ネットワークと許可リスト

あるネットワークではPulseが動くのに別のネットワークでは動かない、あるいは社内のVPN・プロキシ・ファイアウォール・Webフィルタリング製品を有効にすると動かなくなる場合は、ネットワーク側で通信が遮断されている可能性があります。この記事では、利用者が自分で行える切り分けと、情報システム部門に共有するための通信先の一覧をまとめます。ほかのトラブルシューティング記事から参照される、ネットワーク面の総論です。

#アプリのネットワーク診断を実行する

Pulseのアプリには、必要な通信先に到達できるかを一括で確認する機能があります。

1. 1

   診断画面を開く

   アプリの 設定 > トラブルシューティング を開きます。

2. 2

   チェックを実行する

   「ネットワーク接続」の チェックを実行 を選びます。

3. 3

   結果を確認する

   問題が見つかった場合は、どの機能に影響しているかが表示されます。

4. 4

   表示された対処を行う

   端末やネットワークを自分で管理しているか、会社の情報システム部門が管理しているかを選ぶと、状況に応じた手順が表示されます。

5. 5

   レポートを共有する

   レポートをコピー で診断結果の全文をコピーし、情報システム部門やサポート窓口に共有します。会社管理の端末・ネットワークの場合は、IT部門への依頼文をコピー から、そのまま送れる依頼文をコピーすることもできます。

複数の機能が同時に失敗している場合は、ネットワーク設定を変更する前にPulseのサービス稼働状況ページを確認してください。サービス側の障害であれば、社内での作業は不要です。

#ネットワークが原因のときに出る症状

ネットワークの遮断やフィルタリングは、次のような形で現れます。

• ログインが完了しない、途中で止まる、認証後にアプリへ戻ってこない
• 文字起こしが始まらない、途中で切断される、再接続を繰り返す
• ノートや共有リンクの読み込みが終わらない
• AIによる要約やチャットの応答が途中で止まったまま進まない
• アップロードしたファイルの送信が完了しない
• アップデートやインストーラーのダウンロードに失敗する
• 社内のWi-FiやVPNでは動かないが、携帯回線のテザリングでは動く
• 証明書のエラー、または「安全な接続を確立できません」といったメッセージが出る
• 想定していないログイン画面、警告画面、キャプティブポータルの画面が表示される

症状がまったく出ずに無反応になる場合もあります。フィルタリング製品が接続を遮断したうえで、本来の応答の代わりに警告ページやログインページを返していると、アプリ側には「応答はあるが内容が違う」状態として届き、画面上は読み込み中のまま止まります。

#自分で試せる切り分け

1. 1

   診断を実行する

   アプリのネットワーク診断を実行し、表示された対処手順に従います。

2. 2

   別のネットワークで試す

   携帯回線のテザリングや自宅のネットワークで試します。そこで動くなら、社内ネットワーク、VPN、プロキシ、フィルタリング製品のいずれかが原因である可能性が高くなります。

3. 3

   VPNやプロキシを外して試す

   社内規程で許されている場合は、VPNやプロキシを一時的に切って試します。禁止されている場合は、無理に切らず、別のネットワークでの検証結果を情報システム部門に共有してください。

4. 4

   端末側の設定を確認する

   後述の「端末のプロキシ設定と証明書を確認する」で、使われているプロキシと検査用の証明書の有無を確認します。

5. 5

   情報システム部門に共有する

   会社管理のネットワークでのみ症状が出る場合は、コピーした診断レポートまたは後述の依頼文を情報システム部門に共有します。

#端末のプロキシ設定と証明書を確認する

どのプロキシが使われているか、検査用の認証局証明書が端末に入っているかは、OSの設定画面から確認できます。確認した内容を依頼文に添えると、情報システム部門とのやり取りが短くなります。

#VPNを常時接続している環境での挙動

全通信をVPN経由にする構成では、文字起こしに使う長時間のWebSocket接続が、アイドルタイムアウトやセッションの再認証によって切断されることがあります。会議の冒頭は文字起こしされるのに数分から十数分で止まる場合は、この可能性を疑ってください。切断のタイミングが毎回ほぼ同じ経過時間であれば、タイムアウト値の設定が関係している見込みが高くなります。情報システム部門には、切断までの経過時間と、その時刻のVPNログの照合を依頼してください。

#プロキシとSSLインスペクション

社内のプロキシが通信を復号して検査し、自社の認証局証明書に差し替えて再暗号化する構成（SSLインスペクション）では、次の理由で接続に失敗することがあります。

• 検査用の認証局証明書が、その端末に配布されていない
• 証明書は配布されているが、アプリが参照する証明書ストアに入っていない
• 検査装置がWebSocketのアップグレード要求を通さない
• 検査装置が応答を全部受け取ってから転送する（バッファリングする）ため、逐次配信される応答が届かない

分かれ目になるのは、差し替えた証明書を端末が信頼できているかどうかと、検査装置が通信の形を保ったまま中継できるかどうかの2点です。証明書を差し替える構成そのものは、この2点が満たされていれば問題になりません。

#ファイル送信が止まる場合

社内のプロキシやWebフィルタリング製品には、1回のリクエストで送信できるサイズの上限が設定されていることがあります。小さいファイルは通るのに数MB以上で失敗する場合は、この制限を疑ってください。ファイルの上限値そのものについてはファイルサイズの上限を参照してください。

#国内のセキュリティ製品による遮断

社内で配布されているエンドポイント保護製品や情報漏えい対策製品が、アプリケーション単位で通信を制限している場合があります。ファイアウォールとプロキシの設定を直しても改善しないときは、端末側の製品の遮断ログを確認してください。製品によっては、遮断時にアプリへエラーを返さず、単に接続がタイムアウトするだけの挙動になります。音声デバイスへのアクセス自体が制限されている場合の切り分けは文字起こしがうまくいかないにまとめています。

#情報システム部門への依頼文のひな形

社内で申請する際の文面のひな形です。Pulseに関する依頼文はこの1か所にまとめています。ネットワークの許可、OSの権限、カレンダー連携の承認のうち、必要な項目だけを残して使ってください。

件名: 会議記録アプリ（Pulse）の利用に必要な設定のご依頼

お世話になっております。［部署名・氏名］です。
会議記録に利用するPulseが社内環境で正しく動作しないため、
以下の設定をご検討いただけますでしょうか。

■ 発生状況
- 症状: ［例: 文字起こしが開始されない／開始後◯分で停止する／
        カレンダーの予定が表示されない／要約が生成されない］
- 社内ネットワーク: 再現する
- 携帯回線のテザリング: 再現しない
- 端末: ［資産番号／OSとバージョン］
- アプリのネットワーク診断結果: 別添のとおり

■ ファイアウォール・プロキシでの許可をお願いしたい内容
- 後述の通信先一覧に対する HTTPS（TCP 443）の許可
- 同通信先に対する セキュアWebSocket（wss、TCP 443）の許可
  ※ WebSocketのアップグレードと長時間接続の維持が必要です
- ストリーミング配信を行うホストについて、応答のバッファリングと
  コンテンツ検査の無効化
- SSLインスペクションを行う場合:
  ・検査用の認証局証明書が当該端末に配布されていることの確認
  ・上記ストリーミング用ホストを検査対象から除外
- DNSフィルタリングを行う場合: CNAME先のドメインも併せて許可
- ファイル添付を利用する場合: リクエストサイズの上限の確認

■ OSの権限設定でお願いしたい内容（音声が取得できない場合）
【macOS の場合】
- システム設定 > プライバシーとセキュリティ > マイク: Pulseを許可
- システム設定 > プライバシーとセキュリティ >
  画面収録とシステムオーディオ録音: Pulseを許可
【Windows の場合】
- 設定 > プライバシーとセキュリティ > マイク:
  「マイクへのアクセス」を有効化
- 同上:「デスクトップアプリがマイクにアクセスできるようにする」を有効化

■ エンドポイント保護製品での許可をお願いしたい内容
- アプリケーション制御で、Pulseの実行ファイルの通信を許可
- 音声デバイスアクセス制御で、Pulseを許可対象に追加
- 遮断ログに該当通信が記録されていないかの確認

■ カレンダー連携の承認（予定が表示されない場合）
【Microsoft 365 をご利用の場合】
- Microsoft の管理センターで、Pulseのアプリケーションを承認
- 必要となる権限: カレンダーの予定の読み取り
【Google Workspace をご利用の場合】
- 管理コンソール > セキュリティ > アクセスとデータ管理 > API の制御
  > サードパーティ製アプリのアクセスを管理 でPulseを許可

■ 補足
- 本アプリは会議ツールに録音用の参加者を参加させず、端末で再生されている
  音声とマイク音声を端末側で取得します。
- 本アプリが参照するカレンダーは、私のアカウントで閲覧できる予定情報のみです。
- 通信先の一覧はPulseのネットワーク要件ページに掲載されています。
- 取得した音声の取扱いについては、［社内の利用申請番号・規程名］に基づき
  運用します。

お手数をおかけしますが、ご確認のほどよろしくお願いいたします。

#ネットワーク管理者向け：許可すべき通信先

この節は、ファイアウォール、プロキシ、SSLインスペクション、Webフィルタリング製品（SASE製品を含む）を設定する担当者向けです。

Pulseは HTTPS とセキュアWebSocket で通信します。以下のドメインについて、応答の書き換えやリダイレクトを行わずに通過させてください。

通常の HTTPS のドメインについては、管理対象端末が検査用の認証局を信頼しており、かつプロキシが要求と応答を改変せずに中継できる構成であれば、TLS/SSL インスペクションを有効のままにしても差し支えありません。

逐次配信（ストリーミング）を行うホストは、応答本文を分割して順次返す必要があります。このホストについては、応答のバッファリングとコンテンツスキャンを無効にしてください。バッファリングせずに検査できない製品を使っている場合は、TLS インスペクションの対象から除外してください。

文字起こしには TCP 443 上の外向きセキュアWebSocket が必要です。WebSocket のアップグレードと長時間接続を許可してください。Pulseは直接接続を使う場合と、OSのプロキシ設定を経由する場合があります。

#アプリ本体の通信

#アプリのダウンロードと自動更新

配信CDNのホスト名は、CDN事業者が払い出す固定のホスト名です。ワイルドカードでの許可ではなく、ネットワーク要件ページに記載された値をそのまま登録してください。

#文字起こし

セキュリティ製品がワイルドカード指定に対応している場合は、委託先のドメイン全体をワイルドカードで許可すると、エンドポイントが追加されたときの設定漏れを防げます。対応していない場合は、ホスト名を個別に登録してください。

#ログイン、シングルサインオン（SSO）、カレンダー連携

Google アカウントまたは Microsoft アカウントでログインし、カレンダーを連携する場合は、Google および Microsoft が各社のドキュメントで公開しているログイン・API用のドメインへの通信も必要です。許可対象は各社の公開情報を参照してください。

#通知

リアルタイム通知のために、HTTPS とセキュアWebSocket の両方を許可してください。

#ドキュメントとステータスページ

#診断ログの送信

#DNSのCNAME先（SASE・DNSフィルタリング向け）

DNSの応答を見て判定する製品では、CNAMEの解決先も許可の対象に含める必要があります。

#フィルタリング環境でよく効く5つの設定

1. 文字起こしのホストに対して、TCP 443 上のセキュアWebSocket 通信を許可する。
2. 逐次配信を行うホストについて、応答のバッファリングを無効にする。
3. セキュリティ製品が応答を警告ページやログイン画面に差し替えていないかを確認する。
4. 管理下のDNSリゾルバーで名前解決が成功するかを確認する。
5. 管理対象端末が TLS インスペクション用の認証局を信頼していることを確認する。信頼させられない場合は、該当ドメインを検査対象から除外する。

#通信先の開示について

この記事の一覧は、社内ネットワークの設定を行うためのものです。Pulseが利用者の端末からUNCHAIN株式会社以外の事業者へどのような情報を送信しているかについては、電気通信事業法に基づく公表を別途行っています。

会議の音声、文字起こしされたテキスト、およびPulseが生成したノートの本文は、アクセス解析や不具合検知を目的とした外部送信の対象には含まれません。これらはPulseのサービス提供に必要な範囲でのみ取り扱われます。

#それでも解決しない場合

ネットワーク設定を見直しても改善しない場合は、アプリの診断レポートを添えてtharada@the-unchain.com までご連絡ください。次の情報があると調査が早く進みます。

• 社内ネットワークと別のネットワーク（テザリングなど）の双方で試した結果
• ネットワーク環境（VPNの有無と製品名、プロキシの有無、SSLインスペクションの有無、使用しているフィルタリング製品の種別）
• 診断で失敗した項目と、影響が出ている機能
• 遮断が疑われる場合は、プロキシまたはエンドポイント保護製品の該当時刻のログ
• OSの種類とバージョン、Pulseのアプリのバージョン

情報システム部門が管理するネットワークの場合は、担当者を交えてご連絡いただけると、設定の確認と修正の往復が減ります。

#関連記事