Что такое приватный доступ Cato?

Обзор

Cato Private Access позволяет обеспечить безопасный доступ к частным приложениям, основанный на идентификации, без расширения вашей сети на пользователей. Вместо предоставления прямой сетевой связности, как традиционный VPN, вы требуете минимально необходимый доступ к приложениям на основе идентификации пользователя и контекста.

Приложения остаются скрытыми и недоступными, если только они явно не авторизованы. Пользователи подключаются к облаку Cato, и авторизованные сеансы безопасно связываются с приложением через исходящие коннекторы приложения. Эта архитектура уменьшает поверхность атаки, ограничивает латеральное перемещение и устраняет необходимость в правилах входящего файервола, рекламных маршрутах или в реконструкции сети.

Приватный доступ предназначен для быстрого внедрения и постепенного принятия. Вы можете включить приложения без изменения топологии WAN или IP-адресации.

Область архитектуры приватного доступа

Приватный доступ Cato предоставляет доступ пользователей к приложению через брокерскую архитектуру. Пользователи не подключаются напрямую к сети, которая размещает приложение. Вместо этого доступ устанавливается только к приложениям, которые явно определены и экспонируются через коннекторы приложения.

Приватный доступ поддерживает доступ, инициированный пользователем только. Приложения не инициируют подключения к пользователям, а серверное соединение или двусторонние коммуникационные паттерны не поддерживаются. Этот дизайн обеспечивает строгое изолирование между пользователями и средами приложений и устраняет необходимость в открытии внутренних сетей или объявлении маршрутов.

По умолчанию приватный доступ использует следующие IP-адреса для интерфейсов управления и приложения соответственно:

• Управление - 100.64.0.0/16. Этот диапазон зарезервирован после развертывания коннектора приложения.

• Приложение - 100.65.0.0/16. Этот диапазон зарезервирован после развертывания приложения на коннекторе приложения.

Если эти адреса уже зарезервированы в вашей сети, вы можете перезаписать эти значения в Ресурс > Системные настройки.

Сценарии, требующие серверного инициирования или двусторонней связи, выходят за пределы области приватного доступа и поддерживаются полной сетевой архитектурой Cato с IPsec и площадками Socket.

Для получения дополнительной информации смотрите Доступ без доверия к приватным приложениям с использованием Cato SASE Cloud.

Лицензирование для приватного доступа

Для получения дополнительной информации о лицензировании для Приватный Доступ к облаку, смотрите эту статью.

Как работает приватный доступ Cato

1. Пользователь подключается к облаку Cato, используя клиент Cato или доступ без клиента.

2. PoP аутентифицирует пользователя и оценивает политику приватного доступа.

3. Если пользователь авторизован, сессия осуществляется через исходящий DTLS-туннель к коннектору приложения.

4. Коннектор приложения проводит трафик локально к приложению.

Приложения никогда не принимают входящие подключения и не выставляются на пользовательские сети. Доступ всегда инициируется пользователем и определяется политикой.

Основные компоненты

Частные Приложения

Приватные приложения представляют внутренние приложения, которые вы публикуете через Cato.

Для каждого приложения вы публикуете внутренние ресурсы безопасно, определяя, как пользователи получают доступ к приложению и какая группа коннекторов обеспечивает авторизованное соединение. Приложения абстрагированы от внутренней IP-адресации, и пользователи получают доступ к опубликованному домену, а не внутренней сети.

Коннекторы приложений

Вы внедряете коннекторы приложений в той же среде, что и защищенное приложение (центр данных, облачный VPC или LAN), чтобы безопасно соединить эту среду с облаком Cato. Каждый коннектор устанавливает исключительно исходящий DTLS-туннель и передает только те сессии, которые были явно авторизованы политикой. Поскольку коннекторы не принимают входящие подключения и не требуют изменений маршрутизации, вы можете ввести приватный доступ без переработки сетевого приложения. Вы можете внедрить несколько коннекторов для увеличения устойчивости и масштаба.

Группы коннекторов приложений

Группы коннекторов приложений логически группируют коннекторы для обеспечения высокой доступности, распределения нагрузки и операционной раздробленности. Приватные приложения прикрепляются к группе коннекторов, а не к конкретному коннектору. Это означает, что если конкретный коннектор испытывает проблему, приложение может автоматически использовать другой доступный коннектор в группе.

Политика Приватного Доступа

Вы используете политику приватного доступа, чтобы контролировать, кто может получить доступ к каким приватным приложениям и на каких условиях. Политика позволяет вам предоставить доступ на уровне приложений на основе идентификации пользователя и контекста, поддерживая позицию по умолчанию - отказ. Авторизация оценивается на PoP до того, как любая сессия будет установлена в среде приложения, гарантируя, что только явно разрешенные подключения передаются к приложению.

Использование случаев

Безопасный доступ к приватным приложениям без изменений в сети

Безопасно экспонируйте внутренние приложения без изменения маршрутизации, рекламирования подсетей или изменения архитектуры WAN.

Приватный доступ не требует правил входящего файервола, использует только исходящие туннели из среды приложения, не требует IP переадресации и не требует включения площадок. Это делает его идеальным для быстрого включения приватных приложений при сохранении существующего сетевого дизайна.

Слияния и поглощения с пересекающимися IP средами

В сценариях M&A пересекающиеся диапазоны IP часто задерживают интеграцию.

Приватный доступ публикует приложения без необходимости переадресации IP, абстрагирует внутреннюю адресацию с помощью CGNAT и DNS-маппинга, и позволяет доступ пользователям без интеграции маршрутизационного домена. Это поддерживает быстрое, не нарушающее включение приобретенных сред.

Если двусторонняя или серверная инициированная соединяемость потребуется позже, вы можете включить среду как полноценную площадку Cato.