Problema
Quando tentam acessar um site específico através da Cato Cloud, a página não carrega e, eventualmente, expira. Entretanto, o mesmo site é acessível quando se ignora a Cato Cloud.
Este problema pode ocorrer devido a dois motivos principais:
1. IP da Cato na lista negra pelo Website
Certos sites, como Hulu, ESPN, ou sites governamentais, podem não ser acessíveis via Cato devido a restrições internas ou categorização que bloqueiam o Endereço IP Público da Cato.
Embora a Cato não tenha controle sobre esse comportamento, há algumas maneiras de solucionar e superar esse problema.
2. Sites Bloqueados Geograficamente
Alguns governos e outras organizações podem permitir o acesso aos seus sites apenas a partir de Endereços IP registrados em seu próprio País ou jurisdição. Isso é conhecido como bloqueio geográfico.
A Cato Networks possui PoPs implantados ao redor do mundo, mas o PoP ao qual você se conecta nem sempre estará no mesmo País/Estado onde você mora. Se for o caso, ao visitar um site hospedado dentro do seu País/Estado, o site verá a conexão vindo de um Endereço IP registrado fora da sua jurisdição, o Endereço IP Externo do PoP.
Se o site estiver usando bloqueio geográfico para restringir o acesso apenas a Endereços IP do País/Estado, o site não carregará. Em alguns casos, você poderá ver uma Página de Bloqueio do servidor web, mas na maioria das vezes, o site simplesmente expira e é exibido um Erro no navegador como os abaixo.
Chrome:
Firefox:
Edge:
Troubleshooting
Realize uma captura de pacotes localmente no PC ou via o socket para confirmar que não há respostas do servidor do website. You will only see SYN packets going out or a complete 3-way handshake with no application-layer exchange. Um pacote RST também pode vir do servidor do site o que seria uma indicação clara de que o IP da Cato está sendo bloqueado.
Também é possível que partes do site não carreguem totalmente, o que pode indicar um redirecionamento para outro servidor que bloqueia Intervals de IP da Cato. Colete um arquivo HAR através da ferramenta de desenvolvedor do navegador para mais análise.
Solução
Entre em contato com o Administrador do Website e pergunte o motivo pelo qual os Intervals de IP da Cato estão sendo bloqueados. Solicite ao administrador para liberar os intervalos de IP listados neste guia de acordo com a localização do PoP.
Se os usuários afetados foram determinados como sendo de um local específico, aplique uma regra de rede básica, selecione o método de roteamento Rota via, e escolha um local diferente que terá acesso ao site.
Se o acima não resolver o problema, prossiga com as seguintes etapas com base no local onde o usuário afetado está localizado:
Cliente SDP Cato
Para IPs da Cato na lista negra: Você pode habilitar backhaul via socket na regra de rede e selecionar um site que tem acesso ao website. O PoP ainda realizará verificações de segurança e depois redirecionará o tráfego SDP para o site selecionado, para que o tráfego saia pela porta WAN do socket.
Para Sites Bloqueados Geograficamente: Você deve ser capaz de acessar o site enquanto estiver em seu próprio País/Estado ao se desconectar do cliente VPN. Isso não será possível se Sempre Ativo for aplicado no cliente.
Alternativamente, você pode criar uma configuração de túnel dividido e isentar o(s) endereço(s) IP do website. Qualquer tráfego para os Endereços IP isentos não será enviado à Cato.
Socket
Defina o site em uma regra de rede como um objeto Domínio ou Aplicação e habilite backhaul hairpinning. Isso permite que o tráfego que corresponde à Regra de Rede vá ao PoP para verificações de segurança. O tráfego é então roteado de volta ao site definido para que o tráfego saia pela porta WAN do socket local. Certifique-se de seguir as Melhores Práticas de FW e bloquear o protocolo QUIC para identificar com precisão o Website/Aplicação.
Como último recurso, você pode realizar um ignore local para que o tráfego vá direto pela porta WAN do socket para o site alvo. Esta não é uma solução ideal, pois ignora a infraestrutura PoP da Cato e nenhuma segurança é aplicada a este tráfego.
Site IPSec Conectado ao Cato
Defina o website em uma regra de rede como um objeto Domínio ou Aplicação e habilite backhaul via IPSec. Isso permite que o tráfego que corresponde à Regra de Rede vá ao PoP para verificações de segurança. O tráfego é então roteado de volta para o site IPSec para que o tráfego saia através da porta WAN do firewall local. A configuração de roteamento no firewall é necessária para que esta opção funcione. Certifique-se de seguir as Melhores Práticas de FW e bloquear o protocolo QUIC para identificar com precisão o Website/Aplicação.
Como último recurso, você pode alterar a Política de Roteamento BGP no Dispositivo IPsec local para que o Tráfego para o(s) Endereço(s) IP do Website não seja roteado pelo túnel IPsec da Cato. Esta não é uma solução ideal, pois ignora a infraestrutura PoP da Cato e nenhuma segurança é aplicada a este tráfego.