खाते के लिए उन्नत कॉन्फ़िगरेशन के साथ काम करना

यह लेख पूरे खाते के लिए उन्नत कॉन्फ़िगरेशन सुविधा को अनुकूलित करने का तरीका बताता है।

खाते के लिए उन्नत कॉन्फ़िगरेशन का अवलोकन

उन्नत कॉन्फ़िगरेशन पृष्ठ में विकल्प आपके खाते की विभिन्न सेटिंग्स पर अधिक ग्रैन्युलर नियंत्रण प्रदान करते हैं। स्क्रीन प्रत्येक अक्षम सेटिंग के लिए डिफ़ॉल्ट मान भी दिखाती है।

जब आप एक उन्नत सेटिंग को निष्क्रिय करते हैं, तो यह डिफ़ॉल्ट मान पर लौट आता है। हालाँकि, कस्टम मूल्य सहेजा जाता है और यदि आप सेटिंग को बाद में सक्षम करते हैं, तो कस्टम मूल्य का उपयोग किया जा सकता है।

खाता के लिए उन्नत कॉन्फ़िगरेशन सुविधाओं को कॉन्फ़िगर करने के लिए:

1. नेविगेशन मेनू से, संसाधन > उन्नत कॉन्फ़िगरेशन पर क्लिक करें।

2. स्थिति कॉलम में, प्रत्येक सेटिंग की स्थिति को सक्षम या अक्षम करने के लिए टॉगल का उपयोग करें (हरा सक्रिय है, ग्रे विज़र्ड है)।

3. सेटिंग के मान को कॉन्फ़िगर या संपादित करने के लिए, नाम कॉलम में सेटिंग के नाम पर क्लिक करें।

   <सेटिंग का नाम> संपादित करें पैनल खुलता है।

4. संपादित करें पैनल में, आप यह कर सकते हैं:

   • एक मान दर्ज करें या चुनें

   • इस उन्नत सेटिंग के कारण को समझाने के लिए एक टिप्पणी दर्ज करें या संपादित करें (प्रस्तावित)।

5. Apply पर क्लिक करें। उन्नत विन्यास में परिवर्तन को स्क्रीन में जोड़ा गया।

6. क्लिक करें सहेजें। कॉन्फ़िगरेशन सेटिंग्स सहेजी गई हैं।

साइट्स और वीपीएन उपयोगकर्ता सेटिंग्स के साथ उन्नत कॉन्फ़िगरेशन के लिए प्राथमिकता

जब आप किसी साइट या एसडीपी उपयोगकर्ता के लिए उन्नत फीचर को कॉन्फ़िगर करते हैं, तो यह उन्नत कॉन्फ़िगरेशन पृष्ठ में खाता के लिए सेटिंग को ओवरराइड कर देता है। निम्न तालिका प्रत्येक उन्नत फीचर और यह साइट या एसडीपी उपयोगकर्ता पर लागू होता है या नहीं, को दिखाती है।

आप केवल व्यक्तिगत साइट्स के लिए निम्नलिखित सेटिंग्स कॉन्फ़िगर कर सकते हैं (खाते के लिए वैश्विक सेटिंग्स के रूप में नहीं):

• सॉकेट से PoP अधिकतम MTU (केवल भौतिक सॉकेट्स के लिए लागू होता है)

साइट्स के लिए उन्नत कॉन्फ़िगरेशन के बारे में अधिक जानकारी के लिए, देखें साइट के लिए उन्नत कॉन्फ़िगरेशन।

SDP उपयोगकर्ताओं को VPN ऑफिस मोड कॉन्फ़िगर करने की अनुमति देना

जब एक SDP उपयोगकर्ता एक ऑफिस में काम करता है जो सॉकेट के पीछे है, तो Cato क्लाइंट स्वचालित रूप से उस साइट से जुड़ता है। इस व्यवहार को VPN ऑफिस मोड कहते हैं और यह सभी खातों के लिए डिफ़ॉल्ट रूप से सक्रिय होता है। ऑफिस मोड के बिना, जब Cato क्लाइंट एक सॉकेट के पीछे के VPN से जुड़ता है, तो वह एक टनल-इन-टनल का उपयोग करता है जो अक्सर प्रदर्शन पर नकारात्मक प्रभाव डालता है।

ऑफिस मोड के साथ, Cato क्लाइंट सॉकेट टनल का उपयोग करके Cato क्लाउड से जुड़ता है और उस साइट के लिए एक नियमित होस्ट के रूप में व्यवहार करता है। क्लाइंट को साइट से नेटवर्किंग और सुरक्षा सेटिंग्स प्राप्त होती हैं और वह टनल-इन-टनल VPN का उपयोग करने से रोकता है।

कभी-कभी ऑफिस मोड किसी शाखा कार्यालय का दौरा करने वाले व्यक्ति को अलग कार्यालय, जैसे कि कॉर्पोरेट मुख्यालय में संसाधनों से जुड़ने से रोक सकता है। आप SDP उपयोगकर्ताओं को Cato क्लाइंट के ऑफिस मोड के व्यवहार को कॉन्फ़िगर करने की अनुमति देने का विकल्प चुन सकते हैं।

SDP उपयोगकर्ताओं को उनके क्लाइंट्स के लिए ऑफिस मोड विन्यस्त करने की अनुमति देने के बारे में अधिक जानकारी के लिए, देखें ऑफिस मोड का विन्यास करें।

खाते के लिए WAN रिकवरी कॉन्फ़िगर करना

अपने नेटवर्क की लचीलापन बढ़ाने के लिए, जब Cato क्लाउड में कनेक्टिविटी समस्याएँ होती हैं और सॉकेट्स उसे अन्य साइट्स को WAN ट्रैफ़िक भेजने के लिए उपयोग नहीं कर सकते हैं, तो WAN पुनर्प्राप्ति सुविधा समर्थन प्रदान करता है। यह फ़ीचर स्वचालित रूप से बाईपास टनल्स का उपयोग करता है ताकि अन्य सॉकेट साइट्स के साथ जुड़ाव बनाए रखा जा सके। जब सॉकेट्स काटो क्लाउड के साथ जुड़ाव फिर से स्थापित करते हैं, तो वे स्वचालित रूप से सामान्य संचालन फिर से शुरू करते हैं।

Note:

ऑफ-क्लाउड ट्रैफ़िक सॉकेट वैन लिंक्स पर सक्षम होना चाहिए ताकि वैन रिकवरी का समर्थन किया जा सके।

नेटवर्क रिकवरी के दौरान, WAN ट्रैफ़िक Cato क्लाउड को बायपास करता है और यहाँ ट्रैफ़िक में बदलाव हैं:

• Cato प्रबंधन एप्लिकेशन कनेक्टिविटी के लिए डेटा का विश्लेषण नहीं करता है और नेटवर्क स्वास्थ्य या गुणवत्ता के लिए अलर्ट उत्पन्न नहीं करता है।

• WAN और इंटरनेट फ़ायरवॉल को ट्रैफिक पर लागू नहीं किया गया है

• खतरा सुरक्षा सेवाएं ट्रैफ़िक पर लागू नहीं होती हैं।

WAN पुनर्प्राप्ति सेटिंग्स कॉन्फ़िगर करने के लिए, ऊपर देखें खाता के लिए उन्नत सुविधाएँ कॉन्फ़िगर करना इन मानों के साथ:

• अक्षम - डिफ़ॉल्ट वैश्विक सेटिंग। सॉकेट अन्य सॉकेट साइट्स के साथ सुरंग स्थापित करती है और सुरंग को बनाए रखने के लिए कीप-अलाइव संदेशों का उपयोग करती है। सभी सॉकेट साइट्स के लिए खाते में डिफ़ॉल्ट रूप से रिकवरी सक्रिय होती है।

• सक्षम और चालू - खाता अन्य साइट्स के लिए WAN ट्रैफ़िक की रिकवरी प्रदान करने के लिए कॉन्फ़िगर किया गया है। कार्यक्षमता अक्षम किया गया के समान है।

• सक्षम और बंद - इस खाते के लिए रिकवरी सक्षम नहीं है, और बायपास सुरंगों का समर्थन या अनुरक्षण नहीं होता है।

टिप्पणी

नोट: WAN रिकवरी फीचर द्वारा उत्पन्न ईवेंट्स को ऑफ-क्लाउड रिकवरी के रूप में वर्णित किया गया है।

विशिष्ट साइट्स के लिए वैश्विक वैन रिकवरी विन्यास के बारे में अधिक जानकारी के लिए, देखें साइट के लिए उन्नत कॉन्फ़िगरेशन।

खाते के लिए इंटरनेट के माध्यम से रिकवरी कॉन्फ़िगर करना

इंटरनेट ट्रैफ़िक की लचीलापन को सुधारने के लिए, इंटरनेट के माध्यम से रिकवरी फ़ीचर समर्थन प्रदान करता है यदि Cato क्लाउड से जोड़ने में समस्या आती है, और Cato सॉकेट इसका उपयोग ट्रैफ़िक को इंटरनेट तक ले जाने के लिए नहीं कर सकता। जब सक्रिय किया जाता है, यह सुविधा इंटरनेट कनेक्टिविटी को ISP लिंक के साथ स्वचालित रूप से रिकवर करती है ताकि इंटरनेट पर ट्रैफ़िक भेजा जा सके।

अस्थायी इंटरनेट रिकवरी के दौरान, इंटरनेट ट्रैफ़िक Cato क्लाउड को बायपास करता है और ट्रैफ़िक में ये परिवर्तन होते हैं:

• इंटरनेट फ़ायरवॉल नियम ट्रैफ़िक पर लागू नहीं होते हैं

• खतरा सुरक्षा सेवाएं ट्रैफ़िक पर लागू नहीं होती हैं।

• Cato प्रबंधन एप्लिकेशन इंटरनेट ट्रैफ़िक के लिए कनेक्टिविटी के डेटा का विश्लेषण नहीं करता है और अलर्ट उत्पन्न नहीं करता है।

इंटरनेट रिकवरी सेटिंग कॉन्फ़िगर करने के लिए, ऊपर देखें, खाते के लिए उन्नत फीचर्स कॉन्फ़िगर करना इन मानों के साथ:

• अक्षम - डिफ़ॉल्ट वैश्विक सेटिंग। सभी सॉकेट साइट्स के लिए खाते में डिफ़ॉल्ट रूप से रिकवरी सक्रिय होती है। हम अनुशंसा करते हैं कि आप इस सेटिंग्स का उपयोग करें।

• सक्षम और चालू - खाता इंटरनेट के लिए सभी ट्रैफ़िक की रिकवरी प्रदान करने के लिए कॉन्फ़िगर किया गया है। कार्यक्षमता अक्षम किया गया के समान है।

• सक्षम और बंद - इस खाते के लिए रिकवरी मोड फीचर अक्षम हैं।

ध्यान दें

महत्वपूर्ण! हम अनुशंसा करते हैं कि आप हमेशा इंटरनेट के माध्यम से पुनर्प्राप्ति सुविधा सक्षम करें और इंटरनेट ट्रैफ़िक के लिए पुनर्प्राप्ति को प्रबंधित करने के लिए चालू या बंद विकल्प चुनें। जब यह फीचर अक्षम होता है, यदि सॉकेट कैटो क्लाउड से कनेक्ट नहीं हो सकता है, तो यह ट्रैफ़िक को इंटरनेट पर रूट नहीं करता है।

विशिष्ट साइट के लिए रिकवरी मोड सेटिंग्स कॉन्फ़िगर करने के बारे में अधिक जानकारी के लिए, देखें साइट के लिए उन्नत कॉन्फ़िगरेशन।

VoIP और SIP ट्रैफ़िक के लिए समान (Preferred) निर्गम IP पता का उपयोग करना

यदि आप UCaaS के साथ काम करते हैं और VoIP या SIP ट्रैफ़िक के लिए एक निर्गम नेटवर्क नियम रखते हैं, तो कभी-कभी UCaaS (जैसे कि RingCentral) को IP पता बदलने पर समस्या होती है। जब SIP ट्रैफ़िक के लिए पसंदीदा IP फ़ीचर सक्रिय है, तो VoIP और SIP ट्रैफ़िक हमेशा समान निर्गम IP पता का उपयोग करता है।

टिप्पणी

नोट: इस फ़ीचर का उपयोग करने के लिए आपको VoIP या SIP ट्रैफ़िक के लिए निर्गम नेटवर्क नियम रखना आवश्यक है।

IKEv2 साइट्स प्रति पेलोड एकल TS भेजना

एक चाइल्ड SA बनाते समय, Cato RFC 7295 के अनुसार एक ही TS पेलोड में कई ट्रैफ़िक चयनकर्ता (TS) भेजता है। कुछ थर्ड-पार्टी समाधान, जैसे कि Cisco ASAs, केवल प्रत्येक चाइल्ड SA में एक TS का समर्थन करते हैं। Cisco ASA TS_UNACCEPTABLE संदेश Cato के प्रस्ताव के जवाब में भेजेगा जो कई TS के साथ एक चाइल्ड SA बनाने के लिए करता है।

जब IKEv2 प्रति पेलोड एकल TS भेजें सक्षम किया जाता है और चालू पर सेट किया जाता है, तो प्रत्येक चाइल्ड SA में केवल एकल TS भेजा जाता है। यह डिफ़ॉल्ट रूप से अक्षम है।

स्थानीय रूटिंग को अवरुद्ध करना जब साइट्स PoP से डिस्कनेक्ट हो जाती हैं

डिफ़ॉल्ट रूप से, साइट के भीतर ट्रैफ़िक (उदाहरण के लिए, VLANs के बीच) Cato PoP के माध्यम से रूट किया जाता है, जो ट्रैफ़िक का निरीक्षण करता है। ट्रैफ़िक VLAN से Cato Cloud में PoP की ओर जाता है और फिर दूसरे VLAN की ओर जाता है।

अगर एक साइट अस्थायी रूप से Cato Cloud से डिस्कनेक्ट हो जाती है, तो डिफ़ॉल्ट व्यवहार फेल-ओपन होता है। ट्रैफ़िक VLAN से सीधे दूसरे VLAN में बिना निरीक्षण के प्रवाहित होता है। आप डिफ़ॉल्ट वैश्विक खाता-स्तरीय व्यवहार को फेल-क्लोज़ पर बदल सकते हैं, ताकि डिफ़ॉल्ट रूप से सभी सॉकेट साइट्स PoP से डिस्कनेक्ट होते समय स्थानीय रूटिंग ट्रैफ़िक को ब्लॉक करें। सॉकेट v15.0 या उच्चतर की आवश्यकता है।

नोट

नोट: उन साइट्स के लिए जिन्हें LAN फ़ायरवॉल या स्थानीय रूटिंग नियमों के साथ कॉन्फ़िगर किया गया है, ये नियम PoP से डिस्कनेक्टेड होने पर स्थानीय रूटिंग को अवरुद्ध करें सेटिंग पर प्राथमिकता रखते हैं। इसलिए, यह सेटिंग उन ट्रैफ़िक पर लागू नहीं होती जो नियमों से मेल खाते हैं।

अवरुद्ध स्थानीय रूटिंग जब PoP से डिस्कनेक्ट हो तब की सेटिंग्स को विन्यस्त करने के लिए ऊपर देखें खाते के लिए उन्नत विन्यास का अवलोकन इन मानों के साथ;

• अक्षम - डिफ़ॉल्ट वैश्विक सेटिंग। जब साइट PoP से डिस्कनेक्ट होती है तो समर्थित साइट के भीतर ट्रैफ़िक रूटिंग की अनुमति है। यह विफल-खुला व्यवहार है।

• सक्षम और चालू - जब साइट PoP से डिस्कनेक्ट होती है तो समर्थित साइट के भीतर ट्रैफ़िक रूटिंग को ब्लॉक किया जाता है। यह विफल-बंद व्यवहार है।

• सक्षम और बंद - PoP से साइट के डिस्कनेक्ट होने पर समर्थित साइट के भीतर यातायात मार्गदर्शन की अनुमति है। यह विफल-खुला व्यवहार है। कार्यक्षमता अक्षम किया गया के समान है।

निम्नलिखित आरेख स्थानीय रूटिंग व्यवहार को दिखाता है:

डिवाइस प्रमाणपत्रों में OID सत्यापित करना

उपकरण प्रमाणपत्र में OID सत्यापित करें से उपकरण प्रमाणपत्र परीक्षाएँ बढ़ जाती हैं। सक्रिय होने पर, आप ऐसे OID की सूची परिभाषित कर सकते हैं जो आपके नेटवर्क से कनेक्ट कर सकते हैं। केवल उपकरण जो परिभाषित OID के साथ मिल रहे प्रमाणपत्र से प्रमाणीकरण कर रहे हैं वे कनेक्ट कर पाएंगे। विभिन्न OIDs को अर्द्धविराम के साथ अलग करें और निम्नलिखित प्रारूप में:

• cert_ext_obj(cert, "<extension_key>") == "<OID_value1>;<OID_value2>"

किसी उपकरण की सहायक कुंजी और OID मानों को certutil या openssl x509 प्रमाणपत्र उपकरणों का उपयोग करके खोजा जा सकता है।

यह सुविधा डिफ़ॉल्ट रूप से अक्षम है। SDP उपयोगकर्ता आपके नेटवर्क से कनेक्ट नहीं हो सकते हैं यदि आप इस सेटिंग को बिना सही तरीके से अपने डिवाइस के प्रमाणपत्रों को विन्यस्त किए सक्रिय करते हैं।

क्रमिक संख्या द्वारा प्रमाणपत्र रद्द करना

क्रम संख्या द्वारा प्रमाणपत्र रद्द करें उपकरण प्रमाणपत्र परीक्षाओं को बढ़ाता है। सक्रिय होने पर, आप ब्लॉक किए गए प्रमाणपत्र क्रम संख्या की सूची परिभाषित कर सकते हैं। उन उपकरणों को ब्लॉक किया जाता है जो परिभाषित क्रम संख्या से मिलान करने वाले प्रमाणपत्र से प्रमाणीकरण करते हैं।

• प्रत्येक क्रम संख्या को एक डेलिमिटर वाले प्रारूप में होना चाहिए (1a:2b:3c:4d ...)

• अनेक क्रम संख्याओं को कॉमा से अलग करें

  आप जिन क्रम संख्याओं को रद्द करते हैं, उनकी मात्रा की कोई सीमा नहीं है

यह विशेषता डिफ़ॉल्ट रूप से अक्षम है। यदि आप इस सेटिंग को सक्रिय करते हैं तो SDP उपयोगकर्ता आपके नेटवर्क से कनेक्ट नहीं हो सकते हैं अगर आप अपने उपकरण के प्रमाणपत्रों को सही ढंग से कॉन्फ़िगर नही कर रहे हैं।

WAN TCP प्रॉक्सी मोड को संशोधित करना।

TCP प्रॉक्सी आपको आपके WAN TCP प्रॉक्सी मोड को हर कनेक्शन के पहले SYN पैकेट्स पर शुरू करने के लिए सक्षम करता है या TCP हैंडशेक पूरी होने के बाद WAN TCP प्रॉक्सी में देरी और प्रारंभ करता है। TCP प्रॉक्सी मोड के बारे में अधिक जानकारी के लिए, देखें Cato TCP त्वरक और सर्वोत्तम प्रथाएं को समझाना।

SYN के लिए WAN ट्रैफ़िक पर TCP त्वरक को विन्यस्त करने के लिए ऊपर देखें खाते के लिए उन्नत विन्यास का अवलोकन इन मानों के साथ;

• चालू - पूर्ण WAN TCP प्रॉक्सी।

• बंद - मूल WAN TCP मोल-तोल को बनाए रखना और TCP प्रॉक्सी में विलंब करना।

बर्स्टनेस मान को संशोधित करना।

माइक्रो-बर्स्ट्स को पैकेट्स या डेटा फ्रेम्स में अचानक वृद्धि द्वारा संदर्भित किया जाता है जो बहुत कम समय में होते हैं।

जब माइक्रो-बर्स्ट्स एक साइट की दर सीमा को कम समय में पार कर लेते हैं, तो अंतिम माइल प्रदाता (ISP) द्वारा अत्यधिक पैकेट ड्रॉप के कारण पैकेट हानि हो सकती है।

डाउनस्ट्रीम बर्स्टनेस मान और अपस्ट्रीम बर्स्टनेस मान आपको डाउनस्ट्रीम या अपस्ट्रीम दिशाओं के लिए बर्स्टनेस स्तर मानों को संशोधित करके नेटवर्क पर माइक्रो-बर्स्ट्स को संभालने के लिए अपनी साइट्स को समायोजित करने की अनुमति देते हैं। बर्स्टनेस स्तर मानों को संशोधित करने से माइक्रो-बर्स्ट्स के लिए अधिक आक्रामक या अधिक अनुमति देने वाली आकार नीति लागू करके बर्स्टनेस के कारण होने वाले पैकेट हानि को कम किया जा सकता है। डिफ़ॉल्ट बर्स्टनेस मान इंटरफ़ेस बैंडविड्थ पर निर्भर करता है:

• इंटरफ़ेस बैंडविड्थ 40 Mbps और उससे अधिक के लिए, डिफ़ॉल्ट मान 0.2 है।

• इंटरफ़ेस बैंडविड्थ 40 Mbps से कम के लिए, डिफ़ॉल्ट मान 0.1 है।

बर्स्टनेस और पैकेट नुकसान के बारे में अधिक जानकारी के लिए, देखें कैसे सॉकेट साइट पैकेट नुकसान समस्या निवारण करें।

ध्यान दें

नोट्स:

• सभी सॉकेट्स को बर्स्टनेस की कॉन्फ़िगरेशन के समर्थन के लिए संस्करण 12.0 और उससे ऊपर चलना चाहिए।

• नया मान केवल टनल रीसेट के बाद लागू होता है।