계정에 대한 고급 구성 작업

하위 SA를 생성할 때, Cato는 RFC 7295에 따라 동일한 TS 페이로드에 여러 트래픽 셀렉터(TS)를 전송합니다. Cisco ASA와 같은 일부 타사 솔루션은 각 하위 SA에 단일 TS만 지원합니다. Cisco ASA는 다중 TS로 하위 SA를 생성하라는 Cato의 제안에 대해 TS_UNACCEPTABLE 메시지를 보냅니다.

IKEv2 싱글 TS 전송 페이로드당 활성화 및 켜짐으로 설정되면, 각 자식 SA에서 단일 TS만 전송됩니다． 기본적으로 비활성화되어 있습니다．

기본적으로 사이트 내 트래픽(예: VLAN 간)은 Cato PoP를 통해 라우팅되며, PoP는 트래픽을 검사합니다． 트래픽은 VLAN에서 Cato 클라우드의 PoP로, 그리고 다른 VLAN으로 흐릅니다．

사이트가 Cato 클라우드에서 일시적으로 연결 해제되면, 기본 동작은 fail-open입니다． 트래픽은 검사를 받지 않고 VLAN에서 다른 VLAN으로 직접 흐릅니다． 기본 전역 계정 수준 동작을 fail-closed로 변경할 수 있으며, 이렇게 하면 기본적으로 모든 소켓 사이트가 PoP에서 연결 해제될 때 로컬 라우팅 트래픽을 차단합니다． 소켓 v15.0 이상 필요．

PoP 연결 해제 시 로컬 라우팅 차단 설정을 구성하려면, 이러한 값들과 함께 위의 계정에 대한 고급 구성 개요를 참조하십시오：

다음 다이어그램은 로컬 라우팅 동작을 보여줍니다：

장치 인증서의 OID 검증은 장치 인증서 검사를 강화합니다． 활성화되면, 네트워크에 연결할 수 있는 장치 인증서 OID 목록을 정의할 수 있습니다． 정의된 OID와 일치하는 인증서로 인증하는 장치만 연결할 수 있습니다． 여러 OID는 세미콜론으로 구분하고 다음 형식을 사용하십시오：

확장 키와 OID 값은 certutil 또는 openssl x509 인증서 도구를 사용하여 찾을 수 있습니다．

이 기능은 기본적으로 비활성화되어 있습니다. 장치의 인증서를 올바르게 구성하지 않고 이 설정을 활성화하면, SDP 사용자가 네트워크에 연결할 수 없을 수 있습니다.

시리얼 번호로 인증서 해지은 장치 인증서 검사를 강화합니다. 활성화되면, 차단된 인증서 시리얼 번호 목록을 정의할 수 있습니다. 정의된 시리얼 번호와 일치하는 인증서로 인증하는 장치는 차단됩니다.

이 기능은 기본적으로 비활성화되어 있습니다． 기기의 인증서를 올바르게 구성하지 않고 이 설정을 활성화하면 SDP 사용자가 네트워크에 연결할 수 없을 수 있습니다．

TCP 프록시는 각 연결의 첫 번째 SYN 패킷에서 WAN TCP 프록시 모드를 시작하거나 TCP 핸드셰이크가 완료된 후 WAN TCP 프록시를 지연하고 시작하도록 수정할 수 있습니다． TCP 프록시 모드에 대한 자세한 내용은 카토 TCP 가속화 및 모범 사례 설명을 참조하세요．

WAN 트래픽에 대해 SYN에서 TCP 가속화 설정을 구성하려면, 위의 계정의 고급 구성 개요를 참조하세요．

마이크로 버스트는 매우 짧은 시간 내에 발생하는 갑작스러운 패킷 또는 데이터 프레임의 급증으로 특징지어집니다．

마이크로 버스트가 짧은 시간에 사이트의 비율 제한을 초과하면 마지막 마일 제공업체 (ISP)가 패킷을 과도하게 드롭하여 패킷 손실이 발생할 수 있습니다．

버스티니스 하향 값 및 버스티니스 상향 값을 사용하여 하향 또는 상향 방향에 따라 버스티니스 수준 값을 수정하여 사이트가 네트워크를 통해 마이크로 버스트를 처리하는 방식을 조정할 수 있습니다． 버스티니스 수준 값을 수정하면 마이크로 버스트에 대해 더 공격적이거나 허용적인 셰이핑 정책을 적용하여 버스티니스로 인한 패킷 손실을 완화할 수 있습니다． 기본 버스티니스 값은 인터페이스 대역폭에 따라 다릅니다：

버스티니스 및 패킷 손실에 대한 자세한 내용은 Socket 사이트 패킷 손실 문제 해결 방법을 참조하세요．