Проблема
При попытке зайти на определенный сайт через Cato Cloud, страница не загружается и в конечном итоге происходит тайм-аут. Однако, этот же сайт доступен при обходе Cato Cloud.
Эта проблема может возникнуть по двум основным причинам:
1. Cato IP внесен в черный список веб-сайта
Некоторые веб-сайты, такие как Hulu, ESPN или правительственные сайты, могут быть недоступны через Cato из-за внутренних ограничений или категорий, которые блокируют публичный IP-адрес Cato.
Хотя Cato не контролирует это поведение, есть несколько способов устранить и преодолеть эту проблему.
2. Геоблокированные веб-сайты
Некоторые правительства и другие организации могут разрешать доступ к их веб-сайтам только с IP-адресов, зарегистрированных в их стране или юрисдикции. Это называется геоблокировкой.
Cato Networks развернул PoP по всему миру, но PoP, с которым вы подключаетесь, необязательно будет в той же стране/штате, где вы живете. Если это так, то при посещении веб-сайта, размещенного в вашей стране/штате, сайт увидит подключение, идущее с IP-адреса, зарегистрированного вне вашей юрисдикции, то есть внешний IP-адрес PoP.
Если сайт использует геоблокировку для ограничения доступа только к IP-адресам внутри страны/штата, сайт не загрузится. В некоторых случаях вы можете увидеть страницу блокировки от веб-сервера, но чаще всего сайт просто выдаёт тайм-аут и отображает ошибку браузера, как ниже.
Chrome:
Firefox:
Edge:
Устранение неполадок
Запустите локальный захват пакетов на ПК или через сокет для подтверждения отсутствия ответов от сервера веб-сайта. Вы увидите только выходящие пакеты SYN или полное трёхстороннее рукопожатие без обмена на уровне приложений. Пакет RST также может поступить от сервера веб-сайта, что будет явным знаком, что Cato IP блокируется.
Возможно, некоторые части веб-сайта не загружаются полностью, что может указывать на перенаправление на другой сервер, который блокирует диапазоны Cato IP. Соберите файл HAR через инструмент разработчика браузера для дальнейшего анализа.
Решение
Свяжитесь с Администратором сайта и уточните причину, по которой диапазоны Cato IP блокируются. Попросите администратора добавить в белый список диапазоны IP, указанные в данном руководстве в соответствии с расположением PoP.
Если определено, что затронутые пользователи находятся в определенном местоположении, примените базовое сетевое правило, выберите метод маршрутизации Маршрут через, и выберите другое местоположение, которое получит доступ к сайту.
Если вышеупомянутое не решает проблему, продолжите с выполнением следующих шагов на основе местоположения пострадавшего пользователя:
Клиент Cato SDP
Для IP-адресов Cato из черного списка: можно включить обратную передачу через сокет в сетевом правиле и выбрать сайт, который имеет доступ к веб-сайту. PoP всё равно выполнит сканирование безопасности и затем направит трафик SDP на выбранный сайт, чтобы трафик ушел через WAN-порт сокета.
Для геоблокированных веб-сайтов: Вы сможете получить доступ к сайту в своей стране/штате, отключившись от VPN клиента. Это невозможно, если на клиенте применяется Всегда включено.
Как альтернативу, вы можете создать конфигурацию раздельного туннеля и исключить IP-адреса веб-сайта. Любой трафик на исключенные IP-адреса не будет отправлен в Cato.
Сокет
Определите веб-сайт в сетевом правиле как объект Домен или Приложение и включите обратную передачу с замыканием. Это позволяет трафику, соответствующему сетевому правилу, попасть в PoP для безопасности сканирования. Затем трафик маршрутизируется обратно на определенный сайт, чтобы трафик выходил через порт WAN локального сокета. Обязательно следуйте лучшим практикам FW и блокируйте протокол QUIC для точного определения Веб-сайта/Приложения.
Как последняя мера, можно выполнить локальный обход, чтобы трафик выходил напрямую через WAN-порт сокета на целевой веб-сайт. Это не является идеальным решением, так как обходит инфраструктуру Cato PoP и безопасность к данному трафику не применяется.
IPSec Узел Подключен к Cato
Определите веб-сайт в сетевом правиле как объект Домен или Приложение и включите обратную передачу через IPSec. Это позволяет трафику, соответствующему сетевому правилу, попасть в PoP для безопасности сканирования. Затем трафик маршрутизируется обратно на узел IPSec, чтобы трафик выходил через порт WAN локального файервола. Настройка маршрутизации на файерволе необходима для работы этой опции. Обязательно следуйте лучшим практикам FW и блокируйте протокол QUIC для точного определения Веб-сайта/Приложения.
В крайнем случае, можно изменить политику маршрутизации на локальном устройстве IPsec, чтобы трафик на IP-адрес(ы) веб-сайта не проходил через туннель Cato IPsec. Это не идеальное решение, так как оно обходит инфраструктуру Cato PoP и к этому трафику не применяется безопасность.