GSAクライアントがPoPに接続する際にプロキシをパイバスさせたい

Question

質問を確認くださり、ありがとうございます。

Windows クライアントで Global Secure Access を使用しています。

このたび、インターネットオプションのプロキシ設定が有効な状態のまま、GSAが PoPに接続する際は、このプロキシ設定をバイパスさせたいと考えています。

（質問）

GSA クライアントが PoP にアクセスする際に、インターネットオプションのプロキシ設定を無視させることはできますか？

（私の見解）

以下の公開情報を見る限り、システム環境変数を指定した場合にプロキシ動作になるような説明になっています。ところが 動作させてみると grpc_proxy を未設定でも ”” を設定しても、インターネットオプションのプロキシ設定が採用されてしまうように見受けられます。

https://learn.microsoft.com/ja-jp/entra/global-secure-access/troubleshoot-global-secure-access-client-diagnostics-health-check#add-a-system-variable

（ご参考）

当方、どうしても インターネットオプションのプロキシ設定が ON の状態で GSAクライアントを使用したかったため、検証した結果を以下の記事に纏めて公開してあります。

しかしながら、このような設定をするしか、プロキシをバイパスする方法が無いのかどうかをご教示ください。

https://qiita.com/carol0226/items/df821a681986b1020ab3

Answer 1

チャブーンです。

この件ですが、PoPってPoint of Presenceというエンドポイントのことですよね。念のため。

以下の資料でも、IPアドレスをフィルタリングして(OSの)プロキシ設定ON/OFFの機能はない、ようにみえます。

https://learn.microsoft.com/en-us/entra/global-secure-access/reference-current-known-limitations?tabs=windows-client#proxy

ですので、OSプロキシ設定の「例外設定」or PACで制御する、というデザインに誤りはない、ように見えますね。grpc_proxyの件ですが、これとは切り離してかんがえるべきかしら、と個人的には思います。

そのうえでですが、grpc_proxyの件ですが、netsh winhttp show proxyの結果はどうなっていますか？何か値が入り込んでしまっているなら、クリアして試してみる、という方法はあるかもしれません。

Answer 2

Good afternoon NTTデータ先端技術 野口 修司,

ご質問についてですが、GSAクライアントは本質的にシステムのインターネットオプションプロキシ設定を尊重しており、標準設定だけでは上書きできません。grpc_proxy 環境変数を空文字列に設定したり省略しても、この動作は回避されません。なぜなら、明示的なプロキシが定義されていない場合、クライアントはシステムプロキシにフォールバックするからです。PoPへの直接接続を強制するには、直接grpc_proxyスキーマ値(例えば)direct://を設定し、同時に NO_PROXY 変数をすべてのGSA PoPドメインとIPを含めるように設定し、これらのエンドポイントのプロキシルーティングを防止します。この方法が失敗した場合、あなたのQiita記事で説明されているレジストリの変更や高度な環境変数を含む回避策が唯一の実用的な解決策として残ります。なぜなら、MicrosoftはGSAクライアント向けにプロキシ継承を無効にする公式設定を提供していないからです。カスタム手法はまず非本番環境でテストすることを必ずしてください。

情報が明確であることを願います。他に質問があれば、どうぞメッセージを残してください。この問題に関する経験を共有し、コミュニティの構築に協力するために答えを受け入れてくださったことに本当に感謝しています。感謝！