Работа с управляемыми сетями

Эта статья объясняет, как определить Управляемые Сети в Cato Networks. Управляемые сети могут использоваться как параметр, на основе которого можно строить политики доступа.

Обзор

Cato предоставляет вам детальный контроль над тем, как маршрутизируется пользовательский трафик и когда включается режим "Всегда включено", исходя из типа сети, к которой подключен пользователь.

Эта классификация сетей позволяет интегрироваться с существующими архитектурами безопасности, обеспечивая согласованную обработку трафика в доверенных, управляемых и неуправляемых средах.

Клиент Cato определяет свою конфигурацию в режиме реального времени, используя конкретные критерии, такие как:

• Зависит от того, идентифицирует ли оно, что находится за сайтом Cato (Socket, IPsec, vSocket)

• Может ли оно успешно получить ответ от предопределенного зонда до заданного назначения

На основе этих условий Клиент применяет одно из следующих поведений:

• За Cato-сайтом (режим офиса) - Если Клиент определяет, что находится за Cato-сайтом, включен режим офиса и весь Трафик маршрутизируется через Cato.

• За управляемой сетью - Если Клиент не находится за Сайтом, он проверяет, определена ли Сеть как управляемая. Если да:

  • Управляемая сеть (не доверенная) - Туннель к Cato поддерживается, и применяется политика Разделенного Туннеля. Только определенный трафик направляется через Cato (например, трафик, направленный в Интернет), в то время как другой трафик направляется через сторонний файервол.

  • Доверенная Управляемая Сеть - Если сеть также помечена как Доверенная, режим Always on приостанавливается, клиент отключается от туннеля Cato, и весь трафик направляется через сторонний файервол.

• Неуправляемая сеть - Если Сеть ни за Сайтом, ни определена как управляемая (например, ваш домашний WiFi, аэропорт, отель, кафе), она считается общедоступной сетью и рассматривается как неуправляемая. Весь трафик направляется через Cato.

Сценарий использование - Постепенное включение в Cato

Компания ABC имеет 70 офисов и более 10 000 сотрудников. Они - новый клиент Cato, который будет использовать Клиент Cato для сетевых и защитных решений с режимом "Всегда включено" для обеспечения интернет-безопасности (в соответствии с лучшими практиками UZTNA компании). В процессе внедрения Cato компания будет развертывать Клиентов в течение нескольких недель, тогда как SD-WAN будет постепенно развернут в 20 офисах в течение следующих нескольких месяцев. До этого времени офисы защищены поставщиком сторонней продукции.

Компания задает диапазоны сети для физических офисов как управляемых сетей. Администратор создает правило в политике раздельного туннеля для маршрутизации трафика на основе источника сети.

• Управляемая сеть - Пользователи подключены за сайтом, который еще не был интегрирован в Cato. Только трафик, направленный в Интернет, направляется в облако Cato для дополнительной безопасности.

• Неуправляемая сеть - Удаленные пользователи, весь трафик направляется в облако Cato

Необходимые условия

• Поддерживается с версии Windows Client v5.17 и выше

Как мы обнаруживаем управляемую сеть

Вы можете настроить проверки сети для определения того, что такое управляемая сеть. Клиент использует заранее определенные зонды для определения, подключен ли он к управляемой сети. Эта проверка происходит каждый раз, когда Клиент подключается, после каждого изменения сети и каждые 30 секунд во время подключения.

Клиент отправляет зонды для проверки соединения с различными типами внутренних ресурсов.

• HTTPS запрос ресурса: Определите URL, доступный только при подключении к управляемой сети. После доступа к URL клиент проверяет, что ответ является либо HTTP 200, либо HTTP 300, а затем проверяет, что сертификат доверен, основываясь на хранилище сертификатов локального компьютера

• DNS запрос: Определите имя хоста, к которому клиент отправит DNS запрос, и IP-адрес, который является ожидаемым ответом.

• Пинг по IP-адресу или URL: Определите IP-адрес или URL, который клиент будет пинговать. Клиент проверяет наличие ответа по протоколу ICMP

Если любая из проверок удовлетворена, исходная сеть считается управляемой. Если все проверки не проходят, сеть считается неуправляемой.

Находясь за Cato-сайтом, Клиент бесшовно переходит в режим офиса, как и раньше.

Например, внутренний DNS-сервер компании использует имя хоста companyabc.local, которое разрешается в 10.10.10.26. Таким образом, вы определите управляемую сеть как DNS-запрос, который разрешается на хост companyabc.local с этим IP-адресом.

Настройка Управляемых Сетей

Чтобы обозначить сеть как управляемую, сначала создайте объект Управляемой Сети в Приложении Управления Cato (CMA). Этот объект представляет собой сеть, такую как офис или известное корпоративное местоположение. Клиент также должен определить зонд, который Клиент использует для идентификации, когда он работает в данной Сети. Эти зонды могут включать DNS, HTTP или Ping (ICMP пакеты). Когда клиент обнаруживает совпадение с помощью определенных зондов, он классифицирует сеть как управляемую и применяет соответствующие политики.

Примечание: Вы можете определить до 5 проверок сети с типом HTTPS Ответ.

Чтобы настроить управляемые сети:

1. В меню навигации нажмите Доступ > Управляемые сети.

2. Щелкните Новый и настройте следующие параметры:

   • Имя зонда

   • (по желанию) Описание зонда

   • Тип зонда, т.е. HTTPS, DNS-запрос или пинг

   • Имя хоста или IP-адрес зонда

3. Нажмите Сохранить.

4. Повторите шаги 2 для каждой управляемой сети.

5. Включите Управляемые Сети и нажмите Сохранить.

Настройка доверенных сетей

Для сценариев, когда вы направляете весь трафик к назначению, а не к облаку Cato, вы можете определить все ваши управляемые сети как доверенные. Когда устройство-хост подключается к доверенной сети:

• Клиент идентифицирует сеть как Доверенную Сеть, Подключаться при загрузке отключено, Всегда Включено обходится, и Клиент не пытается подключиться (или переподключиться) к Облаку Cato

• До тех пор, пока хост-устройство подключено к доверенной сети, Клиент остается отключенным, и политика раздельного туннеля не применяется

• Пользователи все еще могут нажать Подключиться в Клиенте, и устройство подключится к облаку Cato

  Например, разработчики, которым необходимо получить доступ к среде разработки, защищенной облаком Cato.

Чтобы настроить все управляемые сети как доверенные:

1. В меню навигации нажмите Доступ > Управляемые сети.

2. Перейдите на вкладку Настройки.

3. Выберите флажок Определить все управляемые сети как доверенные сети.

4. Нажмите Сохранить.