Gateway Insight
NetScaler Gateway 展開では、ユーザーのアクセス詳細を可視化することは、アクセス障害の問題のトラブルシューティングに不可欠です。ネットワーク管理者は、ユーザーがいつNetScaler Gatewayにログオンできないか、ユーザーのアクティビティとログオンに失敗した理由を知りたいと考えています。この情報は通常、ユーザーが解決のリクエストを送信しない限り入手できません。
Gateway Insightは、アクセスモードに関係なく、NetScaler Gatewayへのログオン時にすべてのユーザーが遭遇した障害を可視化します。あらゆる期間を対象にして、すべての有効なユーザーの一覧、アクティブユーザーの数、アクティブセッションの数、ユーザー全体によって使用されたバイト数とライセンス数を表示できます。ユーザーごとのEPA（End Point Analysis：エンドポイント分析）、認証、SSO（Single Sign On：シングルサインオン）、アプリケーション起動のエラーを表示できます。また、ユーザーごとのアクティブセッションと終了したセッションの詳細を表示できます。
さらに、Gateway Insightは、仮想アプライアンスのアプリケーション起動エラーの理由に関する情報を提供します。これは、あらゆる種類のログオンまたはアプリケーション起動におけるエラーの問題のトラブルシューティングに役立ちます。起動されたアプリケーションの数、アクティブなセッションの合計数、合計バイト数、アプリケーションが消費した帯域幅を表示できます。アプリケーションごとのユーザー、セッション、帯域幅、起動のエラーの詳細を表示できます。
NetScaler Gatewayアプライアンスに関連するすべてのGateway で使用されているGateway 数、アクティブなセッション数、合計バイト数、帯域幅をいつでも表示できます。ゲートウェイごとのEPA、認証、SSO、アプリケーション起動のエラーについて表示できます。また、ゲートウェイに割り当てられたすべてのユーザーの詳細と、ユーザーのログオンアクティビティを表示できます。
すべてのログメッセージはNetScaler ADM データベースに保存されるため、いつでもエラーの詳細を表示できます。また、ログオンエラーの概要を表示して、エラーが発生したログオンプロセスの段階を特定できます。
注意事項
- Gateway Insightは次の展開においてサポートされています。
- Access Gateway
- Unified Gateway
-
NetScaler ADM のリリースおよびビルドは、NetScaler Gateway アプライアンスのリリースおよびビルドと同じかそれ以降である必要があります。
- アドバンストライセンスを持つNetScaler インスタンスについては、1時間のGateway Insightレポートを表示できます。プレミアムライセンスは、1 時間を超えると Gateway Insight レポートを閲覧することが必須です。
制限事項
-
認証方法が証明書ベースの認証として構成されている場合、NetScaler Gateway GatewayはGateway Insightをサポートしません。
-
Gateway Insightレポートの場合、NetScaler アプライアンスから地理的位置情報は提供されません。
-
仮想ICAアプリケーションおよびデスクトップに関する成功したユーザーログオン、遅延、アプリケーションレベルの詳細は、HDX Insight Usersダッシュボードでのみ確認できます。
-
ダブルホップモードでは、第2 DMZのNetScaler Gatewayアプライアンスのエラーに関する情報を入手できません。
-
RDP（Remote Desktop Protocol：リモートデスクトッププロトコル）のデスクトップアクセスの問題は報告されません。
-
Gateway Insightは次の認証タイプでサポートされています。これら以外の認証タイプが使用されている場合、Gateway Insight に不一致が生じる可能性があります。
- ローカル
- LDAP
- RADIUS
- TACACS
- SAML
- ネイティブOTP
-
OAuth-OpenID コネクト
OAuth-OpenID接続認証の場合、NetScaler はOAuth-OpenID接続依存パーティ（RP）またはOAuth-OpenID接続アイデンティティプロバイダー（IdP）として機能できます。認証が成功すると、Gateway Insight レポートの [Users] タブにユーザー名が報告されます。ただし、セッションが IdP と RP のどちらで作成されたかは識別できません。
注： OAuth-OpenID 接続認証は、NetScaler ADM リリース 13.1 ビルド 4.xx 以降でサポートされています。
Gateway Insightの有効化
NetScaler GatewayアプライアンスのGateway Insightを有効にするには、まずNetScaler GatewayアプライアンスをNetScaler ADMに追加する必要があります。次に、VPNアプリケーションを代表する仮想サーバー向けにAppFlowを有効にしてください。NetScaler ADM へのデバイスの追加について詳しくは、「デバイスの追加」を参照してください。
注
NetScaler ADM でエンドポイント分析（EPA）の障害を表示するには、NetScaler Gateway アプライアンスでAppFlowの認証、承認、および監査ユーザー名のログ記録を有効にする必要があります 。
Gateway Insightを有効にする手順は、NetScaler ADM が 13.0 Build 36.27の場合に適用されます。
-
[ インフラストラクチャ] > [インスタンス] に移動し、AppFlow を有効にするインスタンスを選択します。
-
[ アクションの選択 ] リストから、[ Analyticsの設定] を選択します。
-
［ Insightの構成 ］ページの［ Analytics構成］で、 ［NetScaler Gateway］を選択します。
-
仮想サーバーを選択し、「 AppFlowを有効にする」をクリックします。
-
[ AppFlow を有効にする ] 画面の [式の選択 ] ボックスの一覧で、[true] をクリックします。
-
[ トランスポートモード] の横にある [ ログストリーム ] チェックボックスをオンにします。
注
転送モードとして IPFIX または Logstream のいずれかを選択できます。
IPFIX とログストリームの詳細については、「 ログストリームの概要」を参照してください。
-
［OK］ をクリックします。
NetScaler ADMバージョン 13.0ビルド41.x以降の場合
-
[ インフラストラクチャ] > [インスタンス] に移動し、インスタンスを選択します。
-
[ アクションの選択 ] リストから、[ Analyticsの設定] を選択します。
-
仮想サーバーを選択し、「 分析を有効にする」をクリックします。
-
「 詳細オプション」の下:
-
ログストリームを選択
-
NetScalerGateway を選択
-
-
［OK］ をクリックします。
GUIを使用してNetScaler GatewayアプライアンスでAppFlow 認証、承認、および監査ユーザー名ログを有効にする
-
[ 構成] > [システム] > [AppFlow] > [設定] に移動し、[ AppFlow 設定の変更] をクリックします。
-
[ AppFlow 設定の構成 ] 画面で、[ AAA ユーザ名] を選択し、[ OK] をクリックします。
Gateway Insightレポートの表示
NetScaler ADMでは、NetScaler Gatewayアプライアンスに関連するすべてのユーザー、アプリケーション、およびGateway のレポートを表示でき、特定のユーザー、アプリケーション、またはGateway の詳細を表示できます。「 概要 」セクションでは、EPA、SSO、認証、およびアプリケーション起動の失敗を表示できます。ユーザーがログオンに使用したさまざまなセッションモードの概要、クライアントの種類、時間ごとのログオンしたユーザーの数を表示することもできます。
注
グループを作成するときに、グループにロールを割り当てたり、グループへのアプリケーションレベルのアクセスを提供したり、ユーザーをグループに割り当てることができます。NetScaler ADM 分析では、仮想IPアドレスベースの認証がサポートされるようになりました。ユーザーは、権限のあるアプリケーション（仮想サーバー）のみのすべての Insightのレポートを表示できるようになりました。グループおよびグループへのユーザの割り当ての詳細については、「 グループを設定する」を参照してください。
EPA、SSO、認証、承認、およびアプリケーションの起動の失敗を表示するには
-
NetScaler ADM で、［Gateway ］ >［Gateway Insight］に移動します。
-
ユーザーの詳細を表示する期間を選択します。時間スライダーを使用して選択する期間をカスタマイズできます。［Go］ をクリックします。
-
［EPA (End Point Analysis)］、［Authentication］、［Authorization］、［SSO (Single Sign On)］、［Application Launch］タブのいずれかをクリックして、エラーの詳細を表示します。
セッションモード、クライアント、ユーザーの数の概要を表示するには
NetScaler ADM で、［ Gateway ］>［Gateway Insight］に移動し、下にスクロールしてレポートを表示します。
ユーザーのGateway Insightレポートの表示
次のレポートを表示できます。
-
NetScaler Gatewayアプライアンスに関連付けられているすべてのユーザー。
-
ユーザーの EPA、認証、SSO、およびアプリケーションの起動の失敗。
-
ユーザーのアクティブセッションと終了したセッションの詳細。
-
フルトンネル、クライアントレス VPN、ICA プロキシなどのセッションモードのタイプ。
ユーザーの詳細を表示するには
-
NetScaler ADM で、 Gateway > Gateway Insight > ユーザーに移動します。
-
ユーザーの詳細を表示する期間を選択します。時間スライダーを使用して選択する期間をカスタマイズできます。［Go］ をクリックします。
-
期間中にすべてのユーザーが使用したアクティブユーザー数、アクティブなセッション数、バイト数、ライセンスを表示できます。
下にスクロールすると、有効なユーザーとアクティブユーザーの一覧が表示されます。
[ ユーザー ] または [ アクティブなユーザー ] タブで、ユーザーをクリックして、次のユーザーの詳細を表示します。
-
ユーザーの詳細 -ADC Gateway アプライアンスに関連付けられた各ユーザーのインサイトを表示できます。[ Gateway ** ] > [ **Gateway Insight ] > [ Users ] に移動し、ユーザーをクリックして、選択したユーザーのインサイト (セッションモード、オペレーティングシステム、ブラウザなど) を表示します。
-
選択したGateway のユーザーとアプリケーション -[Gateway ] > [ GatewayInsight ] > [ Gateway ] に移動し、Gateway ドメイン名をクリックすると、選択したGateway に関連付けられている上位 10 個のアプリケーションと上位 10 個のユーザーが表示されます。
-
アプリケーションとユーザーの表示オプション — 10 を超えるアプリケーションおよびユーザーの場合、[アプリケーションとユーザー] の [詳細] アイコンをクリックすると、選択したゲートウェイに関連付けられているすべてのユーザーとアプリケーションの詳細を表示できます。
-
棒グラフをクリックして詳細を表示 — 棒グラフをクリックすると、関連する詳細を表示できます。たとえば、[ **Gateway ] > [Gateway Insight] ** [Gateway ] に移動し、Gateway の棒グラフをクリックしてGateway の詳細を表示します。
-
ユーザーのアクティブセッションと終了したセッション。
-
アクティブセッションのゲートウェイドメイン名とゲートウェイのIP アドレス。
-
ユーザーのログイン時間。
-
ユーザーのログアウトセッションの理由。ログアウトの理由は次のとおりです。
- セッションのタイムアウト
- 内部エラーのためログアウトしました
- 非アクティブセッションがタイムアウトしたためログアウトしました
- ユーザーがログアウトしました
- 管理者がセッションを停止しました
アプリケーションのGateway Insightレポートの表示
起動されたアプリケーション数、アクティブなセッションの合計数、合計バイト数、アプリケーションが消費した帯域幅を表示できます。アプリケーションごとのユーザー、セッション、帯域幅、起動のエラーの詳細を表示できます。
アプリケーションの詳細を表示するには
-
NetScaler ADM で、[ゲートウェイ] > [ ゲートウェイインサイト] [アプリケーション] に移動します。
-
アプリケーションの詳細を表示する期間を選択します。時間スライダーを使用すると、選択した期間をさらに調整できます。［Go］ をクリックします。
起動されたアプリケーション数、アクティブなセッションの合計数、合計バイト数、アプリケーションが消費した帯域幅を表示できるようになりました。
下にスクロールすると、ICAとその他のアプリケーションによって使用されたセッション数、帯域幅、合計バイト数が表示されます。
[ その他のアプリケーション ] タブで、[ 名前 ] 列でアプリケーションをクリックすると、そのアプリケーションの詳細を表示できます。
Gateway のGateway Insightレポートの表示
NetScaler Gatewayアプライアンスに関連するすべてのGateway で使用されているGateway 数、アクティブなセッション数、合計バイト数、帯域幅をいつでも表示できます。ゲートウェイごとのEPA、認証、SSO、アプリケーション起動のエラーについて表示できます。また、ゲートウェイに割り当てられたすべてのユーザーの詳細と、ユーザーのログオンアクティビティを表示できます。
ゲートウェイの詳細を表示するには
-
NetScaler ADMで、[ゲートウェイ] > [ ゲートウェイインサイト] [ゲートウェイ] に移動します。
-
ゲートウェイの詳細を表示する期間を選択します。時間スライダーを使用すると、選択した期間をさらに調整できます。［Go］ をクリックします。
NetScaler Gatewayアプライアンスに関連付けられたすべてのGateway で使用されたGateway 数、アクティブセッション数、合計バイト数、帯域幅をいつでも表示できるようになりました。
下にスクロールすると、Gateway ドメイン名、仮想サーバー名、NetScaler IPアドレス、セッションモード、合計バイト数などのGateway の詳細が表示されます。
「Gateway Domain Name」列でG ateway をクリックすると、EPA、認証、シングル・サインオン、アプリケーション起動の失敗、およびGateway に関するその他の詳細を表示できます。
レポートのエクスポート
GUI に表示されるすべての詳細を含む Gateway Insight レポートは、PDF、JPEG、PNG、または CSV 形式でローカルコンピューターに保存できます。また、指定された電子メールアドレスへのレポートのエクスポートを、さまざまな間隔でスケジュール設定することができます。
注
- 読み取り専用アクセス権のユーザーは、レポートをエクスポートすることができません。
- 地理地図レポートは、NetScaler ADM がインターネットに接続されている場合にのみエクスポートされます。
レポートをエクスポートするには、次の手順に従います
-
[ ダッシュボード ] タブの右ペインで、[ エクスポート ] ボタンをクリックします。
-
[ 今すぐエクスポート] で、必要な形式を選択し、[ エクスポート] をクリックします。
エクスポートをスケジュールするには:
-
[ ダッシュボード ] タブの右ペインで、[ エクスポート ] ボタンをクリックします。
-
[ エクスポートのスケジュール] で詳細を指定し、[ スケジュール] をクリックします。
電子メールサーバーまたは電子メール配布リストを追加するには、次の手順を実行します。
-
[ 構成 ] タブで、[ 設定] > [通知] > [電子メール]に移動します。
-
右側のペインで、[ 電子メールサーバー] を選択して電子メールサーバーを追加するか、[ 電子メール配布リスト ] を選択して電子メール配布リストを作成します。
-
詳細を指定し、[ 作成] をクリックします。
Gateway Insightダッシュボード全体をエクスポートするには:
-
[ ダッシュボード ] タブの右ペインで、[ エクスポート ] ボタンをクリックします。
-
[ 今すぐエクスポート] で [ PDF 形式] を選択し、[ エクスポート] をクリックします。
Gateway Insightのユースケース
次のユースケースは、Gateway Insightを使用して、NetScaler Gateway アプライアンス上のユーザーのアクセスの詳細、アプリケーション、およびGateway を可視化する方法を示しています。
ユーザーがNetScaler Gateway アプライアンスまたは内部Webサーバーにログインできない
NetScaler ADMを使用してNetScaler Gatewayアプライアンスを監視しているNetScaler Gateway管理者で、ユーザーがログインできない理由や、ログインプロセスのどの段階で障害が発生したかを確認したいと考えています。
NetScaler ADM では、ログインプロセスの次の段階でユーザーログインエラーの詳細を表示できます。
-
認証
-
エンドポイント分析（EPA）
-
シングルサインオン
NetScaler ADM では、特定のユーザーを検索して、そのユーザーの詳細をすべて表示できます。
ユーザーを検索するには、次の手順に従います。
NetScaler ADM で、［ Gateway ］>［Gateway Insight ］に移動し、［ ユーザーの検索 ］テキストボックスで検索するユーザーを指定します。
認証の失敗
資格情報が正しくない、または認証サーバーから応答がないなどの認証エラーについて確認できます。認証が失敗した要因も確認できます。
認証失敗の詳細を表示する手順は、次のとおりです。
-
NetScaler ADM で、［Gateway ］ >［Gateway Insight］に移動します。
-
[ 概要 ] セクションで、認証エラーを表示する期間を選択します。時間スライダーを使用すると、選択した期間をさらに調整できます。［Go］ をクリックします。
-
[ 認証 ] タブをクリックします。特定の時点での認証エラーの数は、「 失敗 」グラフでいつでも確認できます。
そのタブのまま下にスクロールすると、Username、Client IP Address、Error Time、Authentication Type、Authentication Server IP Addressなどの各認証エラーの詳細を表で確認できます。表の [ エラーの説明 ] 列にはログオンに失敗した理由が表示され、[ 状態 ] 列には失敗が発生した n 番目の要因が表示されます。
[Us ername ] 列でユーザーをクリックすると、そのユーザーの認証エラーやその他の詳細を表示できます。設定アイコンを使用して、テーブルをカスタマイズして列を追加または削除できます。
重要：
OAuth-OpenID Connect 認証が失敗した場合、「トークン検証の失敗」など、一部の障害について、Gateway Insight レポートでユーザー名が NA と表示されます。この失敗では、OAuth-OpenID 接続依存パーティでの「トークン検証の失敗」が原因で、ユーザー名を認証の失敗に使用できません。
EPAエラー
EPA の失敗は、認証前または認証後の段階で表示できます。
重要：
NetScaler Gatewayは、従来の表現と高度な表現の両方について、EPAの障害をNetScaler ADMに報告します。高度な式の場合、ポリシー名は Gateway Insight ダッシュボードに表示されません。EPA が nFactor 認証フローの要素の 1 つとして設定されている場合、障害が報告されます。
EPA障害の詳細を表示するには、次の手順に従います。
-
NetScaler ADM で、［Gateway ］ >［Gateway Insight］に移動します。
-
［Overview］セクションでEPAエラーを表示する期間を選択します。時間スライダーを使用すると、選択した期間をさらに調整できます。［Go］ をクリックします。
-
[ EPA (終点解析) ] タブをクリックします。特定の時点におけるEPAエラーの数は、 障害 グラフで表示できます。
そのタブのまま下にスクロールすると、Username、NetScaler IP Address、Gateway IP Address、VPN、Error Time、Policy Name、Gateway Domain Nameなどの各EPAエラーの詳細を表で確認できます。
表の「 エラーの説明 」列には、EPA 障害の原因が表示されます。たとえば、nFactor EPA の障害により EPA チェックが失敗すると、「EPA 事前認証チェック失敗」というエラーメッセージが表示されます。
「 ポリシー名 」列には、障害の原因となったポリシーが表示されます。
[Us ername ] 列でユーザーをクリックすると、そのユーザーの EPA エラーやその他の詳細を表示できます。下向きの矢印を使用して、テーブルをカスタマイズして列を追加または削除できます。EPA が nFactor 認証フローの要素として使用されている場合、ユーザー名が割り当てられていないエントリにはケース ID が表示されます。
注
「ClientSecurity」式がVPNセッションポリシールールとして構成されている場合、NetScaler Gateway はEPAの失敗を報告しません。
SSO の障害
ユーザーがNetScaler Gatewayアプライアンスを経由してアプリケーションにアクセスする中で、あらゆる段階のSSOエラーについて確認できます。
SSO障害の詳細を表示するには、次の手順に従います。
-
NetScaler ADM で、［Gateway ］ >［Gateway Insight］に移動します。
-
［Overview］セクションでSSOエラーを表示する期間を選択します。時間スライダーを使用すると、選択した期間をさらに調整できます。［Go］ をクリックします。
-
[ SSO (シングルサインオン) ] タブをクリックします。特定の期間におけるSSOエラーの数が、［Failures］のグラフに表示されます。
そのタブのまま下にスクロールすると、Username、NetScaler IP Address、Error Time、Error Description、Resource Nameなどの各SSOエラーの詳細を表で確認できます。
[Username] カラムで ユーザ をクリックすると、そのユーザの SSO エラーやその他の詳細を表示できます。下向きの矢印を使用して、テーブルをカスタマイズして列を追加または削除できます。
NetScaler Gateway に正常にログオンした後、ユーザーは仮想アプリケーションを起動できない
アプリケーションの起動に失敗した場合、Secure Ticket Authority（STA）またはCitrix Virtual App Serverにアクセスできない、またはSTAチケットが無効であるなどの原因を可視化できます。エラーの時間や詳細、STA検証ができなかったリソースについて確認できます。
アプリケーションの起動失敗の詳細を表示するには、次の手順に従います。
-
NetScaler ADM で、［Gateway ］ >［Gateway Insight］に移動します。
-
「 概要 」セクションで、SSO エラーを表示する期間を選択します。時間スライダーを使用すると、選択した期間をさらに調整できます。［Go］ をクリックします。
-
[ アプリケーションの起動 ] タブをクリックします。［失敗］グラフでは、任意の時点でのアプリケーション起動の 失敗 数を表示できます。
そのタブのまま下にスクロールすると、NetScaler IP Address、Error Time、Error Description、Resource Name、Gateway Domain Nameなどの各アプリケーション起動エラーの詳細を表で確認できます。表の［Error Description］列にはSTAサーバーのIPアドレスが、［Resource Name］列にはSTA検証ができなかったリソースの詳細が表示されています。
[Us ername ] 列でユーザーをクリックすると、アプリケーションの起動エラーとそのユーザーのその他の詳細を表示できます。下向きの矢印を使用して、テーブルをカスタマイズして列を追加または削除できます。
新しいアプリケーションを正常に起動した後、ユーザーは、そのアプリケーションによって消費された合計バイト数と帯域幅を表示したい
新しいアプリケーションを正常に起動したら、NetScaler ADM で、そのアプリケーションによって消費された合計バイト数と帯域幅を表示できます。
アプリケーションによって消費された合計バイト数と帯域幅を表示するには、次の手順を実行します。
NetScaler ADM で、[ Gateway ] > [Gateway Insight] **[ **アプリケーション] に移動し、下にスクロールして、[その他のアプリケーション ] タブで詳細を表示するアプリケーションをクリックします。
そのアプリケーションが使用したセッション数と合計バイト数が表示されます。
そのアプリケーションが使用した帯域幅も表示されます。
ユーザーがNetScaler Gateway に正常にログオンしたが、内部ネットワークの特定のネットワークリソースにアクセスできない
Gateway Insightでは、ユーザーがネットワークリソースにアクセスできるかどうかを特定できます。また、エラーの原因となったポリシーの名前を確認できます。
リソースのユーザー・アクセスを表示するには、次の手順に従います。
-
NetScaler ADM で、 [Gateway] > [Gateway Insight] > [アプリケーション] に移動します。
-
表示される画面で下にスクロールし、[ その他のアプリケーション ] タブで、ユーザーがログオンできなかったアプリケーションを選択します。
-
下にスクロールすると、「 ユーザー 」テーブルに、そのアプリケーションにアクセスできるすべてのユーザーが表示されます。
ユーザーが異なるNetScaler Gateway 展開環境を使用している場合や、異なるアクセスモードでNetScaler Gatewayにログオンしている場合があります。管理者は、展開の種類とアクセスモードの詳細を表示できる必要があります
Gateway Insightでは、ユーザーがログオンに使用したさまざまなセッションモードの概要、クライアントの種類、時間ごとのログオンしたユーザー数を確認できます。また、ユーザーの展開が統合Gateway であるか、従来のNetScaler Gateway 展開であるかを判断することもできます。Unified Gatewayの展開では、コンテンツスイッチ仮想サーバーの名前とIPアドレス、VPN仮想サーバー名を確認できます。
セッション・モード、クライアントのタイプ、ログオンしたユーザー数の概要を表示するには、次の手順に従います：
-
NetScaler ADM で、［Gateway ］ >［Gateway Insight］に移動します。
-
[ 概要 ] セクションで、下にスクロールして、[ セッションモード]、[オペレーティングシステム]、[ブラウザ]、および [ ユーザーログオンアクティビティ] の各グラフに、ユーザーがログオン するために使用するさまざまなセッションモード、クライアントの種類、および 1 時間ごとにログオンしたユーザー数が表示されます。
