オフィスモードの設定

この記事は、リモートユーザーがサイトの背後にいる場合にトンネル内トンネルトラフィックを回避するためにOfficeモードを使用する方法について説明します。

概観

オフィスモードは、ZTNAライセンスを持つユーザーが支社にいる場合にクライアントのパフォーマンスを最適化します。クライアントの暗号化トンネルの代わりに地元のサイトを経由してトラフィックをシームレスにルーティングすることで、トンネル内トンネルのシナリオを回避します。これにより、レイテンシーが低減され、トラフィックルーティングが簡易化されます。オフィスモードをグローバルに設定することも、ユーザー自身がクライアント内で手動で有効化または無効化できるようにすることもできます。

高度な設定ページを使用してオフィスモードの動作を管理します：

• アカウント内のすべてのユーザー向け: リソース > 高度な設定に移動します

• 個々のユーザーに対して: ユーザーの高度な設定ページにアクセスします。

事前準備

• HTTPSリクエストをTCPポート443に送信してCatoトンネルAPIサービスに接続します。

  • tunnel-api.catonetworks.com

  • tunnel-ws-api.catonetworks.com

オフィスモードの仕組み

オフィスモードは、デバイスがソケットまたはIPsecサイトの背後にあるかどうかを最初に検出します。もしそうであり、設定が許可している場合、クライアントはオフィスモードで動作し、PoPへのサイトトンネルを使用します。

オフィスモードが有効になっており、クライアントが直接サイトとの接続を検出した場合：

• クライアントトンネルはバイパスされます

• すべてのトラフィックはサイトのトンネルを通してPoPにルートします。

• サイトのセキュリティポリシーが適用され、クライアントポリシーは使用されません

常時強制ユーザーのオフィスモード動作

クライアントの耐障害性のため、オフィスモードでもクライアントがPoPへのトンネルを維持するシナリオがあります。クライアントはこのトンネルを通してデータを送信していません。

• macOSクライアントは常にUDPを使用してトンネルを維持します。

• Windowsクライアントは、オフィスで認証を要求する設定が有効化されている場合、常にUDPを使用してトンネルを維持します
  オフィスで認証を要求する設定については、こちらの 記事を参照してください。

オフィスモードが無効になった場合の事象

ユーザーがオフィスモードを無効にした場合、かつクライアントがサイトの背後にあるネットワークに接続していると：

• ローカルLANトラフィックを含めたすべてのトラフィックがクライアントの暗号化トンネルを経由します

• ローカルトラフィックはPoPに送信され、次にサイトに戻されるため、レイテンシーが増大します

• ユーザーIDに対するセキュリティポリシーが適用され、サイトポリシーは使用されません

クライアントがネットワークに接続されていない場合、トラフィックはサイトの通常のユーザートラフィックとして処理されます。

サイトの背後での自動接続（Windows、macOS、Linux）

Windows、macOS、Linuxクライアント用:

• クライアントはサイトの背後で自動的に接続し、ユーザー認証を要求しません

• サイトの背後にある間、接続ボタンは無効になります

• 冗長なトンネルを回避するためにオフィスモードが強制されます

これにより、ユーザーエクスペリエンスが簡素化され、一貫したルーティングポリシーが施行されます。詳細情報については、ユーザー認識のためのCatoアイデンティティエージェントの使用を参照してください.

注: クライアントでOfficeモードが無効になっている場合、自動的にOfficeモードに接続されません。

プライベートDNSサーバーを使用したオフィスモードの利用

プライベートDNSサーバーを使用するアカウントの場合、次の構成変更が必要です：

• プライベートDNSサーバーに以下のDNSエントリを追加し、クライアントオフィスモードをサポートします：

  • vpn.catonetworks.net をIPアドレス10.254.254.5（またはカスタマイズされた予約サービス範囲x.y.z.2のIPアドレス）として使用します。

  • tunnel-api.catonetworks.com をIPアドレス10.254.254.3（またはカスタマイズされた予約サービス範囲x.y.z.7のIPアドレス）として使用します。

注: オフィスモードが正常に動作するためには、これらのアドレスへのトラフィックを許可するようにファイアウォールが設定されていることを確認してください。

プライベートDNSサーバーがローカルLAN上にある構成の場合、静的DNSエントリとローカルLANを介した接続性により、SDPユーザーが常にオフィスモードに接続されていると認識されます。サイト（およびオフィスモードのSDPユーザー）がCato Cloudに接続されていなくても、SDPユーザーがプライベートDNSサーバーに接続しているため、オフィスモードを使用して接続されていると表示されます。

ユーザーがオフィスモードを設定できるようにする

デフォルトでは、オフィスモードは有効となっており、ユーザーはクライアントでこれを変更できません。 VPNオフィスモードパラメータは、ユーザーがオフィスモードを自ら有効または無効にできるかどうかを制御します。

次のテーブルはグローバル設定について説明します。個別のユーザーに対してこの設定を上書きすることができます。

無効 と 有効 / オフ は同じ効果があります：オフィスモードは有効のままですが、ユーザーはそれを変更できません。

グローバル設定：ユーザーがオフィスモードを制御できるように許可

アカウント内のすべてのユーザーがオフィスモードを制御できるようにするためには：

1. ナビゲーションメニューから リソース > 高度な設定を選択します

2. VPNオフィスモードパラメータを開き、これらの項目を設定します:
   

   • ステータス

     • 無効 – ユーザーはオフィスモードを変更できず、有効になります（デフォルト）

     • 有効 – 値フィールドに基づいてユーザーがオフィスモードを制御できます

   • 値

     • オン – デフォルトでオフィスモードが有効化されますが、ユーザーは無効化できます

     • オフ – ユーザーはオフィスモードを無効化できません

ユーザーごとの設定

個々のユーザーがグローバル設定を上書きできるように許可します。

ユーザーごとにオフィスモードを設定するには：

1. ナビゲーションメニューから、アクセス > ユーザーを選択し、ユーザーを選択してください。

2. 高度な設定 を選択します:

3. VPNオフィスモードパラメータを開き、これらの項目を設定します:

   • ステータス - 有効に設定します

   • 値

     • オン – デフォルトでオフィスモードが有効化されますが、ユーザーは無効化できます

     • オフ – オフィスモードが無効化されており、ユーザーは有効化できません

   この設定は、ユーザーがサイトの背後で接続する場合にのみ適用されます。

クライアントでオフィスモードを無効または有効にする

設定が適用された後、ユーザーはCatoクライアントで設定を変更できます。

オフィスモードを有効化または無効にするには：

1. クライアントを接続して最新の設定を受け取らせます

2. すでに接続されている場合は、接続を切って再接続します。

3. クライアントの設定パネルを開きます。

4. SDPオフィスモードオプションを見つけます。

5. チェックボックスを切り替えてオフィスモードを有効または無効にします。

6. 変更を適用するためにクライアントを再接続します。

既知の制限事項

• オフィスモードは、UDP接続でのみサポートされます