Trabalhando com Redes Gerenciadas

Este artigo explica como definir Redes Gerenciadas na Cato Networks. Redes gerenciadas podem ser usadas como um parâmetro para basear suas Regras de Acesso.

Visão Geral

Cato oferece controle granular sobre como o tráfego do usuário é roteado e quando o Sempre Ativo é aplicado, com base no tipo de rede à qual o usuário está conectado.

Esta classificação de rede permite integrar com arquiteturas de segurança existentes enquanto garante manuseio consistente do tráfego em ambientes confiáveis, gerenciados e não gerenciados.

O Cliente Cato determina sua configuração em tempo de execução usando critérios específicos, tais como:

• Se identifica que está por trás de um site Cato (Socket, IPsec, vSocket)

• Se pode receber uma resposta de uma sonda pré-definida para um determinado destino

Com base nessas condições, o Cliente aplica um dos comportamentos a seguir:

• Atrás de um site Cato (Modo Escritório) - Se o Cliente identifica que está atrás de um site Cato, o Modo Escritório é ativado e todo o tráfego é roteado através do Cato.

• Atrás de uma Rede Gerenciada - Se o Cliente não estiver atrás de um site, verifica se a rede está definida como Gerenciada. Se sim:

  • Rede Gerenciada (não confiável) - O túnel para o Cato é mantido, e a Política de Túnel Dividido é aplicada. Apenas certo tráfego é roteado pelo Cato (por exemplo, tráfego com destino à Internet), enquanto outro tráfego é roteado através do firewall de terceiros.

  • Rede Gerenciada Confiável - Se a rede também for marcada como Confiável, o Sempre Ligado é suspenso, o Cliente se desconecta do túnel Cato, e todo o tráfego é roteado através do firewall de terceiros.

• Rede Não Gerenciada - Se a rede não estiver nem atrás de um site, nem definida como Gerenciada (por exemplo, seu WiFi doméstico, aeroporto, hotel, cafeteria), ela é considerada uma rede pública e tratada como Não Gerenciada. Todo o Tráfego é roteado pelo Cato.

Caso de Uso - Introdução Gradual ao Cato

A Empresa ABC tem 70 escritórios e mais de 10.000 funcionários. São um novo cliente Cato que usará o Cliente Cato para soluções de redes e segurança com Sempre Ativo para fornecer segurança na Internet (de acordo com a melhores práticas UZTNA da empresa). Durante o processo de integração ao Cato, a empresa implantará os Clientes ao longo de algumas semanas, enquanto o SD-WAN será implantado gradualmente em 20 escritórios nos próximos meses. Os escritórios são protegidos por um fornecedor terceirizado até lá.

A empresa designa as faixas de rede para os escritórios físicos como redes Gerenciadas. O administrador cria uma regra na política de Túnel Dividido para rotear o tráfego com base na fonte da rede:

• Rede Gerenciada - Os usuários estão conectados por trás de um site que não foi integrado ao Cato. Apenas o tráfego da Internet é roteado para a Nuvem Cato para segurança adicional.

• Rede não gerenciada - Usuários remotos, todo o tráfego é roteado para a Nuvem Cato

Prerequisites

• Suportado a partir do Cliente Windows v5.17 e superiores

Como Detectamos uma Rede Gerenciada

Você pode configurar verificações de Rede para definir o que é uma rede gerenciada. O Cliente usa sondas predefinidas para identificar se a rede à qual o Cliente está conectado é uma rede gerenciada. Esta verificação ocorre toda vez que o Cliente se conecta, após cada mudança de rede, e a cada 30 segundos enquanto está conectado.

O Cliente envia sondas para verificar a conectividade com diferentes tipos de recursos internos:

• Solicitação de recurso HTTPS: Defina uma URL acessível apenas quando conectado à rede gerenciada. Após acessar a URL, o Cliente verifica se a resposta é HTTP 200 ou HTTP 300 e depois verifica se o certificado é confiável com base no repositório de certificados da máquina local

• Consulta DNS: Defina um nome do Host para o Cliente enviar uma solicitação DNS, e o Endereço IP que é a resposta esperada

• Ping para um endereço IP ou URL: Defina um endereço IP ou URL para o Cliente fazer ping. O Cliente verifica se há uma resposta com o protocolo ICMP

Se qualquer uma das verificações for satisfeita, a rede de Fonte é considerada Gerenciada. Se todas as verificações falharem, a rede é considerada Não Gerenciada.

Quando atrás de um site Cato, o Cliente alterna perfeitamente para o Modo de Escritório como antes.

Por exemplo, o servidor DNS interno da empresa usa o nome de host companyabc.local, e resolve para 10.10.10.26. Assim, você definiria a rede Gerenciada como uma consulta DNS que resolve para o host companyabc.local com esse endereço IP.

Configurando Redes Gerenciadas

Para designar uma rede como gerenciada, primeiro crie um objeto de Rede Gerenciada no Aplicativo de Gerenciamento Cato (CMA). Este objeto representa uma rede, como um escritório ou local corporativo conhecido. O cliente deve também definir a sonda que o Cliente utiliza para identificar quando está operando dentro desta rede. Essas sondas podem incluir DNS, HTTP ou Ping (pacotes ICMP). Quando o Cliente detecta uma correspondência com base nas sondas definidas, ele classifica a rede como gerenciada e aplica as políticas relevantes de acordo.

Nota: Você define até 5 Verificações de Rede com o tipo Resposta HTTPS.

Para configurar redes gerenciadas:

1. No menu de navegação, clique em Acesso > Redes Gerenciadas.

2. Clique em Novo e configure o seguinte:

   • Nome da sonda

   • (Opcional) Uma descrição da sonda

   • Tipo de sonda, ou seja, consulta HTTPS, DNS ou ping

   • Nome do Host ou endereço IP da sonda

3. Clique em Salvar.

4. Repita o passo 2 para cada Rede Gerenciada.

5. Ative Redes Gerenciadas e clique Salvar.

Configurando Redes Confiáveis

Para cenários onde você roteia todo o tráfego para o destino, e não para a Nuvem Cato, você pode definir todas as suas Redes Gerenciadas como Confiáveis. Quando um dispositivo host se conecta a uma Rede Confiável:

• O Cliente identifica a rede como uma Rede Confiável, Conectar na Inicialização está desativado, Sempre Ativo é ignorado, e o Cliente não tenta conectar-se (ou reconectar-se) à Nuvem Cato.

• Enquanto o dispositivo host estiver conectado à Rede Confiável, o Cliente permanece desconectado, e a política de Túnel Dividido não é aplicada.

• Os usuários ainda têm a opção de clicar Conectar no Cliente, e o dispositivo é conectado à Nuvem Cato

  Por exemplo, desenvolvedores que precisam acessar um ambiente de desenvolvimento que é protegido pela Nuvem Cato

Para configurar todas as redes gerenciadas como confiáveis:

1. No menu de navegação, clique em Acesso > Redes Gerenciadas.

2. Navegue até a aba Configurações.

3. Selecione a caixa de seleção Definir todas as redes gerenciadas como Redes Confiáveis.

4. Clique em Salvar.