← Referenční architektury / reference-architecture / diagrams / sase

Přístup k privátním aplikacím bez nutnosti nasazovat klientské agenty

Přístup k privátním prostředkům pomocí Cloudflare, tedy k aplikacím, serverům a sítím, které nejsou přímo vystaveny internetu, obvykle vyžaduje nasazení (agent) zařízením a poté pomocí agenta na straně serveru (cloudflared, Cloudflare Mesh), pro připojení privátní sítě nebo aplikace ke Cloudflare. Tento dokument popisuje alternativní přístup, který odstraňuje potřebu nasazovat software na zařízení uživatele, což usnadňuje umožnění přístupu třetím stranám, jako jsou dodavatelé a partneři.

Pro přístup k interním zdrojům obvykle používáte Cloudflare Zero Trust Network Access ZTNA ↗ která podporuje dva způsoby, jakými zařízení uživatele přistupuje k privátnímu prostředku.

• CNAME záznam ve veřejném DNS, který se překládá na hostname reprezentující Cloudflare tunel a ten požadavek jako proxy směruje do interní aplikace.

• IP adresa zveřejněná přes Cloudflare Tunnel, která provoz opět směruje přímo na tuto IP adresu formou proxy.

Některé organizace nemají rády představu veřejných záznamů DNS, které odkazují na interní služby. I když služby ZTNA poskytují silné zabezpečení přístupu, samotná existence názvu služby ve veřejném DNS někdy není žádoucí. Přímé vystavení IP adres uživatelům je také nevhodné, protože se špatně pamatují a mohou se měnit. Na rozdíl od přístupu k webové aplikaci přes veřejný záznam DNS pomocí naší proxy, aplikace vystavené přes privátní IP adresy navíc vyžadují, aby si uživatel do zařízení nainstaloval agenta, který zachytí provoz a přesměruje ho do Cloudflare, odkud je následně směrován do aplikace. Instalace tohoto agenta může být problematická u třetích stran, jako jsou partneři nebo dodavatelé.

Jak tedy umožnit přístup k privátním prostředkům bez vytváření veřejných záznamů DNS a bez nutnosti instalovat software do zařízení uživatele? Cloudflare tuto výzvu vyřešil pomocí Resolver Policies kde lze využít interní DNS služby. V kombinaci s bezagentním řešením Remote Browser Isolation, je možné vytvořit přístup Zero Trust k privátním webovým aplikacím pouze pomocí moderního webového prohlížeče. Zásady pro řízení přístupu k aplikacím se pak zapisují do naší služby Secure Web Gateway (SWG) jako síťový firewall zásad. Tato metoda podporuje aplikace založené na HTTP, i když Cloudflare poskytuje také službu vykreslování v prohlížeči pro služby SSH a VNC.

Postupujte podle tohoto návod s informacemi, jak nastavit zabezpečený přístup k soukromým webovým prostředkům bez nutnosti nasazovat klientské agenty.

1. Uživatelé zahajují přístup ověřením u Cloudflare Browser Isolation ↗ Jde přitom o prohlížeč běžící na okrajové síti Cloudflare, takže veškeré požadavky budou standardně zpracovávány společností Cloudflare. Obsah se uživateli zpětně vykresluje v prohlížeči prostřednictvím zabezpečených šifrovaných vektorových streamů využívajících kanály HTTPS a WebRTC.
2. Jakmile se uživatel ověří ve vzdáleném prohlížeči, odešle požadavek na interní hostname, což je záznam v interní službě DNS, například https://app.company.internal ↗
3. Cloudflare vyhledá interní hostname pomocí zásady resolveru, a získává privátní IP adresu z interního serveru DNS. Toto překládání DNS probíhá v rámci sítě Cloudflare a nevyžaduje žádné změny DNS klienta v zařízení uživatele.
4. Cloudflare vyhodnocuje zásady síťového firewallu a ověřuje, zda má uživatel oprávnění k přístupu na cílové adresy.
5. Pokud požadavek projde zásadou, odešle se přes zabezpečené QUIC ↗ tunely ke konektorům Cloudflared, odkud je provoz pomocí reverzní proxy směrován na aplikační servery. Všechna data jsou zabezpečeně přenášena přes Cloudflare zpět do prohlížeče uživatele prostřednictvím šifrovaných vektorových streamů.

• Návod: Přístup k webové aplikaci přes její soukromý název hostitele bez Cloudflare One Client