Secure Access Service Edge：跨域加速最佳實務

步驟一：建立身份源

1. 進入身份接入頁面，切換至身份同步頁簽。

2. 點擊新增身份源，本文以自訂身份源為例進行配置說明。

   說明

   生產環境中，建議與企業的IdP（如AD、LDAP、DingTalk、企業微信等）進行整合。

   1. 在基礎配置中，填寫身份源名稱和描述，並將身份源状态設定為已開啟。單擊下一步。

   2. 在登录配置中，設定電腦裝置登入方式、行動裝置登入方式。本文樣本均保持預設配置，實際請按需選擇是否開啟雙因素認證。

   3. 配置確認無誤後，單擊確認即可完成建立。

步驟二：建立使用者與使用者組

1. 進入身份接入頁面，切換至员工中心頁簽。在左側下拉框中選擇上一步建立的身份源，點擊添加用户。

2. 在添加使用者面板中，填寫使用者名稱、密碼等資訊，並將组织部门歸屬到目標身份源。

   表單其他欄位包括：

   • 崗位

   • 郵箱（必填）

   • 手機

   • 在職狀態：可選擇"在崗"等狀態

   • 賬戶到期時間：賬戶到期後將自動凍結賬戶

   • 備忘

3. 切換至用户组管理頁簽。點擊添加使用者組，設定一個名稱（如 dev-group），並按需選擇組範圍。

   在組範圍地區，可通過組織架構、賬戶名稱、郵箱、手機號維度篩選使用者，並設定配置關係為等於或不等於。

4. 資訊確認無誤後，單擊確定。

步驟一：添加SASE連接器

1. 登入辦公安全平台控制台。在左側導覽列，選擇內網訪問 > 網路設定。

2. 在非阿里雲業務頁簽，添加連接器。

   1. 在連接器列表頁簽，單擊添加連接器。

   2. 在添加連接器對話方塊，根據實際業務配置。然後單擊确定。

      配置項	說明
      地區	連接器的地區。為保障訪問品質，建議選擇與您伺服器距離最近的地區。
      執行個體名稱	連接器的名稱。
      執行個體開關	只有執行個體開關為開啟狀態時，SASE終端使用者才可以訪問連接器相關 App。 您也可以在連接器列表中開啟執行個體開關，或者在連接器詳情面板開啟執行個體開關。 重要 關閉連接器執行個體開關，會導致終端使用者使用SASE App無法訪問內網應用。請謹慎操作。

      添加完成後，您可以在連接器列表中查看您已添加的連接器資料。

3. 啟用Global Acceleration。

   1. 找到建立完成的連接器執行個體，單擊操作欄的詳情。

   2. 在連接器的執行個體資訊頁面，找到全球加速一欄並啟用。

   3. 在启用全球加速彈出框中，填寫以下資訊：

      重要

      首次開通Global Acceleration服務時，會提示您自動授權建立服務關聯角色：AliyunServiceRoleForGaCdt、AliyunServiceRoleForGaVpcEndpoint，以使Global AccelerationGA使用此角色來訪問您在SASE中的資源。

      配置項	說明
      全球实例名称	必填項，填寫Global Acceleration執行個體的名稱。 重要 Global Acceleration的費用包含：執行個體費、效能容量單位CU費和流量費用。
      资源组	選擇資源群組。
      服务协议	點擊提交即表示同意相關服務合約。

      資訊確認無誤後，單擊下一步。

   4. 配置加速地域、分配带宽。

      配置項	說明
      加速地域	配置加速地區。請選擇靠近使用者的地區。 說明 加速地區暫不支援杜拜。
      分配带宽	頻寬的取值範圍是2-10000，支援以下頻寬分配方式： 按地域设置带宽：自訂每個加速地區的頻寬峰值。 统一设置带宽：統一設定所有地區的頻寬峰值。

      配置完成後單擊確定，加速執行個體建立需要一定時間，耐心等待即可。

   5. 加速執行個體建立成功後，即可在詳情頁面查看相關資訊。

      詳情頁面展示的配置項包括：

      • 執行個體開關：已啟用

      • Global Acceleration：已開啟

      • 加速執行個體狀態：可用

      • 加速執行個體ID：以 ga- 開頭

步驟二：在跨域公網下車點上部署連接器

1. 單擊已添加的連接器操作列部署，在部署面板擷取部署連接器的詳細命令。

2. 以root使用者登入待部署的伺服器或者虛擬機器，執行部署命令。在部署面板，您還可以擷取升級連接器命令、卸載連接器的命令、匯出日誌的命令。

   • connector 支援在多台伺服器上部署以實現高可用，通過反向 TLS 加密串連至 Private Access 零信任網關。

   • 伺服器規格推薦：作業系統 CentOS 7.0 以上/Ubuntu 18.04 以上/Debian 12 以上，CPU 4 核，頻寬 200 Mbps，記憶體 8 GB。

   • 部署/升級命令為 curl -sSL https://sase-app.oss-cn-hangzhou.aliyuncs.com/connector/install_connector.default_v2.sh | ALIUID=xxx bash。

3. 部署完成後，即可在詳情頁面的執行個體資訊地區，看到執行個體ID等資訊，執行個體狀態為已串連。

步驟三：配置企業加速策略

1. 在存取控制頁面，切換至企業加速頁簽，單擊添加策略。

2. 在添加策略面板，根據實際業務配置。然後單擊确定。

   配置項	說明
   策略名稱	企業加速策略名稱稱。
   描述	策略的描述資訊。
   優先順序	策略優先順序。取值範圍：1~100，數字越小優先順序越高。
   加速实例	支援選擇以下幾種執行個體類型： CEN：需要填寫執行個體地址（IP）、執行個體連接埠。 連接器：選擇connector執行個體。 說明 選擇在添加SASE連接器步驟中建立成功的connector執行個體。
   加速模式	支援選擇： 全域加速：此時會將所有互連網流量轉寄至加速線路，員工在APP上點擊“關閉加速”按鈕後停止加速。 自定义加速：添加策略後，請配置自訂加速地址，位址範圍內的流量才會通過加速線路轉寄。
   加速使用者組	選擇加速生效的使用者組。支援多選。
   在客戶端透出	勾選在用戶端透出後，員工可自訂選擇不同的加速策略。

3. 加速模式選擇自定义加速時，需要配置加速地址，操作步驟如下：

   1. 在列表中找到已建立的策略，單擊操作一欄的加速地址。

   2. 在加速地址面板中，單擊新增加速地址。請參照下表配置加速地址：

      配置項	說明
      加速地址	手動輸入加速地址，最多支援添加500個地址。
      本地批量上傳	可以使用模板檔案，批量上傳加速地址。支援.xlsx格式檔案，最大支援上傳100MB。

   3. 資訊確認無誤後，單擊確定即可。

步驟四（可選）：在Global Acceleration（GA）控制台配置託管對象

如果對網路傳輸品質有更高的要求，可以參考以下步驟更改傳輸網路品質類型。

1. 進入Global Acceleration控制台的執行個體列表頁面，查看託管對象及狀態。

   執行個體狀態列顯示可用及已託管標籤，懸浮提示顯示託管的雲端服務為 CSAS。

2. 如果當前帳號支援開通專線跨域加速，那麼自動建立託管的GA執行個體會預設為專線跨域加速模式，否則為精品頻寬模式。

   在 GA 執行個體的執行個體資訊頁面底部傳輸網路品質類型地區，專線跨域加速卡片顯示啟用中狀態，執行個體託管狀態顯示為已託管（CSAS）。