Zero-Trust-Anwendungsbereitstellung konfigurieren

Die Anwendungsbereitstellung stellt über einen Proxycluster einen Zugang bereit und leitet Anfragen an konfigurierte Ziele weiter. Cluster, Dienst, Anwendung und Zugriffsbeschränkungen sind getrennt vorzubereiten und zu prüfen. Das Erstellen beweist weder online verfügbare Proxys noch DNS-Auflösung, Zertifikate oder Zielerreichbarkeit.

Vorbereitung

• Verwenden Sie ein Superadministratorkonto mit erforderlichen Zero-Trust-Rechten. Lesen, Erstellen, Bearbeiten und Löschen können unterschiedliche Rechte benötigen.
• Klären Sie mit Netzwerk- und Anwendungsadministration Zugriffsdomäne, Proxybereitstellung, Zielprotokoll und Port, Zertifikate sowie zulässige Personen oder Netze. Beginnen Sie mit Testanwendung und kontrolliertem Bereich und holen Sie die Änderungsfreigabe ein.
• Bereiten Sie je nach Ziel Zero-Trust-Knoten oder Netzwerkressourcen vor. Für beschränkten Zugriff auf einen privaten HTTP-Dienst erstellen oder wählen Sie unter Zugriffskontrolle eine Gruppe, öffnen deren Details und fügen mit „Add Endpoints“ autorisierte Testknoten hinzu. Prüfen Sie andere Referenzen vor Gruppenänderungen.
• Prüfen Sie benötigte Zugriffsrichtlinien, Routen, Zielfirewall und Rückweg. Gruppen, Dienstauthentifizierung und Netzrichtlinien haben unterschiedliche Aufgaben; das Speichern einer Einstellung beweist keinen Ende-zu-Ende-Zugriff.

Proxycluster erstellen

1. Öffnen Sie in Zero Trust die Proxycluster der Anwendungsbereitstellung und wählen Sie „Create Proxy Cluster“.
2. Geben Sie Clustername und öffentliche Domäne ein und speichern Sie. Die öffentliche Domäne muss zur Proxybereitstellung passen; klären Sie Domäne, Auflösung und Zertifikate mit den Verantwortlichen.
3. Behandeln Sie den Clustertoken gemäß Anzeige. Der Token wird bei Erstellung nur einmal angezeigt. Übermitteln Sie ihn berechtigten Bereitstellungsmitarbeitern sicher und legen Sie ihn nicht in gewöhnlichen Dokumenten, Chats oder Tickets ab.
4. Stellen Sie Proxyinstanzen nach genehmigtem Verfahren bereit und prüfen Sie Onlineinstanzen und Fähigkeiten. Wartet die Seite auf die Meldung einer Instanz, setzen Sie private Dienste oder benutzerdefinierte Ports nicht als verfügbar voraus. Ein Clusterobjekt startet keine Instanz.

Dienst und Ziele erstellen

1. Öffnen Sie veröffentlichte Dienste und wählen Sie „Create Published Service“. Wählen Sie Cluster, Namen, Veröffentlichungsdomäne und Proxy Mode HTTP, TCP, UDP oder TLS. Prüfen Sie die Domäne gegen Cluster- und Deploymentvorgaben.
2. Bei anderen Modi als HTTP wählen Sie die Portzuweisung und prüfen den Listening-Port. Benutzerdefinierte Ports hängen von gemeldeten Clusterfähigkeiten ab; prüfen Sie Firewall und Konflikte.
3. Fügen Sie unter Ziel ein Ziel hinzu. Typen sind „Endpoint“, „Network Resource“ und „Proxy Host Direct“. Wählen Sie bei Endpunkt oder Ressource das zugehörige Objekt; prüfen Sie bei Nichtverfügbarkeit Status und Referenzen.
4. Geben Sie die Zieladresse ein und prüfen Sie Backendprotokoll und Port. HTTP verwendet http:// oder https:// und bei Bedarf einen Pfad; andere Modi benötigen Host und Port gemäß Anzeige. Prüfen Sie bei referenzierten Endpunkten oder exakten Ressourcen Auswahl und angezeigtes Ziel; ein Beispielhostname ist keine eigenständige Berechtigung.
5. Fügen Sie bei Bedarf weitere Ziele hinzu und prüfen Sie Objekt, Adresse, Port und Dienst einzeln. Beispiele zeigen nur das Format und müssen nicht erreichbar sein. Bei einem HTTP-Dienst muss jeder Zielpfad mit / beginnen und innerhalb des Dienstes eindeutig sein; auch der Standardpfad / ist nur einmal zulässig. Planen Sie vor dem Hinzufügen mehrerer Ziele unterschiedliche Pfade, etwa /reports und /sales, und prüfen Sie jede Weiterleitung. Prüfen Sie bei einem Speicherfehler auf mehrfach verwendetes /.

Sicherheitsgrenze bei Proxy Host Direct: Laut Seite greift der Proxyhost direkt auf das Ziel zu und umgeht Zero-Trust-Routing, Zugriffskontrolle und lokale Netzwerkisolierung; Loopback-, Link-Local- und Multicast-Ziele sind unzulässig. Bewerten Sie erreichbare Netze, Firewall und Zielschutz unabhängig und setzen Sie diese Zero-Trust-Netzkontrollen für den Pfad nicht voraus. Bei einem Hostnamen beweist das Speichern nicht, dass jede vom Proxy tatsächlich aufgelöste Adresse für eine Verbindung zulässig ist. Eine Verbindung kann abgelehnt werden, wenn die Auflösung eine eingeschränkte Loopback-, Link-Local- oder Multicast-Adresse ergibt. Prüfen Sie Namensauflösung und Zielerreichbarkeit in der Umgebung des Proxyhosts und testen Sie nach DNS-Änderungen erneut. Versuchen Sie nicht, Beschränkungen durch Umbenennung zu umgehen.

Zugriff auf HTTP-Dienste

Die Authentifizierungsseite für HTTP bietet unterschiedliche Verfahren. Klären Sie Zielgruppe und Sicherheitsanforderungen:

1. Zero Trust Network Only: Prüfen Sie Onlineinstanzen, privaten Proxymodus und Unterstützung privater Dienste. Aktivieren Sie die Option und wählen Sie mindestens eine vorbereitete Zugriffsgruppe. Laut Seite können nur verbundene und passende Knoten zugreifen; testen Sie passende und nicht passende Knoten.
2. Nicht private Variante: Wählen Sie „No Authentication“, PIN oder „Password“. Geben Sie bei Erstellung oder Wechsel PIN beziehungsweise Passwort ein; PIN besteht aus sechs Ziffern. Prüfen Sie die Sitzungsgültigkeit und verwahren und verteilen Sie Zugangsdaten sicher. Bewerten Sie vor „No Authentication“ Exposition und Risiko; setzen Sie keine automatische Benutzeranmeldung voraus.
3. Gruppenwahl für private Dienste und PIN/Passwort für nicht private Dienste sind unterschiedliche Verfahren. Prüfen Sie nach Wechsel Optionen, Berechtigte und Zugriff erneut. Nicht-HTTP-Modi zeigen diese Authentifizierungsseite nicht; gehen Sie nicht von automatisch gleichem Schutz aus.

Beim Auswählen oder Wechseln zu PIN- oder Passwortauthentifizierung setzt die Seite die Anmeldesitzung auf 86400 Sekunden (24 Stunden). Zulässig sind 60 bis 604800 Sekunden (1 Minute bis 7 Tage). Dies ist der Anfangswert beim Wechsel, nicht zwingend der aktuelle Wert eines bestehenden Dienstes. Legen Sie ihn gemäß den Organisationsvorgaben fest und speichern Sie; prüfen Sie nach einem Moduswechsel Zugangsdaten und Laufzeit erneut.

Beschränkungen und Prüfung

1. Tragen Sie unter „Access Control“ bei Bedarf „Allowed CIDRs“ und „Blocked CIDRs“ ein. Prüfen Sie in erweiterten Einstellungen Ziel-Timeouts, Weiterleitung und weitere Optionen. Eine einzelne Liste belegt das Endergebnis nicht; testen Sie das Deployment.
2. Prüfen Sie Zertifikate und Verbindungsanforderungen des Ziels. Die Seite bietet das Überspringen der Backend-TLS-Prüfung für nicht prüfbare selbstsignierte Zertifikate in kontrollierten internen Netzen. Bewerten Sie Sicherheit vor Aktivierung; verwenden Sie dies nicht standardmäßig zur Fehlersuche.
3. Prüfen Sie vor Speichern Cluster, Domäne, Ziele, Authentifizierung, Gruppen und Netzbeschränkungen. Prüfen Sie danach Aktivierung und Laufzeitstatus. Warten auf Proxy, fehlender Tunnel oder Zertifikatstatus beweisen keine Verfügbarkeit.
4. Prüfen Sie von einem berechtigten Client DNS, Port, Zertifikat, Authentifizierung und Anwendung; testen Sie Beschränkungen von einem nicht berechtigten Client. Testen Sie privaten Zugriff mit passenden und nicht passenden Knoten.
5. Vergleichen Sie Dienst und Zeit in Zugriffsprotokollen und Auditprotokollen. Sie liefern Hinweise auf erfasste Schritte, ersetzen aber keine Zugriffs- und Sicherheitstests.

CIDR-Beispiel: Ist die Erlaubnisliste nicht leer, muss die Quelladresse mindestens einen Eintrag erfüllen; ein Treffer in der Sperrliste wird dennoch abgewiesen. Eine leere Erlaubnisliste beschränkt die Quelle nicht durch diese Liste, andere Kontrollen und die Sperrliste können aber gelten. Bei erlaubtem 10.20.0.0/16 und gesperrtem 10.20.5.0/24 besteht 10.20.4.10 diese CIDR-Prüfung, 10.20.5.10 wird durch die Sperre und 10.21.4.10 wegen fehlender Erlaubnis abgewiesen. Die Adressen sind Beispiele. Vorgelagerte Proxys oder Netzwerkadressübersetzung können die vom Proxy erkannte Quelladresse beeinflussen; prüfen und testen Sie dies in der Installation. Eine bestandene CIDR-Prüfung garantiert keine erfüllte Authentifizierung, Zugriffsgruppe oder Zielverfügbarkeit.

Authentifizierungsspalte einordnen: Bei HTTP-Zugriffen kann die angezeigte Erfolgs- oder Fehlermeldung vom HTTP-Antwortstatus abhängen: 401 oder 403 kann als Fehler erscheinen, andere Status einschließlich Dienstfehlern können als Erfolg erscheinen. Bei Nicht-HTTP-Einträgen wie TCP, UDP oder TLS bedeutet eine Fehleranzeige nicht zwingend, dass eine Benutzerauthentifizierung fehlgeschlagen ist. Bewerten Sie Authentifizierungsart, Antwortcode, Zugriffsquelle und Protokolle der Zielanwendung gemeinsam in kontrollierten Tests; leiten Sie Erfolg, Fehlschlag oder Benutzeridentität nicht allein aus dieser Spalte ab. Die englischen Anzeigen lauten Authentication, Success und Failed.

Änderungen und Fehlerbehebung

• Speichern scheitert: Prüfen Sie Cluster, Name, Domäne, Zielobjekt und Adresse; bei Nicht-HTTP den Port, bei privatem HTTP Onlineinstanz, Fähigkeiten und mindestens eine Gruppe sowie die PIN.
• Erstellt, aber nicht erreichbar: Prüfen Sie Aktivierung und Laufzeit, Proxy, DNS, Port, Firewall, Zertifikat, Ziel und Pfad getrennt.
• Authentifizierung oder Zugriff abweichend: Prüfen Sie privaten Modus oder Authentifizierung, Gruppen, erlaubte und blockierte Netze, andere Richtlinien und Zielschutz. Testen Sie erlaubte und verweigerte Objekte.
• Ändern, deaktivieren oder löschen: Prüfen Sie Referenzen, Benutzer und Geschäftsabhängigkeiten, dokumentieren Sie Einstellungen und folgen Sie der Freigabe. Prüfen Sie anschließend Status, Beschränkungen und Geschäftsergebnis. Behandeln Sie Token und Zugangsdaten sicher.