回帖奖励 10 S豆 回复本帖可获得 1 S豆奖励! 每人限 1 次
【项目案例】深信服 aTrust 零信任本地集群+分布式集群 + 多代理网关高可用架构落地实践
  

yxy 122

{{ttag.title}}
一、项目背景
本次项目为某大型集团企业的零信任改造项目,核心需求如下:

  • 大规模用户接入:厦门总部  + 分支共20000+ 员工,需通过零信任安全访问内部业务系统;
  • 业务高可用保障:避免单点故障,要求控制中心与代理网关均实现多活冗余;
  • 低延迟访问体验:用户分布广,需就近接入、负载均衡,保障业务访问速度;
  • 权限精细化管控:实现基于身份、终端、环境的动态访问控制,替代传统SSL VPN 方案。



最终采用深信服 aTrust 控制中心本地集群+分布式集群 + 多代理网关分层部署架构,解决了大规模用户接入、高可用与低延迟的核心痛点。

整体架构拓扑如下图所示


二、架构设计详解
1. 控制中心分布式集群设计
  • 双本地集群部署:搭建 2 套独立的本地集群(集群 1 含 3 台从节点,集群 2 含 2 台主节点),通过核心交换机实现跨集群联动;
  • AD 调度实现负载分担:依赖 AD 服务器对用户认证请求进行调度,将请求分发至不同集群,实现控制中心层面的负载均衡;
  • 节点冗余保障:单集群内多节点实现主从冗余,任一节点故障时,集群可自动完成角色切换,避免控制中心单点故障;
  • IP 地址规划:控制中心节点均采用 172.2 段内网 IP,通过心跳交换机实现集群内部通信,保障数据同步与状态一致性。



2. 多代理网关分层部署
  • 多实例分布式部署:部署 5 **立的代理网关,每台网关配置独立的虚拟 IP 地址池(如 10.216.0.0/17、10.217.0.0/17 等);
  • 自动就近接入策略:aTrust 客户端通过延迟 / 负载检测,自动选择延迟最低、负载最轻的代理网关建立隧道,实现用户就近接入;
  • 业务访问隔离:不同代理网关的 IP 地址池相互独立,可基于虚拟 IP 实现用户分组、权限隔离,简化业务访问控制策略。



3. 完整业务访问流程
  • 用户认证阶段:外网用户登录 aTrust 客户端,向零信任控制中心发起认证请求;
  • 请求调度阶段:AD 服务器将认证请求调度至控制中心集群,完成身份与终端合规校验;
  • 鉴权结果返回:控制中心校验通过后,向客户端返回鉴权成功结果,并下发可接入的代理网关列表;
  • 隧道建立阶段:客户端对代理网关进行延迟与负载检测,自动选择最优节点建立加密隧道;
  • 业务访问阶段:客户端通过分配的虚拟 IP,访问企业内部服务器,所有流量通过代理网关转发,实现零信任访问。





三、关键配置步骤

步骤 1:控制中心本地集群+分布式集群搭建
  • 部署 5 台 aTrust 控制中心节点,按 2 套本地集群规划 IP 地址与角色;
  • 配置心跳交换机,确保集群节点间的心跳通信与数据同步正常;
  • 在控制中心后台配置 “分布式集群”,添加所有节点,设置主从角色与同步策略;
  • 配置 AD 调度策略,实现用户认证请求在两套集群间的负载分担。



步骤 2:多代理网关配置与 IP 地址池规划
  • 部署 5 台代理网关,接入汇聚交换机,配置与控制中心的通信地址;
  • 为每台代理网关配置独立的虚拟 IP 地址池,避免地址冲突;
  • 在控制中心后台添加代理网关,开启 “自动负载检测” 功能;
  • 配置客户端接入策略,允许客户端自动选择最优代理网关建立隧道。



步骤 3:用户权限与业务资源配置
  • 在控制中心导入用户组织架构,基于用户角色配置业务资源访问权限;
  • 配置终端合规校验策略(如系统版本、杀毒软件状态),实现动态访问控制;
  • 发布内部业务系统资源,关联用户权限,确保用户仅能访问授权资源。





四、实施效果与优化亮点
实施效果
  • 高可用保障:控制中心集群与代理网关均实现多活冗余,单节点故障不影响整体业务;
  • 低延迟访问:用户就近接入最优代理网关,业务访问延迟降低 60% 以上;
  • 大规模接入支撑:成功支撑 20000 + 用户同时在线,无性能瓶颈;
  • 安全合规管控:实现了用户身份、终端状态、访问行为的全流程管控,满足企业安全合规要求。



架构优化亮点
  • 分布式集群 + AD 调度:解决了大规模用户认证请求的负载分担问题,避免单控制中心性能瓶颈;
  • 多代理网关自动选路:无需手动配置用户接入节点,客户端自动选择最优路径,大幅提升用户体验;
  • 虚拟 IP 地址池隔离:不同代理网关使用独立地址池,简化了用户分组与权限管理,也便于后续扩展;
  • 分层架构解耦:控制中心与代理网关分层部署,可独立扩容,后续新增用户或业务时,仅需扩展代理网关即可,无需改动核心控制集群。





五、踩坑记录与排障经验
问题 1:客户端无法自动选择最优代理网关
  • 现象:客户端始终连接同一台代理网关,部分节点负载过高,用户访问延迟高;
  • 根因:代理网关未选择 “时延+负载” 功能;
  • 解决方法:

    • 在控制中心开启代理网关的选路规则 “时延+负载” ;
    • 检查客户端接入配置,确保代理网关列表已正确下发;
    • 调整客户端延迟检测策略,优化选路算法。



问题 2:虚拟 IP 地址池冲突导致用户无法获取 IP
  • 现象:部分用户无法获取虚拟 IP,无法访问业务;
  • 根因:不同代理网关的虚拟 IP 地址池存在重叠,导致 IP 分配冲突;
  • 解决方法:重新规划 IP 地址池,确保各代理网关的地址段无重叠,重新配置后即可恢复。


打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

发表新帖
热门标签
全部标签>
有一说一
标准化排查
信服课堂视频
新版本体验
每日一问
GIF动图学习
纪元平台
功能体验
排障笔记本
技术盲盒
西北区每日一问
产品连连看
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
安装部署配置
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
技术晨报
平台使用
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高手请过招
升级&主动服务
高频问题集锦
社区新周刊
【 社区to talk】
POC测试案例
全能先锋系列
安全效果
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案
2025年技术争霸赛
声音值千金
工具体验官
产品知识周周练
产品体验官
VMware替换

本版版主

4
8
0

发帖

粉丝

关注

702
19
38

发帖

粉丝

关注

本版达人