Configurer les règles réseau

Vue d'ensemble

Les règles réseau vous permettent de diriger et de prioriser le trafic entre vos connexions WAN et Internet, vous offrant un contrôle précis des performances, du routage et de l'utilisation des liens. En créant des règles basées sur l'application, la source et la destination, vous pouvez garantir que le trafic critique reçoit le bon QoS, optimiser la latence ou la perte de paquets et sélectionner les meilleurs chemins de transport. Utilisez la page des règles réseau pour définir l'ordre des règles, appliquer les paramètres d'accélération et configurer les comportements de routage avancés en accord avec vos exigences commerciales et techniques.

Pour en savoir plus sur les règles réseau et Cato, voir Que sont les Règles Réseau?.

Travailler avec plusieurs objets dans une règle unique

Les colonnes Source, App/Catégorie et Destination forment une relation ET : la règle est déclenchée uniquement si le trafic correspond aux critères définis dans ces trois colonnes.

Lorsqu’il y a plusieurs éléments dans une colonne, il existe une relation OU : la règle est appliquée si le trafic correspond aux critères définis pour l’un des éléments. Par exemple, une règle qui définit App/Catégorie avec Service pour TCP et pour UDP, cette règle correspond au trafic TCP ou UDP.

Révisions de la politique et modifications concurrentes par plusieurs administrateurs

La page des règles réseau permet à différents administrateurs de modifier la politique en parallèle. Chaque administrateur peut modifier les règles et sauvegarder les changements dans sa propre révision privée avant de les publier dans la politique du compte (la révision publiée). Pour plus d’informations sur la gestion des révisions de la politique, voir Travailler avec les révisions de la politique.

Activer la politique des règles réseau

Contrôlez si la politique des règles réseau est appliquée en utilisant le bascule Règles Réseau Activées dans la page des règles réseau. Lorsque la politique est activée, les règles configurées sont appliquées pour router et prioriser le trafic dans votre compte. Désactiver la politique arrête immédiatement l'application de ces règles.

Pour activer la politique des règles réseau :

1. Depuis le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. Cliquez sur le bascule à côté de Règles Réseau Désactivées.

3. Cliquez sur Continuer dans la fenêtre de confirmation. Le bascule est vert lorsque la politique est activée.

Créer une règle réseau

Pour appliquer le redirection de trafic personnalisée ou le QoS à des flux de trafic WAN ou Internet spécifiques, créez une règle réseau qui définit le trafic et comment il doit être géré. Les règles réseau constituent une politique ordonnée qui est évaluée en fonction de leur ordre. Créez une nouvelle règle à la position correcte, avant ou après une règle existante.

Lorsque vous configurez la Source, vous définissez à quel trafic la règle s'applique. Vous pouvez choisir parmi divers objets globaux, tels que des plages IP, des catégories d'application, ou des groupes d'utilisateurs, pour correspondre au trafic pertinent.

Chaque règle inclut les options de configuration suivantes :

• Priorité de la bande passante - Assigne une priorité QoS au trafic pour assurer la performance lors des flux critiques pendant la congestion

•  Accélération et optimisation - Active l'accélération TCP et la duplication de paquets pour réduire la latence et la perte de paquets

• Transport Principal et Transport Secondaire - Définit les types de transport préférés pour router le trafic (Cato Cloud, Hors-Cloud, ou Alt. WAN

• Méthode de routage - Trafic sortant depuis des PoPs spécifiques, attribuez des IPs NAT, ou Réacheminer le trafic Internet à travers des sites de passerelle

Pour créer une règle réseau WAN ou Internet :

1. Depuis le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. Cliquez sur Nouveau > Nouvelle Règle. Le panneau Ajouter une règle de réseau s'ouvre.

3. Depuis la section Général, configurez les paramètres suivants pour la règle :

   1. Entrez le Nom de la règle.

   2. Activez ou désactivez la règle en utilisant le curseur (vert signifie activé, gris signifie désactivé).

   3. Sélectionnez la Position de la nouvelle règle.

   4. Dans le menu déroulant Type de la Règle, sélectionnez si cette règle est pour le trafic WAN ou Internet.

4. Développez la section Source et sélectionnez un ou plusieurs objets pour la source de trafic de cette règle (ou vous pouvez entrer une adresse IP).

   1. Sélectionnez le type (par exemple : Hôte, Interface réseau, IP, Plage IP ou N'importe quel). La valeur par défaut est N'importe quel.

   2. Au besoin, sélectionnez un objet spécifique dans la liste déroulante de ce type.

5. Développez la section Critère et ajoutez les conditions de l'appareil à la règle. Pour plus d’informations, voir Ajout de conditions d'appareil aux règles de pare-feu. Les valeurs par défaut sont N'importe quel.

6. Pour les règles de trafic WAN, développez la section Destination et sélectionnez un ou plusieurs objets pour la destination de trafic de cette règle.

7. Développez la section App/Catégorie et sélectionnez une ou plusieurs applications pour la règle.

   Lorsqu'il y a plus d'un objet App/Catégorie dans une règle, il existe une relation OU entre eux. La valeur par défaut est N'importe quel.

   Pour une explication détaillée de chacune des options dans la section App/Catégorie, voir Référence des objets de règle.

8. Dans la section Configuration, vous pouvez configurer les paramètres suivants pour la règle de réseau (voir explications ci-dessous) :

   • Priorité de la Bande Passante

   • Transport Principal et Transport Secondaire

9. Cliquez sur Enregistrer. Le panneau se ferme et les paramètres sont mis à jour dans la base de règles.

   Les changements sont enregistrés dans votre révision non publiée et sont disponibles pour modification jusqu'à ce qu'ils soient publiés ou abandonnés.

10. Cliquez sur Publier. Une fenêtre de confirmation s'ouvre, cliquez sur Publier.

Changer les priorités de bande passante (QoS) pour une règle

Par défaut, les nouvelles règles se voient attribuer la priorité par défaut (p255), que vous pouvez modifier en fonction des besoins QoS de votre réseau.

Plus le numéro de priorité est bas, plus la priorité QoS pour la règle est élevée. Par exemple, une règle avec priorité 10 a une priorité QoS plus élevée qu'une règle avec priorité 40.

Pour en savoir plus sur la définition des politiques de bande passante pour votre compte, voir Configuration des profils de gestion de la bande passante.

Pour changer la priorité de la bande passante pour une règle :

1. Depuis le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. Cliquez sur la règle réseau. Le panneau Modifier la règle de réseau s'ouvre.

3. Développez la section Configuration.

4. Dans la section Gestion de la bande passante, à partir du menu déroulant Priorité de la bande passante, sélectionnez la priorité QoS pour cette règle.

5. Cliquez sur Enregistrer. Le panneau se ferme et les paramètres sont mis à jour dans la base de règles.

   Les changements sont enregistrés dans votre révision non publiée et sont disponibles pour modification jusqu'à ce qu'ils soient publiés ou abandonnés.

6. Cliquez sur Publier. Une fenêtre de confirmation s'ouvre, cliquez sur Publier.

Configurer les options de transport et de routage

Cette section explique comment configurer les options de transport pour une règle de réseau et sortir le trafic vers un emplacement ou une adresse IP spécifique.

Personnaliser les options de transport pour une règle

Les règles réseau sont configurées globalement. Si un site spécifique ne dispose pas du transport spécifié, le Socket traite une telle configuration comme s'il était configuré pour Automatique.

Si vous sélectionnez des transports/NIC explicites, le moteur QoS surveille la perte de paquets, la gigue et la latence. Si une congestion se produit, les paquets sont supprimés. En sélectionnant Automatique pour les transports, alors le moteur QoS surveille la congestion en plus de la perte de paquets, la gigue et la latence.

Alt-WAN n'est pas pris en charge pour Hors-Cloud comme transport secondaire. Vous ne pouvez pas configurer une règle de réseau avec Alt-WAN comme transport principal qui se rabat sur Hors-Cloud.

• Les règles WAN ont les paramètres par défaut suivants :

  • Transport Principal : Cato

  • Transport Secondaire : Automatique (en tenant compte des transports supplémentaires tels que MPLS, si applicable)

  • Rôle de l'Interface Principale : Automatique

  • Rôle de l'Interface Secondaire : Aucun (désactivé, comme géré par le paramètre Automatique pour le NIC principal)

  • Route/NAT : - (non-applicable pour les règles WAN)

• Les règles Internet ont les paramètres par défaut suivants :

  • Transport Principal : Cato

  • Transport Secondaire : Aucun (ne pas utiliser d'autres transports)

  • Rôle de l'Interface Principale : Automatique

  • Rôle de l'Interface Secondaire : Aucun (désactivé, comme géré par le paramètre Automatique pour le NIC principal)

  • Route/NAT : Aucun

Pour personnaliser les options de transport pour une règle de réseau :

1. Depuis le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. Cliquez sur la règle réseau. Le panneau Modifier la règle de réseau s'ouvre.

3. Développez la section Configuration.

4. Configurez les champs de transport comme requis : pour router le trafic via un transport spécifique, vous pouvez configurer vos transports principaux et secondaires.

   Le transport principal sera utilisé tant qu'il est actif et disponible, tel que déterminé par le moteur QoS de Cato. Si le transport principal n'est pas disponible, le transport secondaire est utilisé.

5. Configurez les champs de Rôle de l'Interface (applicable uniquement pour le trafic routé via Cato Cloud) comme requis.

   Pour router le trafic via un lien spécifique, vous pouvez configurer vos NIC principaux et secondaires. Le Rôle de l'Interface Principale est utilisé tant qu'il est actif et disponible, tel que déterminé par le moteur QoS de Cato.

   Si le Rôle de l'Interface Principale n'est pas disponible, le Rôle de l'Interface Secondaire est utilisé. Lorsque le Rôle de l'Interface Secondaire est défini sur Aucun, le comportement dépend du paramètre pour le Rôle de l'Interface Principale :

   • Automatique - le Socket fait tout son possible pour envoyer le trafic via le transport principal

   • Tout autre rôle d'interface - le Socket supprime le trafic lorsque le transport principal n'est pas disponible

6. Cliquez sur Enregistrer. Le panneau se ferme et les paramètres sont mis à jour dans la base de règles.

   Les changements sont enregistrés dans votre révision non publiée et sont disponibles pour modification jusqu'à ce qu'ils soient publiés ou abandonnés.

7. Cliquez sur Publier. Une fenêtre de confirmation s'ouvre, cliquez sur Publier.

Définir la méthode de routage pour une règle réseau Internet

Vous pouvez configurer une règle réseau Internet avec différentes options pour sortir le trafic.

Bonne Pratique : Pour les règles réseau Internet qui sortent du trafic (avec l'option NAT ou Route via), nous vous recommandons de définir une Source ou App/Catégorie spécifique pour la règle. Sélectionner N'importe lequel comme Source ou Application/Catégorie achemine tout le trafic Internet et peut entraîner des performances imprévisibles.

• Route via - Vous permet de sélectionner l'emplacement PoP sortant depuis lequel le trafic est envoyé vers Internet.

  Note : Lors de l'égression de trafic vers Tokyo, en sélectionnant un emplacement PoP Tokyo (comme Tokyo_DC2), tous les emplacements PoP de Tokyo sont automatiquement ajoutés à la Règle Réseau. Les plages IP sont partagées entre les emplacements PoP de Tokyo et assurent une expérience transparente pour les comptes.

• NAT - Vous permet de gérer le trafic via une adresse IP attribuée par Cato et son emplacement PoP. Le trafic qui correspond à cette règle est traduit vers cette IP et égressé via le PoP pertinent. Tant NAT que Route via acheminent le trafic via un PoP spécifique, cependant, NAT vous permet de spécifier l'IP vers laquelle le trafic est traduit.

• Backhaul via - Égrège le trafic Internet via un ou plusieurs sites de passerelles de réachalandage

  Pour plus d'informations, consultez ces articles sur le Réacheminement du Trafic Internet.

Note : Parfois, toutes les IP de sortie dans la Règle Réseau ne sont pas disponibles, par exemple, pendant la fenêtre de maintenance PoP, et le PoP utilise une adresse IP différente pour le flux de trafic. Ce scénario peut affecter la connectivité et l'expérience utilisateur. Nous vous recommandons de définir plusieurs IP de sortie pour une règle afin de minimiser l'impact.

Pour Route via et NAT, lorsque vous configurez plusieurs IP de sortie, le trafic utilise l'IP de sortie pour l'emplacement PoP le plus proche de la source.

Méthode de Routage NAT - Préservation du Port Source

Par défaut, lorsque le PoP effectue le NAT sur le trafic Internet, il modifie le port source et l'IP source dans l'en-tête IP. Dans certains cas, une application nécessite de conserver le port source original dans l'en-tête IP, par exemple le trafic SIP. Lorsque vous sélectionnez l'option Préserver le port source, le PoP préserve le port source original dans l'en-tête IP du paquet traduit.

Note : Si plusieurs flux ont le même port source, cela crée un conflit dans la préservation du port source pour les deux flux lors de la traduction NAT. Dans de tels scénarios, le PoP préserve le port source du premier flux et attribue un port aléatoire pour le flux suivant.

Pour définir la Méthode de Routage pour une Règle Réseau Internet :

1. Dans le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. Cliquez sur la règle de réseau. Le panneau Modifier la Règle Réseau s'ouvre.

3. Étendez la section Configuration.

4. À partir du menu déroulant Route/NAT, sélectionnez l'option de routage pour le trafic qui correspond à la règle :

   • Route Via - pour acheminer le trafic via un emplacement PoP spécifique du Cato Cloud, sélectionnez les Emplacements d'où vous égresserez le trafic.

   • NAT - pour égresser le trafic de cette règle via une IP spécifique via NAT, sélectionnez les IPs Allouées d'où vous égresserez le trafic.

     (Facultatif) Pour utiliser le port source original pour le trafic traduit, sélectionnez Préserver le port source.

5. Cliquez sur Enregistrer. Le panneau se ferme, et les paramètres sont mis à jour dans la base de règles.

   Les modifications sont enregistrées dans votre révision non publiée et sont disponibles pour être modifiées jusqu'à ce qu'elles soient publiées ou rejetées.

6. Cliquez sur Publier. Une fenêtre de confirmation s'ouvre, cliquez sur Publier.

Routage avec PoPs pour un Débit de 10Gbps

Pour les sites connectés à des emplacements PoP qui supportent un débit de 10 Gbps, nous recommandons de configurer les Règles Réseau Route Via ou NAT pour égresser le trafic via un autre emplacement PoP de 10 Gbps. Sinon, il peut y avoir un impact sur le débit du site.

Visualisation des Événements pour une Règle

Vous pouvez afficher les événements d'une Règle Réseau spécifique en utilisant Afficher les Événements de Règle. Lors de la sélection de cette action, la page des Événements s'ouvre et est pré-filtrée pour tous les événements qui correspondent à cette règle.

Pour voir les événements pour une règle :

1. Dans le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. À droite, cliquez et sélectionnez Afficher les Événements de la Règle

La page Événements s'affiche avec les événements pour la règle pertinente déjà filtrés.

Personnalisation de l'Accélération & Optimisation pour une Règle

• L'accélération TCP n'affecte pas le trafic non-TCP (trafic basé sur l'UDP) qui fait partie d'une règle de réseau.

• Lorsque les paramètres de Route/NAT ou l'inspection TLS sont en vigueur, cela implique que Cato active le proxy TCP sur le trafic.

• La règle par défaut implicite du réseau pour le Cato Cloud est d'agir comme proxy TCP. Ainsi, si aucune règle antérieure ne correspond au trafic, le proxy TCP est appliqué.

• L'Accélération TCP est désactivée (grisée) pour les règles qui utilisent le WAN Alternatif comme transport principal ou secondaire.

Pour plus d'informations sur l'accélération du trafic dans le Cato Cloud, voir Accélération et Optimisation du Trafic.

Pour plus d'informations sur l'atténuation de la perte de paquets, voir Atténuation de la Perte de Paquets pour les Liaisons Multi-Tunnel.

Pour définir l'accélération et l'optimisation pour une règle :

1. Dans le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. Cliquez sur la règle de réseau. Le panneau Modifier la Règle Réseau s'ouvre.

3. Étendez la section Configuration.

4. Sélectionnez Accélération TCP Active pour permettre au PoP d'agir comme serveur proxy TCP pour le trafic qui correspond à cette règle.

5. Sélectionnez Atténuation de Perte de Paquets, pour activer la duplication des paquets afin d'aider à atténuer l'impact de la perte de paquets pour le trafic qui correspond à cette règle.

6. Cliquez sur Enregistrer. Le panneau se ferme, et les paramètres sont mis à jour dans la base de règles.

   Les modifications sont enregistrées dans votre révision non publiée et sont disponibles pour être modifiées jusqu'à ce qu'elles soient publiées ou rejetées.

7. Cliquez sur Publier. Une fenêtre de confirmation s'ouvre, cliquez sur Publier.

Ajouter une Exception

Vous définissez le trafic qui constitue une exception à la Règle Réseau, et la règle ne s'applique pas à ce trafic. Définissez l'exception de trafic avec l'objet (entité) pour la Source, l'App/Catégorie, et la Destination. Les exceptions avec plusieurs objets ont le même comportement que les Règles Réseau, voir ci-dessus Travailler avec Plusieurs Objets dans une Seule Règle.

L'exemple ci-dessus a une règle de réseau pour tout trafic qui correspond à la catégorie VoIP Vidéo. Il y a une exception à cette règle pour le trafic qui correspond à CES DEUX conditions :

• La source est le site d'exemple 1500

• L'application est Skype et MS Teams

Pour ajouter une exception à une règle de réseau :

1. Dans le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. Identifiez la règle pour laquelle vous créez une exception, et à la fin de la règle, cliquez sur l'icône plus   et sélectionnez Ajouter Exception.

3. Définissez les exceptions pour la section :

   1. À partir du menu déroulant, sélectionnez le type de trafic pour l'exception.

      L'exemple ci-dessous montre l'ajout d'une exception pour un hôte spécifique.

      

   2. Sélectionnez un objet spécifique dans la liste déroulante pour ce type.

   3. Répétez les deux étapes précédentes pour définir des objets supplémentaires pour l'exception.

      Plusieurs objets dans une section ont une relation OU.

4. Si nécessaire, répétez l'étape 3 pour définir des exceptions pour les autres sections.

   Les objets dans plusieurs sections ont une relation ET.

5. Cliquez sur Enregistrer. Le panneau se ferme, et les paramètres sont mis à jour dans la base de règles.

   Les modifications sont enregistrées dans votre révision non publiée et sont disponibles pour être modifiées jusqu'à ce qu'elles soient publiées ou rejetées.

6. Cliquez sur Publier. Une fenêtre de confirmation s'ouvre, cliquez sur Publier.

Exporter les Règles Réseau vers un Fichier CSV

Vous pouvez générer un fichier CSV contenant toutes les données des règles réseau par la base de règles de votre compte.

Note :

Seuls les administrateurs CMA avec le rôle Éditeur ont les autorisations d'exporter vers un fichier CSV. Pour plus d'informations sur la configuration des rôles d'admin, consultez Gestion des Administrateurs

Pour exporter la politique de Règle Réseau :

1. Dans le menu de navigation, cliquez sur Réseau > Règles Réseau.

2. Cliquez sur Exporter, et dans la fenêtre pop-up, cliquez sur OK.

3. Sélectionnez l'emplacement pour le fichier CSV et enregistrez le fichier.

Comprendre le Contenu du Fichier Exporté

La rangée supérieure du fichier CSV exporté liste les noms de champ et les options pour les règles dans la base de règles pertinente. Puis les règles elles-mêmes sont listées selon la priorité, en commençant par la valeur la plus basse.

Le fichier CSV contient les colonnes suivantes :

Limitation

Le QoS n'est pas appliqué au trafic de connecteur d'application. Vous ne pouvez pas définir un profil de bande passante et des règles réseau pour le trafic, et il est assigné la priorité réseau la plus basse