Cato Cloud のバイパス（アカウント レベル ポリシー）

注: Catoは、該当するサイトレベルのソケットバイパスポリシーをアカウントレベルのソケットバイパスポリシーに自動的に移行します。詳細については、以下のFAQを参照してください。

概要

バイパスポリシーでは、Cato Cloudにルーティングされることなく、インターネットに直接出力するインターネットトラフィックのバイパスルールを定義することができます。これは、アカウント内のすべてのSocketサイト全体にグローバルに適用されるアカウントレベルのポリシーです。 Cato クラウド内の PoP は、バイパスされたインターネット トラフィックを検査せず、セキュリティ ポリシーも適用しません。また、Cato Cloudで強制されるアプリケーションまたはカテゴリベースのトラフィックルールは適用されません。上流方向でバイパストラフィックの帯域幅プロファイルおよびQoSをSocketは引き続き適用します。ポップがバイパスされているので、下流方向にはQoSが適用されません。

バイパスされたインターネットトラフィックはSocket WANインターフェース経由で送信されます。内部のSocketメカニズムは、パケット損失、ジッター、レイテンシー、輻輳などの一連のパラメータに基づいて、WANインターフェースごとに1秒ごとに計算されるスコアを生成します。

デフォルトの動作は、Socketがバイパストラフィックの最良のスコアに基づいてWANポートを自動的に選択することです。 Socketは異なるフローに対して異なるWANポートを選択することができます。

重要：

• インターネットトラフィックのバイパスは、すべてのソケット及びvソケットサイトがソケットバージョン26.0.23517以上を実行しているアカウントでのみサポートされています

• バイパストラフィックは、サイトの帯域幅ライセンスとしてのサイトトラフィックに含まれません。

ユースケース - Windowsアップデートトラフィックのバイパス

Windows Update トラフィックは帯域幅を多く消費し、必ずしもCato Cloudによる検査を必要としないことがあります。パフォーマンスを最適化するために、管理者は送信先として設定されたWindows Update定義済みアプリケーションでバイパスルールを設定します。その後、Windows デバイスはインターネット接続を介して Microsoft から直接更新をダウンロードします。

前提条件

• Socket v26.0.23517 以上の Socket およびvSocket サイトでサポートされています。

アカウントレベルのバイパスの仕組み

あらかじめ定義されたアプリケーションに基づくバイパスルール

Socketサイトでのトラフィックを直接インターネットに出力することを簡単にするために、アプリケーション用のすべての関連宛先IPアドレスを含むあらかじめ定義されたアプリケーションを使用してルールを定義できます。 Catoはこれらのあらかじめ定義されたアプリケーションを維持し、アプリケーションのIPアドレスが更新されたときに、ポリシーが新しいIPアドレスに自動的に適用されます。例えば、Zoomのすべての公開IPを設定し追跡する代わりに、 Zoom あらかじめ定義されたアプリケーションを選択するだけで、Catoが正しい宛先がバイパスされるようにします

FQDN、ドメイン、およびカスタムアプリケーションに基づくバイパスルール

FQDN、ドメイン、およびカスタムアプリケーションに基づいてバイパスルールを作成し、Socketから直接出力されるインターネットの宛先を細かく制御できます。 DNSベースの識別子でトラフィックを一致させることで、個々のIPアドレスを手動で追跡する必要をなくし、維持管理の手間を減らします。カスタムアプリケーションを使うと、複数のFQDNやドメイン、IP範囲を、1つの再利用可能なオブジェクトにグループ化でき、ポリシーの管理が容易になり、読みやすく、ルール間で一貫性があります

バイパスポリシーとCatoファイアウォールポリシーの関連性

バイパスポリシールールと一致するトラフィックは、Catoのファイアウォールポリシーによって強制されません。バイパストラフィックがCatoクラウドに送信されないため、インターネットファイアウォールおよびWANファイアウォールルールは適用されません。バイパスポリシーとSocketの次世代LANファイアウォールは、どちらもソケット上でローカルに強制されますが、異なる目的を持ち、異なる種類のトラフィックに適用されます。 Socketの次世代LANファイアウォールは、サイト内の東西トラフィックとセグメンテーションを制御し、バイパスポリシーはインターネットに直接出力されるトラフィックのみに適用されます。

ポリシーの改訂および複数の管理者による同時編集

バイパスポリシーは、異なる管理者が並行してポリシーを編集することを可能にします。各管理者はルールを編集し、ルールベースに変更を保存して自分のプライベートリビジョンで管理し、それからアカウントポリシーに公開することができます（公開済みリビジョン）。ポリシーリビジョンの管理方法についての詳細は、「ポリシーリビジョンの作業」を参照してください。

バイパスルールの定義

バイパスルールを作成し、どのトラフィックを直接インターネットに出力するかを管理するための設定を構成します。

優先Socketポート

デフォルトでは、ソケットがWANインターフェースを自動的に選択し、最適なスコアを持つ。オプションで、優先Socketポート（例：WAN2）を設定できます。WANスコアが類似している場合、ソケットは選択されたWANインターフェースを優先します（接続がある限り）。接続が失われた場合、ソケットは別のWAN役割を選びます

ルールの送信元と宛先アイテムについて詳しくは、ルールオブジェクトのリファレンスを参照してください。

インターネットトラフィック用のバイパスルールを定義するには：

1. ナビゲーションメニューからネットワーク>バイパスを選択します。

2. 新規をクリックし、ドロップダウンから新しいルールを選択します。

3. ルールの名前を入力します。

4. スライダーを使用してルールを有効または無効にします（緑が有効、灰色が無効）。

5. ルールベースのルールの位置を設定します。

6. サイトセクションを展開し、ルールが適用されるソケットサイトおよび/またはグループを選択します。デフォルト値はすべてです

7. 送信元セクションを展開し、このルールのトラフィック送信元オブジェクトを1つ以上選択します

   ルールに複数の送信元オブジェクトがある場合、それらの間にはOR関係があります。デフォルト値はすべてです

8. 宛先セクションを展開し、このルールのトラフィック宛先を1つ以上選択します

   ルールに複数の宛先オブジェクトがある場合、それらの間にはOR関係があります。デフォルト値はすべてです

9. サービス/ポートセクションを展開し、ルールが適用される単純および/またはカスタムサービスを定義します：

   • 単純サービスの場合は、ドロップダウンメニューからサービスを選択します

   • カスタムサービスの場合は、形式プロトコル/ポートでプロトコルとポートを入力します。例として、単一ポートの場合はTCP/80、ポート範囲の場合はTCP/80-88

   ルールに複数のサービス/ポートオブジェクトがある場合、それらの間にはOR関係があります。デフォルト値はすべてです

10. アクションセクションを展開し、優先Socketポートとトラッキング設定を定義します

    • （オプション） 優先Socketポートで、バイパストラフィックの優先WANポートとしてSocketが使用するWANポートを選択します。自動が選択されている場合、ソケットはバイパストラフィックの最適なポートを決定します。

    • （オプション） トラフィックに一致するとイベントを生成するためのルールの イベント オプションを選択します。

11. 保存をクリックして変更を保存します。

    変更は未公開のリビジョンに保存され、公開または破棄されるまで編集可能です。

フロータイムアウトのカスタマイズ

ソケットおよびvSocketサイトでは、デフォルトのフロータイムアウトは60秒です。この時間が経過すると、トラフィックフローはアイドルタイムアウトになり、ソケットはバイパスフローを閉じます。

フロータイムアウトのカスタマイズにはソケットWebUIを使用できます。ただし、このカスタム設定は永続的ではなく、ソケットが再起動した場合、新しいバージョンにアップグレードした場合など、デフォルトの60秒フロータイムアウトに戻ります。カスタムフロータイムアウトを永続的に設定するには、サポートに連絡してください。

バイパスフロータイムアウトをカスタマイズする：

1. ソケットWebUIにログイン：

   1. ナビゲーションメニューからネットワーク > サイトを選択し、サイトを選択します

   2. ナビゲーションメニューからサイト設定 > ソケットを選択します

   3. ソケットのアクションメニューからソケットWebUIを選択します。

2. クラウド接続設定タブの、フロータイムアウト（バイパスフローのみ）セクションで、新しいタイムアウト値を入力します。

3. 更新をクリックします。

既知の制限

• FQDNベースのバイパスは、DNSとIPの相関関係に依存しており、サービスがCDNの背後にホストされている場合、不正確になることがあります。複数のホスト名が同じ共有CDN IPに解決される場合、ルールに偽陽性の一致が発生し、他のホスト名のトラフィックが意図せずにバイパスされる可能性があります。

FAQ: サイトレベルのポリシーからの自動移行

Catoは、該当するサイトレベルのソケットバイパスポリシーをアカウントレベルのバイパスポリシーに自動的に移行します。

どのサイトが自動移行の対象ですか?

ソケットバージョン26以降を実行しているサイトは、自動移行の対象です。

以前のソケットバージョンを実行しているサイトは、自動移行されますか?

いいえ。ソケットバージョン26より以前を実行しているサイトは、自動移行の対象ではありません。

移行後、サイトレベルのバイパスポリシーはどうなりますか?

アカウントがアカウントレベルのソケットバイパスポリシーに移行すると、サイトレベルのバイパスポリシーは廃止されます。

管理者がアクションを取る必要がありますか?

該当するサイトにはアクションは不要です。 Catoは、該当するサイトレベルのバイパスポリシーをアカウントレベルのポリシーに自動的に移行します。

記事チェンジログ