В этой статье объясняется процесс подключения клиента для Windows к Cato PoP.
Обзор
Прежде чем Клиент подключается к Cato PoP, он выполняет различные проверки на основе конфигурации ваших политик клиента. Это гарантирует, что только пользователи и устройства, соответствующие вашим требованиям безопасности, могут подключаться к сети. Следующие блок-схемы подробно описывают порядок этих проверок и поведение Клиента, если проверка не пройдена или не включена.
Поток подключения клиента Windows
Следующие блок-схемы показывают, как клиент для Windows подключается к Cato PoP, если Предварительный вход включен или отключен.
Поток подключения - вход до входа в систему включен
Предварительный вход предоставляет доступ к разрешенным направлениям до аутентификации пользователя. Например, как только устройство может подключиться к Интернету, оно может получить доступ к вашему AD, чтобы данные учетной записи пользователя могли быть сохранены на устройстве. Все другие доступы к интернету заблокированы.
Примечание.
Примечание: Любой домен, связанный с любым из поддерживаемых IdP, может быть доступен в неаутентифицированном состоянии при использовании Внешнего Браузера с функцией Всегда включено. Например, пользователи смогут получить доступ к google.com, чтобы убедиться, что они могут аутентифицироваться, если их IdP — это Google.
Поток подключения - вход до входа в систему отключен
Если Предварительный вход отключен, то это поток подключения клиента:
Примечания
В состоянии Предварительный вход устройство предварительно настроено с клиентом Cato, доверенным сертификатом, а реестр Windows настроен с именем учетной записи. Пользователь не аутентифицирован, однако клиент может подключиться к PoP для проверки сертификата. Если сертификат действителен, это устанавливает достаточный уровень доверия для предоставления клиенту доступа к разрешённым назначениям через PoP, даже если пользователь не аутентифицирован.
Всегда-включено обеспечивает постоянное подключение клиента к точке присутствия, и весь трафик проверяется движками безопасности Cato. Клиент автоматически пытается аутентифицироваться и выполнить подключение с использованием учетных данных последнего пользователя, который подключался к клиенту. Клиент проверяет, включена ли функция всегда включено после загрузки устройства (если учетные данные пользователя сохранены на устройстве) и после того, как пользователь вошел в устройство. Как только пользователь аутентифицирован и клиент подключен, разъединение клиента невозможно.
При включенной функции Подключаться при загрузке, во время фазы загрузки устройства, клиент автоматически пытается аутентифицироваться и подключиться с учетными данными последнего пользователя, который подключался к клиенту. После подключения клиента пользователь может отключить клиента. Клиент проверяет, включена ли функция Подключаться при загрузке после загрузки устройства (только если на устройстве сохраняются учетные данные пользователя) и после входа пользователя в устройство.
Политика подключения клиента определяет, какие проверки устройства необходимо выполнить на устройстве перед его подключением к сети. Это гарантирует, что подключиться смогут только устройства, соответствующие вашим требованиям безопасности. Вы также можете настроить пользователя, чтобы он имел доступ только к безопасному Интернету или к безопасному Интернету и частной сети (WAN).
Эти проверки включают:
Проверки устройства, определяющие минимальные требования, которым должно соответствовать устройство для подключения к вашей сети. Клиент выполняет проверки для проверки статуса безопасности устройства.
Геолокация устройства
Операционная система устройства
Статус аутентификации пользователя
Пользователи могут аутентифицироваться с помощью SSO, MFA или с именем пользователя и паролем. После аутентификации Cato-токен создаётся PoP для подтверждения того, что пользователь прошёл аутентификацию, чтобы клиент мог поддерживать соединение с облаком Cato. Вы можете настроить срок действия Cato-токена аутентификации. Клиент может автоматически аутентифицироваться с помощью учетных данных Windows, что делает этот шаг незаметным для пользователя.
Понимание клиентских разрешений
Клиент имеет следующие разрешения на устройстве:
Windows
Сервис SDP Клиента Cato (CatoNetworksVPNService): Учетная запись локальной системы
Процессы пользовательского интерфейса Клиента: Стандартный пользователь
macOS
Демон Клиента Cato (com.catonetworks.mac.CatoClient.helper): Root Пользователь
Системное расширение: Root пользователь (с меньшими правами, чем у демона)
Пользовательский агент: Стандартный пользователь