この記事では、Cato Private Accessアーキテクチャにおけるアプリケーションコネクタの役割と、プライベートアプリケーションへのアクセスのためのエンドツーエンドのトラフィックフローを説明します。 DNS解決、CGNAT、アプリケーションコネクタグループの負荷均等や高可用性の仕組みが、ユーザー接続を安全に仲介し、内部アプリケーションへ接続する方法について説明します。
概観
管理者がCato管理アプリケーション（CMA）でプライベートアプリケーションを公開すると、そのアプリケーションはアプリケーションコネクタグループに関連付けられ、公表されたドメイン、内部の宛先、使用可能なポートおよびプロトコルによって定義されます。 Cato PoPはZTNAブローカーとして、プライベートアクセス制御プレーンに公開されたアプリケーションを登録し、公開されたアプリケーションドメインに合成IPアドレスを割り当てます。 このIPアドレスはCato仲介アーキテクチャ内でアプリケーションを表し、ユーザーが直接アプリケーションの内部IPアドレスを知ったり接続したりしないようにします。
すべての公開されたプライベートアプリケーションへのアクセスはユーザーによって開始され、Cato Cloudによって仲介されます。
制御プレーンはユーザーのアイデンティティを検証し、プライベートアクセス・ポリシーを評価して、要求されたアプリケーション、ポート、プロトコルが承認されているかどうかを判断します。
データプレーンは承認されたトラフィックをCato Cloudと選択されたアプリケーションコネクタ経由で内部アプリケーションサーバーに輸送します。
認可されていないアプリケーションの要求は、アプリケーション環境へのセッションが確立される前に拒否されます。
トラフィックフロー
ユーザーはCatoクライアント、または他のサポートされたアクセス方法を使用してCato SASE Cloudに接続します。
ユーザーはCato DNSサービスに公開されたアプリケーションドメインに対するDNS要求を送信することで、公開されたプライベートアプリケーションにアクセスしようとします。
Cato PoP（ZTNAブローカー）：
要求されたドメインに関連するプライベートアプリケーションを識別します。
認証済みのユーザーが、そのドメインで公開されたアプリケーションにアクセスする資格があるかどうかを判断するためにプライベートアクセス・ポリシーを評価します。
Cato DNSは、認可結果に基づいて要求を処理します。
ユーザーが認可された場合、Cato DNSは公開されたアプリケーションドメインに割り当てられた合成（CGNAT）IPアドレスを返します。
ユーザーが認可されていない場合、Cato DNSは要求を拒否します
ドメインは解決されず、アプリケーション環境へのセッションは確立されません。ユーザーは返された合成IPアドレスへの接続を開始します。 Cato Cloudはセッションを承認します。
関連付けられたアプリケーションコネクタグループから最適なアプリケーションコネクタを選択します。
認可されたユーザーセッションを、アプリケーションコネクタによって確立されたアウトバウンドDTLSトンネルを通じて内部アプリケーションに接続します。
アプリケーションコネクタは、内部DNSの解決が必要な場合に、内部アプリケーションの宛先を解決し、ローカルネットワークを通じてトラフィックを内部アプリケーションサーバーに転送します。
全体のフローで、アイデンティティ検証、DNS認可、ポートとプロトコルの施行、およびセッション仲介がCato Cloudによって実行されます。 ユーザーは、公開されたアプリケーションドメインに割り当てられた合成IPアドレスと通信し、アプリケーション環境への直接ネットワーク到達性を得ることはありません。
DNSとアプリケーションコネクタ
DNSは、内部アプリケーションのアドレスを公開することなく、公開されたプライベートアプリケーションに認可されたユーザーを結びつけます。 ユーザーデバイスは、公開されたアプリケーションドメインのクエリがPoPによって処理されるように、10.254.254.1のCato DNSサービスを使用しなければなりません。
アプリケーションコネクタは、内部アプリケーションの解決のために別のDNSパスを使用します。 デフォルトでは、DHCPを使用してLAN IPアドレス、デフォルトゲートウェイ、内部DNSサーバーを取得します。 内部アプリケーションがFQDNによって識別される場合、アプリケーションコネクタは内部DNSサーバーを使用してローカルネットワークを通じてアプリケーションを解決します。
近日公開： DHCPのない環境での静的LAN IPとDNS設定のサポート。
CGNATとIP抽象化
プライベートアプリケーションがアプリケーションコネクタグループを通じて公開されると、PoPがそれをプライベートアクセス制御プレーンに登録し、アカウントのプライベートアプリケーションCGNAT範囲からユニークな合成IPアドレスを割り当てます。 この合成IPはCato Cloud内部のアプリケーションを表し、ユーザーから内部IPアドレスを隠します。
これらの範囲は顧客ネットワークの範囲や他のCatoサービスの範囲と重複してはならず、必要に応じてカスタマイズできます。
ユーザーは内部アドレスではなく、公開されたドメインと合成IP表現を通じてアプリケーションにアクセスします。
この抽象化は、合併や買収のようにアドレススペースが重複する環境で特に有用です。ネットワークを再アドレスすることなくアプリケーションを公開できます。
既知の制限：合成IPアドレスはCatoによって自動的に生成され、ネットワークポリシーのルールで直接参照するためには公開されません。
アプリケーションコネクタグループ
アプリケーションコネクタグループは、Cato Cloudと複数のプライベートアプリケーションとの間の論理接続レイヤーです。 プライベートアプリケーションは個々のアプリケーションコネクタではなく、グループに関連付けられ、各アプリケーションは一度に一つのアプリケーションコネクタグループを通じて公開されます。
注:アプリケーションコネクタグループには最大10のアプリケーションコネクタを含めることができます。
PoPはグループ内のコネクタを常にプローブして、可用性とパフォーマンスを評価します。 各承認されたセッションに対して、PoPは最適なコネクタを選択し、そのコネクタを通してセッションを内部アプリケーションに接続します。
複数のアプリケーションコネクタグループは、プロダクション、災害復旧、クラウド、またはオンプレミスネットワークのように、別々の環境、地域、またはセキュリティゾーンを表現するために使用できます。 プライベートアプリケーションに関連付けられたグループは、アプリケーションへLANを経由して到達できるコネクタを少なくとも一つ含まなければなりません。 各アプリケーションは、一度に一つのアプリケーションコネクタグループにのみ公開されます。
ベストプラクティス：プライベートアプリケーションをグループを通じて公開する前に、アプリケーションコネクタを展開し、接続してください。 グループ内のどのコネクタも接続されていない場合、プライベートアプリケーションは使用不可になり、無効状態として表示されます。
自動フェイルオーバー
アプリケーションコネクタが使用できなくなると、プライベートアプリケーションへのアクセスを維持します。 PoPは常にアプリケーションコネクタグループのコネクタをプローブし、その可用性とパフォーマンスを評価します。
コネクタが到達不能になると、PoPは新しいセッションに対してそれを選択せず、次の利用可能なコネクタにルートします。 既存のセッションは、新しく選択されたコネクタを通して再確立する必要があるかもしれません。
フェイルオーバーはアプリケーションコネクタグループ内で自動的に発生し、管理者の介入を必要としません。 少なくとも一つのコネクタがグループに接続され、内部アプリケーションサーバーへのLAN到達性を持つ限り、プライベートアプリケーションは利用可能なままです。
地域またはクラウド環境全体で可用性を維持するために、アプリケーションをホストする各環境にアプリケーションコネクタを展開します。 コネクタは、対応するプライベートアプリケーションに関連付けられたアプリケーションコネクタグループに属し、そのアプリケーションインスタンスへのLAN到達性を持たなければなりません。
高可用性
高可用性は、同じアプリケーションコネクタグループに複数のアプリケーションコネクタを展開することで達成されます。 プライベートアプリケーションは個々のコネクタではなく、グループに関連付けられるため、少なくとも一つのコネクタが接続され、内部アプリケーションサーバーへのLAN到達性を持てば、アプリケーションアクセスを継続できます。
グループごとに少なくとも二つのアプリケーションコネクタを展開し、各コネクタが同じアプリケーションの宛先に到達できることを確認してください。 PoPは常にコネクタの健全性とパフォーマンスを評価し、利用可能なコネクタ全体に承認されたセッションを分配します。
クラウド展開の場合、単一のインフラロケーションに依存しないように、コネクタを別々の可用性ゾーンや地域に配置します。 物理展開では、コネクタを別々のラック、電源ドメイン、またはフェイルゾーンに配置します。
アプリケーションコネクタのフェイルオーバーは、30秒以内にアプリケーションアクセスを回復するように設計されています。 セッションの継続性はアプリケーションプロトコルとセッション状態に依存し、一部のアクティブなセッションは再確立する必要があるかもしれません。
近日公開： HAペアでの冗長物理アプリケーションコネクタCatoソケットのサポート。