Работа с расширенной конфигурацией для учетной записи

В этой статье объясняется, как настроить функцию расширенной конфигурации для всей учетной записи.

Обзор расширенной конфигурации для учетной записи

Опции на странице расширенной конфигурации предоставляют вам более детальный контроль над различными настройками вашей учетной записи. Экран также показывает значение по умолчанию для каждого из отключенных настроек.

Когда вы отключаете расширенную настройку, она возвращается к значению по умолчанию. Однако пользовательское значение сохраняется, и если вы включите настройку позже, пользовательское значение будет использоваться.

Чтобы настроить функции расширенной конфигурации для учетной записи:

1. В меню навигации нажмите Ресурсы > Расширенная Конфигурация.

2. В столбце Статус используйте переключатель для включения или отключения статуса каждого параметра (зеленый — включено, серый — отключено).

3. Чтобы настроить или отредактировать значение настройки, щелкните по названию настройки в столбце Имя.

   Открывается панель Редактировать <Имя настройки>.

4. В панели Редактировать вы можете:

   • Введите или выберите Значение

   • Введите или редактируйте Комментарий, чтобы объяснить причину этой расширенной настройки (рекомендуется)

5. Кликните Применить. Изменение для расширенной конфигурации добавлено на экран.

6. Нажмите Save. Настройки конфигурации сохранены.

Приоритеты для расширенной конфигурации с настройками сайтов и пользователей VPN

Когда вы настраиваете расширенную функцию для сайта или пользователя SDP, она переопределяет настройку для учетной записи на странице Расширенная Конфигурация. Следующая таблица показывает каждую расширенную функцию и указывает, применяется ли она к сайту или пользователю SDP.

Вы можете настроить следующие параметры только для отдельных сайтов (не как глобальную настройку для учетной записи):

• Максимальный размер MTU от сокета до PoP (применяется только к физическим сокетам)

Для получения дополнительной информации о Расширенной Конфигурации для Сайтов, см. Расширенная конфигурация для сайта.

Включение пользователям SDP возможности конфигурировать режим Office для VPN

Когда пользователь SDP работает в офисе, находящемся за Cato Socket, Клиент Cato автоматически подключается к этому сайту. Это поведение называется режимом офиса VPN, и он включен по умолчанию для всех учетных записей. Без режима офиса, когда Клиент Cato подключается к VPN за Cato Socket, Клиент подключается через туннель-в-туннеле, что часто негативно сказывается на производительности.

С режимом офиса Клиент Cato подключается к Cato Cloud, используя туннель Сокета и рассматривается как обычный хост для этого сайта. Клиент получает сетевые и настройки безопасности с сайта и предотвращает использование туннеля-в-туннеле VPN.

Иногда режим офиса может помешать кому-то, кто посещает филиал, подключиться к ресурсам в другом офисе, например, в главный офис. Вы можете выбрать включение Пользователей SDP для настройки поведения Клиента Cato в режиме офиса.

Для получения дополнительной информации о том, как включить Пользователей SDP для настройки Режима офиса для их клиентов, см. Настройка режима офиса.

Конфигурация восстановления WAN для учетной записи

Чтобы улучшить устойчивость вашей сети, функция восстановления WAN предоставляет поддержку, если возникают проблемы с подключением в Cato Cloud, и Сокеты Cato не могут использовать его для отправки трафика WAN на другие сайты. Эта функция автоматически использует обходные туннели для поддержания подключения с другими сокетами сайтов. Когда сокеты восстанавливают подключение к облаку Cato, они автоматически возобновляют обычную работу.

Заметка:

Трафик вне облака должен быть включен на WAN-ссылках сокета для поддержки восстановления WAN.

Во время восстановления сети трафик WAN обходит Cato Cloud, и это изменения в трафике:

• Приложение управления Cato не анализирует данные на предмет подключения и не генерирует оповещения о состоянии сети или качестве

• Межсетевые экраны WAN и Интернета не применяются к трафику

• Службы защиты от угроз не применяются к трафику

Чтобы настроить параметр Восстановление WAN, ознакомьтесь с вышеуказанной Настройки расширенных функций учетной записи с этими значениями:

• Отключен - Глобальная настройка по умолчанию. Сокеты устанавливают туннели с другими сайтами Сокета и используют keep-alive сообщения для поддержания туннелей. Восстановление включено по умолчанию для всех сайтов Сокета в учетной записи.

• Включено и Вкл. - Учетная запись настроена для обеспечения восстановления трафика WAN на другие сайты. Функциональность такая же, как Отключено.

• Включено и Выкл. - Восстановление НЕ включено для этой учетной записи, и обходные туннели НЕ поддерживаются и не обслуживаются.

Заметка

Примечание: События, создаваемые функцией восстановления WAN, описываются как Восстановление вне Облака.

Для получения дополнительной информации о настройке глобального параметра Восстановления WAN для конкретных сайтов, см. Расширенная конфигурация для сайта.

Конфигурация восстановления через Интернет для учетной записи

Для улучшения устойчивости интернет-трафика функция Режим восстановления обеспечивает поддержку в случае проблем с подключением к Cato Cloud, и Cato Socket не может использовать его для интернет-трафика. Когда эта функция включена, она автоматически восстанавливает подключение к Интернету с помощью ссылок провайдера для передачи трафика в Интернет.

Во время временного восстановления Интернета интернет-трафик обходит Cato Cloud, и это приводит к следующим изменениям в трафике:

• Правила межсетевых экранов Интернета не применяются к трафику

• Службы защиты от угроз не применяются к трафику

• Приложение управления Cato не анализирует данные подключения и не генерирует оповещения для интернет-трафика

Чтобы настроить параметр Восстановление Интернета, смотрите выше, Конфигурация расширенных функций учетной записи с этими значениями:

• Отключено - Параметр по умолчанию для всех глобальных настроек. Восстановление включено по умолчанию для всех сайтов Сокета в учетной записи. Мы рекомендуем использовать эту настройку.

• Включен и Вкл. - Аккаунт настроен для обеспечения восстановления для всего трафика в Интернет. Функциональность такая же, как Отключено.

• Включен и Выкл - Функция Восстановление через интернет отключена для этой учетной записи.

Заметка

ВАЖНО! Мы рекомендуем всегда включать функцию Режим восстановления через Интернет и выбирать опцию Вкл. или Выкл. для управления восстановлением интернет-трафика. Когда эта функция отключена, если Socket не может подключиться к Cato Cloud, он не маршрутизирует трафик в Интернет.

Для получения информации о настройке глобального параметра восстановления Интернета для конкретного Сайта, см. Расширенная Конфигурация для Сайта.

Использование одного и того же (предпочтительного) исходящего IP-адреса для трафика VoIP и SIP

Если вы работаете с UCaaS и имеете сетевое правило исходящего трафика для VoIP или SIP трафика, то иногда у UCaaS (таких как RingCentral) возникают проблемы, если IP-адрес меняется. Когда функция Предпочтительный IP для SIP трафика активирована, VoIP и SIP трафик всегда используют один и тот же исходящий IP-адрес.

Заметка

Примечание: Для использования этой функции необходимо иметь сетевое правило исходящего трафика для VoIP или SIP трафика.

Сайты IKEv2, отправляющие один TS на каждую полезную нагрузку

При создании Child SA, Cato отправляет несколько селекторов трафика (TS) в одном TS-пакете в соответствии с RFC 7295. Некоторые сторонние решения, такие как Cisco ASAs, поддерживают только один TS в каждой дочерней SA. Cisco ASA отправит сообщение TS_UNACCEPTABLE в ответ на предложение Cato создать Child SA с несколькими TS.

Когда IKEv2 Отправка одного TS на одну полезную нагрузку включено и установлено в Вкл., в каждом дочернем SA отправляется только один TS. Он выключен по умолчанию.

Блокировка локальной маршрутизации при отключении сайтов от PoP

По умолчанию трафик в пределах Площадки (например, между VLANs) маршрутизируется через PoP Cato, который инспектирует трафик. Потоки трафика идут от VLAN к PoP в Cato Cloud, а затем к другой VLAN.

Если сайт временно отключен от Cato Cloud, предустановленное поведение заключается в открытии на отказ. Трафик идет от VLAN напрямую к другой VLAN, не проходя инспекцию. Вы можете изменить поведение учетной записи на уровне по умолчанию с неудачи с открытием на неудачу с закрытием, так что по умолчанию все Площадки блокируют локальный трафик маршрутизации, когда они отключаются от PoP. Требуется сокет версии 15.0 или выше.

Заметка

Примечание: Для сайтов, настроенных с правилами LAN Firewall или локальной маршрутизации, эти правила имеют приоритет над настройкой Блокировка локальной маршрутизации при отключении от PoP. Таким образом, эта настройка НЕ применяется к трафику, который соответствует правилам.

Чтобы настроить параметр Блокировать локальную маршрутизацию при отключении от PoP, смотрите выше Обзор Расширенной Конфигурации для Учетной записи с этими значениями:

• Отключено - Параметр по умолчанию для всех глобальных настроек. Маршрутизация трафика внутри поддерживаемой Площадки разрешена, когда Площадка отключена от PoP. Это поведение в случае отказа с открытием.

• Включено и Вкл. - Маршрутизация трафика в поддерживаемом сайте блокируется, если сайт отключен от PoP. Это поведение в случае отказа с закрытием.

• Включено и Выкл. - Маршрутизация трафика в поддерживаемом сайте разрешена, если сайт отключен от PoP. Это поведение в случае отказа с открытием. Функциональность такая же, как Отключено.

На следующей диаграмме показано поведение локальной маршрутизации:

Проверка OID в сертификатах устройств

Проверка OID в сертификате устройства улучшает проверку сертификата устройства. Когда включено, можно задать список OID сертификатов устройства, которые могут подключаться к вашей сети. Только устройства, аутентифицирующиеся с помощью сертификата, соответствующего заданному OID, могут подключаться. Разделите несколько OID точкой с запятой, в следующем формате:

• cert_ext_obj(cert, "<extension_key>") == "<OID_value1>;<OID_value2>"

Ключ расширения и значения OID можно найти с помощью инструментов сертификатов certutil или openssl x509.

Эта функция отключена по умолчанию. Пользователи SDP могут не подключиться к вашей сети, если вы активируете этот параметр без корректной настройки сертификатов вашего устройства.

Аннулирование сертификатов по серийному номеру

Отзыв сертификатов по серийному номеру улучшает проверку Сертификатов устройства. Когда включено, можно задать список заблокированных серийных номеров сертификатов. Устройства, аутентифицирующиеся с помощью сертификата, соответствующего заданному серийному номеру, блокируются.

• Каждый серийный номер должен быть в формате с разделителем (1a:2b:3c:4d ...)

• Разделяйте несколько серийных номеров запятой

  Количество серийных номеров, которые можно отозвать, не ограничено

Эта функция по умолчанию отключена. Пользователи SDP могут не иметь возможности подключиться к вашей Сети, если вы активируете эту настройку, не настроив правильно сертификаты вашего устройства.

Изменение режима прокси TCP WAN

TCP Proxy позволяет вам изменить режим развертывания WAN TCP proxy, чтобы запустить на первых пакетах SYN для каждого соединения ИЛИ отложить и запустить WAN TCP proxy после завершения TCP handshake. Для получения более подробной информации о моде proxy TCP, см. Объяснение Cato TCP Acceleration и лучшие практики.

Чтобы настроить параметр Ускорение TCP на SYN для трафика WAN, смотрите выше Обзор Расширенной Конфигурации для Учетной записи с этими значениями:

• Вкл - Полный WAN TCP Proxy.

• Выкл - Сохраняет оригинальные переговоры TCP WAN и задерживает прокси TCP.

Изменение значений динамичности

Микро-всплески характеризуются резким напором пакетов или кадров данных, который происходит в очень короткий промежуток времени.

Когда микровсплески превышают лимит скорости сайта за короткое время, может возникнуть потеря пакетов из-за чрезмерного сбрасывания пакетов Провайдером (ISP).

Значение входящего трафика burstiness и значение исходящего трафика burstiness позволяют вам регулировать, как ваши сайты справляются с микровсплесками в сети, изменяя уровни burstiness для входящих или исходящих направлений. Изменение уровней значений burstiness может смягчить потерю пакетов, вызванную всплесками, путем применения более агрессивной или более подготовительной политики управления формой трафика для микровсплесков. По умолчанию значение burstiness зависит от пропускной способности интерфейса:

• Для интерфейсов с пропускной способностью от 40 Мбит/с и выше, значение по умолчанию составляет 0,2

• Для интерфейсов с пропускной способностью ниже 40 Мбит/с, значение по умолчанию составляет 0,1

Для получения дополнительной информации о динамичности и потере пакетов, смотрите Как устранить потерю пакетов на сайте Socket.

Заметка

Примечание:

• Все сокеты должны быть в версии 12.0 и выше для поддержки настройки динамичности.

• Новое значение применяется только после сброса туннеля.