Press CTRL+K to open search

Маршрутизация с Клиентом Cato (Политика Раздельного Туннеля)

  • Обновлено Sep 17, 2026
  • Опубликовано на Jul 12, 2026
  • 7 Минута(ы) чтения
Prev Next

Эта статья объясняет, как централизованно управлять правилами маршрутизации трафика Клиента Cato с помощью политики Раздельного Туннеля.

Обзор.

Политика Раздельного Туннеля предоставляет высочайшую степень контроля над тем, как Клиент Cato маршрутизирует трафик удаленного пользователя. По умолчанию, Клиент маршрутизирует трафик через туннель к облаку Cato, чтобы получить полное преимущество от инспекции безопасности и применения, а также оптимизации маршрута через опору Cato. Тем не менее, могут возникнуть ситуации, когда требуется адаптивная маршрутизация, например, для оптимизации работы медиасервисов в реальном времени или при совместной работе с другими производителями.

Используйте Политику Раздельного Туннеля для определения того, как Клиент маршрутизирует трафик: обход туннеля и непосредственная маршрутизация в адрес назначения в Интернете или внутрь туннеля для инспекции.

Если пользователи находятся за Cato, маршрутизация трафика зависит от того, находится ли клиент в офисном режиме: 

  • В режиме развертывания Пользователь рассматривается как находящийся за сайтом, и трафик маршрутизируется согласно политике Сетевого правила.

  • Если Клиент не находится в режиме развертывания, то пользователь рассматривается как удаленный пользователь, и Политика Раздельного Туннеля контролирует, как Клиент маршрутизирует трафик.

Настройки правила Раздельного Туннеля

Правила сопоставляются на основе множества критериев, включая идентификацию пользователя, геолокацию, операционную систему и источник сети. Вы можете определить либо инклюзивные, либо основанные на исключениях правила. Например:

  • Идентификация - Применить правила маршрутизации избирательно к специфическим пользователям или группам пользователей

  • Устройство - Выберите, к каким ОС и странам применяются правила маршрутизации

  • Источник сети - Маршрутизировать трафик на основе управляемых или неуправляемых сетей

Конфигурация маршрутизации поддерживает:

  • Трафик пользователей:

    • Направьте весь трафик в облако Cato, с конкретными исключениями для внутренних приложений или ресурсов, хостируемых вендором

    • Маршрутизируйте только выбранный трафик в рамках замены устаревших решений VPN

    • Направляйте только веб-трафик через облако Cato, разрешая оставшемуся трафику выходить локально

  • DNS-трафик:

    • Поддержка разрешения DNS с помощью локального DNS-сервера для указанных доменов

      Для получения дополнительной информации о DNS и клиентах Cato, см. Ретрансляция DNS.

    • Поддержка локального разрешения DNS для доменов, необходимых сторонним VPN, чтобы избежать конфликтов DNS.

Этот уровень контроля позволяет оптимизировать покрытие безопасности при минимизации задержки и сохранении прямого доступа к доверенным ресурсам.

Необходимые условия

Следующие функции доступны только для клиентов Windows версии 5.16 и выше.

  • Исключения DNS

    • Убедитесь, что разрешён доступ к следующим элементам в вашем локальном файерволе:

      • IP-адрес 127.0.0.253

      • Сервис DNS от Cato Networks

      • Процесс реле DNS, dns-relay.exe

  • Только веб-маршрутизация

    • Убедитесь, что клиент Cato имеет разрешение на запись в системный файл PAC.

Ревизии политики и совместное редактирование несколькими администраторами

Политика Раздельного Туннеля позволяет различным администраторам редактировать политику параллельно. Каждый администратор может редактировать правила и сохранять изменения в базе правил в своём личном варианте редакции, а затем публиковать их в политике аккаунта (опубликованная редакция). Для получения дополнительной информации о том, как управлять ревизиями Политика развертывания, смотрите Работа с ревизиями политики.

Использование случаев

Безопасность Интернета от Cato с удаленным приватным доступом

Компания ABC предоставляет клиент Cato своим пользователям с включенной функцией "Всегда включен". Это означает, что они подключаются даже когда находятся в офисе за сторонним производителем. Как администратор, вы уверены, что трафик для ваших внутренних приложений защищен сторонним производителем и исключен из облака Cato для пользователей в офисе. Весь остальной трафик отправлен в облако Cato для обеспечения безопасности.

split_tunnel.png

Вы создаете два правила в Политике Раздельного Туннеля для реализации этого поведения:

managed_network_exclude.png

  • Правило 1 для трафика пользователей, который исходит из-за Любой Управляемой Сети, для всех портов и протоколов. Определены исключенные DNS и назначения. Это исключает маршрутизацию трафика в облако Cato.

  • Правило 2 для трафика пользователей, который исходит из-за Любой Неуправляемой Сети, для всех портов и протоколов. Исключения отсутствуют, этот трафик маршрутизируется в облако Cato.

Лёгкая защита Интернета

Компания ABC хочет, чтобы Cato обеспечивал только безопасность веб-трафика в направлении SaaS приложений и публичного Интернета. Это требует, чтобы Cato сосуществовал со сторонними производителями, когда пользователи подключаются из управляемых и неуправляемых сетей. Это лёгкий режим, который подходит для постепенного перехода с архитектуры, основанной на прокси, на Cato.

Примечание: VPN сторонних производителей, которые соответствуют условиям Cato, не должны прерываться клиентом Cato для Windows в веб-режиме.

Diagram2.png

Вы создаете правило в Политике Раздельного Туннеля, которое отправляет весь веб-трафик в облако Cato, а весь остальной трафик отправляется через управляемую сеть.

Настройка Политики Раздельного Туннеля

Политика Раздельного Туннеля представляет собой упорядоченное правило, которое последовательно проверяет, выполнено ли условие. Когда пользователь соответствует правилу, применяются настройки маршрутизации трафика на основе этого правила. Если ни одно правило не соответствует, трафик маршрутизируется через облако Cato и разрешается доступ к ЛВС.

Политика Раздельного Туннеля применяется только когда пользователи подключаются через Клиент. Тем не менее, в офисном режиме, Клиент обнаруживает сайт Cato, и конфигурация сайта определяет, какой трафик направляется в Cato Cloud.

Чтобы включить диапазоны IP, которые являются исключениями для настроек Раздельного Туннеля, добавьте диапазоны IP в сущность Глобальный диапазон IP.

Для получения дополнительной информации, см. Включение и Исключение Трафика для Политики Раздельного Туннеля.

Примечание: В случае, если на устройстве включен Windows SMB Multichannel, трафик SMB может обходить Политику Раздельного Туннеля и использовать туннель Cato, даже если назначение SMB исключено политикой.

Split_Tunnel_Policy.png

Высокоуровневый обзор Политики Раздельного Туннеля

Это настройки, которые вы можете определить для правил в Политике Раздельного Туннеля:

  1. Общие настройки (например, Имя, Описание).

  2. Кому правило применяется ( Пользователи и группы, Платформы, Страны и Источник сети).

  3. Область трафика, к которой применяется правило, например, весь трафик или только веб-трафик

  4. Политика маршрутизации для области трафика.

Создание основного правила Раздельного Туннеля

Этот раздел объясняет, как настроить основное правило в Политике Раздельного Туннеля. Предполагается, что вы хотите маршрутизировать почти весь трафик в Cato Cloud.

Настроить Политику Раздельного Туннеля:

  1. В меню навигации нажмите Доступ > Политика Раздельного Туннеля.

  2. Нажмите Новый.

    Открывается панель Новое правило политики Раздельного Туннеля.

  3. Настройте следующие Общие настройки:

    • Имя

    • Описание

    • Позиция

    Убедитесь, что Включить правило для его применения

  4. Определите, к кому применяется правило, определив:

    • Пользователи и Группы пользователей

    • Платформы

    • Страны

  5. Под Конфигурация, настройте следующее:

    • В разделе Выбор режима подключения, выберите область трафика, который будет включён в это правило.

    • Под Политика маршрутизации, определите, как область будет маршрутизироваться. Опции включают

      • Маршрутизировать весь трафик в Cato: Трафик маршрутизируется через облако Cato. Вы можете определить исключения, которые будут напрямую маршрутизироваться в Интернет.

      • Маршрутизировать только выбранные в Cato: Трафик получает прямой доступ к Интернету и обходит облако Cato. Вы можете определить трафик, который включен в туннель и маршрутизируется в Cato Cloud. Блокировка исходящего доступа к ЛВС конфликтует с этой опцией и не может быть выбрана.

      • Определено конечным пользователем: Пользователи могут загружать в клиент текстовый файл для конфигурации, какой трафик маршрутизируется через облако Cato и какой исключен из него. Блокировка исходящего доступа к ЛВС не может быть выбрана с этой опцией.

    • В разделе Исключения назначения настройте приложение, домен, полное доменное имя (FQDN) или диапазон IP-адресов, к которым политика маршрутизации не применяется.

  6. Определите, следует ли разрешить или блокировать Доступ к ЛВС

    Чтобы избежать конфликтов маршрутизации трафика между подсетями с одним и тем же IP-адресом, в случае конфликта вы можете блокировать исходящий доступ к ЛВС. При этой опции весь трафик маршрутизируется в облако Cato, обеспечивая повышенную безопасность. Клиент заблокирован от подключения к хосту ЛВС в домашней сети удалённого пользователя.

  7. Нажмите Применить.

  8. Повторите шаги 2-5 для каждого правила в Политике Раздельного Туннеля.

  9. Включите Политику Раздельного Туннеля, а затем нажмите Сохранить.

    Ползунок зелёный, когда правило включено, и серый, когда правило отключено.

Настроить исходную сеть

При создании правила Раздельного Туннеля можно определить различные политики маршрутизации на основе сети источника, то есть управляемая или неуправляемая.

Когда трафик находится на неуправляемой сети, он всегда сначала проходит через Cato. Для трафика на управляемых сетях вы можете определить, маршрутизируется ли трафик через Cato или напрямую к назначению.

Примечание: Вы должны включить и настроить управляемые сети, чтобы применять правила соответствующим образом.

Кастомизация сетевого источника:

  1. В меню навигации нажмите Доступ > Политика Раздельного Туннеля.

  2. Создайте новое правило и настройте параметры на шагах 2-4 выше.

  3. В разделе Источник сети определите, применяется ли это правило к:

    • Все сети

    • Все неуправляемые сети

    • Все управляемые сети

  4. Определите режим соединения, политику маршрутизации и назначения, которые исключены на шагах 5-7 выше.

Ограничения услуг

При работе с режимом только для веб в Политике Раздельного Туннеля RBI не поддерживается.

Использование клиента Cato с Microsoft Defender

Функция "Изоляция" Microsoft Defender требует, чтобы вы отправляли трафик непосредственно на IP-адреса Windows Defender Cloud. По умолчанию клиент Cato отправляет трафик через сетевой адаптер Cato. Однако Microsoft Defender ожидает, что трафик будет исходить из адаптера Microsoft Defender, что вызывает сбой связи между Microsoft Defender и Windows Defender Cloud.

Чтобы настроить Microsoft Defender для работы с Клиентом Cato, определите правило в Политике Раздельного Туннеля для отправки трафика по адресам Microsoft Defender.

Пользовательские настройки Раздельного Туннеля

Вы можете позволить пользователям настраивать параметры Раздельного Туннеля в клиенте. Пользователи могут загружать файлы с диапазонами IP, которые включаются или исключаются из туннеля.

Примечание: Этот вариант не рекомендуется для производственных сред и должен использоваться только в исключительных случаях, когда централизованный контроль политики не требуется.

Чтобы определить диапазоны IP для параметров Раздельного Туннеля в клиенте:

  1. Создайте текстовый файл с IP-адресами, которые следует маршрутизировать через или исключать из зашифрованного туннеля.

    Вы можете настроить следующие правила внутри текстового файла:

    • Включить: Трафик к диапазону IP маршрутизируется через зашифрованный туннель. Весь остальной трафик маршрутизируется напрямую в Интернет. В текстовом файле добавьте список IP-адресов и сетевых масок для маршрутизации через зашифрованный туннель следующим образом:

      /комментарий
включить
<IP>,<сетевая_маска>
<IP>,<сетевая_маска>

      Пример:

      /splittunnel
включить
198.51.100.0,255.255.255.255

    • Исключить: Трафик к диапазону IP маршрутизируется напрямую в Интернет. Весь остальной трафик маршрутизируется через зашифрованный туннель. В текстовом файле добавьте список IP-адресов и сетевых масок, направляющихся напрямую в Интернет следующим образом:

      ;комментарий
исключить
<IP>,<сетевая_маска>
<IP>,<сетевая_маска>

      Пример:

      /splittunnel
исключить
198.51.100.0,255.255.255.255

    Вы можете использовать слеш (/) или точку с запятой (;) для комментариев.

  2. На клиенте Windows, на экране Настройки нажмите Загрузить файл и загрузите текстовый файл.

    На клиенте macOS, на экране Настройки выберите Включен Раздельный Туннель.

  3. На клиенте Windows, на экране Настройки, выберите Включить раздельный туннель.

    На клиенте macOS нажмите Загрузить конфигурацию Раздельного Туннеля и загрузите текстовый файл.