オフクラウドリンクへのトラフィックルーティング

オフクラウドトランスポートの概要

カトクラウドを経由して送信されたトラフィックは、カトネットワークとセキュリティの強化の恩恵を受けます。ただし、特定の状況では、企業がインターネット上でソケット間の直接VPN接続を使用する必要がある場合があります。オフクラウドトランスポート機能により、ソケットを設定して、カトクラウドではなくインターネットを介してオフクラウドトラフィックを送信できます。例えば、同じ地域内の異なるサイト間で定期的なバックアップが行われる場合、これらのバックアップをオフクラウドトランスポートとして指定できます。

ソケットはオフクラウドトラフィックのために相互に完全なメッシュトポロジーを作成します。トラフィックは暗号化され、DTLSトンネルを使用してインターネット上で送信されます。

複数のリンクを持つソケットの場合、各リンクをオフクラウドトラフィックの送信のために有効または無効にできます。オフクラウドは以下の展開で構成できます：

アクティブ/アクティブ - オフクラウドトラフィックは、各リンクの利用可能な帯域幅に応じて重み付けされた方法でアクティブなリンク間で負荷分散および分配されます。
アクティブ/パッシブ（およびアクティブ/アクティブ/パッシブ）- パッシブリンクは、アクティブリンクがダウンした場合、またはリンク品質が著しく低下した場合に冗長性を提供します。

注意: オフクラウドのトラフィックは、サイトの帯域幅ライセンスから除外されます。WANリンクの最大ソケットスループットは、WAN、オフクラウド、バイパストラフィックを合わせたものです。つまり、X1500ソケット（最大500 Mbpsのスループット）が400 MbpsのWANトラフィックを送信している場合、オフクラウドおよびバイパストラフィックには100 Mbpsが利用可能です。

既知の制約

オフクラウドトラフィックはCato脅威保護エンジンによって検査されません。
ソケットは、オフクラウドトラフィックに最大3つのリンクをサポートします。
オフクラウドトラフィックでFTPパッシブモードをルーティングすることはできません。Catoクラウドでのみルーティングできます。
オフクラウド（サイト間）トンネルは、同じISPルーターに接続されているサイト間で確立することはできません。各サイトには固有の公開IPアドレスが必要です。
Alt-WANはセカンダリトランスポートとしてオフクラウドではサポートされていません。ネットワークルールのAlt-WANをプライマリトランスポートとし、オフクラウドへのフェイルオーバーを設定することはできません。

オフクラウドトラフィックの取り扱い

Catoソケットは、トランスポートとWAN復旧という2種類のオフクラウドトラフィックをサポートしています。 WAN復旧は、Catoクラウドで接続性の問題がある場合にレジリエンスを提供し、他のソケットサイトとの接続を維持するために自動的にバイパスVPNトンネルを使用します。リンクを設定してオフクラウドトラフィックを送信すると、そのリンクはトランスポートトラフィックと復旧トラフィックの両方を送信できるようになります。ソケットでオフクラウドトランスポート用のリンクと復旧用のリンクを一つずつ指定することはできません。

注意:
オフクラウドトランスポートは、単純なネットワークルールにのみ正式にサポートされています。オフクラウドをトランスポートとして使用して複雑なルールを設定した場合でも、トラフィックは分析のためにPoPに送信されます。複雑なネットワークルールとは、Socket自体が評価できないネットワークルールです。したがって、SocketはPoPにトラフィックを送信し、正しいネットワークルールを選択し、TCPプロキシを有効化する必要があります。複雑なルールには、アプリケーション、アプリケーションカテゴリ、サービス、カスタムアプリケーション、またはドメイン/FQDNオブジェクトが含まれる場合があります。
場合によっては、このトラフィックがTCPアクセラレーションモードをトリガーし、その場合、トラフィックはPoPを経由し、本来の意図とは異なりオフクラウドを通過しません。他のインスタンスでは、トラフィックがオフクラウドで送信された場合でも、前述の分析によりPoPを経由しているように見えることがあります。
Catoは、すべてのオフクラウドの単純ルールをネットワークルールベースのトップに設定することを推奨します。

WAN の復旧について詳しくはアカウントの高度な設定を使用するを参照してください。

オフクラウドトランスポートの設定

このセクションでは、オフクラウドトランスポートのためのサイトとネットワークルールの設定方法について説明します。

オフクラウドトランスポート用のサイトを有効化

オフクラウドトラフィックを送受信する各サイトでオフクラウドトランスポートを有効にします。複数のリンクを持つSocketデプロイメントの場合、オフクラウドトラフィックをサポートするようにリンクを構成します。

デフォルトでは、SocketサイトのWANリンクに対してオフクラウドトランスポートが有効になっています。ただし、リンクのWANの優先度を3 (ラストリゾート)として定義した場合、そのリンクのオフクラウドトランスポートは自動的に無効になります。

オフクラウド.png

上記の例では、WAN1およびWAN2リンクがオフクラウドトラフィックを送信するように構成されたサイトを示しています。また、WANリンクの一つがCatoクラウドを通じてのみトラフィックを送信するサイトを構成することも選択できます。

複数リンクのあるサイトについて詳しくは、以下の複数リンクを持つオフクラウド用のサイト設定を参照してください。

パブリックIPと設定インタフェースの構成

通常、オフクラウドトラフィックを送信するリンクの公開IPと固定インタフェース設定はSocketにより自動的に設定され、Cato 管理画面で設定されることはありません。ソケットはランダムに送信元ポートを選び、インターネットルーターの公開IPアドレスを使用して接続を開始します。

Cato管理画面を使用して、オフクラウドトラフィックを送信する各リンクのために、手動で静的公開IPアドレスとポート番号を設定することもできます。この作業を行う際、サイトのインターネットルーターに固定の公開IPアドレスが割り当てられ、対照的なポートフォワーディングルールで構成されていることを確認してください。そうでない場合は、公開IPと固定インタフェースの設定を手動で構成しないでください。

ただし、いくつかの状況ではこれらの設定を構成する必要があります。例えば、ローカルルーターでNATに関連する問題を解決するためにポートフォワーディングルールを利用する場合です。

サイトのオフクラウドトランスポートを有効にするには:

ナビゲーションメニューからネットワーク > サイトを選択し、サイトを選択します。
ナビゲーションメニューからサイトの設定 > Socketを選択します。
サービスの提供手続に関する一般事項
1. リンクをクリックします。
  ソケットのインタフェースの編集パネルが開きます。
2. オフクラウドのセクションを展開します。
3. トラフィックステータスのドロップダウンメニューで、有効を選択します。
4. (オプション) オフクラウドリンクの公開IPと静的ポート番号を入力します。
適用をクリックします。
オフクラウドトラフィックを送受信する各サイトに対して前述の手順を繰り返します。

オフクラウドトランスポート用のネットワークルールの設定

オフクラウドトランスポートを使用して送信されるWANトラフィックの種類を定義するネットワークルールを作成します。次に、このルールを構成して、オフクラウドトランスポート経由でトラフィックをルートします。

オフクラウドトランスポートのインタフェースの役割オプションを設定することはできません。また、オフクラウドを主なトランスポートとして使用するネットワークルールについては、TCPアクセラレーションを無効にしてください。

SocketはQoSおよび帯域優先度をオフクラウドトラフィックへの適用します。詳細はこの記事を参照してください。

ネットワークルールの詳細については、ネットワークルールの設定を参照してください。

オフクラウドトランスポートのネットワークルールを構成するには:

ナビゲーションメニューからネットワーク > ネットワークルールをクリックします。
新規をクリックします。 ネットワークルールを追加パネルが表示されます。
新しいWANネットワークルールを作成するには:
1. 一般セクションにルールの名前を入力してください。
2. ルールタイプドロップダウンメニューで、WANを選択します。
3. ネットワークルールベース内でのルール表示場所を決定するルール順序を設定します。
ソース セクションを展開し、このルールのトラフィックソースとなる1つ以上のオブジェクトを選択します（またはIPアドレスを入力することも可能です）。
宛先セクションを展開し、文字列を入力するか、このルールのトラフィック宛先に対して1つ以上のオブジェクトを選択します。
アプリ/カテゴリセクションを展開し、ルールのために一つ以上のアプリケーションを選択します。
設定セクションを展開し、ネットワークルールのトランスポート設定を構成します。
1. オフクラウドトラフィックのために帯域優先度を選択します。
2. TCP アクセラレーションが無効であることを確認してください。
3. プライマリトランスポートで、オフクラウドをプライマリトランスポートとして設定します。
4. セカンダリトランスポートで、セカンダリトランスポートを設定します：
  - 自動 - ソケットは自動的にセカンダリトランスポートオプションを選択します
  - なし - プライマリトランスポート（オフクラウドトランスポート）でのみトラフィックを送信します
  - Cato - ソケットはセカンダリトランスポートオプションとしてCatoクラウドを使用します
適用をクリックします。
保存をクリックします。
変更は未公開の改訂に保存され、公開または破棄されるまで編集することができます。

オフクラウドトラフィック用の複数リンクの操作

複数のリンクを持つソケット用に、オフクラウドトラフィックのアクティブ/アクティブおよびアクティブ/パッシブ配置を設定できます。オフクラウドトラフィック用に1つのリンクのみを有効化することを選択した場合、そのリンクがトラフィックを送信できない場合、オフクラウド接続はネットワークルールのトランスポート設定でセカンダリトランスポートオプションに従います。

複数リンクのソケットに関する詳細な技術的背景については、パート1: ソケットインタフェースと優先度を参照してください。

オフクラウドトラフィックとアクティブ/パッシブデプロイメント

アクティブ/パッシブデプロイメントでは、ソケットリンクは異なる優先度に設定され、サイトの高可用性を提供します。数秒ごとに、ソケットはアクティブリンクのリンク品質を評価し、アクティブリンクの健全性が劣化すると、ソケットは徐々にトラフィックをパッシブリンクに移動させます。リンク品質が回復すると、ソケットはアクティブリンクを介してトラフィックの送信を再開します。同様に、アクティブリンクがダウンした場合、トラフィックフローはアクティブリンクが復帰するまでパッシブリンクに転送されます。これが最低限のリンク品質メトリックです：

パケットロス - 3%
ジッター - 30 ms
レイテンシー - 600 ms

リンクが上記のメトリックのいずれかを満たせない場合、トラフィックは徐々に他のリンクに移されます。ソケットは10秒ごとにリンクを評価し、トラフィックに最適なリンクを選択します。したがって、ソケットがパッシブリンクにフェイルオーバーした場合、アクティブリンクに戻るまでに少なくとも10秒待機します。

一部の状況では、パッシブリンクへのフェイルオーバーが2つのサイト間で非対称のトラフィックを引き起こす可能性があります。例えば、サイト1とサイト2は両方ともアクティブ/パッシブデプロイメントに設定されています。サイト1がパッシブリンクにフェイルオーバーした場合、サイト1はWAN2経由でトラフィックを送信し、サイト2はWAN1経由でトラフィックを送信します。もう一つの状況は、一方のサイトがアクティブ/アクティブ展開で構成され、他方のサイトがアクティブ/パッシブである場合です。一つのサイトの単一のアクティブリンクが、他のサイトの両方のアクティブリンクにトラフィックを送信します。

オフクラウドトラフィックとアクティブ/アクティブデプロイメント

アクティブ/アクティブデプロイメントでは、両方のソケットリンクが同じ優先度に設定され、サイトの高可用性と負荷分散を提供します。各トラフィックフローについて、ソケットは各リンクを継続的に監視し、最適なオプションを選択します。

複数のリンクを用いたオフクラウドのためのサイトの設定

オフクラウドトラフィックをアクティブ/アクティブまたはアクティブ/パッシブデプロイメントとして送信するためにリンクを設定するには、ソケット設定を定義します。

オフクラウドトラフィックのアクティブ/アクティブまたはアクティブ/パッシブ向けにサイトを設定するには:

ナビゲーションメニューから ネットワーク > サイト を選択し、サイトを選択します。
ナビゲーションメニューからサイトの設定 > Socketを選択します。
このサイトのオフクラウドトラフィックを有効にする。
このオプションが無効の場合、スライダーは灰色になります。
WAN1リンクの設定を行います。
1. リンクをクリックしてください。
  ソケットのインタフェースの編集 ペインが開きます。
2. 一般セクションで、優先度 を 1 (アクティブ) に設定します。
3. オフクラウド セクションを展開します。
4. トラフィックステータス ドロップダウンメニューで有効を選択します。
5. （オプション） オフクラウドリンクの 公開 IP と 固定ポート 番号を入力してください。
6. 適用をクリックします。 WAN1 リンクのオフクラウド設定が更新されました。
ステップ 4 を繰り返し、WAN 2 リンクの設定を行います：
- アクティブ/パッシブの場合、優先度 を 2 (パッシブ) に設定します。
- アクティブ/アクティブの場合、優先度 を 1 (アクティブ) に設定します。
保存をクリックします。サイトのオフクラウド設定が構成されました。

オフクラウドアナリティクス

オフクラウド 画面でオフクラウドトラフィックとトンネルのアナリティクスおよびステータスを表示できます。

サイト用のオフクラウドアナリティクスを表示するには：

ナビゲーションメニューから ネットワーク > サイト をクリックし、サイトを選択します。
ナビゲーションメニューから サイト監視 > オフクラウド をクリックします。

オフクラウドトランスポートイベント

イベント 画面にはアカウントのすべてのオフクラウドトランスポートイベントが表示されます。強力な検索ツールを使用して、必要な関連データを含むいくつかのイベントを見つけることができます。

イベント画面の使用について詳しくはこちらをご確認ください。 SaaS セキュリティ API データ保護のプリセットを使用してイベントをフィルターすることができます。

イベントサブタイプ	説明
オフクラウドトランスポート接続	サイトはオフクラウドトンネルに接続します（通常は最初の接続）
オフクラウドトランスポート切断	サイトのオフクラウドトランスポートが切断されます