配置客户端连接策略

本文介绍如何在您的 Cato 帐户中实施和执行零信任网络访问 (ZTNA) 时配置客户端连接策略的规则。

有关更多信息，请参见什么是客户端连接策略？.

概况

使用客户端连接策略来应用您的 ZTNA 策略的要求，Cato 客户端在设备上为用户执行的操作，例如：设备状态和检查、可信度级别、设备操作系统等。 如果设备未能遵循为配置文件设置的策略，则用户无法连接到 Cato Cloud。

例如，您只能允许远程用户在符合设备状态策略时访问内部资源。 这可以提高您对连接到内部资源的设备的信任度。

您还可以使用客户端连接策略在一次性认证后为用户提供安全的远程互联网访问。 有关更多信息，请参见Remote Internet Security with One Time Authentication。

理解操作

操作 定义了用户获得的访问级别。 操作包括：

• 允许WAN和互联网访问： 用户已安全连接互联网，并能访问私有网络（WAN）
  注意：此选项为用户提供访问私有网络（WAN）的权限。 用户对专用网络（WAN）的访问取决于WAN 防火墙中的规则。

• 仅允许互联网访问： 用户仅有安全的互联网访问权限，无法访问私有网络（WAN）

  该操作还包括选项以终止活跃的WAN会话。 该选项适用于当远程用户先前在某个规则下已被允许WAN访问，但其情况发生变化，现在仅匹配允许互联网访问的规则。 在这种情况下，您可以选择是否终止远程用户现有的WAN会话。

  例如，远程用户会根据置信度等级被授予WAN访问权。 如果该条件稍后发生变化，例如令牌到期，远程用户将不再被允许访问WAN。 此设置决定他们当前的WAN会话是否被断开。 此选项不适用于办公室模式。 
  注意：此选项为用户提供访问互联网的权限。 用户对互联网的访问取决于互联网防火墙中的规则。

• 阻止WAN和互联网： 用户被阻止访问互联网和WAN

  当用户达到此操作规则时，现有的WAN会话总是终止。

条件

设备检查支持用于Windows和macOS客户端。 有关每项检查要求的更多信息，请参阅创建设备姿态配置文件和设备检查。

准备实施客户端连接策略

策略的目标是只信任符合策略的设备。 因此，定义阻止所有不信任设备的规则，使其不被允许连接到网络。

在启用客户端连接策略之前，请确保您决定了如何对待不支持的客户端和操作系统用户的行为。 您是否希望允许这些用户连接到您的帐户？ 例如，使用 Linux 客户端或 Windows 客户端 v4.7 及之前版本的用户。

支持的连接策略功能

• 配置各种反恶意软件和端点防火墙供应商的检查，以确保已安装和运行相关软件以允许客户端远程访问。

• 我们建议您不要在实时检查中启用始终在线连接，因为如果设备未能满足策略要求，客户端可能会突然断开与网络的连接。 这可能会为用户带来不好的用户体验。

  您可以在此处查看支持的厂商和版本的实时检查列表。

• 连接性策略是一个有序策略，因此您可以将用户添加到多个配置文件或规则。 然而，第一个匹配规则将应用于用户。

办公室中的客户端连接策略和始终在线策略

本节讨论在站点背后实施常开策略并要求用户即使在办公室也要进行认证时，使用客户端连接策略。

当客户端处于 办公室模式 时，客户端使用站点隧道将流量发送到Cato Cloud，而不是建立客户端数据隧道并发送隧道中的数据流量。 在此模式下，客户端仅建立与Cato Cloud的控制隧道，所有数据流量通过站点现有隧道路由。

始终强制要求在办公室认证设置控制在办公室模式下客户端是否必须进行认证。 此设置仅适用于Windows客户端。 运行其他操作系统的客户端无论此设置如何，始终需要在办公室进行认证。

• 请记住，客户端连接策略需要允许这些用户连接到WAN或互联网，即使设备位于站点后面的办公室中。

• 如果客户端进入绕过始终强制的模式，则对站点的WAN和互联网防火墙策略将应用于用户。 此策略可能与用户远程连接时强制执行的策略不同。

• 由于此认证仅适用于控制隧道，如果认证失败或认证令牌过期，客户端连接策略中仅会强制执行阻止所有规则。

  • 在办公室模式下，阻止WAN访问同时允许互联网访问的规则未被强制执行。

  • 因此，仅当客户端连接策略通过匹配阻止所有规则完全丢弃控制隧道时，数据流量才会受到影响。

有关更多信息，请参阅使用Always-On安全性保护用户。

配置客户端连接策略和设置

本节解释如何创建客户端连接策略并向每个规则添加一个或多个配置文件。

创建客户端连接策略

客户端连接策略是一个有序的规则库，每条规则都有一个适用用户的范围，包括：地理位置（国家）和设备操作系统。 当用户或组与规则匹配时，Cato 云将按以下方式管理连接：

• 当他们符合规则的设备配置文件要求时，他们被允许连接到您的账户。

• 如果他们不符合规则的设备配置文件要求，Cato Cloud将继续根据策略中的低优先级规则检查姿态。

• 对于不符合任何规则的用户或组的设备，将由策略的最终隐含规则（ANY ANY阻止）阻止。

创建客户端连接策略的规则：

1. 从导航菜单，点击 访问 > 客户端连接策略。

2. 点击新建。

   新建规则 面板打开。

3. 配置规则的范围：

   1. 定义 用户/组，信任等级，平台，公共 ISP IP 范围，连接来源 和 国家 以便设置此规则。

4. 展开 设备状态配置文件 部分，并为此规则选择配置文件。

   如果单个策略规则中包含多个配置文件，那么它们之间存在隐含的 OR。

   注意: 选择 任何 设备姿态配置文件表示规则中不包含设备姿态配置文件。

5. 为规则选择 操作。 有关可用操作的更多信息，请参见远程网络安全与一次性认证。

6. 点击应用.

7. 在客户端连接策略中，为每条规则重复步骤2-5。

8. 启用 客户端连接策略，然后单击 保存。

   当规则被启用时，滑块变为绿色，被禁用时则为灰色。

示例客户端连接策略

本节给出了一个客户端连接策略示例以及规则的应用方式。

1. 规则 1 的范围是非洲和欧洲与 Windows 设备的研发组。

   • 当这些用户尝试连接到 Cato 云时，只有满足 RnD Africa 配置文件 或 RnD Europe 配置文件 的要求时，才允许连接。

     否则，引擎会检查用户和设备以应用规则 2。

2. 规则 2 的范围是未满足规则 1 的设备姿态配置文件要求的非洲和欧洲研发组。

   • 当这些用户尝试连接Cato Cloud时，他们匹配设备姿态配置文件任何，并被阻止。 他们无法连接到Cato Cloud。

   • 规则2不适用于非非洲和欧洲RnD组的用户，这些用户继续执行规则3。

3. 规则 3 的范围是任何拥有 Windows 设备的用户或用户组。

   当用户尝试连接到 Cato 云时，只有在满足 样本配置文件 的要求时，才允许连接到互联网而非 WAN。

   否则，用户将被最终隐式的任何任何阻止规则阻止。

设备姿态用户体验

当设备符合设备检查时，它们可以连接到 Cato 云，用户的体验是客户端显示 已连接。 这与账户没有设备姿态策略时的用户体验相同。

当设备未能匹配设备检查时，客户端无法连接到 Cato 云，客户端会向用户显示错误消息。 如果设备在客户端连接后定期检查时失败，客户端会断开连接，并显示相同的错误消息。

这是错误消息的示例：

单击 详情 以显示设备未满足的具体要求。 还会生成一个事件，显示相同的详细信息。

不支持客户端版本的用户体验

当您为操作系统创建客户端连接策略时，我们强烈建议确保所有设备上安装的所有客户端都升级到最低支持的客户端版本。 对于不允许较早（不支持）客户端版本访问的规则，这是最终用户体验：

• Windows操作系统 - 用户未显示任何消息，客户端会不断尝试连接到加密隧道。

• macOS，iOS，Android和Linux - 用户会看到一条消息，说明此设备被阻止访问网络（例如，禁止从此操作系统连接）。

理解客户端连接策略的事件

Cato管理应用程序生成两种与客户端连接策略相关的事件：

• 每当用户或用户组符合客户端连接策略规则的要求，并被允许连接网络。

• 每当用户或用户组未能满足客户端连接策略的要求而被阻止连接网络。

下表解释了一些允许操作事件的事件字段：

下表解释了不同连接事件中使用阻止操作以及连接被阻止的原因。