KACEエージェント通信とネットワークアドレス変換（NAT）について (4252605)

この記事ではKACE SMAエージェントとSMAサーバーの通信の間にセキュリティ機器が挟まれた場合について説明します。

KACE SMAのエージェントがインストールされたコンピュータ（エージェント管理デバイス）の通信では、SMAサーバーの定義する"Webサーバ名"に対して解決されるSMAサーバーIPアドレスの443/tcpに通信できればサポートされます。

SMAを機能させるために必要なネットワークポートおよびURL (4211365) 

(1)宛先NAT: SMAのIPアドレス（パケットの宛先アドレス）が変換される想定
例:

• クライアントPC：SMAサーバー名 k1sma.example.com を 13.10.10.10と解決して通信を行う。
• SMAサーバー（k1sma.example.com ）: 外部でのIPアドレス 13.10.10.10 への着信はNW機器により 実IPアドレス 192.168.10.10 へ変換され転送される。

(2)送信元NAT: エージェントデバイスのIPアドレス（パケットの送信元アドレス）が変換される想定
例:

• クライアントPCのIPアドレス 192.168.10.200 の送信元アドレスは 外部ネットワークでは 13.100.200.254など に置き換えられる。
• 受信側（SMA側）ではクライアントは13.100.200.254 から接続しているとして認識される。

(1)(2)の片方ずつまたは両方の組み合わせ、いずれの場合でもご使用いただけます。

実IPアドレスにアクセスするクライアントPCと外部IPアドレスにアクセスするクライアントPCに分かれるときには、各端末での k1sma.example.com の名前解決結果がそれぞれのネットワークにおいて適切となるようにDNSを調整してください。

リバースプロキシーを利用した構成

NATとは異なりますが、エージェント通信の宛先としてリバースプロキシーを構成・設置すると、エージェントデバイスからリバースプロキシサーバーIPアドレスの443/tcpを経由して、KACE SMAの443ポートへ転送することでエージェントとKACE SMAサーバーとの通信を確立することができます。詳細は以下の記事をお読みください。

Configuring a Reverse Proxy for the SMA (4291901) 

外部接続ポートの利用

エージェント通信の宛先としてリバースプロキシーを構成し、エージェントデバイスからリバースプロキシIPアドレスの443/tcpを経由させてSMAのIPアドレスの52230/tcp ポートへ転送するように構成すると、「社外からSMAへ接続するデバイスに対しブラウザでSMA コンソールUIへアクセスすることはできないがエージェントはKACE SMAサーバーと通信可能」という構成を作ることができます。詳細は以下の記事をお読みください。

SMA External Listening Port and Zones Explained (4214233) 

重要: いずれの場合でもエージェントデバイス視点では SMA ネットワーク設定「Webサーバ名」の値から名前解決したIPアドレスのポート 443/tcp 宛てに通信を行うことを注意してください。KACE SMAエージェントにプロキシアドレスや異なるポート番号を指定する方法はありません。