Netskope Global Technical Success (GTS)

[Spanish Language] Mejores prácticas para gestionar el tráfico de invitados con Netskope

Netskope Cloud Version - 122

Objetivo

Gestionar el tráfico de usuarios invitados de forma transparente

Prerrequisito

Se requiere licencia de Netskope SWG

Contexto

En este contexto, sugerimos dirigir el tráfico de Invitados a Netskope Cloud Proxy a traves del tunel de IPSec/GRE! El direccionamiento de IPSEC/GRE es utilizado cuando el cliente/agente de Netskope no puede ser instalado en la estación de trabajo (ver KB relacionado aqui). 

Un escenario válido es controlar y filtrar el tráfico de usuarios invitados, tales como redes Wifi de invitados, solo para este caso de uso  las redes Wifi de invitados deben insertarse en el túnel IPSEC/GRE.

⚠️En este caso de uso si las políticas de descifrado no están bien configuradas, los usuarios pueden encontrarse con los errores típicos de SSL:The untrusted certificate!
Esto pasa cuando la aplicación o el OS del cliente no confia en la CA de Netskope, a continuación dos ejemplos de errores ssl:

Para evitar estos errores SSL, deshabilitaremos el descifrado (inspección de contenido Web) para el tráfico de Invitados y lo controlaremos (con algunas limitaciones) realizando la búsqueda de URL del SNI (Indicación del nombre del servidor) en las transacciones SSL.

Limitaciones

Como se mencionó anteriormente, la desactivación de la inspección de contenido web introduce algunas limitaciones, en detalle:

• No se puede determinar la actividad de la aplicación >>> Tendremos que trabajar solo en la actividad de “Browse”
• No se puede inspeccionar la descarga de archivos (incluyendo archivos de Malware y archivos confidenciales comerciales)
• No se puede inspeccionar la carga de archivos (incluyendo archivos de Malware y archivos confidenciales comerciales)
• No se pueden inspeccionar las cadenas o los comentarios publicados, etc.
• No se puede personalizar la página de Alerta de usuario con el logotipo de la empresa o un aviso personalizado (los usuarios recibirán un error genérico como se muestra más adelante en la sección de Prueba)

Configuración

Paso #1. Defina una ubicación de red en el menú “Policies > Profiles > Network Location” para identificar las redes de Invitados

Ingrese una o más redes de Invitados en el formado CIDR format como se indica a continuación

Asigne un nombre a la ubicación de red como se indica a continuación y luego Aplique los cambios

Paso #2. Defina una politica de descifrado SSL con la acción Do Not Decrypt (DND) en el menú “Policies > SSL Decryption” con la “Source IP” como criterio de origen como se indica abajo, para deshabilitar la inspección del tráfico de Invitados, esto será muy útil para evitar introducir errores SSL a clientes “Invitados” que no confían en la CA de Netskope.

Paso #3. Defina una política de protección de tiempo real en el menú “Policies > Real-time Protection” con el “Source IP” como criterio de origen y las categorías que desee bien sea permitir o bloquear.

Paso #4. Si usted tiene habilitado SAML Forward proxy, deshabilite la autenticación (authentication bypass) desde el menú “Settings >>> Security Cloud Platform >>> Forward Proxy >>> SAML” como se muestra abajo

⚠️ RECOMENDACIONES: Dado que no hay visibilidad completa del contenido web (ver Limitaciones más arriba) recomendamos lo siguiente:

• Deje el criterio de “Actividad” vacío para que coincida con todas las actividades de “Browse” (no hay visibilidad de la Actividad debido a que la inspección está deshabilitada)
• Bloquee todas las categorías de "Security Risk" y otras categorías bloqueadas normales como "Adultos", "Drogas", "Armas", etc
• Evite dar acceso a categorías como “File repositories”, ”File converters”, “File/Software Download Sites” y “Chat, IM & other communication” para evitar cualquier incidente de pérdida de datos.
• Permitir únicamente categorías confiables que no puedan presentar ningún riesgo de pérdida o amenaza de datos.

Prueba

Cuando un sitio web está bloqueado, el usuario verá una página como la que se muestra a continuación. Sin la habilitación del descifrado, no podemos redirigir al usuario a la página de bloqueo clásica.

Notas

• Este artículo está escrito por Netskope Global Technical Success (GTS).
• Para cualquier consulta adicional relacionada con este artículo, comuníquese con Netskope GTS enviando un caso de soporte con 'Tipo de caso: – How To Questions'.