Teams匿名会議に参加するためのみに必要なURL・IPフィルタ解除について

かなりきついWebフィルタ制限されている環境下で、Teamsの匿名会議に参加することは認めたいが、どこを解放すればよいか？こんな調査をすることになったのでまとめておきます。

今回はWebフィルターとそのフィルターログについてはSynology DS215Jを使用します。


要件


以下が可能なこと。
  1. Teamsにサインさせない（他テナントからのゲスト招待を受け入れさせたくない）
  2. 匿名参加者がチャットからファイル共有できないこと
  3. チャット
  4. 双方向ビデオ・音声通話
  5. 画面共有（匿名参加側も可能なこと）
  6. 背景カスタマイズ
※1については、今回はそもそもマイクロソフトアカウントもo365組織アカウントも持たない人が利用することを想定しているため、テナント制限を使うことで解決する方式を検討しません。

テナント制限の参考

使用するSynplogy DS215Jのツール


WebフィルターとしてProxyServer、フィルタログとしてログセンターを使用します。

ログセンターの準備


受信中のログから作成を選びます。名前は適当にProxyLogとします。それ以外はデフォルト値にしておきます。

ログの受け口ができました。


ProxyProxyServerの設定


我が家の環境ではポート8080は別途使用しているので、ここでは8081に設定します。ログは上記で作ったログセンターに転送するように設定します。Synplogy DS215JのIPアドレスは192.168.11.39です。UDP：514で上記で作成したログの受け口に紐づくものと思われます。

まず、かなり厳しいWebフィルターとうことなので、全部ブロックし、ホワイトリスト方式にします。アクセスからallow（許可）、deny（拒否）を設定します。下記はTeamsとは関係ないですが、設定のサンプルです。

Office 365 の URL と IP アドレスの範囲のSkype for Business Online および Microsoft Teamsの最適化必須、許可必須、既定値必須のみ設定します。Commonを入れるとサインインできてしまいます。

※URLとIPアドレスの範囲は随時更新されるようなので、ウォッチし、適宜加除する必要があるようです。


↓


下記はSynologyのProxyServerでなくSquidのACLリストとなります。Synologyを使ってもSquidを使っても結果は同じです。

※SynologyのProxyServerは設定値をエクスポートできないので。
※筆者は下記許可リストに対して何の責任も負えませんし、問い合わせにも答えられません。
※Skype for Business Online および Microsoft Teamsの重複値は除外しています。
※IPv6は許可対象にしていません。（特に理由はありませんがうまくいったので。）

2020年5月3日現在

#for Teams
acl whiteListIP src 13.107.64.0/18
acl whiteListIP src 52.112.0.0/14
acl whiteListIP src 52.120.0.0/14
acl whiteList dstdomain *.lync.com
acl whiteList dstdomain *.teams.microsoft.com
acl whiteList dstdomain teams.microsoft.com
acl whiteListIP src 13.70.151.216/32
acl whiteListIP src 13.71.127.197/32
acl whiteListIP src 13.72.245.115/32
acl whiteListIP src 13.73.1.120/32
acl whiteListIP src 13.75.126.169/32
acl whiteListIP src 13.89.240.113/32
acl whiteListIP src 13.107.3.0/24
acl whiteListIP src 51.140.155.234/32
acl whiteListIP src 51.140.203.190/32
acl whiteListIP src 51.141.51.76/32
acl whiteListIP src 52.163.126.215/32
acl whiteListIP src 52.170.21.67/32
acl whiteListIP src 52.172.185.18/32
acl whiteListIP src 52.178.94.2/32
acl whiteListIP src 52.178.161.139/32
acl whiteListIP src 52.228.25.96/32
acl whiteListIP src 52.238.119.141/32
acl whiteListIP src 52.242.23.189/32
acl whiteListIP src 52.244.160.207/32
acl whiteListIP src 104.215.11.144/32
acl whiteListIP src 104.215.62.195/32
acl whiteListIP src 138.91.237.237/32
acl whiteList dstdomain *.broadcast.skype.com
acl whiteList dstdomain broadcast.skype.com
acl whiteList dstdomain quicktips.skypeforbusiness.com
acl whiteList dstdomain *.sfbassets.com
acl whiteList dstdomain *.urlp.sfbassets.com
acl whiteList dstdomain skypemaprdsitus.trafficmanager.net
acl whiteList dstdomain *.keydelivery.mediaservices.windows.net
acl whiteList dstdomain *.msecnd.net
acl whiteList dstdomain *.streaming.mediaservices.windows.net
acl whiteList dstdomain ajax.aspnetcdn.com
acl whiteList dstdomain mlccdn.blob.core.windows.net
acl whiteList dstdomain aka.ms
acl whiteList dstdomain amp.azure.net
acl whiteList dstdomain *.msedge.net
acl whiteList dstdomain compass-ssl.microsoft.com
acl whiteList dstdomain *.mstea.ms
acl whiteList dstdomain *.secure.skypeassets.com
acl whiteList dstdomain mlccdnprod.azureedge.net
acl whiteList dstdomain videoplayercdn.osi.office.net
acl whiteList dstdomain *.skype.com
acl whiteList dstdomain statics.teams.microsoft.com
#for install
acl whiteList dstdomain *.mobile.pipe.aria.microsoft.com
acl whiteList dstdomain mobile.pipe.aria.microsoft.com
acl whiteList dstdomain statics.teams.cdn.office.net
acl whiteList dstdomain urlshortener.teams.microsoft.com
#for chat
acl whiteList dstdomain *.chatsvcagg.teams.microsoft.com
acl whiteList dstdomain chatsvcagg.teams.microsoft.com
acl whiteList dstdomain .api.cc.skype.com
acl whiteList dstdomain .chatsvcagg.teams.microsoft.com
acl whiteList dstdomain apac.ng.msg.teams.microsoft.com
acl whiteList dstdomain *.apac.ng.msg.teams.microsoft.com
acl whiteList dstdomain .browser.pipe.aria.microsoft.com
acl whiteList dstdomain .as-prod.asyncgw.teams.microsoft.com
acl whiteList dstdomain .as-api.asm.skype.com
acl whiteList dstdomain presence.teams.microsoft.com
acl whiteList dstdomain config.teams.microsoft.com
acl whiteList dstdomain go.trouter.teams.microsoft.com
acl whiteList dstdomain api.flightproxy.teams.microsoft.com
acl whiteList dstdomain .teams.microsoft.com
acl whiteList dstdomain tr.teams.microsoft.com
acl whiteList dstdomain southeastasia.notifications.teams.microsoft.com
acl whiteList dstdomain v20.events.data.microsoft.com
acl whiteList dstdomain japanwest-prod.notifications.teams.microsoft.com
acl whiteList dstdomain eastasia.notifications.teams.microsoft.com
acl whiteList dstdomain iecvlist.microsoft.com

上記の#for installを設定しないと下図のようにインストールが失敗したように表示されます。ただし、インストールは成功していますので匿名会議は利用可能です。

 また、#for chatを設定しないと下図のように匿名参加側のチャットのボタンがグレーアウトしてしまい、チャットできません。もし、匿名参加側にチャットをさせたくなければ、これを解放しなければOKです。なお、匿名参加者を「発表者」に昇格させてもグレーアウトは変わりません。


 #for installも#for chatもプロキシのログからDeniedを目視で追って特定したURLです。レンジで指定すべき値、ワイルドカードで指定すべきだった場合を考慮すると、不確実性を含んでいます。
背景のカスタマイズは何度かTeamsを再起動しているうちに（もしかしたら実行後しばらくして）選択可能になります。

 Teamsにサインイン可能なアカウントでサインインを試みても下図のとおり失敗します。


 会議のオプションも匿名参加者はできません（Webフィルターとは関係ないですが）




結果


 スクリーンショットはありませんが、要件どおりに
  • 匿名会議とみ参加できた
  • チャットできた
  • ビデオ通話・音声通話できた
  • 背景カスタマイズできた（グラフィックかCPUかはわかりませんが、性能の低いPC（例えばLenovo YOGA BOOK）だとできない（背景カスタマイズボタンが表示されない）ようです。）


このブログの人気の投稿

ダブルクォーテーションで括られたCSVカ​ンマ区切りテキストファイルを SQL Server で Bulk Insert する方法

イメージ
  ダブルクォーテーションで括られたCSVファイルなんて使うのかよ？と私は疑問符なんだけれど、そういうファイルを吐き出すシステムもあるらしいのでメモ。 区切り文字にカンマ[,]を使用しちゃって、データにカンマ[,]が含まれちゃってるから、ダブルクォーテーションで括るしかないんだって。タブで区切ればいいと思うんだけどね。データにタブって普通入らないでしょ。データにダブルクォーテーションが入っててもNGだし。   ポイント 最初の区切り文字を、"にする 最初の列は切り捨てる 2番目以降の区切り文字を","にする 最後の区切り文字を"\r\nにする "はエスケープが必要なので"\になる。 区切り文字は""で囲む インポートする CSVファイルの文字コードは ANSIにしておく。インポートする文字コードがUNICODEだとインポートできない。 ※設定誤りでインポートできていない可能性もあるので、インポートできるかもしれない。 フォーマットファイルの文字コードは ANSI でなければいけない。UNICODEだと「XML の解析: 行 2、文字 0。ドキュメントの構文が正しくありません。」エラーになる。 フォーマットファイルの最終後は改行が必要。改行なしだと「一括読み込みできません。ファイル "C:\Users\****\Desktop\MovieStars.fmt" が不完全か、読み取れませんでした。オペレーティング システム エラー コード (null)。」となる。  
Read more »

PowerShellでTSV／CSVの列を絞り込んで抽出し、（先頭／行末）からＮ行出力する

イメージ
目的 何十万行のCSVやTSVをPowerBI DesktopやSQL Server SSISで読み込むのですが、不要な列があったり、データ量が多いので、開発時はデータを少なくしたい。 Windows標準機能で実施したい。 やること ２つにわけて記載 Powershellで（TSV／CSV）ファイル（S-JIS）から必要な列のみを取り出して、（先頭／末尾）からN行とりだして、別な（TSV／CSV）ファイルへ出力 1について以下を実装 抽出するカラム指定をパラメータ化 区切り文字をパラメータ化 （先頭／末尾）とN行をパラメータ化 対象ファイルをスクリプトへドラッグドロップで実行 対象ファイルと同一フォルダ内へファイル名の末尾に「_Result」を追記して保存） 処理対象ファイル 今回のサンプルはTSVファイルは下図のような9列。 PersonID、adult name、profile_path、biography、homepage、birthday、deathday、place_of_birth サンプル１の基本処理内容 1行目 import-csvで読み込む -Encoding Default でS-JIS指定 -Delimiter "`t"　で区切り文字としてタブを指定 -header @(1..9)　でTSVのヘッダーとして1,2,3・・・,8,9を追加 select "1","3"　で列名（4で追加）が1、３を抽出 export-csv　で「TMDbPersons_Select.txt」に出力 2行目 get-content　で1で作成したTSVを参照 -totalcount　で先頭から10行抽出 select -skip 2　で先頭から2行をスキップ foreach {$_.Replace('"','')}　で「"」を削除 out-file　で「TMDbPersons_Result.txt」に出力 サンプル１（列位置で指定する） import-csv C:\Users\aaat\Desktop\TMDbPersons.txt -Encoding Default -Delimiter "`t" -header @(1..9
続きを読む

IKEAの鏡を壁に取り付ける

イメージ
IKEAの壁掛け鏡 LINDBYN リンドビーンミラーをなるべく壁に傷を残さないように取り付けました。 IKEAの鏡は下記です。 商品番号 904.937.00 重さ4.72kg 税込3,999円 LINDBYN リンドビーン ミラー, ホワイト, 40x130 cm – IKEA   取り付けには壁美人を使用します。 壁側金具「6K」 2枚セット ホワイト / 壁美人.net ホッチキスで壁収納を実現する『壁美人』専門店 (kabebijin.net) 過去に壁美人を使ってホワイトボードを壁に掛けました。 娘の部屋＆おれの部屋に壁掛けホワイトボードを設置しMicrofost Lens ＋ OneDrive で運用してみる。 (yunogotoshi.blogspot.com) IKEA店舗（立川店）では安全のためか、微動だにせずがっちり壁に固定された状態で取り付けられていたため、またWebでも裏面の写真が掲載されていないため、フックをかける部分の大きさ、形状がわからず、購入に躊躇しました。店員さんにお願いして外してもらい、裏面を確認すると、壁美人のフックにかかりそう。そこで購入。 鏡裏面のフック形状はは下図となります。 壁にビスを刺してそこへ引っ掛け、微調整ることを想定しているのか、階段状になっています。 いつものように壁美人をホッチキスで壁に取り付けます。 今回は二つ使います。メーカー仕様によると、静止耐荷重は一つで最大6kgなので12kgの静止耐荷重となります。鏡が4.72kgなので余裕でしょう。フックの間隔は中心点で335mmとなります。 フックとなる壁美人は鏡で見えなくなりますが、化粧カバーを取り付けました。 こんな感じです。 壁美人のフックに引っ掛けるため、上部が少し浮くので、中央部と下部にスペーサーを貼り付けました。 このスペーサーの裏面はテープになっているので取り付けが簡単です。Amazonなどでクッションテープで検索すると出てくるでしょう。 ※私が使用しているのはホームセンターで購入したもので、巻取り型のタイプではありません。 スペーサーを貼ることで、やや傾斜も出ることから、足を長く見せることも可能かもしれません・・・ 取り付けた上部です。 中部から下部です。上部よりやや浮いているので、傾
続きを読む