Маршрутизация трафика и пути
Трафик корпоративных сервисов. Для каждого сервиса — свой путь.
Корпоративные сервисы идут через назначенную точку выхода, повседневный доступ подключается напрямую. Выбирайте маршруты по домену, IP или набору правил и позволяйте клиенту или узлу их выполнять.
Посмотрите, как это настроитьПовседневный доступ — прямое локальное подключение.
Задавайте правила по домену, IP, порту назначения или протоколу, а также можете использовать наборы правил для единообразного управления группой сервисов. Сервисы, требующие назначенной точки выхода, выбирают Relay, а остальной доступ обрабатывается правилами прямого подключения или действием по умолчанию.
DIRECT клиента использует локальную сеть устройства. Выбор Gateway с прямым подключением в качестве прокси-узла всё равно направляет доступ через Gateway.
Узнайте о маршрутизации трафика на клиенте →Правила передаются узлу.
Устройства сохраняют настройки подключения, а точка выхода для корпоративных сервисов настраивается централизованно администраторами.
Политика маршрутизации трафика для корпоративных сервисовВыберите точку выхода по сервису.
Добавьте правило для домена или диапазона IP-адресов.
На точке выхода укажите следующий переход.
Выборочная маршрутизация передаёт указанный корпоративный трафик другому Connector, с которым уже установлено соединение, а остальной доступ по-прежнему идёт напрямую с локального устройства. Узел загружает и применяет опубликованную политику, а устройства сохраняют прежнюю конфигурацию.
Gateway с прямым подключением также может единообразно применять правила, выбирая Relay, прямое подключение к узлу или блокировку в зависимости от назначения.
Подробнее о маршрутизации на узле →Конкретные правила ставятся в начале.
Корпоративные правила сопоставляются сверху вниз, и первое совпадение определяет путь. Разместите конкретные домены корпоративных сервисов перед общими правилами; для доступа без совпадения применяется действие по умолчанию.
Правила безопасности платформы на клиенте выполняются раньше корпоративных правил: локальные, частные и управляющие домены идут напрямую, а известные конечные точки метаданных облака блокируются. Пользовательские корпоративные правила не могут их переопределить.
Помимо выбора пути по назначению, можно задать фиксированную точку выхода Cloud Pulse в конфигурации WireGuard или RouterOS стандартного Relay. Изменяется только эта конфигурация; остальные устройства сохраняют свои настройки.
Подробнее о независимой точке выхода терминала →Часто задаваемые вопросы.
Будет ли устройство использовать новую конфигурацию после сохранения правила?
Сохранение черновика не изменяет текущую конфигурацию. После публикации клиентских правил сотрудникам всё ещё нужно обновить и включить новую версию подписки; после публикации политик узла узлу всё ещё нужно загрузить, применить и вернуть квитанцию. После подтверждения применения проверьте соединение, открыв корпоративные сервисы с устройства.
Что произойдёт с доступом, если указанная точка выхода недоступна?
Если точка выхода, указанная политикой узла, или Relay, выбранный Gateway по умолчанию, недоступны, соответствующий доступ блокируется и не переключается автоматически на прямое подключение. Опубликуйте снова после устранения неисправности или явной смены точки выхода.
Может ли узел распознавать все домены и обрабатывать IPv6?
Узел выполнения должен иметь прошивку с поддержкой маршрутизации и включённый соответствующий режим. Маршрутизация узлов использует IPv4 и блокирует IPv6. DoH, ECH или кэш могут препятствовать определению домена; такие обращения обрабатываются по правилам IPv4 или действию по умолчанию. Политика охватывает только привязанные устройства или соответствующий авторизованный входящий трафик; RouterOS обрабатывает только трафик, направленный в туннель.
Можно ли по-прежнему использовать политики узлов после привязки терминала к Cloud Pulse?
Сначала удалите отдельную привязку Cloud Pulse конфигурации устройства, затем выберите политику маршрутизации узла. Каждый Gateway, выполняющий политику, должен отдельно связать и проверить свою точку выхода Cloud Pulse. Политики Connector выбирают другие Connector через каналы следующего перехода.