Catoプライベートアクセスとは何ですか？

注：
詳細情報が必要な場合は、 feature-releases@catonetworks.com までお問い合わせください。

概要

Catoプライベートアクセスを利用すると、ユーザーにネットワークを拡張せずにプライベートアプリケーションへの安全でアイデンティティベースのアクセスを提供できます。従来のVPNのように直接ネットワークレベルの接続を許可するのではなく、ユーザーのアイデンティティとコンテキストに基づいた、最小特権のアプリケーション固有のアクセスを強制します。

アプリケーションは明示的に承認されるまで隠され、到達不可能なままです。ユーザーがCatoクラウドに接続し、許可されたセッションはアウトバウンド専用のアプリケーションコネクタを通じてアプリケーションへ安全に仲介されます。このアーキテクチャにより攻撃面が削減され、横方向の移動が制限され、インバウンドのファイアウォールルール、ルート広告、またはネットワークの再設計が不要となります。

プライベートアクセスは迅速な導入と段階的な採用のために設計されています。 WANトポロジーやIPアドレスの変更をせずにアプリケーションをオンボードできます。

プライベートアクセスアーキテクチャの範囲

Catoプライベートアクセスは、仲介されたアーキテクチャを通じてユーザーとアプリケーションのアクセスを提供します。ユーザーはアプリケーションをホストするネットワークに直接接続することはありません。代わりに、アクセスはアプリケーションコネクタを通じて定義され明確にされたアプリケーションにのみ確立されます。

プライベートアクセスはユーザーが開始したアクセスのみをサポートします。アプリケーションはユーザーに向けて接続を開始せず、サーバーが開始した接続や双方向通信のパターンはサポートされていません。この設計により、ユーザーとアプリケーション環境間の厳密な隔離が強制され、内部ネットワークを露出したりルートを宣伝する必要が排除されます。

サーバーによる開始接続や双方向通信が必要なシナリオは、プライベートアクセスの範囲外であり、CatoのIPsecとソケットサイトの完全なネットワークアーキテクチャによってサポートされます。

詳細情報については、Cato SASE Cloudによるプライベートアプリケーションへのゼロトラストアクセスをご覧ください。

プライベートアクセスのライセンス

プライベートアクセスサービスは、地域グループごとにユーザーによってライセンスされます。詳細情報が必要な場合は、Cato担当者または公式リセラーにお問い合わせください。

Catoプライベートアクセスの仕組み

ユーザーはCatoクライアントまたはクライアントレスアクセスを使用してCatoクラウドに接続します。
PoPがユーザーを認証し、プライベートアクセスポリシーを評価します。
ユーザーが承認された場合、セッションはアウトバウンドDTLSトンネルを通じてアプリケーションコネクタに仲介されます。
アプリケーションコネクタはトラフィックをローカルでアプリケーションに転送します。

アプリケーションはインバウンド接続を受け付けず、ユーザーネットワークに露出されません。アクセスは常にユーザーが開始し、ポリシーに基づいています。

コアコンポーネント

プライベートアプリケーション

プライベートアプリケーションは、Catoを通じて公開する内部アプリを表します。

各アプリケーションでは、ユーザーがアプリケーションにアクセスする方法と、どのコネクタグループが認可された接続を提供するかを定義することにより、内部リソースを安全に公開します。アプリケーションは内部のIPアドレスから抽象化されており、ユーザーは内部ネットワークではなく、公開されたドメインにアクセスします。

アプリケーションコネクタ

アプリケーションコネクタをデータセンター、クラウドVPC、またはLANといった保護されたアプリケーションと同じ環境に配置して、その環境をCatoクラウドにセキュアに接続します。各コネクタはアウトバウンドのみのDTLSトンネルを確立し、ポリシーによって明示的に承認されたセッションのみを転送します。コネクタはインバウンド接続を受け付けず、ルーティングの変更も不要なため、アプリケーションネットワークを再設計することなくプライベートアクセスを導入できます。複数のコネクタをデプロイして、回復力とスケールを高めることができます。

アプリケーションコネクタグループ

アプリケーションコネクタグループは、接続の高可用性、負荷分散、および運用上の分離を提供するために論理的にコネクタをグループ化します。プライベートアプリケーションは、特定のコネクタではなくコネクタグループにアタッチされます。これは、特定のコネクタに問題が生じた場合、アプリケーションがグループ内の他の利用可能なコネクタを自動的に使用できることを意味します。

プライベートアクセスポリシー

プライベートアクセスポリシーを使用して、どのユーザーがどのプライベートアプリケーションに、どのような条件でアクセスできるかを制御します。ポリシーにより、ユーザーのアイデンティティとコンテキストに基づいたアプリケーションレベルのアクセスを許可し、デフォルトで許可されない姿勢を維持します。認可は、アプリケーション環境にセッションが確立される前のPoPで評価され、明示的に許可された接続のみがアプリケーションに仲介されることが保証されます。

ユースケース

ネットワーク変更なしでプライベートアプリケーションへの安全なアクセス

ルーティングの変更、サブネット広告、またはWANアーキテクチャの変更を伴わずに内部アプリケーションを安全に公開します。

プライベートアクセスはインバウンドのファイアウォールルールを必要とせず、アプリケーション環境からのアウトバウンド専用トンネルを使用し、IPの再アドレス指定やサイトのオンランプも必要ありません。これにより、既存のネットワークデザインを保ちながら、プライベートアプリケーションの迅速なオンボーディングに最適です。

IP環境の重複を伴う合併および買収

M＆Aシナリオでは、重複するIP範囲が統合を遅らせることがよくあります。

プライベートアクセスは、IPの再アドレス指定を必要とせず、CGNATとDNSマッピングを使用して内部アドレス指定を抽象化し、ルーティングドメインの統合なしでユーザーのアクセスを許可します。これは、取得した環境の迅速で影響を与えないオンボーディングをサポートします。

後ほど双方向またはサーバー開始の接続が必要になった場合は、その環境を完全なCatoサイトとしてオンボードできます。