← Справочные архитектуры / reference-architecture / diagrams / sase

Zero Trust и виртуальная инфраструктура рабочих столов

Инфраструктура виртуальных рабочих столов (VDI) считается устаревшей, дорогой и неудобной по ряду причин: низкое удобство для пользователей, высокие первоначальные вложения, постоянные эксплуатационные расходы и многое другое, подробнее о чем можно прочитать здесь ↗. Мы понимаем сложности, с которыми сталкиваются многие организации и из-за которых они продолжают использовать этот подход. Данная референсная архитектура описывает, как решение Cloudflare Zero Trust помогает организациям защищать инфраструктуру виртуальных рабочих столов (VDI) и в большинстве случаев полностью отказаться от нее. Многие организации используют дорогую и малопроизводительную VDI только для того, чтобы предоставить удаленным пользователям безопасный веб-браузер. В таких случаях Cloudflare помогает полностью отказаться от VDI для веб-приложений и SaaS-приложений.

В других случаях для устаревших приложений может понадобиться полноценный виртуализированный рабочий стол, но организациям всё равно нужна помощь в защите удалённого доступа к VDI или в защите самих виртуализированных рабочих столов при работе пользователей. В этом документе приведены справочные материалы и рекомендации по использованию сервисов Cloudflare Zero Trust, разделённые на два основных раздела.

• Замена VDI для безопасного удалённого доступа к веб-приложениям. Разворачивать полноценную среду рабочего стола только ради запуска браузера неудобно для пользователей. Cloudflare предлагает гораздо более удобный способ удалённого доступа к веб-приложениям и при этом обеспечивает более высокий уровень безопасности.
• Защита ваших VDI-рабочих столов...
  • От несанкционированного доступа.
  • От небезопасных общедоступных интернет-ресурсов.

Эта эталонная архитектура предназначена для ИТ-специалистов и специалистов по безопасности, которые рассматривают Cloudflare для замены или защиты своей инфраструктуры виртуальных рабочих столов (VDI). Для более прочного базового понимания Cloudflare рекомендуем следующие материалы:

• Запись блога Decommissioning your VDI ↗
• Использование Secure Web Gateway от Cloudflare с PAC-файлами для VDI

Сегодня большинство приложений и сервисов, на которые полагаются компании, доступны через веб-браузер и часто предоставляются SaaS поставщиком. В таких случаях VDI избыточен и представляет собой крайне дорогой и обременительный способ дать удалённому пользователю защищённый браузер. Поэтому многие организации переходят на альтернативы, такие как Remote Browser Isolation ↗ (RBI). Такие сервисы снижают затраты и накладные расходы, обеспечивают более удобный пользовательский опыт и, что особенно важно, надёжную защиту и журналирование.

На диаграмме выше показан общий путь трафика пользователя: от локального браузера к удалённому браузеру Cloudflare, а затем к приложениям, размещённым в их инфраструктуре, через защищённый туннель. На рисунке 2 ниже показано, как пользователи могут получать доступ к приложениям с помощью изоляции браузера, напрямую через браузер либо, если требуется более высокий уровень конфиденциальности и защиты трафика, с помощью нашего агента устройства, создающего туннель от устройства к Cloudflare. Оба способа обеспечивают безопасный доступ к внутренним и внешним ресурсам.

Вариант 1: RBI без клиента

• Агент на устройстве не требуется
• URL-адрес RBI можно защитить с помощью Политика Access с аутентификацией
• Более простой способ начать внедрение Cloudflare Zero Trust при отказе от VDI
• Отличный вариант для доступа сторонних подрядчиков, которые не могут устанавливать программное обеспечение на свои устройства

Вариант 2: RBI через агент устройства

• Предоставляет полный набор функций безопасности, включая проверку состояния устройства, раздельное туннелирование и возможность использовать сервис Secure Web Gateway для фильтрации трафика, направленного в интернет.
• Более надёжное конечное состояние, к которому можно перейти после того, как у пользователей и внутренних команд появятся отработанные процессы и уверенность
• Собирайте метрики конечных пользователей о качестве работы, надежности и производительности

Если замена VDI невозможна, а для устаревших приложений требуется полностью виртуализированный рабочий стол, на помощь приходит решение Cloudflare Платформа SASE ↗ по-прежнему может помогать защищать эти среды, авторизуя доступ к ним с помощью политик Zero Trust на основе идентификации, а также защищая исходящий интернет-трафик самих устройств.

На диаграмме выше показано типовое развёртывание Zero Trust с использованием рекомендуемых практик аутентификации удалённых пользователей для доступа к инфраструктуре VDI

1. Устройство пользователя отправляет трафик в сеть Cloudflare через защищённый туннель с помощью агента устройства.
2. Трафик, предназначенный для ресурсов VDI, попадает под действие политик ZTNA, где он проверяется по любой комбинации критериев условного доступа, включая состояние устройства, идентичность, а также контекст или тип трафика.
3. Трафик, прошедший политики ZTNA, допускается к ресурсам VDI, после чего пользователь может обычным образом работать с VDI.

Этой модели также могут пригодиться приведённые ниже варианты, показывающие, как фильтровать трафик, исходящий от хостов VDI (см. ниже).

Платформа SASE от Cloudflare способна на гораздо большее, чем просто замена VPN и усиление политик для внутренних сервисов. Не менее важно защищать пользователей от посещения сайтов с высоким уровнем риска в интернете. Политики Secure Web Gateway от Cloudflare можно настроить как для фильтрации DNS-запросов, так и для полноценного forward-прокси, который проверяет и сетевой, и HTTP-трафик на пути в открытый интернет.

1. Конфигурации DNS (Resolver IPs, DoH, DoT) или PAC-файлы для Непостоянные среды виртуальной десктопной инфраструктуры (VDI) можно настроить в инфраструктуре или непосредственно на хостах VDI

   a. Конфигурации DNS позволяют применять политики DNS, тогда как файлы PAC поддерживают все типы политик шлюза (DNS, Network и HTTP).

2. Трафик отправляется из VDI в secure web gateway, где он фильтруется по DNS-, сетевым или HTTP-политикам.

3. Трафик отправляется в интернет, если он проходит проверку политиками Gateway

Как видно из примеров, есть несколько способов внедрить сервисы Cloudflare Zero Trust в существующую инфраструктуру VDI: полностью заменить её технологией Remote Browser Isolation или дополнительно защитить её с помощью нашего Доступ или Gateway сервисов.

Чтобы получить более подробную информацию, разъяснения и пошаговые инструкции для плавного перехода, обязательно ознакомьтесь со следующими материалами:

• Запись блога Decommissioning your VDI ↗
• Использование Secure Web Gateway от Cloudflare с PAC-файлами для VDI
• Подключение к сервисам частной сети с помощью Browser Isolation ↗
• Clientless Web Isolation
• Определение случаев использования PAC-файлов
• Конфигурации DNS без агента
• PAC-файлы для HTTP-фильтрации без агента

Как всегда, если у вас возникнут вопросы об этих сервисах, обязательно обратитесь к своей команде Cloudflare или свяжитесь с нами, чтобы поговорите со специалистом ↗.