Эта статья объясняет роль коннекторов приложений в архитектуре приватного доступа Cato и сквозной поток трафика для доступа к приватным приложениям. Описание совместной работы разрешения DNS, CGNAT, групп коннекторов приложений, балансировки нагрузки и механизмов высокой доступности для безопасного посредничества пользовательских подключений к внутренним приложениям.
Обзор.
Когда администратор публикует приватное приложение в приложении управления Cato (CMA), приложение ассоциируется с группой коннекторов приложений и определяется опубликованным доменом приложения, внутренним местом назначения, разрешенными портами и протоколами. Cato PoP является брокером ZTNA, который регистрирует опубликованное приложение в контрольной плоскости приватного доступа и назначает генерированный IP-адрес опубликованному домену приложения. Этот IP-адрес представляет приложение в архитектуре, обслуживаемой Cato, и предотвращает возможность пользователей узнать внутренний IP-адрес приложения или напрямую подключиться к нему.
Весь доступ к опубликованным приватным приложениям инициируется пользователем и осуществляется через облако Cato.
Контрольная плоскость проверяет идентификацию пользователя, оценивает политику приватного доступа и определяет, авторизованы ли запрашиваемое приложение, порт и протокол.
Датаплейн транспортирует санкционированный трафик через облако Cato и выбранный коннектор приложения к внутреннему серверу приложения.
Неавторизованные запросы приложений отклоняются до установления сеанса с средой приложения.
Поток трафика
Пользователь подключается к облаку Cato с использованием клиента Cato или другого поддерживаемого метода доступа.
Пользователь пытается получить доступ к опубликованному приватному приложению, отправляя запрос DNS для опубликованного домена приложения в службу DNS Cato.
Cato PoP (брокер ZTNA):
Идентифицирует приватное приложение, ассоциированное с запрашиваемым доменом.
Оценивает Политику приватного доступа, чтобы определить, авторизован ли аутентифицированный пользователь на доступ к приложению, опубликованному с этим доменом.
Служба DNS Cato обрабатывает запрос на основе результата авторизации.
Если пользователь авторизован, служба DNS Cato возвращает синтетический (CGNAT) IP-адрес, назначенный опубликованному домену приложения.
Если пользователь не авторизован, служба DNS Cato отклоняет запрос
Домен не разрешается, и никакой сеанс к среде приложения не устанавливается.Пользователь инициирует подключение к возвращенному синтетическому IP-адресу. Облако Cato санкционирует сессию.
Выбирается оптимальный коннектор приложения из связанной группы коннекторов приложений.
Связывает авторизованный пользовательский сеанс с внутренним приложением через исходящий DTLS-туннель, установленный этим коннектором приложения.
Коннектор приложения разрешает настроенное внутреннее назначение приложения, когда требуется внутреннее разрешение DNS, и пересылает трафик через локальную сеть к внутреннему серверу приложения.
На протяжении всего потока верификация идентичности, авторизация DNS, контроль портов и протоколов, а также брокеринг сеансов осуществляются облаком Cato. Пользователь взаимодействует с синтетическим IP-адресом, назначенным опубликованному домену приложения и не получает прямую доступность сети к среде приложения.
DNS и коннекторы приложений
DNS связывает авторизованных пользователей с опубликованными приватными приложениями без раскрытия внутренних адресов приложений. Устройства пользователей должны использовать службу DNS Cato на 10.254.254.1, чтобы запросы на опубликованные домены приложений обрабатывались PoP.
Коннектор приложения использует отдельный путь DNS для разрешения внутреннего приложения. По умолчанию использует DHCP для получения LAN IP-адреса, шлюза по умолчанию и внутреннего DNS-сервера. Когда внутреннее приложение идентифицируется по FQDN, коннектор приложения использует внутренний DNS-сервер для разрешения приложения через локальную сеть.
Скоро будет: Поддержка статической LAN IP и конфигурации DNS в средах без DHCP.
CGNAT и абстракция IP
Когда приватное приложение публикуется через группу коннекторов приложений, PoP регистрирует его в контрольной плоскости приватного доступа и назначает ему уникальный синтетический IP-адрес из диапазона CGNAT приватного приложения учетной записи. Этот синтетический IP представляет приложение в облаке Cato и скрывает его внутренний IP-адрес от пользователей.
Эти диапазоны не должны пересекаться с диапазонами сетей клиентов или другими диапазонами служб Cato и могут быть настроены при необходимости.
Пользователи получают доступ к приложению через его опубликованный домен и синтетическую IP-репрезентацию, а не через его внутренний адрес.
Это абстрагирование особенно полезно в средах с пересекающимися адресными пространствами, таких как слияния и поглощения, поскольку приложения могут быть опубликованы без изменения адресации базовых сетей.
Известное ограничение: Синтетические IP-адреса автоматически генерируются Cato и не предоставляются для прямой ссылки в правилах политики сети.
Группы коннекторов приложений
Группа коннекторов приложений - логический слой подключений между облаком Cato и набором приватных приложений. Приватные приложения ассоциируются с группой, а не с отдельным коннектором приложения, и каждое приложение может быть опубликовано через одну группу коннекторов приложений за раз.
Примечание: Группа коннекторов приложений может включать до 10 коннекторов приложений.
PoP постоянно проводит зондирование коннекторов в группе и оценивает их доступность и производительность. Для каждой санкционированной сессии PoP выбирает оптимальный коннектор и связывает сессию через этот коннектор с внутренним приложением.
Несколько групп коннекторов приложений могут использоваться для представления отдельных сред, регионов или зон безопасности, таких как производство, восстановление после аварии, облако или локальные сети. Группа ассоциированная с приватным приложением должна содержать хотя бы один коннектор, способный достичь приложения через LAN. Каждое приложение может быть опубликовано только в одной группе коннекторов приложений за раз.
Лучшие практики: разверните и подключите коннекторы приложений перед публикацией приватных приложений через группу. Если ни один коннектор в группе не подключен, приватное приложение недоступно и отображается как отключенное.
Аварийное переключение
Аварийное переключение поддерживает доступ к приватным приложениям, когда коннектор приложения становится недоступным. PoP постоянно проводит зондирование коннекторов в группе коннекторов приложений и оценивает их доступность и производительность.
Если коннектор становится недостижимым, PoP прекращает его выбор для новых сессий и маршрутизирует последующие санкционированные сессии через следующий лучший доступный коннектор в группе. Существующие сеансы могут потребовать повторного установления через вновь выбранный коннектор.
Аварийное переключение происходит автоматически в группе коннекторов приложений и не требует вмешательства администратора. Приватные приложения остаются доступными, если хотя бы один коннектор в группе подключен и имеет доступность LAN к внутреннему серверу приложения.
Для поддержания доступности по регионам или облачным средам разверните коннекторы приложений в каждой среде, где расположено приложение. Коннекторы должны принадлежать группе коннекторов приложений, связанной с соответствующим приватным приложением и иметь доступность LAN к этой инстанции приложения.
Высокая доступность
Высокая доступность достигается развертыванием нескольких коннекторов приложений в одной группе коннекторов приложений. Поскольку приватные приложения ассоциированы с группой, а не с отдельным коннектором, доступ к приложению может продолжаться, пока хотя бы один коннектор остается подключенным и имеет доступность LAN к внутреннему серверу приложения.
Разместите как минимум два коннектора приложений на группу и убедитесь, что каждый коннектор может достигать тех же назначении приложения. PoP постоянно оценивает здоровье и производительность коннекторов и распределяет санкционированные сеансы по доступным коннекторам.
Для облачных развертываний разместите коннекторы в отдельных зонах доступности или регионах, чтобы уменьшить зависимость от одного местоположения инфраструктуры. Для физических развертываний разместите коннекторы в отдельных стеллажах, доменах питания или зонах отказа.
Аварийное переключение коннектора приложения спроектировано для восстановления доступа к приложению в течение 30 секунд. Непрерывность сеанса зависит от протокола приложения и состояния сеанса; некоторые активные сеансы могут потребовать повторного установления.
Скоро будет: Поддержка избыточных физических коннекторов приложения Cato sockets в паре HA.