Incluyendo y Excluyendo Tráfico para la Política de Túnel Dividido

Para más información sobre el enrutamiento de tráfico para usuarios remotos, consulte Enrutamiento con el Cliente Cato (Política de Túnel Dividido).

Resumen

Para usuarios remotos conectados con el Cliente Cato, la política de Túnel Dividido controla qué tráfico se enruta a través del Cato Cloud y qué tráfico omite el túnel. Utilice las reglas de inclusión y exclusión para definir los destinos específicos que se enrutan a través del túnel Cliente.

Cuando los usuarios están detrás de un sitio Cato, la política de Túnel Dividido solo se aplica si están conectados con el Cliente y no están en Modo Oficina. En Modo Oficina, los usuarios no son tratados como usuarios remotos y la política de Túnel Dividido no se aplica a su tráfico.

Enrutamiento de Túnel Dividido Basado en Destino

La política de Túnel Dividido admite estas opciones de enrutamiento:

Enrutar todo el tráfico a través de la Nube de Cato y excluir destinos específicos (como servicios SaaS de confianza)
Enrutar la mayor parte del tráfico directamente a Internet e incluir solo destinos seleccionados para inspección

Las reglas basadas en destino soportan aplicaciones, rangos de IP, dominios, y FQDNs, brindándote control preciso sobre qué tráfico es asegurado por la Nube de Cato y cuál tráfico evita el túnel.

Dominios y FQDN como Destinos

Cuando usas el dominio y FQDN para definir tráfico para usuarios remotos conectados con el Cliente, que se incluye o excluye de la Nube de Cato:

Dominio - Usa objetos de Dominio para coincidir con un dominio y todos sus subdominios (por ejemplo, example.com coincide con app.example.com y login.example.com)
FQDN - Usa FQDN objetos para destinar hosts específicos (por ejemplo, solo app.example.com).

Aplicaciones como Destinos

Para reglas de Túnel Dividido basadas en destinos con Todos los Puertos y Protocolos, puede utilizar aplicaciones predefinidas como destinos. Hay aplicaciones basadas en FQDN y aplicaciones basadas en IP.

Para aplicaciones basadas en FQDN, Cato mantiene dinámicamente los dominios de la aplicación y actualiza las definiciones de enrutamiento cuando esos dominios cambian. Esto reduce el mantenimiento de políticas y permite que el Cliente Cato enrute el tráfico de aplicaciones coincidentes a través del túnel hacia el Cato Cloud o directamente a Internet, según la regla de Incluir o Excluir. Las aplicaciones indican cuáles son basadas en FQDN y cuáles solo son basadas en IP.

También puede elegir incluir FQDNs en una regla con lógica basada en O, si es necesario.

"Requisitos previos"

El retransmisor DNS debe estar habilitado en los dispositivos
Soporte desde Cliente Windows v6.2 o superior
- Recomendado para Cliente Windows v6.4 y superior (ver abajo Limitación Conocida)
Las aplicaciones como destino son soportadas desde Cliente Windows v6.4 o superior

Personalizar qué Tráfico es Excluido de Cato

Para configuraciones donde enrutas todo el tráfico de usuario remoto a la Nube de Cato, puedes definir excepciones para omitir el túnel de Cato y conectarte directamente al destino. Esto te permite mantener la inspección de seguridad en la Nube de Cato mientras optimizas el acceso a servicios de confianza.

Por ejemplo, podrías querer que el tráfico a un servicio SaaS como office.com evite el túnel por razones de rendimiento. Las consultas DNS para el dominio aún son inspeccionadas por la Nube de Cato. Después de que el dominio es resuelto, el tráfico se conecta directamente al destino.

Las excepciones del Túnel Dividido incluyen las siguientes opciones:

Exclusiones DNS – Define dominios que son resueltos por un servidor DNS local en lugar de a través de la Nube de Cato, como aplicaciones internas a las que quieres acceder directamente
Exclusiones de Destino – Define aplicaciones, dominios, FQDNs (EA), o rangos de IP que omiten el túnel, como aplicaciones o servicios a los que los usuarios accederán omitiendo el túnel

Nota: Al crear una regla con una exclusión, debes especificar explícitamente el sistema operativo como Windows

El siguiente procedimiento describe cómo configurar una regla para enviar todo tu tráfico a Cato mientras excluyes el tráfico DNS local y el destino usando un FQDN.

Para personalizar el tráfico que se excluye de la Nube de Cato:

Desde el menú de navegación, haz clic en Acceso > Política de Túnel Dividido.
Crea una nueva regla y configura los ajustes para: General, Usuarios/Grupos, Plataformas, Red de Origen, y Países.
Para más información, consulte Enrutamiento con el Cliente Cato (Política de Túnel Dividido).
En la sección Configuración, bajo Seleccionar Modo de Conexión, selecciona Todos los Puertos & Protocolos.
Bajo Política de Enrutamiento, selecciona Enrutar todo a Cato.
En la sección Definir Excepciones de Enrutamiento, define el tráfico que omite el túnel:
1. Bajo Exclusiones DNS, ingresa uno o más dominios para ser resueltos por tu servidor DNS local.
2. Bajo Exclusiones de Destino, configura uno o más destinos y tipos que van directamente al destino.
  El tráfico a estos dominios irá directamente a su destino y no a través de Cato
Haz clic en Guardar.

Asegure solo destinos específicos (incluidos)

Al crear una regla de Túnel Dividido, puedes determinar la política de enrutamiento de manera que, por defecto, el tráfico no es enrutado a Cato. Luego, define solo el tráfico específico que se enruta a Cato para inspección. Por ejemplo, cuando la mayor parte de tu tráfico de red va a una solución de terceros, pero deseas enrutar tráfico específico a un centro de datos remoto a través de Cato.

Actualmente, con Ruta solo seleccionada hacia Cato, todo el tráfico es resuelto usando DNS de Cato.

Nota: Al crear una regla para incluir tráfico, debes especificar explícitamente el sistema operativo como Windows.

El siguiente procedimiento describe cómo configurar una regla para enviar solo destinos de tráfico específicos a la Nube de Cato, y el resto es enrutado a tu solución de terceros.

Para personalizar qué tráfico se enruta a Cato:

Desde el menú de navegación, haz clic en Acceso > Política de Túnel Dividido.
Crea una nueva regla y configura los ajustes para: General, Usuarios/Grupos, Plataformas, Red de Origen, y Países.
Para más información, consulte Enrutamiento con el Cliente Cato (Política de Túnel Dividido).
En la sección de Configuración, bajo Seleccionar Modo de Conexión, seleccione Todos los Puertos & Protocolos o Solo Web.
Bajo Elegir política de enrutamiento, selecciona Enrutar solo los seleccionados a Cato.
En la sección Definir Selecciones de Enrutamiento, bajo Inclusiones de Destino, agrega los elementos que son enrutados a Cato para comprobaciones de seguridad adicionales.
Haz clic en Guardar.

Limitaciones conocidas

Para Cliente Windows v6.4 y superior, puede definir hasta 100,000 Artículos de Dominio y FQDN para una sola regla
Para Cliente Windows v6.2 - 6.3, puede definir hasta aproximadamente 100 Artículos de Dominio y FQDN para una sola regla (número total de caracteres es menor a 3.5 KB)