Secure Access Service Edge:Browser-based agentless access to internal applications

Kullanım senaryoları

İstemci yüklemeye gerek kalmadan harici satıcıların veya uzaktan çalışanların kurumsal dahili uygulamalara tarayıcı üzerinden güvenli erişimini sağlamak için bu yöntem idealdir.

Ön koşullar

CNAME proxy yöntemini kullanıyorsanız, özel proxy alan adınız için SASE erişim noktası alan adına işaret eden bir CNAME kaydı yapılandırmanız gerekir.

Uygulama yöntemleri

SASE, dahili alan adlarına aracısız özel erişim için iki proxy yöntemi sunar. Gereksinimlerinize en uygun yöntemi seçin.

Adım 1: Uygulama oluşturma

1. Secure Access Service Edge konsolu üzerinde oturum açın.

2. Sol gezinme bölmesinde Private Access > Application Management seçeneklerini seçin.

3. Özel bir proxy alan adı kullanmak isteyip istemediğinize bağlı olarak hangi proxy yöntemini kullanacağınıza karar verin.

   Alan adı eşleme

   SASE tarafından sağlanan yeni bir proxy alan adı kullanın. Çalışanlarınız dahili uygulamaya erişmek için bu alan adını kullanabilir.

   1. Add Application öğesine tıklayın. Manual Configuration > Basic Configurations bölümünde bir Application Name girin, Browser-based Access onay kutusunu seçin ve ardından Next öğesine tıklayın.

   2. Application Address bölümünde, alan adı eşleme proxy yöntemini yapılandırmak için Application Address, Port, Protocol, Proxy Domain Name (SaaS Proxy Gateway) ve Configure Domain Name Mappings parametrelerini yapılandırın.

      Proxy Domain Name (SaaS Proxy Gateway) için Domain Mapping seçeneğini belirleyin. SASE, orijinal uygulama adresine eşlenen yeni bir alan adı oluşturur ve böylece çalışanların bu yeni alan adı üzerinden uygulamaya erişmesini sağlar. Browser Access Settings bölümünde ihtiyaç duyduğunuz takdirde HTML-based Internal Domain Rewriting, JS-based Internal Request Rewriting veya Anonymous Access seçeneklerinden birini seçin.

   CNAME proxy

   Kuruluşunuzun sahip olduğu bir alan adı kullanın ve bunu SASE ağ geçidine yönlendiren bir CNAME kaydı oluşturun. Çalışanlarınız dahili uygulamaya erişmek için bu alan adını kullanır.

   1. Sayfanın sağ üst köşesinde Certificate Management öğesine tıklayın ve kurumsal SSL sertifikanızı ve bununla ilişkili özel anahtarınızı SASE konsoluna yükleyin.

   2. Add Application öğesine tıklayın. Manual Configuration > Basic Configurations bölümünde bir Application Name girin, Browser-based Access onay kutusunu seçin ve ardından Next öğesine tıklayın.

   3. Application Address bölümünde Application Address, Port ve Protocol gibi parametreleri yapılandırın. Proxy Domain Name (SaaS Proxy Gateway) için CNAME seçeneğini belirleyin ve özel proxy alan adınızı girin.

      Örnek yapılandırma: Port değerini 3001 ve Protocol değerini HTTPS olarak ayarlayın. Custom Proxy Domain Name değerini app.sase-test.com olarak ayarlayın ve bu alan adını erişim noktası alan adına (örneğin xxx.cloudsecsase.com) yönlendiren bir CNAME kaydı oluşturun. Ayrıca Private DNS için DNS sunucu adresini yapılandırmanız ve ilgili SSL sertifikasını seçmeniz gerekir.

4. Uygulamanız aşağıdaki koşulları karşılıyorsa, uygulamayı oluşturmayı tamamlamak için OK seçeneğine tıklayabilirsiniz. Aksi takdirde, Browser Access Settings ve Advanced Settings bölümlerini yapılandırmaya devam edin.

   • Tek oturum açma (SSO) entegre edilmemiştir.

   • Uygulamaya erişim alan adı kısıtlamasına tabi değildir.

   • Uygulama başka dahili adreslere bağlantılar içermez.

   • Uygulamanın ön yüzü diğer dahili uygulamalara çapraz alan adı istekleri göndermez.

   Tarayıcı erişim ayarları

   Uygulamanız dahili adreslere bağlantılar içeriyorsa veya diğer dahili uygulamalara çapraz alan adı istekleri yapıyorsa, kullanıcı dahili ağda bulunduğu için istemci kullanıldığında bu kaynaklara genellikle erişilebilir. Ancak aracısız senaryoda diğer dahili uygulamalara doğrudan erişilemez. Bu bağlantıların çalışmasını sağlamak için bunları yeniden yazmanız gerekir.

   HTML yeniden yazmayı yapılandırma

   1. HTML-based Internal Domain Rewriting onay kutusunu seçin. Uygulamanızda başvurulan diğer dahili uygulamalar SASE içinde zaten proxy alan adlarıyla yapılandırılmışsa, SASE bağlantıları otomatik olarak tarar ve doğru proxy alan adlarıyla değiştirir.

   2. Aşağıdaki durumlarda SASE ağ geçidi otomatik tanıma yapamaz. SASE için proxy alan adını değiştirmesi amacıyla özgün ve yeniden yazılmış adresleri belirtmeniz gerekir.

      <script>
        // In this example, a URL is declared in a JavaScript variable.
        // The SASE gateway cannot automatically detect this link, so you must specify a rewrite rule.
        const url = "https://www.a.com/"
        // The URL is then assigned to window.href.
        window.href = url
      </script>

      Bunu işlemek için HTML-based Internal Domain Rewriting onay kutusunu seçin. Original Address alanına www.a.com ve Rewritten Address alanına www.b.com girin.

   JavaScript yeniden yazmayı yapılandırma

   JavaScript-based Internal Request Rewriting onay kutusunu seçin. Uygulamanızın ön yüz JavaScript kodu diğer dahili uygulamalara çapraz alan adı istekleri yapıyorsa, SASE istek adreslerini otomatik olarak yeniden yazar.

   Anonim erişimi yapılandırma

   Anonymous Access onay kutusunu seçin. Kimlik doğrulaması veya sıfır güven ilkesi kontrolleri olmadan belirli dahili yollara erişebilen belirli IP adreslerini veya CIDR bloklarını yapılandırın. Bu kaynaklardan gelen isteklere otomatik olarak izin verilir.

   Gelişmiş ayarlar

   Aracısız isteklerdeki başlıkları ve sorgu parametrelerini değiştirmek için ağ geçidi isteği yeniden yazmayı yapılandırabilirsiniz. Bu sayede izleme ve analiz amacıyla isteklere tanımlayıcılar ekleyebilirsiniz.

   Advanced Settings bölümünde Headers Rewrite yapılandırmasını yapın: Type değerini Request Header, Operation değerini Add, Parameter Name değerini source ve Parameter Value değerini agent olarak ayarlayın. Query Parameter Rewrite için Operation değerini Add, Parameter Name değerini name ve Parameter Value değerini Username olarak ayarlayın.

5. Yapılandırmayı tamamladıktan sonra OK seçeneğine tıklayın. Yapılandırma yaklaşık 2 dakika içinde etkili olur.

Adım 2: Sıfır güven ilkesi yapılandırma

Sıfır güven ilkesi yapılandırmak, yalnızca kimliği doğrulanmış kullanıcıların tarayıcı üzerinden uygulamaya erişebilmesini sağlayarak güvenliği artırır.

1. Sol gezinme bölmesinde Private Access > Zero Trust Policies seçeneklerini seçin.

2. Create Policy seçeneğine tıklayın. Create Policy panelinde Applicable User ve uygulamayı yapılandırın.

   Not

   Aracısız uygulamalar güvenlik temel çizgilerini veya tetikleyici şablonlarını desteklemez.

   Form ayrıca Policy Name (örnek: "Agentless Access Zero Trust Policy"), Description, Priority (aralık: 1-50 ve 0 ile başlamaz) ve Action (örnek: Allow Access, açıp kapatabilirsiniz) alanlarını içerir. Bu örnekte Applicable User alanına "HR Department", Selected Applications alanına ise "app1-agentless" eklenmiştir. Yapılandırmayı tamamladıktan sonra OK seçeneğine tıklayın.

3. OK seçeneğine tıklayın.

Adım 3: Yapılandırmayı doğrulama

1. Test makinesinde proxy alan adının SASE erişim noktasına çözümlendiğini doğrulayın.

2. Bir tarayıcı açın ve dahili uygulamaya erişebildiğinizi doğrulamak için proxy alan adına gidin.

   Not

   Uygulamaya ilk kez eriştiğinizde bir oturum açma sayfasına yönlendirilirsiniz.

   • Alan adı eşleme yöntemi: Proxy adresini uygulama listesinden kopyalayın.

   • CNAME proxy yöntemi: Özel proxy alan adınızı kullanarak uygulamaya erişin.

Diğer işlemler

Kimlik sağlayıcı olarak DingTalk'ı etkinleştiren kullanıcılar için Secure Access Service Edge aracılığıyla DingTalk kullanıcıları için güvenli erişim konusuna bakın. Bir web uygulaması oluşturun, Application Homepage Address değerini aracısız özel erişim uygulamanızın proxy alan adına ayarlayın ve geçerli kullanıcıları belirtin. Bu yapılandırmayla DingTalk kullanıcıları tekrar oturum açmadan uygulamaya erişebilir.