Cet article explique comment la plateforme Cloud Cato fonctionne en Chine, y compris la conformité avec les réglementations et restrictions du gouvernement chinois.
Cato account licenses use one of two models. This article applies to the Enforcement Model only and is not relevant to the Bursting Model (starting in January 2027). Not sure which license model your account uses? See Identifying your License Model.
Vue d'ensemble
Tout le trafic Internet en Chine est inspecté par le gouvernement et transféré par une passerelle locale. Cato respecte toutes les réglementations en Chine, et le service SASE de Cato est entièrement disponible en Chine comme dans d'autres régions.
Note : Depuis que la Chine restreint l'accès à certains sites Web à partir de la Chine, le fait de faire sortir certains trafics pour contourner le Grand Pare-feu de Chine vers un PoP Cato non-Chine viole l'accord de service maître Cato MSA (Master Service Agreement). Consultez Section 5.2 du MSA Cato pour des questions concernant les restrictions en Chine.
Cato offre une expérience utilisateur optimale en Chine grâce à ses PoPs et permet aux entreprises mondiales avec des bureaux en Chine d'avoir une connexion cohérente et sécurisée via le backbone Cato. Il existe plusieurs PoP Cato en Chine, par exemple, à Pékin, Shanghai, Shenzhen et Urumqi. Ces PoP communiquent avec le Cloud Cato via Hong Kong. Cela signifie que les PoP chinois établissent une architecture maillée complète entre eux en Chine, et la communication avec d'autres PoP se fait via Hong Kong et inversement.
Le gouvernement chinois restreint l'accès à certains sites et ressources en dehors de la Chine, ce qui exige que les entreprises étrangères s'adaptent à ces réglementations.
Remarque : Le gouvernement chinois peut modifier ses restrictions et interdire l'accès à une application ou un site web à tout moment. Si le trafic est bloqué, vérifiez cette liste pour voir si la destination est indisponible en Chine.
Limitations pour les Sites ou Utilisateurs Distants Situés en Chine
Le RPF n'est pas pris en charge en Chine
Cato Enterprise Browser, extension de navigateur, et accès par navigateur ne sont pas pris en charge en Chine
Le RBI n'est pas pris en charge en Chine. Pour plus d’informations, voir Configuration du service RBI pour les sessions de navigation
Maintenance des Sockets en Chine
Les sockets situés en Chine téléchargent le fichier de mise à niveau Socket à partir d'un serveur dans le Cloud Ali, ce qui améliore le temps de téléchargement du fichier, réduit la latence et augmente le taux de réussite des mises à niveau des Sockets.
DNS en Chine
En Chine, les services DNS les plus couramment utilisés ne sont pas disponibles. Par conséquent, Cato utilise un mécanisme interne pour déterminer le meilleur serveur DNS disponible et le serveur DNS Cato, 10.254.254.1, agit comme un proxy.
Vous devez configurer vos interfaces WAN pour utiliser les serveurs DNS fournis par votre fournisseur d'accès local, ou les serveurs DNS publics disponibles en Chine, tels que 114.114.114.114 ou 114.114.115.115.
Surveillance du Dernier Kilomètre en Chine
Les adresses Web préétablies pour la surveillance du dernier kilomètre sont des services Web chinois tels que QQ.com, baidu.com et weibo.com (cela est configurable sous Réseau > Sondes de Surveillance du Dernier Kilomètre).
Trafic Sortant en Chine
Par défaut, le trafic Internet en Chine sort du PoP chinois auquel vous êtes connecté, à travers la passerelle locale, puis vers la destination. Cela signifie que si vous essayez d'accéder à des sites restreints, le PoP Cato permettrait au trafic de passer, puis il serait bloqué en raison des réglementations locales, le Grand Pare-feu de Chine.
Port UDP 1337 pour Socket Chinois et Trafic DTLS Client
Cato recommande, en tant que meilleure pratique, de configurer le port UDP alternatif pour les comptes avec des sites Socket et des utilisateurs Clients situés en Chine. Les tunnels DTLS utilisant le port UDP 443 peuvent rencontrer des problèmes de connectivité tels que des pertes de paquets. Configurez le port UDP 1337 comme port DTLS préféré pour le trafic Socket et Client pour améliorer la connectivité. Pour plus d'informations, voir Comprendre le Réseau Cato en Chine.
Licences
Lors de l'achat d'une licence pour un site en Chine, les clients doivent déterminer quel pourcentage de la bande passante de la licence attribuer au trafic régional et quel pourcentage au trafic mondial.
Le trafic régional est tout trafic envoyé dans la région Chine, par exemple, d'un site à Shenzhen à un site à Pékin
Le trafic mondial est tout trafic envoyé en dehors de la région, par exemple, d'un site à Shenzhen à un site en Europe.
Remarque :
Le trafic mondial est intrinsèquement plus coûteux que le trafic régional. Assurez-vous d'allouer les deux selon vos besoins.
Lorsque vous configurez un site dans l'Application de Gestion Cato, vous devez attribuer une licence à ce site. Les détails du site montrent les détails de la licence qui combine les licences régionales et mondiales que vous avez achetées.
La valeur que vous devez entrer dans Bande passante du dernier kilomètre pour la configuration du site est la bande passante régionale et mondiale totale pour le site. Si, par exemple, vous avez acheté 100 Mbps, dont 70 % pour le régional et 30 % pour le global, vous devez alors configurer 100 Mbps pour un site situé à Shenzhen.
QoS pour les Sites en Chine
Le QoS dans Cato est contrôlé par deux aspects :
Gestion de la Bande Passante
Règles Réseau
Pour plus d'informations, consultez Règles Réseau et QoS.
Comme le mécanisme de Gestion de la Bande Passante n'est pas conscient des limitations de licence, lorsque vous créez vos profils, vous devriez prendre en compte ce que votre licence autorise.
Si, par exemple, vous avez acheté 100 Mbps de bande passante totale, avec 70 % régional et 30 % mondial, lors de la création de vos profils de Gestion de la Bande Passante, définissez des limites qui s'alignent sur ces valeurs. En tant que meilleure pratique, utilisez des pourcentages et non des limites fixes de bande passante pour éviter de dépasser l'allocation de votre licence.
Conférence Vidéo en utilisant des Profils Basés sur des Pourcentages
Votre entreprise possède des sites à Shenzhen, Shanghai, Pékin et en Europe. Vous voulez vous assurer que lorsqu'ils ont des réunions de vidéoconférence (VC), ils peuvent communiquer sans problème.
Vous pouvez créer le profil suivant pour allouer au moins 15% de vos ressources au trafic P15.
Vous pouvez ensuite créer une Règle Réseau qui utilise le profil P15 pour le trafic VC. Lorsque le trafic est entre les bureaux en Chine, par exemple Shanghai et Pékin, les 15% de la bande passante allouée seront basés sur votre licence régionale. Si Shenzhen est en VC avec le site européen, il s'agira de 15% de la licence mondiale. Cependant, comme vous avez utilisé des pourcentages et non des limites strictes en Mbps, vous ne courez pas le risque de dépasser l'allocation de votre licence.
Conférence Vidéo en utilisant des Profils Basés sur la Bande Passante
Sur la base du scénario que nous avons décrit ci-dessus, vous pouvez également créer deux profils différents, l'un pour le VC régional et l'autre pour le VC mondial, qui utilisent des limites de bande passante fixes. Pour la vidéoconférence régionale, vous disposez d'un profil qui attribue 10 Mbps. Et pour la vidéoconférence régionale, un profil qui attribue 5 Mbps.
Dans vos Règles Réseau, vous créez ensuite deux règles distinctes pour implémenter chacun des profils en fonction de la destination du trafic VC.
