IPsec IKEv2 साइट कॉन्फ़िगर करना

यह आलेख उन साइट्स को बनाने और विन्यस्त करने के बारे में चर्चा करता है जो IPsec IKEv2 कनेक्शन प्रकार का उपयोग करती हैं। नया साइट्स बनाने के बारे में अधिक जानकारी के लिए, देखें Cato प्रबंधन अनुप्रयोग का उपयोग करके साइट्स जोड़ें।

नोट: IPsec साइट्स के लिए कई सक्रिय टनल की हाल की सुधार को प्रस्तुत करते हुए, ग्राहकों को गलत सकारात्मक डिस्कनेक्शन और पुन: कनेक्शन की घटनाएं प्राप्त हो सकती हैं, साथ ही संबंधित नोटिफिकेशन भी। इस प्रक्रिया के दौरान यह एक बार की घटना है, और इन घटनाओं और नोटिफिकेशन को सुरक्षित रूप से नजरअंदाज किया जा सकता है। नोट करें कि घटनाओं और नोटिफिकेशन में गलत टाइमस्टैम्प शामिल हो सकते हैं और वास्तविक सेवा बाधित नहीं करते। IPsec टनल इस प्रक्रिया के दौरान पूरी तरह से सक्रिय रहती हैं।

"अवलोकन"

आप Cato Cloud और दूरवर्ती नेटवर्क को साइट्स और आंतरिक नेटवर्क से जोड़ने के लिए IPsec टनल का उपयोग कर सकते हैं। IPsec कनेक्शन वाली साइट्स का उपयोग किया जाता है:

• ऐसी साइट्स जो सार्वजनिक क्लाउड में हैं, जैसे AWS या Azure।

• विभिन्न स्थानों में शाखाओं के लिए साइट्स जो थर्ड-पार्टी फायरवॉल के पीछे बैठी हैं।

जब आप एक IPsec IKEv2 साइट कॉन्फ़िगर कर रहे होते हैं, तो आप कनेक्शन को निम्नलिखित विकल्पों का उपयोग करके प्रारंभ कर सकते हैं:

• केवल प्रतिसादक - फायरवॉल इनिट। साइट का डिवाइस Cato PoP के साथ कनेक्शन प्रारंभ करता है

• द्विदिश – कनेक्शन आपके फायरवॉल द्वारा या Cato द्वारा प्रारंभ किया जा सकता है

केवल प्रतिसादक कनेक्शन मोड

Cato का IKEv2 केवल प्रतिसादक सेटिंग एज उपकरण के लिए एक समाधान है जो डायनामिक IP पता या NAT डिवाइस (जैसे फ़ायरवॉल या राउटर) के पीछे स्थित है। यह समाधान एज उपकरण को दूरस्थ छोर पर IKEv2 कनेक्शन को प्रारंभ और प्रबंधित करने की अनुमति देता है।

द्विदिश कनेक्शन मोड

द्विदिश कनेक्शन मोड में, आपके उपकरण या Cato दोनों IPsec टनल को चयनित PoPs से आपकी साइट्स और/या क्लाउड डेटा केंद्रों की ओर IPsec IKEv2 प्रोटोकॉल का उपयोग करके प्रारंभ और बनाए रख सकते हैं।

यदि कोई टनल अनुपलब्ध है, तो Cato को टनल को फिर से स्थापित करने के लिए आपके उपकरण से कनेक्शन प्रारंभ करने के लिए प्रतीक्षा करने की आवश्यकता नहीं होती।

FQDN का उपयोग Cato पहचानकर्ता के रूप में करना

दोनों केवल प्रतिसादक और द्विदिश कनेक्शन मोड में, आप Cato को FQDN को Cato पहचानकर्ता के रूप में उपयोग करने के लिए विन्यस्त कर सकते हैं। ऐसा करने पर, Cato एक हैश्ड मान उत्पन्न करता है और इसे IP पते में अनुवाद करता है, और आप Cato को प्रत्येक टनल के लिए सबसे अच्छे PoP स्थान असाइन करने के लिए चुन सकते हैं। आप प्रत्येक टनल के लिए PoP स्थान को मैन्युअल रूप से भी विन्यस्त कर सकते हैं।

उदाहरण के लिए, आप कनेक्शन मोड को केवल प्रतिसादक के रूप में विन्यस्त करते हैं और गंतव्य प्रकार को FQDN के रूप में चुनते हैं। Cato कुछvalue.ipsec.dev.catonetworks.org की हैश्ड मान उत्पन्न करता है। तब यह मान दूरस्थ साइट में कॉन्फ़िगर किया जाता है और FQDN मान का उपयोग करके की गई DNS अनुरोध के लिये समर्पणकर्ता के रूप में कार्य करता है। PoP कई पैरामीटर्स के आधार पर चुना जाता है, जैसे भू-स्थान, RTT, और अधिक।

इस स्थिति में, PoP को स्वचालित रूप से चुना जाता है, जिसका अर्थ है कि यदि वह मूल PoP जो उस FQDN के लिए निर्दिष्ट किया गया था, अनुपलब्ध हो, तो एक नया PoP स्वतः ही चुना जाएगा। इसके अलावा, यदि आप Cato की सर्वोत्तम प्रथाओं का पालन करते हैं और पूर्ण डोमेन नाम (FQDN) का उपयोग करते हुए प्राथमिक और द्वितीयक टनल परिभाषित करते हैं, तो Cato आदर्श उच्च उपलब्धता (HA) के लिए विभिन्न PoP स्थानों का स्वचालित रूप से चयन करता है।

वैकल्पिक रूप से, कुछ फायरवॉल विक्रेता FQDN का उपयोग समर्थित नहीं करते हैं, उस स्थिति में आप IPv4 को गंतव्य प्रकार के रूप में चुन सकते हैं। इस स्थिति में, आपको एक स्थिर PoP स्थान चुनना चाहिए, और यदि वह PoP किसी भी कारण से उपलब्ध नहीं है, तो टनल उपलब्ध नहीं होगी। स्थिर IP पते को परिभाषित करने के बारे में जानकारी के लिए देखें रिमोट उपयोगकर्ताओं के लिए IP आवंटन नीति।

IPsec साइट्स में बहुपरिक्रिया टनल्स सक्रिय रहते हैं।

Cato आपको प्राथमिक और द्वितीयक HA भूमिकाओं के लिए बहुपरिक्रिया टनल्स को विन्यस्त करने की सुविधा देता है। बहुपरिक्रिया टनल्स का उपयोग करने के निम्नलिखित लाभ होते हैं:

• अंतिम मील का लाभ उठाएं - बहुपरिक्रिया टनल्स के साथ, आप विभिन्न मार्गों पर नेटवर्क ट्रैफ़िक वितरित कर सकते हैं, लोड को संतुलित करने और नेटवर्क प्रदर्शन में सुधार करने में मदद कर सकते हैं।

• अनावश्यकता - बहुपरिक्रिया टनल्स अनावश्यकता प्रदान करते हैं। अगर एक टनल विफल हो जाती है, तो ट्रैफ़िक को अन्य सक्रिय टनल्स के माध्यम से पुनर्निर्देशित किया जा सकता है, यह सुनिश्चित करने के लिए कि कनेक्टिविटी सतत बनी रहे।

• तीसरी-पक्ष एकीकरण - SSE सेवाओं के लिए तीसरी-पक्ष SD-WAN CPEs के साथ एकीकृत करें।

• ट्रैफ़िक पृथक्करण - विभिन्न प्रकार के ट्रैफ़िक को पृथक करने के लिए विभिन्न टनल्स का उपयोग किया जा सकता है। उदाहरण के लिए, एक टनल को वॉयस ट्रैफ़िक के लिए उपयोग किया जा सकता है, जबकि अन्य को डेटा ट्रैफ़िक के लिए उपयोग किया जा सकता है।

आप प्रत्येक HA भूमिका के लिए 6 सक्रिय टनल्स तक कॉन्फ़िगर कर सकते हैं, जो एक ही Cato PoP से जुड़े होते हैं। अर्थात, सभी प्राथमिक टनल एक PoP से जुड़े होते हैं, और सभी द्वितीयक टनल एक अलग PoP से जुड़े होते हैं। हर टनल में एक अद्वितीय पहचानकर्ता होना चाहिए, उदाहरण के लिए, FQDN जैसी स्थानीय ID या एक सार्वजनिक IP पता।

HA के लिए बहुपरिक्रिया टनल्स

डिफ़ॉल्ट रूप से, जब एक HA भूमिका की सभी सक्रिय टनल्स डाउन हो जाती हैं, तो Cato स्वचालित रूप से दूसरे HA भूमिका पर लौट आता है। अर्थात, यदि प्राथमिक HA भूमिका की सभी टनल्स डाउन हो जाती हैं, तो HA सक्रिय होता है, और Cato सभी साइट्स के मार्गों के अगले हॉप के रूप में द्वितीयक टनल को उपयोग करता है। हालांकि, यदि प्राथमिक HA भूमिका में 2 टनल हैं और एक टनल ऊर्ध्वाधर रहती है, तो स्विचओवर नहीं होता।

आप "लिंक डाउन है" कहानियों के माध्यम से टनल्स की निगरानी कहानियाँ वर्कबेंच में कर सकते हैं।

नोट: Cato को यह निर्धारित करने में 30 सेकंड तक लगते हैं कि टनल डाउन हो गई।

बैंडविड्थ प्रबंधन

आप एक IPsec साइट के लिए डाउनस्ट्रीम और अपस्ट्रीम बैंडविड्थ को प्रबंधित करने के लिए चुन सकते हैं। यदि आप Cato Cloud को आपकी डाउनस्ट्रीम बैंडविड्थ को सीमित करने देना चाहते हैं, तो आवश्यक सीमाओं को दर्ज करें। अन्यथा, आपके ISP लिंक की वास्तविक कनेक्शन गति द्वारा परिभाषित के अनुसार मान दर्ज करें। यदि आपको ISP कनेक्शन गति का पता नहीं है, तो इस साइट की लाइसेंस के अनुसार डाउनस्ट्रीम बैंडविड्थ विन्यस्त करें। उपस्ट्रीम बैंडविड्थ के लिए, Cato Cloud उपस्ट्रीम ट्रैफ़िक को नियंत्रित नहीं करता है, और इसे एक निश्चित सीमा के साथ सीमित नहीं किया जा सकता। इसके बजाय, अपस्ट्रीम बैंडविड्थ सेटिंग एक सर्वश्रेष्ठ प्रयास Cato क्लाउड द्वारा है।

नोट: यदि आप अपने इंटरनेट सेवा प्रदाता के लिंक की वास्तविक कनेक्शन गति से अधिक अपस्ट्रीम/डाउनस्ट्रीम मान दर्ज करते हैं, तो सॉकेट QoS इंजन अप्रभावी होता है।

Cato में QoS के बारे में अधिक जानकारी के लिए, देखें Cato बैंडविड्थ प्रबंधन प्रोफाइल क्या हैं।

बहुपरिक्रिया टनल्स के लिए QoS के लिए, नीचे देखें बहुपरिक्रिया टनल्स के लिए रूटिंग QoS।

पूर्वशर्तें

• यदि आप केवल अपने नेटवर्क ट्रैफ़िक का कुछ हिस्सा Cato Cloud पर भेज रहे हैं, तो Cato Cloud के लिए अपनी रूटिंग तालिका में निम्नलिखित IP पते शामिल करने के लिए अपने नेटवर्क उपकरण को विन्यस्त करें:

  • 10.254.254.1

  • 10.254.254.5

  • 10.254.254.253

  • 10.41.0.0/16 जब तक आपने अपने नेटवर्क के अपने VPN Users के IP पता रेंज को विन्यस्त नहीं किया है।

• 100Mbps या उससे अधिक की बैंडविड्थ वाली IPsec साइट्स के लिए, केवल AES 128 GCM-16 या AES 256 GCM-16 एल्गोरिथम का उपयोग करें। AES CBC एल्गोरिथम का उपयोग केवल उन साइट्स पर किया जाता है जिनकी बैंडविड्थ 100Mbps से कम होती है।

  ये दिशानिर्देश इस तथ्य के कारण हैं कि GCM एन्क्रिप्शन CBC की तुलना में अधिक कुशल और स्केलेबल होता है, Cato Cloud में उच्च थ्रूपुट एन्क्रिप्टेड ट्रैफ़िक के लिए बेहतर प्रदर्शन और विश्वसनीयता को सक्षम करता है।

• Cato IPsec IKEv2 साइट्स 256 बाइट्स तक की नॉन्स लंबाई का समर्थन करती हैं।

• FTP ट्रैफिक के लिए, Cato अनुशंसा करता है कि FTP सर्वर को 30 सेकंड या अधिक के कनेक्शन टाइमआउट के साथ विन्यस्त करें।

• आप IPSec साझा गुप्त (PSK) को 64 वर्णों तक सेट कर सकते हैं।

• उन साइट्स के लिए जो Zscaler वातावरण से जुड़ती हैं, Phase2 पर एन्क्रिप्शन चयन को सक्षम करने के लिए एक उन्नत Zscaler लाइसेंस आवश्यक है।

IKEv2 साइट जोड़ना

एक नई IPsec IKEv2 साइट बनाएँ, और फिर इसके लिए IKEv2 सेटिंग्स कॉन्फ़िगर करें और प्राथमिक और द्वितीयक टनलों के लिए Cato-आवंटित IP पतों को निर्दिष्ट करें। अधिक जानकारी के लिए, देखें खाते के लिए IP पतों का आवंटन.

एक नया IPsec साइट बनाने के लिए:

1. नेविगेशन मेनू से, नेटवर्क > साइट्स पर क्लिक करें और नया पर क्लिक करें।

   साइट जोड़ें पैनल खुलता है,

2. साइट के लिए सेटिंग्स कॉन्फ़िगर करें:

   • नाम: साइट के लिए नाम

   • प्रकार: टोपोलॉजी पेज में साइट के लिए दिखाया गया आइकन

   • कनेक्शन प्रकार: चुनें IPsec IKEv2

   • देश: जिस देश में साइट स्थित है।

   • राज्य: वह राज्य जहां साइट स्थित है (जहां लागू हो)

   • लाइसेंस: साइट के लिए उपयुक्त बैंडविड्थ लाइसेंस चुनें

   • मूल रेंज: आईपीएसईसी साइट के लिए LAN सबनेट

3. नया पर क्लिक करें।

IPsec IKEv2 सेटिंग्स को कॉन्फ़िगर करना

जब आप एक नई साइट बनाते हैं जो काटो क्लाउड से कनेक्ट करने के लिए IPsec IKEv2 का उपयोग करती है, साइट को संपादित करें और IPsec सेटिंग्स को कॉन्फ़िगर करें।

महत्वपूर्ण:

हम दृढ़ता से अनुशंसा करते हैं कि आप उच्च उपलब्धता के लिए द्वितीयक टनल (विभिन्न Cato सार्वजनिक IPs के साथ) को कॉन्फ़िगर करें। अन्यथा, साइट का Cato Cloud से कनेक्टिविटी खोने का जोखिम होता है।

कनेक्शन मोड सेटिंग्स का उपयोग यह परिभाषित करने के लिए करें कि Cato PoP केवल दूरस्थ साइट से कनेक्शन का जवाब देता है (केवल प्रतिसादक) या कनेक्शन प्रारंभ भी कर सकता है (द्विदिश).

साइटों के लिए जो गतिशील IP का उपयोग कर रही हैं, काटो प्रबंधन अनुप्रयोग साइट के लिए एक स्थानीय पहचानकर्ता उत्पन्न करता है, जिसका उपयोग उस प्रमाणीकरण पहचानकर्ता के लिए किया जाता है जिसे आप चुनते हैं। तीसरे-पक्ष डिवाइस द्वारा आवश्यक प्रमाणीकरण पहचानकर्ता का उपयोग करें: FQDN, ईमेल, या KEY_ID, और अपने तीसरे-पक्ष डिवाइस की IKE सेटिंग्स में स्थानीय आईडी दर्ज करें।

स्थानीय ID के अलावा, प्रमाणीकरण के लिए एक पूर्व-साझा कुंजी (PSK) कॉन्फ़िगर करें। आप डिवाइस पर BGP के साथ प्राथमिक और द्वितीयक IPsec टनलों को भी परिभाषित कर सकते हैं, जो उच्च उपलब्धता प्रदान करता है। ऐसा करने पर, Cato Cloud स्वचालित रूप से BGP रूट मेट्रिक्स को समायोजित करता है ताकि प्राथमिक सुरंग को प्राथमिकता दी जाए, और अगर यह डिस्कनेक्ट हो जाता है, तो साइट स्वचालित रूप से माध्यमिक सुरंग पर चली जाती है।

IPsec IKEv2 साइट के लिए सेटिंग्स को विन्यस्त करने के लिए:

1. नेविगेशन मेनू से, नेटवर्क > साइट्स पर क्लिक करें और साइट चुनें।

2. नेविगेशन मेनू से, क्लिक करें साइट सेटिंग्स > IPsec।

3. जनरल अनुभाग को विस्तारित करें और परिभाषित करें कि साइट PoP से कैसे कनेक्ट और प्रमाणित करती है:

   1. साइट के लिए कनेक्शन मोड चुनें:

      • केवल प्रतिसादक – फ़ायरवॉल प्रारंभ। साइट का फ़ायरवॉल कनेक्शन प्रारंभ करता है, और Cato जवाब देता है।

      • द्विदिश - Cato PoP आने वाली कनेक्शन के लिए चर्चाओं का जवाब देता है और बाहर जाने वाली चर्चाएं प्रारंभ करता है।

   2. प्रमाणीकरण पहचानकर्ता का चयन करें।

      • IPv4 - साइट के लिए प्राथमिक और द्वितीयक अनुभागों में कॉन्फ़िगर किए गए स्थिर IP पते का उपयोग करें

        IPv6 वर्तमान में काटो PoP के ऊपर IPSec के साथ समर्थित नहीं है।

      • FQDN, ईमेल, KEY_ID - इनमें से किसी एक प्रारूप में स्थानीय ID उत्पन्न करता है

4. प्राथमिक अनुभाग का विस्तार करें, और प्राथमिक IPsec टनल के लिए निम्नलिखित सेटिंग्स कॉन्फ़िगर करें:

   • गंतव्य प्रकार में, या तो FQDN या IPv4 चुनें। गंतव्य सभी सक्रिय टनलों के लिए एक ही HA भूमिका (प्राथमिक या द्वितीयक) के लिए समान होना चाहिए।

     • FQDN - काटो द्वारा उत्पन्न हैश किया गया FQDN मान उत्पन्न होता है। यह मान विशिष्ट टनल के लिए अद्वितीय है। यह वह मूल्य है जिसे आप अपने फ़ायरवॉल को प्रदान करेंगे।

       जब चयनित हो, तो आपको PoP स्थान भी परिभाषित करना चाहिए। काटो सिफारिश करता है कि आप स्वचालित का उपयोग करें ताकि आपके लिए सबसे अच्छा PoP चयनित हो सके। यदि आप एक विशिष्ट स्थान का चयन करते हैं और एक द्वितीयक साइट भी कॉन्फ़िगर कर रहे हैं, तो सुनिश्चित करें कि आपने अलग-अलग स्थानों का चयन किया है।

     • IPv4 - Cato IP (Egress) ड्रॉप-डाउन से एक स्थिर IP पता चुनें।

5. नया पर क्लिक करें। टनल जोड़ें पृष्ठ दिखाई देता है।

   1. भूमिका के तहत, इस टनल के लिए उपयोग करने के लिए तार्किक WAN इंटरफ़ेस इनमें से चुनें। WAN भूमिका का उपयोग नेटवर्क नियमों नीति में प्राथमिकता-आधारित रूटिंग के लिए किया जाता है।

   2. नाम के तहत, एक वर्णनात्मक नाम दर्ज करें

   3. सार्वजनिक आईपी के तहत, इस टनल के लिए सार्वजनिक IP पता दर्ज करें। प्रत्येक टनल को एक अलग सार्वजनिक आईपी पता का उपयोग करना चाहिए।

   4. वे साइट्स जो BGP का उपयोग करती हैं, निजी IPs को कॉन्फ़िगर करें:

      • Cato - आईपीसेक टनल प्रारंभ करने वाला Cato PoP और आईपी पता दर्ज करें

      • साइट - BGP पीयर का निजी IP पता दर्ज करें

   5. अंतिम-मील बैंडविड्थ में, साइट के लिए उपलब्ध अधिकतम डाउनस्ट्रीम और अपस्ट्रीम बैंडविड्थ (Mbps) कॉन्फ़िगर करें

   6. PSK में, पासवर्ड संपादित करें पर क्लिक करें प्राथमिक आईपीसेक टनल के लिए साझा गुप्त दर्ज करने के लिए।

6. लागू करें क्लिक करें. टनल को प्राथमिक तालिका में जोड़ दिया गया है।

   

7. उन साइट्स के लिए जो द्वितीयक आईपीसेक टनल का उपयोग करती हैं, द्वितीयक अनुभाग विस्तारित करें और पिछले चरण में सेटिंग्स कॉन्फ़िगर करें, और फिर सहेजें पर क्लिक करें।

8. उन साइट्स के लिए जो एकाधिक सक्रिय/सक्रिय टनल का उपयोग करती हैं, चरण 5-7 दोहराएं।

9. (वैकल्पिक) प्रारंभ संदेश पैरामीटर्स अनुभाग को विस्तारित करें और सेटिंग्स को कॉन्फिगर करें। मान्य पैमानों के लिए नीचे Init और Auth पैमाने देखें।

   ज्यादातर IPsec IKEv2-सपोर्टिंग समाधानों के निम्नलिखित प्रारंभ और प्राधिकृति पैरामीटर्स की स्वचालित बातचीत को लागू करने पर, हम अनुशंसा करते हैं कि आप उन्हें स्वचालित पर सेट करें, जब तक कि आपके फायरवॉल विक्रेता द्वारा विशेष रूप से ऐसा करने के लिए निर्देशित न किया गया हो।

10. (वैकल्पिक) प्राधिकृति पैरामीटर्स अनुभाग को विस्तारित करें और सेटिंग्स को कॉन्फिगर करें। मान्य पैमानों के लिए नीचे Init और Auth पैमाने देखें।

11. रूटिंग अनुभाग का विस्तार करें, और साइट के लिए रूटिंग विकल्पों को परिभाषित करें:

    

    • IPsec कनेक्शन के लिए जिसमें रिमोट साइड के पास SA (सुरक्षा संघ) इस टनल के लिए परिभाषित हैं, नेटवर्क रेंज में रिमोट आईपी रेंज दर्ज करें (आमतौर पर अन्य साइट्स से नेटवर्क) SA के लिए इस प्रारूप में <लेबल:IP रेंज> और जोड़ें पर क्लिक करें

    • स्थानीय आईपी रेंज SA के लिए साइट कॉन्फ़िगरेशन > नेटवर्क पेज में स्थानीय ट्रैफिक चयनकर्ता और साथी ट्रैफिक चयनकर्ता शामिल करके कॉन्फ़िगर की गई हैं।

      

      सुनिश्चित करें कि स्थानीय नेटवर्क आपके द्वारा IPsec साथी के लिए सेट किए गए से मेल खाता है।

      नोट: यदि कोई नेटवर्क रेंज IPsec IKEv2 साइट के लिए विन्यस्त नहीं हैं, तो VPN व्यवहार साथी उपकरण पर विन्यस्त ट्रैफ़िक सेलेक्टर्स पर निर्भर करता है:

      • यदि साथी उपकरण 0.0.0.0/0 <> 0.0.0.0/0 का उपयोग करता है, तो टनल रूट-आधारित VPN के रूप में कार्य करता है

      • यदि साथी उपकरण विशिष्ट ट्रैफ़िक सेलेक्टर्स का उपयोग करता है, तो टनल पॉलिसी-आधारित VPN के रूप में कार्य करता है

12. सहेजें क्लिक करें।

    इष्टतम PoP स्थानों को निर्धारित करने देने के लिए प्राथमिक और द्वितीयक FQDN मानों को अपने फ़ायरवॉल में दर्ज करने से पहले कम से कम 3 मिनट प्रतीक्षा करें।

13. इस साइट के लिए आपके कनेक्शन विवरण और IPsec टनल की स्थिति को दिखाने के लिए, कनेक्शन स्थिति पर क्लिक करें।

एकाधिक सक्रिय टनलों के लिए रूटिंग QoS

डिफ़ॉल्ट रूप से, Cato केवल डाउनस्ट्रीम ट्रैफ़िक को नियंत्रित कर सकता है। स्वास्थ्य मैट्रिक्स, लिंक प्राथमिकता, और प्रत्येक लिंक के लिए कॉन्फ़िगर की गई बैंडविड्थ के अनुपातिक अनुपात के आधार पर ट्रैफ़िक को टनलों (WAN लिंक्स) के बीच वितरित किया जाता है। स्वास्थ्य मेट्रिक्स प्रत्येक सेकंड में पुनर्गणना किए जाते हैं और ट्रैफ़िक को सबसे बेहतर प्रदर्शन करने वाले लिंक पर प्रत्येक 10 सेकंड में पुनः वितरित किया जाता है।

अपस्ट्रीम ट्रैफ़िक को रिमोट IPsec पीयर द्वारा नियंत्रित किया जाता है, और पीयर द्वारा उपयोग की जा रही नीति-आधारित रूटिंग के अनुसार होता है।

डाउनस्ट्रीम ट्रैफ़िक के लिए WAN लिंक चयन को नेटवर्क नियमों का उपयोग करके ओवरराइड कर सकते हैं। आप एक नियम कॉन्फ़िगर कर सकते हैं यह निर्धारित करने के लिए कि विशेष ट्रैफ़िक टुपल्स के लिए कौन सा WAN लिंक उपयोग किया जाना चाहिए, ऐसे में ट्रैफ़िक उस WAN लिंक पर भेजा जाएगा जो नियम में कॉन्फ़िगर किया गया हो, और उस टनल पर नहीं जिस पर वह आया था।

प्रारंभ और प्रमाणिकरण पैरामीटर

जब प्रारंभ और प्रमाणीकरण पैरामीटर को परिभाषित करते हैं, तो निम्नलिखित पैरामीटर उपलब्ध होते हैं। Cato अनुशंसा करता है कि आप इन पैरामीटरों को स्वचालित पर सेट करें जब तक कि आपके फ़ायरवॉल विक्रेता द्वारा अन्यथा निर्देशित न किया जाए।

साइट के लिए डिफ़ॉल्ट IKEv2 पैरामीटर

यह IKEv2 पैरामीटर के लिए डिफ़ॉल्ट मानों की सूची है। यदि आपको एक कस्टम मान चाहिए, कृपया समर्थन से संपर्क करें।

IKEv2 साइट्स के लिए एकल ट्रैफ़िक चयनकर्ता भेजें

एक चाइल्ड SA बनाते समय, Cato RFC 7295 के अनुसार एक ही TS पेलोड में कई ट्रैफ़िक चयनकर्ता (TS) भेजता है। कुछ थर्ड-पार्टी समाधान, जैसे कि Cisco ASAs, केवल प्रत्येक चाइल्ड SA में एक TS का समर्थन करते हैं। Cisco ASA भी एक चाइल्ड SA के रूप में कई TS के साथ Cato के प्रस्ताव के लिए TS_UNACCEPTABLE संदेश भेजेगा।

आप अपना खाता या एक विशिष्ट IPsec IKEv2 साइट कॉन्फ़िगर कर सकते हैं ताकि प्रत्येक TS को एक अलग पैकेट में भेजा जा सके और इन तृतीय-पक्ष समाधानों के साथ इंटरऑपरेबिलिटी का समर्थन किया जा सके, यह कॉन्फ़िगरेशन साइट कॉन्फ़िगरेशन > उन्नत कॉन्फ़िगरेशन के अंतर्गत सक्षम करें।

HA के लिए AWS VPC को दो टनल कनेक्ट करना

Cato आपको दो IPsec टनेल्स के माध्यम से BGP का उपयोग करके अपने AWS VPC को Cato क्लाउड से जोड़ने की अनुमति देता है ताकि उच्च उपलब्धता (HA) कॉन्फ़िगरेशन हो सके। AWS युग्म टनेल्स को तभी समर्थन दिया जाता है जब आप दो कस्टमर गेटवे परिभाषित करें, और प्रत्येक एक अलग Cato सार्वजनिक IP पते का प्रतिनिधित्व करता है। ये आवश्यकताएँ हैं:

• दो Cato सार्वजनिक आईपी पते

• उसी VPC में दो ग्राहक गेटवे और प्रत्येक को एक Cato सार्वजनिक आईपी पता सौंपा गया है।

• AWS में, साइट-टू-साइट कनेक्शन

ज्ञात कमिया

• बहु-किरायेदार खातों के लिए (जैसे Cato पार्टनर), सुनिश्चित करें कि प्रत्येक खाता IPsec टनल के लिए अलग PoP स्थान से आईपी पते आवंटित करता है। उदाहरण के लिए, account1 फ्रैंकफर्ट PoP से आवंटित IP का उपयोग करता है, और account2 को म्यूनिख PoP स्थान से आवंटित IP का उपयोग करना चाहिए।