استكشاف الأخطاء وإصلاحها لمدى الوصول لخدمة الإنترنت

نظرة عامة

يُعد الوصول إلى التطبيقات السحابية عبر الإنترنت جزءًا كبيرًا من حركة مرور الأعمال التي يُسهلها الموقع أو المستخدم. إذا كانت الخدمات الحيوية التي تم الوصول إليها عبر الإنترنت غير قابلة للوصول، فقد يكون لها تأثير مادي على أداء الأعمال. يهدف هذا الدليل إلى المساعدة في مثل هذه السيناريوهات.

الأعراض

• الموقع لا يعمل

  • يمكن أن يظهر هذا بعدة طرق، لكن عادةً ما تنتهي مهلة طلبات المتصفح عند محاولة الوصول إلى موقع.

• عدم تطابق قاعدة جدار الحماية

• خطأ في الشهادة

  • يظهر خطأ في الشهادة عند محاولة تصفح موقع أو تطبيق عبر HTTPS

• صفحة محظورة

  • عند محاولة الوصول إلى موقع أو تطبيق، تظهر صفحة Splash تُشير إلى أن حركة المرور محظورة.

الأسباب الممكنة

• قاعدة جدار الحماية للإنترنت حجبت حركة المرور

• قابلية الوصول للخدمة بما في ذلك حظر جغرافي لعناوين IP

• عدم التوافق مع فحص TLS

• خطأ في TLS

• الشروط المسبقة لـ TLSI - على سبيل المثال تثبيت الشهادة

• عنوان URL مصنف بشكل خاطئ

• نتائج إيجابية كاذبة لمحرك الأمان

• فشل خدمة RBI

التقييم الأولي

تنويه:

تأكد من أن لديك قواعد جدار الحماية للإنترنت (حتى لو تم إنشاؤها مؤقتًا لأغراض استكشاف الأخطاء وإصلاحها) تم تكوينها مع تمكين تتبع الأحداث.

قم بمراجعة أحداث جدار الحماية للإنترنت وIPS ومكافحة البرمجيات الضارة من خلال اختيار الإعداد المسبق المناسب في CMA. قم بتعيين الفلاتر لتضييق نطاق حركة المرور المثيرة للاهتمام وفحص ما إذا كان التدفق محظورًا بواسطة جدار الحماية أو محركات IPS/AM. سيظهر حقل القاعدة القاعدة المعنية التي تطابق حركة المرور.

تأكد من مراجعة القسم المناسب لاستكشاف الأخطاء وإصلاحها باتباع خطوات التقييم الأولية هذه:

• إذا كان بإمكانك العثور على أحداث FW ذات صلة بمحاولات الوصول إلى التطبيق، توجه إلى استكشاف الأخطاء وإصلاح المواقع التي لا تعمل باستخدام الأحداث

• إذا لم يتم إنشاء أي أحداث لتدفق الاختبار، توجه إلى استكشاف الأخطاء وإصلاح المواقع التي لا تعمل - لا توجد أحداث

• إذا كانت أحداث IPS أو مكافحة البرمجيات الضارة تظهر أن أيًا من هذه المحركات يحجب الوصول إلى الخادم الداخلي، أو تُظهر الاستقالات صفحات Splash تتعلق بـ IPS أو مكافحة البرمجيات الضارة، توجه إلى حل الحجب الإيجابي الكاذب لـ IPS/مكافحة البرمجيات الضارة

• إذا تم الإبلاغ عن أو استنساخ صفحة Splash تتعلق بسياسة الإنترنت الخاصة بالشركة، قم بزيارة استكشاف صفحة الحظر الخاطئة

• إذا أبلغ التطبيق عن شهادة غير موثوق بها، انتقل إلى  استكشاف أخطاء شهادة غير موثوق بها لجميع الحركات

• إذا تم الإبلاغ عن أخطاء TLS في صفحات Splash عند محاولة الوصول إلى تطبيق الإنترنت، انظر استكشاف أخطاء الشهادة

• لمشاكل تقديم الموقع الإلكتروني تحديدًا داخل الصين، توجه إلى استكشاف مشاكل التقديم داخل الصين

استكشاف المشكلة وحلها

الخطوات لحل الأعراض التي قد يواجهها مسؤول النظام مذكورة أدناه. تهدف هذه الخطوات إلى تحديد الأسباب المحتملة للمشكلات التي تواجهنا. سيتم تحديد خطوات الحل لاحقًا في الدليل.

مراجعة سجلات مسار التدقيق

راجع مسار التدقيق لأي سجلات محورة قد أثرت على الوصول إلى الموارد الداخلية. يتضمن ذلك قواعد جدار الحماية للإنترنت، إعدادات AM/IPS، وفحص TLS.

استكشاف الأخطاء وإصلاح المواقع التي لا تعمل باستخدام الأحداث

العثور على التدفقات ذات الصلة في الأحداث

باستخدام الصفحة الرئيسية > الأحداث في CMA، يمكن للمسؤول الحصول بسرعة على تاريخ أحداث الاتصال للمواقع داخل الحساب. يمكن تصفية الأحداث لتحديد الأحداث ذات الصلة عن طريق اختيار الإعداد المسبق 'جدار الحماية للإنترنت'، أو بتصفية نوع الحدث 'الأمان' ونوع فرعي 'جدار الحماية للإنترنت'. يمكنك تصفية أكثر عن اسم الموقع المعني باستخدام حقل 'الموقع المصدر'.

بالنسبة للتطبيق أو الموقع الذي يفشل في التحميل، حاول وثم صفي التدفق المعني. للقيام بذلك، يمكنك إضافة حقول فلترة إضافية في البحث. على سبيل المثال قد ترغب في التصفية استنادًا إلى 'النطاق' أو 'عنوان الوجهة IP'. قد ترغب أيضًا في التصفية استنادًا إلى "عنوان المصدر IP" أو أي تدفق تم حظره في "الإجراء" 

بمجرد تحديد الأحداث ذات الصلة بالتدفق الذي يتم استكشافه، يمكننا متابعة تحليل المعلومات الواردة هنا.

تحليل الحقول الحدث

توفر الحقول الحدث الكثير من المعلومات حول التدفقات الفردية وتساعد المسؤول على ضمان أن سياسة CMA وتكوينها للتدفق المعين صحيحة، أو تحديد الأخطاء أو القضايا في التدفق.

الحقول التي يمكن أن تشير إلى سبب عدم الوصول إلى التطبيق هي كالتالي:

• الإجراء
  إذا كان التدفق محظورًا، فهذا يدل على أن التدفق يتم اعتراضه بناءً على السياسات الأمنية المكونة في الأمان > جدار الحماية للإنترنت. سيتم أيضًا إدراج القاعدة التي حظرت هذه الحركة المرورية كحقل في الحدث.
  إذا لم تكن هذه القاعدة لجدار الحماية هي القاعدة التي تتوقع أن تتخذ إجراءات بشأن هذه الحركة المرورية، يرجى زيارة القسم حل تطابق التدفق مع القاعدة الخاطئة.
  إذا كان الإجراء يظهر 'RBI'، قم بزيارة استكشاف تدفقات RBI

• اسم PoP / مصدر IP العام
  قد يكون مهمًا معرفة الشكل الذي تصل به الحركة إلى التطبيق القائم على الإنترنت. خاصة فيما يتعلق بعنوان المصدر IP. تساعد هذه الحقول المسؤول على تحديد عنوان المصدر IP والمنطقة التي تغادر فيها الحزم PoP، وتتأثر بـ تكوين الصادرات داخل قاعدة الشبكة.
  تأكد من أن التطبيق لا يقوم بحظر أو حظر جغرافي لعناوين Cato IP. إذا كان PoP أو عنوان المصدر IP الخارج لا يتطابق مع توقعاتك بناءً على قواعد شبكتك، اتبع تدفق استكشاف أخطاء عدم تطابق القاعدة للفترة الشبكة المعنية.

• فحص TLS
  يفحص حقل فحص TLS ما إذا تم اعتراض التدفق المعني لـ فحص البيانات عبر TLSI. قيمة 1 تشير إلى أن التدفق تم فحصه.
  لا تتعامل بعض التطبيقات بشكل جيد مع الفحص، خاصة تلك التي تستخدم تقنيات أمان مثل تثبيت الشهادات بالنسبة للتدفقات التي يبدو أنها تتأثر بسبب اعتراض فحص TLS، انظر إلى حل فشل التطبيقات بسبب TLSI.

• تسريع TCP
  تسريع TCP هو طريقة لتحسين حركة TCP أثناء عبورها عبر سحابة Cato. تم شرح الطرق التي تعمل بها تسريع TCP وكيف يمكن أن تؤثر على حركة المرور لتطبيقات الإنترنت هنا.

استكشاف الأخطاء وإصلاح المواقع التي لا تعمل - لا توجد أحداث

إذا لم تكن هناك أحداث يمكن العثور عليها لتدفق، وجميع القواعد ذات الصلة في الأمان > جدار الحماية للإنترنت تم ضبطها على حظر أو مراقبة، فمن المحتمل أن التدفق لا يصل إلى المرحلة التي سيتم تسجيله فيها. يمكن أن يعود ذلك إلى خطأ في التكوين أو مشكلة في نجاح البروتوكول الذي يسبق التدفق، مثل DNS.

الخطوة الأولى لاستكشاف مشاكل التأكد من أن هذه المشكلة خاصة بحركة المرور التي تعبر Cato. يمكن القيام بذلك عن طريق تجاوز Cato من خلال توصيل مضيف مباشر إلى اتصال الإنترنت أو استخدام تجاوز المقبس أو سياسة الأنفاق المنقسمة لمواقع المقبس ومستخدمي SDP على التوالي. إذا لم يتم تحميل الموقع حتى عند تجاوز Cato، فهذه ليست مشكلة Cato ويجب التعامل معها إما مع مزود خدمة الإنترنت أو مزودي التطبيق. إذا لم تظهر المشكلة عندما يتم تجاوز Cato، استمر في هذا التدفق لاستكشاف الأخطاء وإصلاحها.

استكشاف حل DNS

إذا لم يصل تدفق إلى المرحلة التي يمكن فيها إنشاء حدث، يبدو أن السبب الرئيسي هو أن عدم القدرة على إتمام DNS يمنع تدفق التطبيق عبر الإنترنت من بدء العميل.

بالنسبة للمضيف الذي يفشل هذا التطبيق له، اختبر حل DNS لاسم المضيف للتطبيق المعني لتحديد ما إذا كان DNS يعيد استجابة بنجاح.

لحالات فشل DNS:

إذا كانت خوادم DNS لديك خارجية تستند إلى الإنترنت، فكر في تغيير خوادم DNS وفقًا لما هو موصى به في أفضل الممارسات في Cato لحلول DNS.

إذا كانت خوادم DNS المستخدمة هي الخوادم الموصى بها من Cato (10.254.254.1 و8.8.8.8)، تأكد من عدم حظر هذه التدفقات DNS باستخدام التدفق لاستكشاف الأخطاء وإصلاحها الموضح في العثور على التدفقات ذات الصلة في الأحداث.

إذا كانت خوادم DNS الخاصة تُستخدم، تأكد من وصول طلبات DNS إلى تلك الخوادم وتحقق من تطابق الاستجابة مع التوقعات.

تحقق من تكوين تجاوز المواقع المقبس

التدفقات التي يتم تجاوزها في مواقع المقبس لن تظهر في صفحة الأحداث ولن تخضع لتحسين حركة المرور أو محركات الأمان الخاصة بـ Cato. قد يؤدي ذلك إلى مشاكل في الوصول خاصة في الحالات التي تتطلب فيها عناوين IP معينة معرفة لتوجيه الحركة نحو تطبيق الإنترنت.

تأكد من أن التدفق المعني ليس مدرجًا في قاعدة التجاوز إذا لم تكن ضرورية:

تحقق من الأنفاق المنقسمة للزبائن SDP

التدفقات التي تقع ضمن نطاق سياسة الأنفاق المنقسمة لزبائن SDP لن تظهر في صفحة الأحداث ولن تخضع للتحسين حركة المرور أو محركات الأمان الخاصة بـ Cato. قد يؤدي ذلك إلى مشاكل في الوصول خاصة في الحالات التي تتطلب فيها عناوين IP معينة معرفة لتوجيه الحركة نحو تطبيق الإنترنت.

تأكد من أن التدفق المعني ليس ضمن نطاق قاعدة سياسة الأنفاق المنقسمة إذا لم تكن ضرورية:

تحقق من تكوين مستوى الثقة للزبائن SDP

يمكن لـ مستويات الثقة في أمان الإنترنت البعيد التأثير على حركة المرور للإنترنت لمستخدمي SDP في الحالات التي انتهت فيها صلاحية المصادقة في Cato. يمكن أن يتسبب سلوك تجاوز الامتداد لجلسات المستخدم التي انتهت صلاحيتها في عدم توجيه الحركة المرورية إلى الإنترنت إلى Cato. قد يؤدي ذلك إلى مشاكل في الوصول خاصة في الحالات التي تتطلب فيها عناوين IP معينة معرفة لتوجيه الحركة نحو تطبيق الإنترنت.

بالنسبة للمستخدم الذي لديه جلسة منتهية الصلاحية، إما تأكد من أن المستخدم يمكنه الوصول إلى الإنترنت حتى عند مستوى ثقة منخفض، أو تأكد من تجديد مصادقته.

استكشاف أخطاء عدم تطابق قاعدة جدار الحماية للإنترنت

عند تكوين قاعدة جدار الحماية، قد يكون من الممكن أن يتم تقييم الحركة المرورية ضد القاعدة الخاطئة. يغطي هذا القسم جميع السيناريوهات المحتملة لعدم التطابق وكيفية تحليل هذه المشكلة.

التحقق من التطبيق المخصص

إذا كانت حركة المرور المثيرة للاهتمام من المتوقع أن تتطابق مع تطبيق مخصص وحقل التطبيق الموجود في حدث FW لا يتطابق معه، تأكد من أنه تم تكوين التطبيق المخصص بشكل صحيح. ضع في اعتبارك أنه عندما تتداخل التطبيقات المخصصة، تقوم كاتو بتحديد المرور كواحد من التطبيقات المخصصة فقط. 

لمنع هذه المشكلة، يرجى عرض قسم حل تداخل التطبيقات المخصصة.

التحقق من التطبيق أو الخدمة المضمنة

إذا كان من المتوقع تطابق حركة المرور المثيرة للاهتمام مع تطبيق أو خدمة مدمجة وتم مطابقة حركة المرور مع القاعدة الخاطئة، تحقق مما يلي:

• ما التطبيقات أو الخدمات التي تم تكوينها في القاعدة الخاطئة لجدار الحماية.

• ما إذا كانت أي من هذه التطبيقات/الخدمات مدرجة في حقل التطبيقات ذات الصلة من الحدث FW.

التعريف التطبيق/الخدمة هو عملية متعددة الخطوات تبدأ بتحليل البروتوكول ومن ثم جميع التطبيقات الممكنة المتطابقة التي تُدرج في حقل التطبيقات ذات الصلة. أي تطبيق 'ذات صلة' تم التعرف عليه في التدفق بغض النظر عن قرار التطبيق النهائي (حقل التطبيق) سيطابق قاعدة جدار الحماية.

في المثال أدناه، تطابق حركة مرور يوتيوب القاعدة #3 بدلاً من القاعدة #4. هذا لأن القاعدة #3 تشمل خدمة TCP (مدرجة في التطبيقات ذات الصلة) على الرغم من أن التطبيق النهائي (حقل التطبيق) هو يوتيوب.

لحل هذا السلوك المتوقع، انظر ترتيب قواعد جدار الحماية. يمكن حل عدم تطابق التطبيق المدمج أيضًا بإضافة اسم مجال التطبيق ذي الصلة إلى قاعدة جدار الحماية، كما هو موضح في الحدث CMA، أو الإبلاغ عن عدم التطابق إلى الدعم.

التحقق من اسم المجال

إذا كانت قاعدة جدار الحماية تحتوي على كائن مجال أو FQDN، تحقق مما هو موجود في حقل اسم المجال في الحدث FW. يجب أن يكون كائن المجال/FQDN في قاعدة جدار الحماية مساويًا لهذا الحقل.

ضع في اعتبارك أن FQDN يُعتبر تطابقًا دقيقًا للنطاق المؤهل بالكامل. على سبيل المثال، تطابق example.com FQDN فقط مع example.com.

من ناحية أخرى ، فإن اسم النطاق هو نطاق المستوى الأعلى (TLD) أو نطاق المستوى الثاني (SLD) الذي يطابق جميع النطاقات الفرعية. على سبيل المثال، تطابق example.com FQDN فقط مع example.com.example.com وhost.example.com.

قد تكون هناك حالات حيث لا يمكن لكاتو تحديد اسم المجال الصحيح من HTTP، TLS، أو تدفقات DNS. لحل هذه الأنواع من المشكلات راجع حل مشكلات اسم النطاق

استكشاف أخطاء الشهادات

تعد أخطاء الشهادات عرضًا شائعًا آخر عند مواجهة مشكلات إمكانية الوصول إلى التطبيقات على الإنترنت. تعتبر صفحات التمهيد المتعلقة بـ TLS شائعة وتساعد المسؤولين في تحديد سبب فشل الوصول إلى التطبيقات.

إذا اقترحت صفحة الحظر خطأ TLS كما هو موضح أعلاه، يمكن العثور على التدفق ذي الصلة في الأحداث. يمكن استخدام نوع التصفية الفرعي لـ TLS للتكبير في الأحداث المعينة المتعلقة بأخطاء TLS 

هنا يمكن تحديد سبب الحظر لأي تدفق حظر بسبب خطأ TLS 

إذا ظهر الخطأ التالي رغم أن شهادة الموقع صالحة، وكان الموقع قابلاً للوصول خارج Cato، يرجى تقديم قضية إلى دعم Cato.

 استكشاف أخطاء الشهادة غير الموثوقة لجميع حركة المرور

إذا كانت كل حركة المرور المتجهة إلى الإنترنت لمستخدمين أو مضيفين معينين تتلقى أخطاء في الخصوصية أو الثقة وتم تمكين TLSI لحركة المرور المعنية ، فمن المحتمل أن الشهادة المطلوبة لعمل TLSI ليست موجودة على الجهاز 

التحقق مما إذا كانت الشهادة المخصصة قيد الاستخدام

عند التحقق من كيفية ضمان اعتراض حركة المرور بنجاح لـ TLSI دون كسر التدفقات، يجب أولاً تحديد ما إذا كانت أي شهادة مخصصة قيد الاستخدام. من خلال النظر إلى الشهادة المعروضة عبر المتصفح، يمكننا تحديد ما إذا كانت شهادة Cato الافتراضية أو شهادة مخصصة تعمل كسلطة الشهادة.

في لقطة الشاشة أعلاه يمكننا أن نرى أن CA لشهادة الحاق ليست شهادة Cato القياسية. يمكننا التحقق من شهاداتنا المخصصة في Cato عبر الأمان > إدارة الشهادات لتحديد ما إذا كان يتطابق مع شهادتنا النشطة المكونة:

هذا يساعد المسؤول في تحديد الشهادة التي تتطلب التوزيع على العملاء النهائيين.

تحقق مما إذا كانت الشهادات ذات الصلة مثبتة

بمجرد تحديد الشهادة التي يجب تثبيتها على المضيفين لكي تعمل هذه التدفقات، يمكننا اتباع هذا الدليل للتأكد من تثبيت تلك الشهادات على الأجهزة.

استكشاف صفحة الحظر الخاطئة

عند تقديم صفحة حظر، من المهم تحديد نوع الحظر الذي حدث وكيفية متابعة استكشاف الأخطاء وإصلاحها.

تشير صفحة التمهيد أعلاه إلى أن هذا الحظر تم إنشاؤه بواسطة جدار الحماية للإنترنت. إذا تم تعيين القاعدة التي حظرت هذا التدفق إلى تتبع الأحداث، سيظهر هذا التدفق في صفحة الأحداث ويمكن تحليله أكثر:

• إذا تم تنفيذ هذه القاعدة بطريق الخطأ، وتوقعت أن يتطابق هذا التدفق مع قاعدة مختلفة، راجع قسم استكشاف عدم تطابق قواعد جدار الحماية للإنترنت.

• إذا تم تفعيل هذه القاعدة بناءً على فئة URL، وتعتقد أن هذه الفئة تم تطبيقها على هذا URL بالخطأ، راجع قسم حل مشكلات التبويب الخاطئة ل URL.

• إذا كان الإجراء الذي يتطابق مع الحدث المعني هو 'RBI' انتقل إلى استكشاف أخطاء تدفقات RBI

استكشاف أخطاء تدفقات RBI

إذا كانت URL تثير قاعدة RBI بصورة مخالفة للتوقعات ، تأكد من أنه تم تحديد URL بشكل صحيح ، كما في حل مشكلات التبويب الخاطئة ل URL.

إذا واجه المستخدم مشكلة في تصفح URL معين، يمكنك إنشاء جلسة محاكاة RBI تجريبية لهذه URL باستخدام أداة Admin RBI. أدخل URL صالح لـ HTTP أو HTTPS ثم اتبع الرابط الناتج لمشاهدة الموقع في جلسة RBI. ترسل الأداة هذه الحركة مباشرة إلى خدمة RBI دون المرور عبر سحابة Cato. يمكن أن يساعد هذا في تحديد ما إذا كانت مشكلة المستخدم تتعلق بخدمة RBI نفسها، أو ناتجة عن مشكلات أخرى مثل تكوين الحساب أو الاتصال ببنية Cato الأساسية. على سبيل المثال، لا يمكن لمستخدم متصل بـ Cato تصفح موقع غير مصنف تم تكوينه لـ RBI، ولكن يمكن للمسؤول الوصول إلى الموقع باستخدام الأداة. قد يشير هذا إلى أن خدمة RBI تعمل بشكل صحيح والمشكلة تتعلق بالاتصال بين PoP والخدمة.

بعد تشغيل جلسة RBI من الأداة، يمكنك تقديم النتائج إلى الدعم لمساعدتهم في حل المشكلة.

لاستكشاف الأخطاء وإصلاحها باستخدام أداة Admin RBI:

1. من لوحة التنقل، اختر الأمان > RBI.

2. ضمن أداة Admin RBI، أدخل URL صالح لـ HTTP أو HTTPS. على سبيل المثال: https://maps.google.com

3. انقر على توليد. يتم إنشاء URL لجلسة RBI.

4. انقر على الرابط بجانب URL. يفتح جلسة RBI في المتصفح الافتراضي لديك.

استكشاف مشكلات العرض داخل الصين

لهذه الحالة الخاصة، يرجى الاطلاع على المعرفة ذات الصلة لدينا حول هذا الموضوع، الصين | الصفحة التي تواجه مشكلات العرض

حل المشكلات التي تم اكتشافها

حل مشكلة التطبيقات المخصصة المتداخلة

تأكد من أن التطبيق المخصص يتضمن عناوين IP الصحيحة، النطاق، المنفذ، والبروتوكول. لا يوجد منطق حول أي تطبيق مخصص يتم اختياره للتحديد، لذا يجب تعريف التطبيق المخصص بشكل فريد لتجنب التداخل مع تطبيق مخصص آخر. لمزيد من المعلومات، راجع العمل مع التطبيقات المخصصة

ترتيب قواعد الجدار الناري

ضع في اعتبارك أن قواعد الجدار الناري تقيم حسب ترتيبها ، لذا من المهم تحديد القواعد الأكثر تحديدًا فوق القواعد الأكثر عمومية. على سبيل المثال، يجب وضع قواعد الجدار الناري التي تحدد تطبيق مخصص، تطبيق مدمج، اسم، FQDN، أو خدمة مخصصة فوق قواعد الجدار الناري التي تحتوي على فئات، فئات مخصصة، أو خدمات.

في لقطة الشاشة أدناه، تحتوي القاعدة #1 على خدمة مخصصة تشمل نطاقات IP لتويتر.كوم وتوضع فوق القاعدة #2 التي تحتوي على فئات التطبيقات. القاعدة #1 هي أكثر تحديدًا من القاعدة #2 وستكون تطابقًا أفضل للتدفق المتجه إلى twitter.com. هذا سيلغي أيضًا تسريع TCP ويحل أي مشكلات في التوجيه خارج السحابة أو عبر الإنترنت في الوضع المتبدل نظرًا لأن القاعدة #1 هي قاعدة بسيطة.

حل مشاكل اسم النطاق

يمكن حل مشكلات مطابقة القواعد الجدار الناري استنادًا إلى اسم/FQDN كما يلي:

• بالنسبة لبروتوكولات مثل HTTP/S، يمكن لـ Cato تحديد مجال الوجهة باستخدام المصادر التالية:

  • عنوان مضيف HTTP (عندما يتم تمكين فحص TLS)

  • حقل SNI أثناء مصافحة TLS

  • حل DNS، حيث يتم تعلم اسم المجال من استعلامات واستجابات DNS

• من المهم ضمان أن المجال المحدد في قاعدة جدار الحماية متسق عبر جميع هذه المصادر. يرجى ملاحظة أن اسم النطاق الذي يتطابق بشكل أفضل (يتم تقييمه من الأعلى إلى الأسفل) يتم عرضه كـ اسم النطاق في أحداث جدار الحماية. 

• بالنسبة للبروتوكولات الأخرى، مثل SSH أو SMB، التي لا ترسل نطاقًا كنص عادي، يعتمد "كاتو" حصريًا على اعتراض DNS لربط حركة المرور بنطاق أو FQDN. هذا مهم بشكل خاص عند استخدام DNS خاص حيث نحتاج إلى التأكد من أن استفسارات DNS / الردود تمر عبر Cato. راجع أفضل الممارسات لDNS وحساب كاتو الخاص بك.

• لا يتم دعم DoH (DNS عبر HTTPS) و DNS عبر TLS لمطابقة اسم النطاق / التطبيقات ، وبالتالي يجب حظرها في قواعد الجدار الناري لإجبار نقل استفسارات DNS إلى UDP/53.

حل التطبيقات الفاشلة بسبب TLSI

بالنسبة للتدفقات التي يتم فحصها بواسطة TLS والمفحصه بشكل خاطئ، تأكد من تكوين قاعدة قاعدة TLSI المطلوبة بشكل صحيح مع مراعاة تطابق التطبيق للتدفق وطبيعة ترتيب القواعد ، كما هو موضح هنا.

إذا تم فحص التدفق بقصد ، وكان ذلك سببًا في كسر التطبيقات على الإنترنت ، فكر في تكوين قاعدة تجاوز للتطبيق المعني.

حل مشكلات التصنيف الخاطئة ل URL

لإعادة تصنيف المجالات، يرجى مشاهدة وثائقنا على تحديد الفئة لنطاق.

حل الحالات السلبية الكاذبة ل IPS / حظر البرامج الضارة

راجع أحداث IPS / البرامج الضارة عن طريق اختيار الإعدادات المسبقة لـ IPS و البرامج الضارة في CMA. قم بتعيين المرشحات لتضييق حركة المرور المثيرة للاهتمام وتحقق مما إذا كان التدفق قد تم حظره بواسطة محركات IPS أو AM. 

إذا تم حظر حركة المرور المثيرة للاهتمام بواسطة IPS / AM ، يمكنك إضافة قوائم السماح مع النطاق إنترنت إلى كل من إعدادات IPS و Antimalware.

رفع الحالات إلى دعم Cato

قدم تذكرة دعم تذكرة دعم بنتائج خطوات استكشاف الأخطاء المذكورة أعلاه. الرجاء تضمين المعلومات التالية في التذكرة:

• تفاصيل المشكلة المكتسبة والتأثير العام على المستخدمين.

• الأحداث ذات الصلة بالجدار الناري وتكوين قاعدة الجدار الناري.

• إعادة إنتاج المشكلة وتشغيل خدمة الدعم الذاتي. قم بتضمين الرقم الذي أنشأه الأداة.