一、项目背景客户之前使用H3C的vpn用于远程办公场景,但由于很多老师不习惯使用客户端,想要通过浏览器直接访问内网业务,实现无感知访问。
二、需求分析[size=18.6667px]1.项目分析
[size=18.6667px]1.1客户内网部署有统一身份认证平台,部分系统和统一身份认证系统实现单点登录。
[size=18.6667px]1.2客户需要发布的资源有图书馆资产、普通web资产(有通过ip地址访问的业务和带域名的业务地址)。对于图书馆资产客户同意可以使用客户端发布,但是web资源一定要使用浏览器。
[size=18.6667px]1.3有ldap服务器,直接对接用户
[size=18.6667px]1.4软件方式部署,部署在vmware的虚拟机上
[size=18.6667px]
[size=18.6667px]2.实现方式
[size=18.6667px]2.1[size=18.6667px]使用Open LDAP方式获取外部用户
[size=18.6667px]2.2Atrust和统一身份认证平台使用cas的认证方式对接
[size=18.6667px]2.3图书馆资源发布隧道资源,使用客户端访问。web资源发布普通资源,对于之前使用ip地址访问的业务,后端使用ip地址,前端使用内网业务域名地址,将内网业务域名地址的A记录指向代理网关(100.100.100.2[size=18.6667px]);或者前后端配置域名,在控制中心host写ip和域名对应信息,[size=18.6667px]将内网业务域名地址的A记录指向代理网关(100.100.100.2)[size=18.6667px]。这样就可以实现客户在外网使用浏览器无感知正常访问内网资源。注意开放端口,[size=18.6667px]业务系统使用的是什么端口,就需要把代理网关的端口放通。[size=18.6667px]流量路径为:公网浏览器打开test.edu.cn(内网发布的资源域名)-->跳转到零信任的公网接入域名[size=18.6667px]atrust.edu.cn-->跳转到统一身份认证平台公网地址-->认证通过后使用代理网关的公网ip地址代理访问内网业务。
[size=18.6667px]2.4参考软件部署文档,按照规划ip地址配置,使用分离式部署
三、地址规划(ip非真实)
| 内网ip | 外网ip | 公网域名 | 开放端口 |
控制中心 | 172.16.1.1 | 100.100.100.1 | atrust.edu.cn | 100.100.100.1的443; |
代理网关 | 172.16.1.2 | 100.100.100.2 | gateway.edu.cn | 100.100.100.1的80,441,443 |
四、详细配置[size=18.6667px]1.地址配置
登录后台,配置默认路由和地址
1.1代理网关
1.2控制中心
2.导入ldap
3.cas票据认证
4.资源发布
4.1新建资源
同时DNS服务器上配置域名到代理网关的公网ip地址信息
4.2用户授权
[size=18.6667px]
五、系统验证登录网址会自动跳转到统一身份认证平台
点击直接跳转到业务系统
六、问题排障1.发布3个web资源,其中1个成功,两个未成功
经排查发现代理网关到资源不通。代理网关本身是无任何拦截的,后排查发现是内部网络通信问题。
2.变更零信任控制中心和代理网关的ip地址
如果变更ip地址使用前端配置的话,不同网段配置直接写默认路由会冲突,此时应该写静态路由,可以找400协助。也可以进入后台重新配置新地址。