← Referenční architektury / reference-architecture / diagrams / sase

Zero Trust a virtuální desktopová infrastruktura

Virtual Desktop Infrastructure (VDI) je zastaralá, nákladná a těžkopádná technologie hned z několika důvodů, mezi něž patří špatná uživatelská zkušenost, vysoké počáteční investice, průběžné provozní náklady a řada dalších, o kterých si můžete podrobně přečíst zde ↗. Uvědomujeme si a chápeme problémy, kvůli kterým mnoho organizací zůstává u tohoto přístupu. Tato referenční architektura popisuje, jak může řešení Cloudflare Zero Trust organizacím pomoci zabezpečit jejich virtuální desktopovou infrastrukturu (VDI) a ve většině případů ji zcela nahradit. Mnoho organizací používá nákladnou a málo výkonnou VDI jen proto, aby svým vzdáleným uživatelům poskytlo zabezpečený webový prohlížeč. V takových případech může Cloudflare pomoci VDI zcela nahradit u webových aplikací nebo aplikací SaaS.

V jiných případech může být u starších aplikací nutná plnohodnotná virtualizovaná plocha, přičemž organizace přesto potřebují pomoc se zabezpečením vzdáleného přístupu k VDI nebo se zabezpečením samotných virtualizovaných ploch při interakci uživatelů s nimi. Tento dokument slouží jako reference a návod pro používání služeb Cloudflare Zero Trust a je rozdělen do dvou hlavních částí.

• Náhrada VDI zajišťujícího zabezpečený vzdálený přístup k webovým aplikacím. Spouštět celé desktopové prostředí jen kvůli použití webového prohlížeče není pro uživatele ideální. Cloudflare nabízí výrazně lepší způsob vzdáleného přístupu k webovým aplikacím, a to s vyšší úrovní zabezpečení.
• Zabezpečení vašich VDI desktopů...
  • Před neoprávněným přístupem.
  • Z rizikových veřejných internetových cílů.

Tato referenční architektura je určena pracovníkům IT a bezpečnostních týmů, kteří zvažují Cloudflare jako náhradu nebo zabezpečení své Virtual Desktop Infrastructure. Pro lepší základní porozumění Cloudflare doporučujeme následující zdroje:

• Ukončení provozu VDI (blogový příspěvek) ↗
• Využití Cloudflare Secure Web Gateway s PAC soubory pro VDI

Ve firemním IT dnes bývá většina aplikací a služeb, na které se firmy spoléhají, dostupná přes webový prohlížeč a často je dodává poskytovatel SaaS. V takových případech je VDI zbytečné a jde o nesmírně nákladný a náročný způsob, jak vzdálenému uživateli poskytnout zabezpečený prohlížeč. Mnoho organizací proto přechází na alternativy, jako je Remote Browser Isolation ↗ (RBI). Tyto služby snižují náklady a režii, zlepšují uživatelský komfort a především nabízejí robustní zabezpečení a možnosti protokolování.

Diagram výše znázorňuje obecný tok uživatelského provozu z lokálního prohlížeče do vzdáleného prohlížeče Cloudflare a odtud přes zabezpečený tunel do aplikací hostovaných v jejich infrastruktuře. Obrázek 2 níže ukazuje, jak mohou uživatelé přistupovat k aplikacím pomocí izolace vzdáleného prohlížeče, a to buď přímo v prohlížeči, nebo, pokud potřebujete vyšší soukromí a zabezpečení provozu, pomocí našeho agenta zařízení, který vytvoří tunel ze zařízení ke Cloudflare. Obě metody poskytují zabezpečený přístup k interním i externím zdrojům.

Možnost 1: Bezklientské RBI

• Agent zařízení není vyžadován
• URL adresu RBI lze chránit pomocí Zásada Access s ověřením
• Jednodušší způsob, jak začít zavádět Cloudflare Zero Trust při postupném opouštění VDI
• Vynikající možnost pro přístup externích dodavatelů, kteří nemohou na svém zařízení instalovat software

Možnost 2: RBI prostřednictvím agenta zařízení

• Poskytuje plnou sadu bezpečnostních funkcí včetně kontrol stavu zařízení, děleného tunelování a možnosti využít službu Secure Web Gateway k filtrování provozu směřujícího do internetu.
• Robustnější cílový stav, ke kterému lze přejít, jakmile jsou u uživatelů a interních týmů vybudovány pracovní postupy a důvěra
• Shromažďujte metriky koncových uživatelů týkající se uživatelské zkušenosti, spolehlivosti a výkonu

Pokud výměna VDI není možností a pro starší aplikace je potřeba plně virtualizovaná plocha, Cloudflare Platforma SASE ↗ může přesto pomoci zabezpečit tato prostředí tím, že přístup k nim autorizuje pomocí zásad Zero Trust založených na identitě, a zároveň zabezpečit provoz směřující z těchto zařízení na internet.

Diagram výše znázorňuje obecné nasazení Zero Trust s využitím osvědčených postupů pro ověřování vzdálených uživatelů vůči infrastruktuře VDI

1. Zařízení uživatele odesílá provoz do sítě Cloudflare přes zabezpečený tunel pomocí agenta zařízení.
2. Provoz směřující ke zdrojům VDI prochází zásadami ZTNA, kde je vyhodnocen podle libovolné kombinace kritérií podmíněného přístupu, včetně stavu zařízení, identity a kontextu nebo typu provozu.
3. Provoz, který projde zásadami ZTNA, smí pokračovat ke zdrojům VDI, kde může uživatel s VDI běžně pracovat.

Tomuto modelu mohou prospět i níže uvedené možnosti, které ukazují, jak filtrovat provoz pocházející z hostitelů VDI (viz níže).

Platforma SASE od Cloudflare umí mnohem více než jen nahradit VPN a posílit politiky pro přístup k interním službám. Stejně důležité je chránit uživatele před přístupem na rizikové stránky na internetu. Politiky v Cloudflare Secure Web Gateway lze nastavit tak, aby filtrovaly DNS požadavky, nebo tak, aby fungovaly jako sofistikovaný plnohodnotný forward proxy, který kontroluje síťový i HTTP provoz směřující na otevřený internet.

1. Konfigurace DNS (IP adresy resolveru, DoH, DoT) nebo Soubory PAC pro Neperzistentní prostředí virtuální desktopové infrastruktury (VDI) lze nakonfigurovat v rámci infrastruktury nebo přímo na hostitelích VDI

   a. Konfigurace DNS umožňuje vynucovat zásady DNS, zatímco soubory PAC umožňují všechny typy zásad brány (DNS, Network a HTTP).

2. Provoz je z VDI odesílán do secure web gateway, kde je filtrován podle zásad DNS, síťových nebo HTTP zásad.

3. Provoz je odeslán do internetu, pokud jej zásady Gateway propustí

Jak jsme si ukázali, existuje několik způsobů, jak služby Cloudflare Zero Trust začlenit do stávajícího VDI: buď jej zcela nahradit technologií Remote Browser Isolation, nebo jej dále zabezpečit pomocí našeho Access nebo Gateway služeb.

Podrobnější souvislosti, vysvětlení a kroky pro plynulou migraci najdete v následujících zdrojích:

• Ukončení provozu VDI (blogový příspěvek) ↗
• Využití Cloudflare Secure Web Gateway s PAC soubory pro VDI
• Připojení k soukromým síťovým službám pomocí Browser Isolation ↗
• Clientless Web Isolation
• Určete, kdy použít soubory PAC
• Bezagentní konfigurace DNS
• Soubory PAC pro bezagentní filtrování HTTP

Pokud k těmto službám budete mít jakékoli dotazy, obraťte se prosím na svůj tým Cloudflare, případně nás kontaktujte a promluvte si s odborníkem ↗.