यह लेख Cato Private Access वास्तुकला में ऐप कनेक्टर्स की भूमिका और Private एप्लिकेशन को एक्सेस करने के लिए एंड-टू-एंड ट्रैफ़िक प्रवाह को समझाता है। यह वर्णन करता है कि DNS समाधान, CGNAT, ऐप कनेक्टर समूह, लोड बैलेंसिंग और उच्च-उपलब्धता तंत्र कैसे मिलकर काम करते हैं ताकि आंतरिक एप्लिकेशन के लिए उपयोगकर्ता कनेक्शन को सुरक्षित रूप से संभाल सकें।
समीक्षा
जब एक व्यवस्थापक Cato प्रबंधन एप्लिकेशन (CMA) में एक निजी अनुप्रयोग प्रकाशित करता है, तो एप्लिकेशन एक ऐप कनेक्टर समूह से जुड़ा होता है और उसके प्रकाशित एप्लिकेशन डोमेन, आंतरिक गंतव्य, और अनुमत पोर्ट्स और प्रोटोकॉल द्वारा परिभाषित होता है। Cato PoP ZTNA ब्रोकर है जो निजी पहुंच नियंत्रण विमान में प्रकाशित एप्लिकेशन को पंजीकृत करता है और प्रकाशित एप्लिकेशन डोमेन को एक सिंथेटिक IP पता प्रदान करता है। यह IP पता Cato ब्रोकर आर्किटेक्चर के भीतर एप्लिकेशन का प्रतिनिधित्व करता है और उपयोगकर्ताओं को एप्लिकेशन के आंतरिक IP पते को जानने या सीधे कनेक्ट करने से रोकता है।
सभी निजी एप्लिकेशन तक पहुँच उपयोगकर्ता द्वारा प्रेरित होती है और Cato क्लाउड द्वारा प्रबंधित की जाती है।
नियंत्रण विमान उपयोगकर्ता पहचान को सत्यापित करता है, निजी एक्सेस नीति का मूल्यांकन करता है, और यह निर्धारित करता है कि अनुरोधित एप्लिकेशन, पोर्ट और प्रोटोकॉल अधिकृत हैं या नहीं।
डेटा विमान को Cato क्लाउड और चयनित ऐप कनेक्टर के माध्यम से अनुमोदित ट्रैफ़िक को आंतरिक एप्लिकेशन सर्वर तक पहुँचाया जाता है।
अनधिकृत एप्लिकेशन अनुरोधों को एप्लिकेशन वातावरण से सत्र स्थापित होने से पहले ही अस्वीकार कर दिया जाता है।
ट्रैफिक प्रवाह
उपयोगकर्ता Cato SASE क्लाउड से Cato क्लाइंट या किसी अन्य समर्थित आपूर्ति पद्धति का उपयोग करके जुड़ता है।
उपयोगकर्ता Cato DNS सेवा के लिए प्रकाशित अनुप्रयोग डोमेन के लिए एक DNS अनुरोध भेजकर एक प्रकाशित निजी एप्लिकेशन तक पहुँचने का प्रयास करता है।
Cato PoP (ZTNA ब्रोकर):
अनुरोधित डोमेन से जुड़े निजी एप्लिकेशन की पहचान करता है।
निजी एक्सेस नीति का मूल्यांकन करता है कि प्रमाणीकरण प्राप्त उपयोगकर्ता को उस डोमेन के साथ प्रकाशित एप्लिकेशन तक पहुँच की अनुमति है या नहीं।
Cato DNS अनुरोध को प्राधिकरण परिणाम के आधार पर हैंडल करता है:
यदि उपयोगकर्ता अधिकृत है, तो Cato DNS प्रकाशित एप्लिकेशन डोमेन को असाइन की गई सिंथेटिक (CGNAT) IP पता लौटाता है।
यदि उपयोगकर्ता अधिकृत नहीं है, तो Cato DNS अनुरोध को अस्वीकार कर देता है।
डोमेन का समाधान नहीं होता, और एप्लिकेशन वातावरण के लिए कोई सत्र स्थापित नहीं होता।उपयोगकर्ता लौटाए गए सिंथेटिक IP पते से कनेक्शन शुरू करता है। Cato क्लाउड सत्र को स्वीकृति देता है।
सम्बंधित ऐप कनेक्टर समूह से सर्वोत्तम ऐप कनेक्टर का चयन करता है।
उस ऐप कनेक्टर द्वारा स्थापित बाहरी DTLS टनल के माध्यम से अधिकृत उपयोगकर्ता सत्र को आंतरिक एप्लिकेशन से जोड़ता है।
जब आंतरिक DNS समाधान की आवश्यकता होती है, ऐप कनेक्टर कॉन्फ़िगर किए गए आंतरिक एप्लिकेशन गंतव्य का समाधान करता है, और स्थानीय नेटवर्क पर ट्रैफिक को आंतरिक एप्लिकेशन सर्वर तक अग्रेषित करता है।
प्रवाह में, पहचान सत्यापन, DNS प्राधिकरण, पोर्ट और प्रोटोकॉल प्रवर्तन, और सत्र ब्रोकिंग Cato क्लाउड द्वारा की जाती है। उपयोगकर्ता प्रकाशित एप्लिकेशन डोमेन को असाइन किए गए सिंथेटिक IP पते के साथ संवाद करता है और एप्लिकेशन वातावरण तक सीधी नेटवर्क पहुँच प्राप्त नहीं करता।
DNS और ऐप कनेक्टर्स
DNS बिना आंतरिक एप्लिकेशन एड्रेसिंग के उजागर किए अधिकृत उपयोगकर्ताओं को प्रकाशित निजी एप्लिकेशन से जोड़ता है। उपयोगकर्ता उपकरण को प्रकाशित एप्लिकेशन डोमेन की क्वेरीज़ को PoP द्वारा संसाधित किया जा सके इसके लिए Cato DNS सेवा का उपयोग 10.254.254.1 पर करना चाहिए।
ऐप कनेक्टर आंतरिक एप्लिकेशन समाधान के लिए अलग DNS पथ का उपयोग करता है। डिफ़ॉल्ट रूप से, यह अपना LAN IP पता, डिफ़ॉल्ट गेटवे, और आंतरिक DNS सर्वर प्राप्त करने के लिए DHCP का उपयोग करता है। जब कोई आंतरिक एप्लिकेशन FQDN द्वारा पहचाना जाता है, तो ऐप कनेक्टर आंतरिक DNS सर्वर का उपयोग कर स्थानीय नेटवर्क के ऊपर एप्लिकेशन का समाधान करता है।
जल्द आ रहा है: DHCP के बिना वातावरण में स्थिर LAN IP और DNS कॉन्फ़िगरेशन के लिए समर्थन।
CGNAT और IP अमूर्तता
जब एक निजी एप्लिकेशन को एक ऐप कनेक्टर समूह के माध्यम से प्रकाशित किया जाता है, तो PoP इसे निजी प्रवेश नियंत्रण विमान में पंजीकृत करता है और खाते की निजी एप्लिकेशन CGNAT सीमा से इसे एक अद्वितीय सिंथेटिक IP पता निर्दिष्ट करता है। यह सिंथेटिक IP Cato क्लाउड के भीतर एप्लिकेशन का प्रतिनिधित्व करता है और इसका आंतरिक IP पता उपयोगकर्ताओं से छिपा रहता है।
ये रेंज ग्राहक नेटवर्क रेंज या अन्य Cato सेवा रेंज के साथ ओवरलैप नहीं करनी चाहिए और आवश्यकता पड़ने पर इन्हें अनुकूलित किया जा सकता है।
उपयोगकर्ता एप्लिकेशन के आंतरिक पते के बजाय इसके प्रकाशित डोमेन और सिंथेटिक IP प्रदर्शन के माध्यम से एप्लिकेशन तक पहुँच प्राप्त करते हैं।
यह अमूर्तता विशेष रूप से ओवरलैपिंग पता स्थानों वाले वातावरण, जैसे विलय और अधिग्रहण में उपयोगी है, क्योंकि एप्लिकेशन बिना अंतर्निहित नेटवर्क को पुनः एड्रेस किए प्रकाशित किया जा सकता है।
ज्ञात सीमा: सिंथेटिक IP पते Cato द्वारा स्वचालित रूप से उत्पन्न होते हैं और नेटवर्क नीति नियमों में प्रत्यक्ष संदर्भ के लिए उजागर नहीं किए जाते।
ऐप कनेक्टर समूह
एक ऐप कनेक्टर समूह Cato क्लाउड और निजी एप्लिकेशनों के एक सेट के बीच की तार्किक कनेक्टिविटी परत है। निजी एप्लिकेशन किसी समूह से जुड़े होते हैं ना कि किसी व्यक्तिगत ऐप कनेक्टर से, और प्रत्येक एप्लिकेशन को एक समय में एक ऐप कनेक्टर समूह के माध्यम से प्रकाशित किया जा सकता है।
नोट: एक ऐप कनेक्टर समूह में 10 तक ऐप कनेक्टर्स शामिल हो सकते हैं।
PoP समूह में कनेक्टर्स की लगातार जांच करता है और उनकी उपलब्धता और प्रदर्शन का मूल्यांकन करता है। प्रत्येक अनुमोदित सत्र के लिए, PoP सर्वोत्तम कनेक्टर का चयन करता है और आंतरिक एप्लिकेशन के लिए उस कनेक्टर के माध्यम से सत्र को जोड़ता है।
अलग-अलग वातावरण, क्षेत्रीय, या सुरक्षा क्षेत्रों, जैसे उत्पादन, आपदा पुनर्प्राप्ति, क्लाउड, या ऑन-प्रिमाइसेस नेटवर्क का प्रतिनिधित्व करने के लिए कई ऐप कनेक्टर समूहों का उपयोग किया जा सकता है। निजी एप्लिकेशन से जुड़े समूह में कम से कम एक कनेक्टर होना चाहिए जो LAN के द्वारा एप्लिकेशन तक पहुँच सके। प्रत्येक एप्लिकेशन को केवल एक समय में एक ऐप कनेक्टर समूह में प्रकाशित किया जा सकता है।
सर्वोत्तम अभ्यास: ऐप कनेक्टर को निर्भर करें और समूह के माध्यम से निजी एप्लिकेशन को प्रकाशित करने से पहले उन्हें जोड़ें। यदि समूह का कोई कनेक्टर जुड़ा नहीं है, तो निजी एप्लिकेशन अनुपलब्ध रहता है और अक्षम के रूप में दिखाई देता है।
ऑटो-फेलओवर
जब एक ऐप कनेक्टर उपलब्ध नहीं होता है, तो ऑटो-फेलओवर निजी एप्लिकेशन तक पहुँच बनाए रखता है। PoP ऐप कनेक्टर समूह में कनेक्टर्स की लगातार जांच करता है और उनकी उपलब्धता और प्रदर्शन का मूल्यांकन करता है।
यदि कोई कनेक्टर पहुंच से बाहर हो जाता है, तो PoP इसे नए सत्रों के लिए चुनना बंद कर देता है और अगले सर्वोत्तम उपलब्ध कनेक्टर के माध्यम से बाद के स्वीकृत सत्रों को मार्गित करता है। मौजूदा सत्रों को नव-चयनित कनेक्टर के माध्यम से पुनः स्थापित करने की आवश्यकता हो सकती है।
फेलओवर ऐप कनेक्टर समूह के भीतर स्वतः होता है और इसके लिए प्रशासक के हस्तक्षेप की आवश्यकता नहीं होती। निजी एप्लिकेशन तब तक उपलब्ध रहते हैं जब तक कि समूह में कम से कम एक कनेक्टर जुड़ा हो और आंतरिक एप्लिकेशन सर्वर तक LAN पहुंच हो।
क्षेत्रों या क्लाउड वातावरण में उपलब्धता बनाए रखने के लिए, एप्लिकेशन की मेज़बानी करने वाले प्रत्येक वातावरण में ऐप कनेक्टर्स तैनात करें। कनेक्टर्स को संबधित निजी एप्लिकेशन से जुड़े ऐप कनेक्टर समूह से संबंध होना चाहिए और उस एप्लिकेशन इंस्टेंस तक LAN पहुंच प्राप्त होनी चाहिए।
उच्च उपलब्धता
उच्च उपलब्धता को एक ही ऐप कनेक्टर समूह में कई ऐप कनेक्टर्स तैनात करके हासिल किया जाता है। क्योंकि निजी एप्लिकेशन समूह से जुड़े होते हैं ना कि एक व्यक्तिगत कनेक्टर से, एप्लिकेशन एक्सेस तब तक जारी रह सकता है जब तक कि कम से कम एक कनेक्टर जुड़ा रहे और आंतरिक एप्लिकेशन सर्वर तक LAN पहुंच हो।
प्रति समूह कम से कम दो ऐप कनेक्टर तैनात करें और सुनिश्चित करें कि प्रत्येक कनेक्टर समान एप्लिकेशन गंतव्य तक पहुँच सके। PoP लगातार कनेक्टर की स्वास्थ्य और प्रदर्शन का मूल्यांकन करता है और उपलब्ध कनेक्टर्स के बीच स्वीकृत सत्रों का वितरण करता है।
क्लाउड तैनाती के लिए, कनेक्टर्स को अलग उपलब्धता क्षेत्र या क्षेत्र में रखें ताकि एकल बुनियादी ढांचे के स्थान पर निर्भरता को कम किया जा सके। भौतिक तैनाती के लिए, कनेक्टर्स को अलग अलग रैक, पावर डोमेन, या विफलता क्षेत्र में रखें।
ऐप कनेक्टर फेलओवर को एप्लिकेशन एक्सेस को 30 सेकंड के भीतर पुनर्स्थापित करने के लिए डिज़ाइन किया गया है। सत्र स्थिरता एप्लिकेशन प्रोटोकॉल और सत्र स्थिति पर निर्भर करती है, और कुछ सक्रिय सत्रों को पुनःस्थापित करने की आवश्यकता हो सकती है।
जल्द आ रहा है: एचए जोड़ी में अद्वितीय भौतिक ऐप कनेक्टर Cato सॉकेट्स के लिए समर्थन।