Configuration d’un proxy direct (EA)

Note : Cette fonctionnalité de disponibilité anticipée (EA) est uniquement disponible pour une version limitée. Pour plus d'informations pour activer cette fonctionnalité, contactez votre représentant de Cato Networks ou envoyez un courriel à ea@catonetworks.com.

Proxy Avancé vous permet de connecter votre déploiement de proxy avancé existant à la Sécurité AI de Cato. Si votre organisation utilise déjà un proxy avancé pour communiquer avec des fournisseurs externes, vous pouvez continuer à utiliser cette architecture réseau au lieu de la redessiner. Vous définissez un proxy avancé dans Cato, et votre proxy existant transfère le trafic AI pris en charge à Cato pour inspection et application.

Cato assigne un point de terminaison dédié et un port pour chaque compte. Votre proxy avancé existant envoie le trafic à ce point de terminaison, et Cato transmet le trafic autorisé à la Sécurité AI.

Pour configurer le proxy transféré pour fonctionner avec ZScaler, consultez cet article de la Base de Connaissances.

Comment fonctionne le Proxy Avancé

Le Proxy Avancé est une entité au niveau du compte dans le CMA. Lorsque vous activez la fonctionnalité, Cato génère un point de terminaison proxy dédié pour votre compte qui inclut :

• Nom de domaine complet

• Port

Par exemple, samplefqdn.fwdproxy.catonetworks.net:8337

Votre proxy avancé existant envoie du trafic HTTP CONNECT au point de terminaison Cato. Cato accepte uniquement le trafic autorisé avant de le transmettre à la Sécurité AI.

Cato valide le trafic basé sur :

• Adresse IP source

• Destination supportée

• Informations d'identité de l'utilisateur dans l'en-tête de la demande

Prérequis

• QUIC doit être bloqué sur tous les autres fournisseurs tiers

• L'inspection TLS doit être activée pour tout le trafic que vous acheminez vers Cato

Cas d'Utilisation

En tant qu'administrateur de sécurité, votre organisation utilise déjà un proxy, tel que Zscaler, pour acheminer le trafic vers des fournisseurs externes. Vous souhaitez connecter ce trafic à la Sécurité AI de Cato sans changer votre architecture réseau existante.

Vous créez un Proxy Avancé dans le CMA et ajoutez les adresses IP source publiques utilisées par le proxy de votre organisation. Après avoir activé la fonctionnalité, Cato génère un point de terminaison et un port dédié pour votre compte. Vous configurez alors votre proxy existant pour transférer le trafic AI pris en charge à ce point de terminaison Cato.

Lorsque le trafic atteint Cato, il valide la source, la destination et les informations d'identité utilisateur avant de transmettre le trafic autorisé à la Sécurité AI. Ce workflow vous permet de continuer à utiliser votre déploiement de proxy actuel tout en envoyant le trafic AI pris en charge à la Sécurité AI de Cato pour inspection et application.

Configurer un Proxy Avancé

Pour configurer un proxy avancé :

1. Allez à Réseau > Proxy Avancé.

2. Sous Source, ajoutez au moins 1 adresse IP ou plage, puis cliquez sur Appliquer.

3. Dans le coin supérieur droit de l'écran, activez la fonctionnalité Proxy Avancé. Cela est seulement possible une fois que vous avez défini au moins une adresse IP ou plage.

   Une fois que vous activez la fonctionnalité, le Port Proxy et le Point de terminaison Proxy sont générés.

   Note : Si vous désactivez la fonctionnalité, le port et le point de terminaison sont libérés et lors de la réactivation de la fonctionnalité, un nouveau port et point de terminaison seront générés.

4. Copiez les valeurs du Port Proxy et du Point de terminaison Proxy vers votre proxy actuel pour garantir que le trafic est routé du proxy actuel vers le Proxy Avancé de votre compte.

5. Configurez le Format de l'Utilisateur, si applicable.

Limites

• Un seul Proxy Avancé est pris en charge par compte

• Vous ne pouvez pas choisir le point de terminaison proxy ou le port car Cato les assigne automatiquement

• Si vous désactivez puis réactivez la fonctionnalité, Cato ne garantit pas que vous recevrez le même point de terminaison et port

• Un maximum de 1,000 IP sources est pris en charge

• Les IP sources suivantes sont bloquées et ne peuvent pas être configurées :

  • 0.0.0.0/0 ::1/128

  • 127.0.0.0/8

  • ::/0

  • ::1/128