中国におけるCatoネットワーク機器を理解する

この記事は、中国におけるCatoクラウドプラットフォームの機能を、 中国政府の規制及び制限への対応を含めて説明します。

概要

中国のすべてのインターネットトラフィックは政府によって検査され、地域のゲートウェイを通じてバックホールされます。 Catoは中国のすべての規制に従っており、Cato SASEサービスは他の地域と同様に中国でも完全に利用可能です。

注: 中国は国内からアクセスできるサイトに制限を設けているため、特定のトラフィックを出力して中国のグレートファイアウォールをバイパスし、中国以外のCATO ポップに送信することはCato MSA (Master Service Agreement)に違反します。中国における制限に関する質問は、Cato MSAのセクション5.2を参照してください。

Catoは、PoPを通じて中国内での最適なユーザー体験を提供し、中国にオフィスを持つグローバル企業がCatoバックボーンを介して一貫したセキュアな接続を確保できるようにします。例えば、北京、上海、深圳、ウルムチなど、中国には複数のCato PoPがあります。これらのPoPは香港を通じてCatoクラウドと通信します。つまり、中国内のPoP間でフルメッシュを確立し、その他のPoPとの通信は香港を介して行われることを意味します。逆も然りです。

中国政府は、域外のサイトやリソースへのアクセスを制限しており、外国企業はこれらの規制に適応する必要があります。

注意: 中国政府はいつでも制限を変更し、アプリケーションやウェブサイトへのアクセスを禁止することがあります。トラフィックがブロックされた場合、このリストを確認して宛先が中国で利用不可かどうかを確認してください。

中国にあるサイトまたはリモートユーザーの制限

• RPFは中国ではサポートされていません

• Catoエンタープライズブラウザ、ブラウザ拡張機能、およびブラウザアクセスは、中国ではサポートされていません。

• RBIは中国でサポートされていません。詳細については、ブラウジングセッション用RBIサービスの設定を参照してください

中国におけるソケットのメンテナンス

中国にあるソケットは、Ali Cloudのサーバーからソケットのアップグレードファイルをダウンロードし、ファイルダウンロード時間を短縮し、遅延を軽減し、ソケットのアップグレード成功率を向上させます。

中国におけるDNS

中国では、一般的に使用されるDNSサービスが利用できません。したがって、Catoは、最適な利用可能DNSサーバーを決定するための内部メカニズムを使用し、Cato DNSサーバー10.254.254.1がプロキシとして機能します。

WANインターフェイスを設定して、ローカルISPによって提供されたDNSサーバーまたは中国で利用可能なパブリックDNSサーバー、例: 114.114.114.114 または 114.114.115.115）を使用する必要があります。

中国におけるラストマイルモニタリング

ラストマイルモニタリングによって事前定義されたウェブアドレスはQQ.com、baidu.com、weibo.comといった中国のウェブサービスです（ネットワーク > ラストマイルモニタリングプローブの下で設定可能です）。

中国におけるトラフィックの出力

デフォルトで、中国のインターネットトラフィックは中国のPoPから出口を開始し、ローカルゲートウェイを経由して、その後、目的地に向かいます。つまり、制限付きサイトにアクセスしようとすると、Cato PoPがトラフィックの通過を許可し、その後、現地の規制により、中国のグレートファイアウォールによってブロックされます。

中国ソケットとクライアントDTLSトラフィック用のUDPポート1337

Catoは、ベストプラクティスとして、中国に設置されたソケットサイトおよびクライアントユーザーのアカウントで代替UDPポートを設定することを推奨します。 UDPポート443を使用するDTLSトンネルは、パケットロスなどの接続問題が発生する可能性があります。接続性を向上させるため、ソケットおよびクライアントトラフィックの優先DTLSポートとしてUDPポート1337を設定してください。さらに詳しくは、ソケットとクライアントトラフィックのための代替UDPポートの使用を参照してください。

ライセンス

中国のサイトのライセンスを購入する際には、顧客はそのライセンスの帯域幅のうち、どの割合を地域内トラフィックに割り当て、どの割合をグローバルトラフィックに割り当てるかを判断する必要があります。

• 地域トラフィックは、中国の地域内で送信されたすべてのトラフィックです。例えば、深圳から北京のサイトまで

• グローバルトラフィックは、地域外へ送信されるすべてのトラフィックです。例えば、深圳のサイトからヨーロッパのサイトまで。

注意: グローバルトラフィックは本質的にリージョナルトラフィックよりも高価です。ニーズに応じて両方を割り当てていることを確認してください。

Cato管理アプリケーションでサイトを設定するとき、ライセンスをそのサイトに割り当てる必要があります。サイトの詳細には、購入した地域ライセンスとグローバルライセンスを組み合わせたライセンスの詳細が表示されます。

サイト設定におけるラストマイル帯域幅に入力する必要のある値は、そのサイトの地域とグローバル帯域幅の合計です。例えば、100Mbpsを購入した場合、そのうちの70％を地域、30％をグローバルに振り分けた場合、100 Mbps を深圳に位置するサイトに設定する必要があります。

中国サイトのQoS

CatoのQoSは、以下の側面から制御されています：

• 帯域幅管理

• ネットワークルール

詳細については、ネットワークルールとQoSを参照してください。

帯域幅管理メカニズムはライセンスの制限を把握していないため、プロフィールを作成する際には、ライセンスの許可範囲内に収まるように設計してください。

例えば、合計帯域幅が100Mbpsであり、70％が地域、30％がグローバルの場合、帯域幅管理プロファイルを作成する際には、これらの値に一致する制限を設定してください。ベストプラクティスとして、帯域幅の値に硬い制限を設けず、割合を使用することで、許容範囲を超えずに済みます。

パーセンテージ ベースのプロフィールを使用したビデオ会議

貴社は発展都市や北京、ヨーロッパにサイトを有しています。ビデオ会議（VC）を実施する際のコミュニケーションに問題がないようにすることを保証したい場合があります。

次のプロフィールを作成し、リソースの少なくとも15％をP15トラフィックに割り当てることができます。

その後、P15プロフィールをVCトラフィックに使用するネットワークルールを作成できます。トラフィックが中国内のオフィス間、例えば上海と北京の場合、割り当てられた帯域幅の15％はリージョナルライセンスに基づいています。しかし、深圳がヨーロッパのサイトとVCするとき、それはグローバルライセンスの15％になります。ただし、割合を利用して硬いMbps制限を使用していないため、ライセンス範囲を超えるリスクを負うことはありません。

帯域幅ベースのプロファイルを使用したビデオ会議

上記のシナリオに基づいて、地域VC用とグローバルVC用の異なるプロフィールを作成し、硬い帯域幅の制限を使用することもできます。地域ビデオ会議用には、10Mbpsを割り当てるプロフィールがあります。そして、グローバルビデオ会議用に5 Mbpsを割り当てるプロフィールを作成します。

その後、ネットワークルールで、VCトラフィックの宛先に応じて各プロフィールを実行するための独立したルールを作成します。