Routage du trafic et chemins
Le trafic des services. Chaque service suit son propre chemin.
Les services de l'entreprise passent par le point de sortie désigné, l'accès quotidien se connecte directement. Sélectionnez les routes par domaine, IP ou ensemble de règles, et laissez le client ou le nœud les exécuter.
Voir comment le configurerLes accès quotidiens, en connexion locale directe.
Définissez des règles par domaine, IP, port de destination ou protocole ; vous pouvez aussi utiliser des ensembles de règles pour gérer uniformément un groupe de services. Les services nécessitant un point de sortie désigné choisissent Relay, tandis que les autres accès sont traités par les règles de connexion directe ou l'action par défaut.
Le DIRECT du client utilise le réseau local de l'appareil. Choisir un Gateway à connexion directe comme nœud proxy fait tout de même passer l'accès par le Gateway.
En savoir plus sur le routage du trafic côté client →Les règles sont confiées au nœud.
Les appareils conservent leur configuration de connexion ; le point de sortie adapté aux services est ajusté de manière centralisée par les administrateurs.
Politique de routage du trafic adaptée aux servicesSélectionnez un point de sortie par service.
Ajoutez une règle pour un domaine ou une plage d'adresses IP.
Au niveau de la sortie, indiquez le saut suivant.
Le routage sélectif confie le trafic professionnel désigné à un autre Connector dont la liaison est déjà établie, tandis que les autres accès restent directs depuis la machine locale. Le nœud télécharge et applique la politique publiée, et les appareils conservent leur configuration existante.
Un Gateway en connexion directe peut également appliquer les règles de manière uniforme, en choisissant le Relay, la connexion directe au nœud ou le blocage selon la destination.
En savoir plus sur le routage du nœud →Les règles spécifiques, placées en premier.
Les règles professionnelles sont évaluées de haut en bas, et la première correspondance détermine le chemin. Placez les domaines spécifiques aux activités de l'entreprise avant les règles générales ; les accès sans correspondance utilisent l'action par défaut.
Les règles de sécurité de la plateforme du client s'exécutent avant les règles professionnelles : les domaines locaux, de réseau privé et de contrôle passent en direct, et les points de terminaison de métadonnées cloud connus sont refusés. Les règles professionnelles personnalisées ne peuvent pas les remplacer.
Outre le choix d'un chemin selon la destination, vous pouvez aussi définir une sortie Cloud Pulse fixe dans la configuration WireGuard ou RouterOS d'un Relay standard. Seule cette configuration change ; les autres appareils conservent leurs propres paramètres.
En savoir plus sur la sortie indépendante du terminal →Questions fréquentes.
Après avoir enregistré une règle, l'appareil utilisera-t-il la nouvelle configuration ?
L'enregistrement d'un brouillon ne modifie pas la configuration actuelle. Une fois les règles client publiées, les employés doivent encore actualiser et activer la nouvelle version de l'abonnement ; une fois les politiques de nœud publiées, le nœud doit encore télécharger, appliquer et renvoyer un accusé de réception. Après confirmation de l'application, vérifiez la connexion en accédant aux services professionnels depuis l'appareil.
Que se passe-t-il pour l'accès si la sortie spécifiée est hors ligne ?
Si la sortie spécifiée par une politique de nœud, ou le Relay choisi par défaut par le Gateway, est indisponible, l'accès correspondant est bloqué et ne basculera pas automatiquement vers une connexion directe. Publiez à nouveau après avoir résolu la panne ou changé explicitement la sortie.
Le nœud peut-il identifier tous les domaines et gérer aussi l'IPv6 ?
Le nœud d’exécution doit disposer d’un firmware compatible avec le routage du trafic et du mode correspondant activé. Le routage des nœuds utilise IPv4 et bloque IPv6. DoH, ECH ou le cache peuvent empêcher l’identification du domaine ; ces accès suivent les règles IPv4 ou l’action par défaut. Les politiques ne traitent que les terminaux associés ou le trafic entrant autorisé correspondant ; RouterOS ne traite que le trafic envoyé dans le tunnel.
Après avoir lié un terminal à Cloud Pulse, peut-on encore utiliser des politiques de nœud ?
Supprimez d’abord l’association Cloud Pulse individuelle de la configuration du terminal, puis choisissez une politique de routage de nœud. Chaque Gateway exécutant une politique doit associer et vérifier séparément son point de sortie Cloud Pulse. Les politiques Connector choisissent d’autres Connector via les liaisons vers le saut suivant.