前方プロキシの設定 (EA)

注: これは限られたリリースでのみ利用可能な早期利用 (EA) 機能です。この機能を有効にする方法についての詳細は、Cato Networksの担当者にお問い合わせいただくか、電子メールを ea@catonetworks.com に送信してください。

転送プロキシを使用すると、既存の転送プロキシ配置をCato AIセキュリティに接続することができます。組織がすでに転送プロキシを使用して外部ベンダーと通信している場合、そのネットワークアーキテクチャを再設計せずに引き続き使用できます。 Catoで転送プロキシを定義し、既存のプロキシがサポートされるAIトラフィックをCatoに転送して検査と施行を行います。

Catoは各アカウントに専用のエンドポイントとポートを割り当てます。既存の転送プロキシがそのエンドポイントにトラフィックを送信し、Catoは認証されたトラフィックをAIセキュリティに転送します。

ZScalerと一緒にフォワードプロキシを設定する方法については、こちらのナレッジベース記事を参照してください。

転送プロキシの動作について

転送プロキシは、CMAのアカウントレベルのエンティティです。この機能を有効にすると、Catoがアカウント用の専用プロキシエンドポイントを生成します。

FQDNの完全修飾ドメイン名
ポート

例えば、samplefqdn.fwdproxy.catonetworks.net:8337

既存の転送プロキシがCatoエンドポイントにHTTP CONNECTトラフィックを送信します。 Catoは認証されたトラフィックのみを受け入れ、その後AIセキュリティに転送します。

Catoは以下に基づいてトラフィックを検証します。

送信元IPアドレス
サポートされている宛先
リクエストヘッダー内のユーザーアイデンティティ情報

前提条件

QUICはすべてのその他の3社目のベンダーでブロックされる必要があります。
すべてのトラフィックに対して、Catoに転送される際にはTLSインスペクションが有効である必要があります。

Use Case

セキュリティ管理者として、組織はすでにZscalerなどのプロキシを使用してトラフィックを外部ベンダーへルーティングしています。既存のネットワークアーキテクチャを変更することなく、そのトラフィックをCato AIセキュリティに接続したいです。

CMAで転送プロキシを作成し、組織のプロキシが使用する公開送信元IPアドレスを追加します。機能を有効化した後、Catoはアカウント用に専用のエンドポイントとポートを生成します。その後、既存のプロキシを設定し、サポートされているAIトラフィックをそのCatoエンドポイントに転送します。

トラフィックがCatoに到達すると、ソース、宛先、ユーザーアイデンティティ情報を確認し、認証されたトラフィックをAIセキュリティに転送します。このワークフローにより、現在のプロキシ配置を使用し続けながら、サポートされているAIトラフィックをCato AIセキュリティに送信して検査と施行が行えます。

転送プロキシを設定

転送プロキシを設定するには:

ネットワーク > 転送プロキシ に移動します。
送信元 で1つ以上のIPアドレスまたは範囲を追加し、適用をクリックします。
画面の右上隅で転送プロキシ機能を有効にします。これは、少なくとも1つのIPアドレスまたは範囲を定義した後にのみ可能です。
機能を有効化すると、プロキシポートとプロキシエンドポイントが生成されます。
注: 機能を無効にすると、ポートとエンドポイントはリリースされ、再度機能を有効にすると、新しいポートとエンドポイントが生成されます。
プロキシポートとプロキシエンドポイントの値を現在のプロキシにコピーして、現在のプロキシからアカウントの転送プロキシへのトラフィックがルーティングされることを確認します。
ユーザーフォーマットを適用可能であれば設定します。

制限

1つのアカウントにつき1つの転送プロキシのみがサポートされます
Catoは自動的にプロキシエンドポイントとポートを割り当てるため、選択することはできません
機能を無効化し、再度有効にすると、同じエンドポイントとポートが保証されることはありません
送信元IPの最大数は1,000です
以下の送信元IPはブロックされており、設定することはできません。
- 0.0.0.0/0 ::1/128
- 127.0.0.0/8
- ::/0
- ::1/128