В этой статье объясняется, как платформа Cato Cloud работает в Китае, включая соблюдение законодательных и нормативных требований правительства Китая.
Cato account licenses use one of two models. This article applies to the Enforcement Model only and is not relevant to the Bursting Model (starting in January 2027). Not sure which license model your account uses? See Identifying your License Model.
Обзор
Весь интернет-трафик в Китае инспектируется правительством и проходит через локальный шлюз. Cato соблюдает все нормативные требования Китая, и услуга Cato SASE полностью доступна в Китае так же, как и в других регионах.
Примечание: Поскольку Китай ограничивает доступ к определённым веб-сайтам изнутри страны, исходящий определённый трафик для обхода Великого файервола Китая в Cato POP, находящийся за пределами Китая, нарушает MSA (Главное соглашение о предоставлении услуг) Cato. Обратитесь к "Cato MSA", раздел 5.2, для вопросов, касающихся ограничений в Китае.
Cato обеспечивает оптимальный пользовательский опыт в Китае через свои PoP и позволяет глобально распределенным компаниям с офисами в Китае иметь стабильное, безопасное подключение через магистральную сеть Cato. Существует несколько CATO POP в Китае, например, Пекин, Шанхай, Шэньчжэнь и Урумчи. Эти PoP связываются с Cato Cloud через Гонконг. Это означает, что китайские PoP устанавливают полное соединение между собой внутри Китая, а связь с другими PoP осуществляется через Гонконг и наоборот.
Правительство Китая ограничивает доступ к некоторым сайтам и ресурсам за пределами Китая, что требует от иностранных компаний адаптации к этим регулированиям.
Примечание: Правительство Китая может изменить свои ограничения и запретить доступ к приложению или веб-сайту в любое время. Если трафик заблокирован, проверьте этот список, чтобы узнать, недоступно ли место назначения в Китае.
Ограничения для площадок или удаленных пользователей, находящихся в Китае
RPF не поддерживается в Китае
Cato Enterprise Browser, Расширение браузера, и Доступ через браузер не поддерживается в Китае.
RBI не поддерживается в Китае. Для получения дополнительной информации см. Настройка сервиса RBI для браузерных сессий.
Обслуживание сокетов в Китае
Сокеты, расположенные в Китае, загружают файл обновления сокетов с сервера в Ali Cloud, что улучшает время загрузки файлов, снижает задержки и увеличивает процент успешных обновлений сокетов.
DNS в Китае
В Китае большинство широко используемых DNS-сервисов недоступны. Таким образом, Cato использует внутренний механизм для определения лучшего доступного DNS-сервера, и сервер Cato DNS, 10.254.254.1, выполняет функции прокси.
Вы должны настроить интерфейсы WAN для использования DNS-серверов, предоставленных вашим локальным ISP, или общедоступных DNS-серверов, доступных в Китае, таких как 114.114.114.114 или 114.114.115.115.
Последняя миля мониторинга в Китае
Предопределенные веб-адреса для последней мили мониторинга — китайские веб-сервисы, такие как QQ.com, baidu.com и weibo.com (настраивается в разделе Сеть > Пробы последней мили мониторинга).
Выходящий трафик в Китае
По умолчанию интернет-трафик в Китае исходит от Cato PoP, к которому вы подключены, проходит через локальный шлюз, а затем переходит к пункту назначения. Это означает, что если вы попытаетесь получить доступ к ограниченным сайтам, Cato PoP позволит трафику пройти, а затем он будет заблокирован из-за местных норм, таких как Великий китайский файрвол.
UDP Порт 1337 для Socket и Клиентского DTLS трафика в Китай
Cato рекомендует, как лучшую практику, настроить альтернативный UDP порт для учетных записей с сайтами Socket и пользователями Клиента, расположенными в Китае. DTLS туннели, использующие UDP порт 443, могут столкнуться с проблемами соединения, такими как потеря пакетов. Настроить UDP порт 1337 как предпочтительный DTLS порт для трафика Socket и Клиента для улучшения соединения. Для получения дополнительной информации смотрите Использование альтернативного UDP-порта для трафика Socket и Клиента DTLS.
Лицензия
При покупке лицензии для сайта в Китае клиенты должны определить, какой процент пропускной способности лицензии выделить на региональный трафик, а какой процент - на глобальный трафик.
Региональный трафик — это любой трафик, отправляемый в пределах китайского региона, например, с сайта в Шэньчжэне на сайт в Пекине
Глобальный трафик - это любой трафик, отправляемый за пределы региона, например, с сайта в Шэньчжэне на сайт в Европе.
Примечание: Глобальный трафик по своей сути дороже регионального. Убедитесь, что распределили оба типа трафика в соответствии с вашими потребностями.
Когда вы настраиваете сайт в Cato Management Application, вы должны присвоить ему лицензию. Детали сайта показывают информацию о лицензии, которая объединяет ваши приобретенные региональные и глобальные лицензии.
Значение, которое вам нужно ввести в пропускную способность последней мили для конфигурации сайта, включает общую региональную и глобальную пропускную способность для сайта. Если, например, вы приобрели 100 Мбит/с, из которых 70% для регионального и 30% для глобального. Тогда вам нужно настроить 100 Мбит/с для сайта, расположенного в Шэньчжэне.
QoS для китайских сайтов
QoS в Cato управляется двумя аспектами:
Управление пропускной способностью
Сетевые Правила
Для получения дополнительной информации см. Правила сети и QoS.
Поскольку механизм управления шириной канала не осведомлен о любых лицензионных ограничениях, при создании профилей вам следует учитывать, что позволяет ваша лицензия.
Если, например, вы приобрели 100 Мбит/с общей пропускной способности, где 70% - региональная и 30% - глобальная, то, при создании профилей управления пропускной способностью, установите лимиты, которые соответствуют этим значениям. Как лучшая практика, используйте процентные значения, а не фиксированные пределы значений пропускной способности, чтобы избежать превышения разрешенного использования.
Видеоконференция с использованием профилей на основе процентов
Ваша компания имеет сайты в Шэньчжэне, Шанхае, Пекине и Европе. Вы хотите убедиться, что во время видеоконференцсвязи (VC) они могут связаться без проблем.
Вы можете создать следующий профиль для выделения не менее 15% ваших ресурсов для трафика P15.
Затем вы можете создать правило сети, которое использует профиль P15 для трафика VC. Когда трафик между офисами в Китае, например, Шанхаем и Пекином, 15% выделенной пропускной способности основывается на вашей региональной лицензии. Если Шэньчжэнь проводит видеоконференцию с европейским сайтом, это займет 15% глобальной лицензии. Тем не менее, поскольку вы использовали проценты, а не фиксированные ограничения пропускной способности в Мбит/с, вы не рискуете превысить лимит вашей лицензии.
Видеоконференции с использованием профилей на основе пропускной способности
На основе описанного выше сценария вы также можете создать два разных профиля: один для региональных видеоконференций и один для глобальных, использующих жесткие ограничения пропускной способности. Для региональных видеоконференций у вас есть профиль, выделяющий 10 Мбит/с. Для глобальных видеоконференций используется профиль, выделяющий 5 Мбит/с.
В ваших правилах сети создайте два отдельных правила для реализации каждого из профилей в зависимости от назначения трафика VC.
