ネットワークルールを設定

概観

ネットワークルールを使用すると、WANとインターネット接続を通じてトラフィックを誘導したり優先順位を設定したりすることができ、パフォーマンス、ルーティング、リンクの使用状況を細かく制御できます。アプリケーション、ソース、および宛先に基づいてルールを作成することで、重要なトラフィックが正しいQoSを受け取ることを保証し、レイテンシーやパケットロスを最適化し、最適な輸送経路を選択できます。ネットワークルールページを使用してルールの順序を定義し、加速設定を適用し、ビジネスおよび技術的要件に合わせた高度なルーティング動作を構成することができます。

ネットワークルールとCatoの詳細については、ネットワークルールとは何か？を参照してください。.

単一ルール内で複数のオブジェクトを操作する

ソース, アプリ/カテゴリー, and 宛先の列はAND関係を形成します。トラフィックが3つの列すべてで定義された条件に一致する場合にのみルールが起動されます。

1つの列内に複数のアイテムが存在する場合、OR関係があります。トラフィックがいずれかのアイテムに対して定義された基準に一致する場合にルールが適用されます。たとえば、アプリ/カテゴリーをサービスとして定義し、TCPとUDP用のルールを定義すると、このルールはTCPまたはUDPトラフィックに一致します。

ポリシーの改訂および複数の管理者による同時編集

ネットワークルールページでは、異なる管理者がポリシーを並行して編集できます。それぞれの管理者はルールを編集し、変更をルールベースに自身のプライベートリビジョンとして保存した後、それをアカウントポリシーに公開します（公開されたリビジョン）。ポリシーの改訂管理の詳細は、ポリシーリビジョンの操作を参照してください。

ネットワークルールポリシーの有効化

ネットワークルールページでネットワークルール有効化切り替えを使用してネットワークルールポリシーが施行されるかどうかを制御します。ポリシーが有効になると、設定されたルールがアカウントのトラフィックのルーティングと優先順位付けに適用されます。ポリシーの無効化によってこれらのルールの施行は即座に停止されます。

ネットワークルールポリシーを有効化するには:

ナビゲーションメニューからネットワーク > ネットワークルールをクリックします。
ネットワークルール無効化 の横にあるトグルをクリックします。
確認ウィンドウで、続行をクリックします。ポリシーが有効になるとトグルは緑色になります。

ネットワークルールの作成

特定のWANまたはインターネットトラフィックフローにカスタムのトラフィック誘導やQoSを適用するには、トラフィックと処理方法を定義するネットワークルールを作成します。ネットワークルールは順序によって評価される順序付けられたポリシーです。既存のルールの前または後のように、正しい位置に新しいルールを作成します。

ソースを設定すると、ルールが適用されるトラフィックを定義します。関連するトラフィックに一致させるために、IP範囲、アプリケーションカテゴリー、ユーザーグループなどのさまざまなグローバルオブジェクトから選択できます。

各ルールには以下の設定オプションが含まれます：

帯域優先度 - 輻輳時にビジネスクリティカルなフローの性能を確保するためにトラフィックにQoS優先度を割り当てます
加速および最適化 - レイテンシーとパケット損失を軽減するためにTCP加速とパケット重複を有効にします。
プライマリおよびセカンダリトランスポート - トラフィックルーティングのための優先トランスポートタイプを定義します（Cato Cloud、Off-Cloud、またはAlt）。 WAN)
ルーティング方法 - 特定のPoPからのエグレストラフィック、NAT IP割り当て、またはゲートウェイサイトを介してインターネットトラフィックをバックホールします。

ネットワークルール.png

WAN またはインターネットネットワークルールを作成するには:

ナビゲーションメニューからネットワーク > ネットワークルールをクリックします。
新規 > 新規ルール をクリックします。 ネットワークルール追加パネルが表示されます。
一般セクションから、ルールの設定を構成します。
1. ルールの名前を入力します。
2. スライダーを使用してルールを有効または無効にします。(緑が有効、灰色が無効)
3. 新しいルールの位置を選択します。
4. ルールタイプ ドロップダウンメニューで、このルールが WAN または インターネット トラフィック用か選択します。
ソース セクションを展開し、このルールのトラフィックソースとなる1つ以上のオブジェクトを選択します（またはIPアドレスを入力することも可能です）。
1. タイプを選択します（例: ホスト、ネットワークインタフェース、IP、IP範囲、または全て）。デフォルト値はすべてです。
2. 必要に応じて、その種類のドロップダウンリストから特定のオブジェクトを選択します。
基準セクションを展開して、ルールにデバイス条件を追加します。詳細については、ファイアウォールルールにデバイス条件を追加するを参照してください。デフォルト値はすべてです。
WANトラフィックルールの場合は、宛先セクションを展開し、このルールのトラフィック宛先となる1つ以上のオブジェクトを選択します。
アプリ/カテゴリセクションを展開し、ルールのために一つ以上のアプリケーションを選択します。
ルールに複数のアプリ/カテゴリオブジェクトがある場合、それらの間にはOR関係があります。デフォルト値はすべてです。
アプリ/カテゴリセクション内の各オプションの詳細な説明については、ルールオブジェクトの参照をご覧ください。
設定セクションでは、ネットワークルールのための以下の設定を構成できます（下記の説明を参照してください）：
- 帯域優先度
- プライマリトランスポート と セカンダリトランスポート
Click Save. The panel closes, and the settings are updated in the policy.
The changes are saved to your unpublished revision and are available for editing until they are published or discarded.
公開をクリックします。確認ウィンドウが表示され、公開をクリックします。

ルールにおける帯域優先度(QoS)の変更

デフォルトでは、新しいルールはデフォルトの優先度（p255）に割り当てられますが、自身のネットワークのQoSニーズに応じてこれを変更できます。

優先度の数字が低いほど、ルールのQoS優先度が高くなります。例として、優先度が10のルールは優先度40のルールよりQoS優先度が高くなります。

アカウントの帯域幅ポリシーを定義する方法について詳しくは、帯域管理プロファイルの設定を参照してください。

ルールの帯域優先度を変更するには:

ナビゲーションメニューからネットワーク > ネットワークルールをクリックします。
ネットワークルールをクリックします。 ネットワークルールの編集パネルが表示されます。
設定セクションを展開します。
帯域管理 セクションで、帯域優先度 ドロップダウンメニューから、このルールのQoS優先度を選択します。
Click Save. The panel closes, and the settings are updated in the policy.
The changes are saved to your unpublished revision and are available for editing until they are published or discarded.
公開をクリックします。確認ウィンドウが表示され、公開をクリックします。

トランスポートとルーティングオプションの設定

このセクションでは、ネットワークルールのトランスポートオプションを設定し、トラフィックを特定の場所やIPアドレスに送信する方法を説明します。

ルールのトランスポートオプションをカスタマイズ

ネットワークルールはグローバルに設定されています。特定のサイトに指定されたトランスポートがない場合、ソケットはその構成を自動として扱います。

明示的なトランスポート/NICを選択すると、QoSエンジンがパケット損失、ジッター、遅延を監視します。輻輳が発生した場合、パケットはドロップされます。トランスポートの自動を選択すると、QoSエンジンはパケットロス、ジッター、およびレイテンシーに加えて輻輳も監視します。

Alt-WANはセカンダリトランスポートとしてオフクラウドではサポートされていません。ネットワークルールのAlt-WANをプライマリトランスポートとし、オフクラウドへのフェイルオーバーを設定することはできません。

既知の制限

サイト間のWANトラフィックに対して、WANネットワークルールは、特定のソケットインタフェースが双方向のソケットサイトで利用可能かつ設定されている場合にのみプライマリトランスポートとして使用できます。選択されたインタフェースが一つのサイトにのみ存在する場合、そのルールに該当するトラフィックはドロップされる可能性があります。

例えば、あるルールによってトラフィックがあるサイトからWAN3を通じて送信される場合、宛先サイトにWAN3インタフェースが存在しなければ、トラフィックはそのトランスポート上でサポートされません。

WANルールには以下のデフォルト設定があります：
- プライマリトランスポート: Cato
- セカンダリトランスポート: 自動（適用可能な場合はMPLSなど他のトランスポートを考慮）
- プライマリインターフェース役割: 自動
- セカンダリインターフェース役割: なし（プライマリNICの自動設定で管理されるため無効化）
- Route/NAT: -（WANルールには適用されません）
インターネットルールには以下のデフォルト設定があります：
- プライマリトランスポート: Cato
- セカンダリトランスポート: なし（他のトランスポートは使用しない）
- プライマリインターフェース役割: 自動
- セカンダリインターフェース役割: なし（プライマリNICの自動設定で管理されるため無効化）
- Route/NAT: なし

ネットワークルールのトランスポートオプションをカスタマイズするには:

ナビゲーションメニューからネットワーク > ネットワークルールをクリックします。
ネットワークルールをクリックします。 ネットワークルールの編集パネルが表示されます。
設定セクションを展開します。
必要に応じてトランスポートフィールドを設定します: 特定のトランスポートでトラフィックをルートするには、プライマリトランスポートとセカンダリトランスポートを設定します。
プライマリトランスポートが利用可能である限り使用され、Cato QoSエンジンによって決定されます。プライマリトランスポートが利用できない場合は、セカンダリトランスポートが使用されます。
必要に応じてインタフェースの役割 フィールドを設定します (Catoクラウドを介してルートされたトラフィックにのみ適用されます)。
特定のリンクでトラフィックをルートするには、プライマリおよびセカンダリNICを設定できます。 プライマリインターフェースロールは、CatoのQoSエンジンによって使用可能である限り使用されます。
プライマリインターフェースロールが利用できない場合、セカンダリインターフェースロールが使用されます。 セカンダリインタフェースの役割がなしに設定されている場合、動作はプライマリインタフェースの役割の設定に基づきます：
- 自動 - ソケットがトラフィックをプライマリトランスポートで送信するよう最善を尽くします。
- 他のインターフェース役割 - プライマリトランスポートが利用できない場合、ソケットはトラフィックをドロップします
Click Save. The panel closes, and the settings are updated in the policy.
The changes are saved to your unpublished revision and are available for editing until they are published or discarded.
公開をクリックします。確認ウィンドウが表示され、公開をクリックします。

インターネットネットワークルールのルーティング方法の設定

あなたはさまざまなオプションを使用してインターネットネットワークルールを設定し、トラフィックを出口にすることができます。

ベストプラクティス: トラフィックを流出させるインターネットネットワークルール（NATまたはルート経由オプションを持つ）には、ルールに特定のソースまたはアプリ/カテゴリを定義することをお勧めします。 すべてをソースまたはアプリ/カテゴリとして選択すると、すべてのインターネットトラフィックがルートされ、予測できないパフォーマンスを引き起こすことがあります。

経由地 - トラフィックをインターネットに送信する出口PoPロケーションを選択できます。
注: トラフィックを東京に出力する際、1つの東京PoPロケーション（例: Tokyo_DC2）を選択すると、すべての東京PoPロケーションが自動的にネットワークルールに追加されます。 IP範囲は東京PoPロケーション間で共有され、アカウントにシームレスなエクスペリエンスを提供します。
NAT - 特定のCato割り当てIPアドレスとそのポップロケーションを経由してトラフィックを出力することができます。このルールに一致するトラフィックはそのIPに変換され、関連するPoPを介して出力されます。 NATも経由地もトラフィックを特定のPoPを経由してルートしますが、NATではトラフィックの変換先のIPを指定できます。
バックホール経由 - インターネットトラフィックを1つまたはバックホールゲートウェイサイト以上を経由して出力します
詳しくは、これらの記事を参照してください: インターネットトラフィックのバックホール。

注: ネットワークルールにあるすべてのIPが使用できない場合があり、例えば、PoPのメンテナンスウィンドウ中などに異なるIPアドレスがトラフィックフローに使用されます。このシナリオはユーザーの接続性とエクスペリエンスに影響を与える可能性があります。複数の出力IPをルールについて定義することを推奨します。影響を最小限に抑えるためです。

経由地とNATの場合、複数の出力IPを設定すると、トラフィックはソースに最も近いPoPロケーションの出力IPを使用します。

ルーティング方法NAT - ソースポートの保持

通常、PoPがインターネットトラフィックでNATを実行するとき、IPヘッダー内のソースポートとソースIPが変更されます。一部のアプリケーションでは、IPヘッダー内の元のソースポートを保持することが必要です。例えば、SIPトラフィックです。 ソースポートの保持オプションを選択すると、PoPは翻訳パケットIPヘッダー内の元のソースポートを保持します。

注: 同じソースポートを持つフローが複数ある場合、NAT変換中、両方のフローについてソースポートを保持する際に衝突が生じます。このような状況では、PoPは最初のフローのソースポートを保持し、後続のフローにはランダムなポートを割り当てます。

インターネットネットワークルールについてルーティング方法を設定するには：

ナビゲーションメニューから、ネットワーク > ネットワークルールをクリックします。
ネットワークルールをクリックします。 ネットワークルールの編集パネルが開きます。
設定セクションを展開します。
Route/NATドロップダウンメニューから、ルールに一致するトラフィックのルーティングオプションを選択します：
- 経由地 - 特定のCato Cloud PoPロケーションを経由してトラフィックをルートする場合、トラフィックを出力するロケーションを選択します。
- NAT - このルールについて特定のIPを介してNATでトラフィックを出力するため、出力する割り当てIPを選択します。
  （オプション） 翻訳されたトラフィックで元のソースポートを使用するには、ソースポートの保持を選択します。
Click Save. The panel closes, and the settings are updated in the policy.
The changes are saved to your unpublished revision and are available for editing until they are published or discarded.
公開をクリックします。確認ウィンドウが開き、公開をクリックします。

10Gbpsスループット用のPoPを使用したルーティング

10GbpsスループットをサポートするPoPロケーションに接続されているサイトには、別の10Gbps PoPロケーションを経由してトラフィックを出力するために経由地またはNATネットワークルールを設定することをお勧めします。そうしない場合、サイトのスループットに影響がある可能性があります。

ルールのイベントを表示する

ルールイベントを表示を使用して、特定のネットワークルールのイベントを表示できます。このアクションを選択すると、イベントページが開き、そのルールに一致するすべてのイベントがフィルタリングされた状態で表示されます。

ルールのイベントを表示するには：

ナビゲーションメニューから、ネットワーク > ネットワークルールをクリックします。
右側にある、をクリックし、ルールイベントを表示を選択します。

イベントページは、関連するルールのイベントでフィルタされた状態で表示されます。

ルールの高速化&最適化をカスタマイズする

TCPの高速化は非TCPトラフィック (UDPベースのトラフィック) に影響を与えず、ネットワークルールに含まれます。
Route/NAT設定やTLS検査が有効な場合、Catoがトラフィック上のTCPプロキシを有効にすることを意味します。
Cato Cloudの暗示的なネットワークデフォルトルールは、TCPプロキシとして機能することです。そのため、事前のルールがトラフィックに一致しない場合、TCPプロキシが適用されます。
Alternative WANをプライマリまたはセカンダリトランスポートとして使用するルールにはTCPアクセラレーションが無効化されています (グレーアウトされています)。

Cato Cloudでのトラフィック高速化について詳しくは、トラフィックの高速化と最適化を参照してください。

パケットロス軽減について詳しくは、マルチトンネルリンクのパケットロス軽減を参照してください。

ルールの高速化と最適化を設定するには：

ナビゲーションメニューから、ネットワーク > ネットワークルールをクリックします。
ネットワークルールをクリックします。 ネットワークルールの編集パネルが開きます。
設定セクションを展開します。
アクティブなTCPアクセラレーションを選択して、PoPをこのルールに一致するトラフィックのためのTCPプロキシサーバーとして機能させます。
パケットロス軽減を選択して、パケット重複を有効にし、このルールに一致するトラフィックのパケットロスの影響を緩和するようにします。
Click Save. The panel closes, and the settings are updated in the policy.
The changes are saved to your unpublished revision and are available for editing until they are published or discarded.
公開をクリックします。確認ウィンドウが開き、公開をクリックします。

例外を追加する

ネットワークルールの例外となるトラフィックを定義し、そのトラフィックにはルールが適用されません。トラフィックの例外をソース、アプリ/カテゴリ、そして宛先のオブジェクト(エンティティ)で定義します。複数のオブジェクトを持つ例外はネットワークルールと同じ動作をします。単一ルール内での複数オブジェクトの操作を参照してください。

上記の例では、VoIPビデオカテゴリにマッチする任意のトラフィックのためのネットワークルールがあります。このルールには以下の両方の条件に一致するトラフィックへの例外があります：

ソースはサンプル1500サイトです
アプリケーションはSkypeとMS Teamsです

ネットワークルールに例外を追加するには：

ナビゲーションメニューから、ネットワーク > ネットワークルールをクリックします。
例外を作成するルールを特定し、ルールの末尾から詳細アイコンをクリックし、例外の追加を選択します。
セクション内の例外を定義します：
1. ドロップダウンメニューから、例外用のトラフィックタイプを選択します。
  下記の例は、特定のホストに対する例外を追加する様子を示しています。
2. そのタイプの特定のオブジェクトをドロップダウンリストから選択します。
3. 前の2つのステップを繰り返して、例外用の追加オブジェクトを定義します。
  1つのセクション内の複数オブジェクトはOR関係を持ちます。
必要に応じて、ステップ3を繰り返し、他のセクションの例外を定義します。
複数のセクションにおいてオブジェクトはAND関係を持ちます。
Click Save. The panel closes, and the settings are updated in the policy.
The changes are saved to your unpublished revision and are available for editing until they are published or discarded.
公開をクリックします。確認ウィンドウが開き、公開をクリックします。

ネットワークルールのCSVファイルへのエクスポート

アカウントのルールベースごとに、ネットワークルールのすべてのデータを含むCSVファイルを生成できます。

注: 編集者ロールを持つCMA管理者だけにCSVファイルへのエクスポート権限があります。管理者の役割を設定する方法の詳細については、管理者の管理を参照してください。

ネットワークルールポリシーをエクスポートするには：

ナビゲーションメニューから、ネットワーク > ネットワークルールをクリックします。
エクスポートをクリックし、ポップアップウィンドウでOKをクリックします。
CSVファイルの保存場所を選択し、ファイルを保存します。

エクスポートされたファイルの内容を理解する

エクスポートされたCSVファイルの最上行には、関連するルールベース内のルールのフィールド名とオプションがリストされています。その後、ルール自体は優先度に従ってリストされ、最小値から始まる順番で表示されます。

CSVファイルには、以下の列が含まれています：

項目	説明
優先度	ルールベース内のルール優先度
ルールステータス	ルールは有効または無効です
タイプ	ルールタイプはWANまたはインターネットです
名前	ネットワークルールの名前
ソース	このルールのトラフィックソース
アプリ/カテゴリ	このルールに適用される項目（アプリ、カテゴリ、サービスなど）
宛先	このルールのトラフィック宛先
BW優先度	このルールのためのBW管理プロファイル
ルーティング	このルールに適用されるルーティングタイプ(NAT, バックホーリングなど)。インターネットネットワークルールにのみ関連します
トランスポート	このルールのトランスポートタイプ（WANインタフェーストランスポート、プライマリとセカンダリトランスポート）
アクセラレーション & 最適化	最適化設定が有効または無効にされます（TCPアクセラレーションとパケットロス軽減）

ライセンスの制限

QoSはアプリケーションコネクタトラフィックに適用されません。帯域幅プロフィールとトラフィックのネットワークルールを定義できず、最も低いネットワーク優先度に割り当てられます。