Secure Access Service Edge：通過瀏覽器無用戶端訪問內網應用

適用情境

外部供應商或隨處工作使用者需通過瀏覽器安全訪問企業內部應用，無需安裝用戶端。

前提條件

CNAME代理方式，您需要將自訂代理網域名稱的CNAME解析到SASE的存取點網域名稱中。

實現方式

SASE提供兩種代理模式以支援內網網域名稱的無用戶端訪問，請根據實際需求選擇適合的模式。

步驟一：建立應用

1. 登入辦公安全平台控制台。

2. 在左側導覽列選擇內網訪問 > 應用管理。

3. 您需要判斷是否使用自訂代理網域名稱來選擇代理模式。

   網域名稱映射代理模式

   使用SASE提供一個新的代理網域名稱。企業員工可以使用該網域名稱訪問內網應用。

   1. 單擊添加應用，在手動設定 > 基礎配置配置項中輸入應用程式名稱並勾選浏览器访问，然後單擊下一步。

   2. 在應用地址配置項中，配置應用地址、連接埠、協議、代理域名（SaaS代理网关）、设置映射域名等，佈建網域名映射代理模式。

      在代理網域名稱（SaaS代理網關）中選擇網域名稱映射，SASE會產生新的網域名稱映射到原有的應用地址，員工通過新網域名稱訪問原有的應用。在瀏覽器訪問配置地區，根據需要勾選HTML內網網域名稱重寫、JS內網請求重寫和匿名訪問。

   CNAME代理模式

   使用企業申請的網域名稱，並CNAME解析到SASE的網關上，企業員工使用該網域名稱訪問內網應用。

   1. 在頁面右上方，單擊證書管理。並上傳企業SSL認證及私密金鑰託管在SASE控制台。

   2. 單擊添加應用，在手動設定 > 基礎配置配置項中輸入應用程式名稱並勾選浏览器访问，然後單擊下一步。

   3. 在應用地址配置項中，配置應用地址、連接埠、協議、代理域名（SaaS代理网关）選擇CNAME並設定企業自訂的代理網域名稱等，瞭解如何配置CNAME代理模式。

      配置樣本：連接埠填寫3001，協議選擇HTTPS協議，自訂代理網域名稱填寫app.sase-test.com，並將該網域名稱CNAME解析到存取點網域名稱（如xxx.cloudsecsase.com）。同時配置私網DNS的DNS伺服器位址，以及在SSL認證中選擇對應認證。

4. 如果您的應用滿足以下條件，您可以單擊確定，完成應用建立。若不滿足條件，請參考浏览器访问配置和進階設定。

   • 未接入單點登入SSO。

   • 未限制訪問應用的網域名稱。

   • 應用內不存在指向其他內網地址的連結。

   • 應用前端未向其他內網應用發起跨域請求。

   瀏覽器訪問配置

   若應用中包含內網地址連結或需向其他內網應用發起跨域請求，在有用戶端的情況下，因內網已打通，可正常訪問。而在無用戶端情境下，由於無法直接存取其他內網應用，需對相關連結進行改寫以確保無用戶端訪問的正常進行。

   配置HTML改寫

   1. 勾選HTML内网域名重写。如果應用中包含的其他內網應用已經配置了代理網域名稱，SASE會掃描所有連結並自動進行替換代理網域名稱。

   2. 對於以下情況，SASE網關無法自動識別，需要指定重寫前後地址，SASE會替換代理網域名稱。

      <script>
        //js變數聲明一個url，此時SASE網關無法自動識別到該連結，需要指定替換規則
        const url = "https://www.a.com/"
        //將url賦值給window.href
        window.href = url
      </script>

      勾選HTML內網網域名稱重寫，在重寫前地址中填入 www.a.com，在重寫後地址中填入 www.b.com。

   配置JS改寫

   勾選JS内网请求重写。如果應用的前端JS代碼向其他內網應用發起跨域請求，會自動替換請求地址。

   配置匿名訪問

   勾選匿名访问，並配置指定IP或IP段對指定內網訪問路徑不校正身份和零信任策略，直接允許存取。

   進階配置

   您可以通過配置網關請求改寫參數，將無用戶端請求中的Headers和Query參數改寫為配置值，作為無用戶端的訪問標識，方便後期分析。

   在進階設定中配置Headers 改寫：類型選擇要求標頭，操作選擇添加，參數名填寫source，參數值填寫agent。配置Query 參數改寫：操作選擇添加，參數名填寫name，參數值選擇使用者名稱。

5. 配置完成後，單擊確定。配置生效大約需要2分鐘。

步驟二：配置零信任策略

配置零信任策略可以確保只有經過身分識別驗證的使用者能夠通過瀏覽器訪問無用戶端應用，從而提高安全性。

1. 在左側導覽列選擇內網訪問 > 零信任策略。

2. 單擊添加策略，在新增策略面板中配置生效使用者和應用。

   說明

   無用戶端應用不支援配置安全基準和觸發模板。

   表單還包含策略名稱稱（樣本為"無端訪問零信任策略"）、描述、優先順序（範圍1~50，不能以0開頭）和動作（樣本為允許訪問，可通過開關控制）等欄位。樣本中生效使用者添加"人事部"，已選應用添加"app1-無端"。配置完成後單擊確定。

3. 單擊確定。

步驟三：配置驗證

1. 在測試機器上，對代理網域名稱進行連通性測試。確保代理網域名稱已經解析到SASE的存取點。

2. 通過瀏覽器訪問代理網域名稱，查看是否能夠正常訪問內網應用。

   說明

   首次通過瀏覽器訪問會重新導向到登入頁面。

   • 網域名稱映射模式：在應用列表中複製Proxy 位址。

   • CNAME代理模式：使用自訂代理網域名稱訪問。

其他動作

對於啟用了DingTalk身份源的使用者，您可以參考通過辦公安全平台保障DingTalk使用者安全訪問。建立網頁應用，將無用戶端應用代理網域名稱配置到應用首頁地址中，並配置生效使用者。通過此配置，DingTalk使用者無需再次輸入登入資訊即可訪問應用。