムによって管理されます。

- ユーザIDの検証

- デバイスポスチャ評価

- 多要素認証

- アプリケーション固有のポリシー

発信元IPベースのアクセス制御を必要とする組織は、代替アプローチを検討するか、またはこの機能を含む可能性のある将来の製品拡張を待つ必要がある可能性があります。

機能拡張要求を提出するために、シスコアカウントチームに連絡してください。

原因

ZTNAクライアントレスサービスアーキテクチャには、現在の機能セットの一部として、送信元IPアドレスのフィルタリング機能は含まれていません。これは、設定の問題ではなく、製品の制限です。

関連コンテンツ

- シスコのテクニカルサポートとダウンロード