001.SASE-VPN部署实施指南

一    SASE-VPN概述

1.1    SASE-VPN简介

Sangfor Private Access (SPA) 基于SASE架构的新一代VPN：SASE-SPA。

采用以用户和应用程序为中心的方法来访问私有应用程序。

作为一项完全云交付的服务，SPA 通过在单个设备和应用程序之间创建安全隧道，确保只有授权用户才能访问

特定的私有应用程序。

SPA 不依赖于物理或虚拟设备，而是使用轻量级软件将应用程序和用户连接到 SASE 云平台。

二    SASE-VPN部署

2.1    前置准备

本指南基于软件BYOD引流器进行引流，通过SPA实现位于UCloud公有云上海区域的私有应用的访问，主要前置准备如下：

组件	IP	作用	系统	配置
连接器	172.16.10.240	SPA连接器	CentOS 8.5 64位	2C4G
Web应用服务器	172.16.10.101	Web网站	CentOS 8.5 64位	2C4G

2.1.1    Web应用部署

略，可参考 Nginx虚拟主机 搭建。

2.2    SASE-VPN部署流程

SASE-VPN部署流程主要有以下四个步骤：

1. 登录SASE控制台

2. 创建/部署连接器

3. 配置内网应用

4. 配置内网访问策略

2.3    登录云图

登录 深信服云图 ，选择 云安全访问服务，点击进入。

提示：需要提前注册云图账号，并申请开通云安全访问服务。

申请及注册参考：深信服云图

2.4    连接器

2.4.1    新增连接器

使用SPA租户登录租户平台，进入导航---->策略配置---->连接器。

创建连接器。

输入连接器名称，如：xhycon

提示：连接器操作中，对于删除连接器，必须保证该连接器没有任何关联的应用。

即必须先删除内网应用，才可删除连接器。

2.4.2    部署连接器

1. 下载连接器

使用SPA租户登录租户平台，进入导航---->策略配置---->连接器，选择所需的连接器，下载连接器。

2. 准备系统环境

准备相应的Linux环境，当前SPA支持CentOS 7.9及以上，Ubuntu 5.2.1及以上。

本指南依据前置准备所述创建相应资源。

3. 上传部署包

将连接器部署包上传至连接器服务器。

4. 正式安装连接器

解压tar包后正式安装。

1. [root@sase-spa ~]# tar -xf connector-xhycon.tar
   
2. [root@sase-spa ~]# ll
   
3. total 30M
   
4. -rw-r--r-- 1 root root 30M Mar 10 16:39 connector-xhycon.tar
   
5. drwxr-xr-x 4 root root 139 Dec 16 17:54 target
   
6. 
   
7. [root@sase-spa ~]# cd target/
   
8. [root@sase-spa target]# ls
   
9. conf  connector  connector.service  install.sh  mdbg  README.md  update.sh  upgrade
   
10. 
    
11. [root@sase-spa target]# ./install.sh                                #执行安装脚本

复制代码

5. 关闭防火墙及SELinux

连接器需要和POP节点互通，需要防火墙放通connector.service服务。

本指南直接关闭防火墙和SELinux。

1. [root@sase-spa ~]# systemctl disable firewalld.service --now                        #关闭防火墙
   
2. [root@sase-spa ~]# setenforce 0                                                     #临时将SELinux设置为宽容模式
   
3. [root@sase-spa ~]# sed -i 's/=enforcing/=disabled/g' /etc/selinux/config            #永久关闭SELinux

复制代码

6. 启动连接器

启动连接器，并确认服务状态。

1. [root@sase-spa ~]# systemctl enable connector --now
   
2. 
   
3. [root@sase-spa ~]# systemctl status connector.service
   
4. ● connector.service
   
5.    Loaded: loaded (/etc/systemd/system/connector.service; enabled; vendor preset: disabled)
   
6.    Active: active (running) since Thu 2022-03-10 17:09:24 CST; 4min 23s ago
   
7. Main PID: 26620 (connector)
   
8.     Tasks: 8 (limit: 24074)
   
9.    Memory: 25.0M
   
10.    CGroup: /system.slice/connector.service
    
11.            └─26620 /opt/sangfor/spa-connector/connector/connector
    
12. 
    
13. Mar 10 17:09:24 sase-spa systemd[1]: connector.service: Succeeded.
    
14. Mar 10 17:09:24 sase-spa systemd[1]: Stopped connector.service.
    
15. Mar 10 17:09:24 sase-spa systemd[1]: Starting connector.service...
    
16. Mar 10 17:09:24 sase-spa systemd[1]: Started connector.service.

复制代码

2.5    内网应用

2.5.1    新增内网应用组

使用SPA租户登录租户平台，进入导航---->策略配置---->内网应用，可选创建应用分组。

输入应用分组名称，如测试应用。

2.5.2    新增内网应用

新增内网应用，输入相关应用名称、分组等。

协议：支持http、https、tcp、udp协议。

http协议默认端口80、https默认端口为443。

选择tcp和udp协议支持自定义端口号。

本指南创建如下应用：

名称：测试应用

分组：测试应用组

协议：HTTP

应用地址：172.16.10.101

连接器：xhycon

提示：支持配置iP、ip端 或域名，如选择协议为tcp及udp协议，则不支持配置域名。

对于TCP/UDP的协议，支持设定端口，一行输入一个，最多可支持128行，支持设定端口范围为1-65535。

2.6    用户管理

2.6.1    创建用户/组

配置策略需要关联至对应用户/组，本指南提前创建用于测试的允许访问用户和禁止访问用户。

分别创建允许访问用户组和禁止访问用户组。


分别创建允许访问用户user01和禁止访问用户user02，分别归属对应的用户组。

2.7    配置策略

使用SPA租户登录租户平台，进入导航---->策略配置---->内网访问---->内网访问策略界面，新增策略。

本指南创建如下对应用户组的相关策略，同时后续在访客组中新增的用户及分组都会自动继承该访问策略。

2.7.1    允许访问策略

策略名称：允许访问策略

描述信息：允许访问Web应用

启/禁用：选择启用

动作：允许

适应用户：user01(允许访问用户)、允许访问用户组-后续新增子组/用户

选择应用：测试应用

2.7.2    禁止访问策略

策略名称：禁止访问策略

描述信息：禁止访问Web应用启/禁用：选择启用

动作：拒绝

适应用户：user02(禁止访问用户)、禁止访问用户组-后续新增子组/用户

选择应用：测试应用

提示：支持选个单个应用、多个应用、应用组。

内网访问策略中存在一条默认策略，默认禁止所有用户访问。

内网访问策略同时设置多条访问策略时，优先执行的访问策略优先级高（自上往下）的访问策略。

可以通过拖拽操作列项来修改访问策略优先级。

默认访问策略的优先级无法进行修改。

三    SASE-VPN验证

3.1    下载BYOD引流器

本指南采用软件BYOD引流插件实现引流，在未引流使用sase-spa之前，无法直接访问内网应用。

使用SPA租户登录租户平台，进入导航---->策略配置---->通用---->下载中心界面，下载对应版本的引流器软

件。

3.2    安装BYOD引流器

直接保持默认配置进行安装。

3.3    测试内网Web应用

3.3.1    测试正常访问策略

使用user01登录，测试是否能直接访问内网应用。

内网Web应用： http://172.16.10.101

访问 http://127.0.0.1:30001 ，确认BYOD引流插件已接入。

直接访问内网Web应用：http://172.16.10.101，确认正常访问。

3.3.2    测试禁止访问策略

使用SPA租户登录租户平台，进入导航---->接入管理---->客户端配置，高级设置中开启终端防注销和临时注销密码保护。

使用设置的注销密码注销user01，然后采用使用user02登录，测试是否能直接访问内网应用。

内网Web应用： http://172.16.10.101


再次访问内网Web应用：http://172.16.10.101，确认无法访问。

提示：

更多 BYOD 客户端操作参考 SASE_BYOD_用户手册 。

每日打卡，谢谢大佬分享。。。

楼主的文章图文并茂，清晰易懂，看完这波操作可以轻松上手了，如遇到问题再向楼主请教~

坚持每日打卡，感谢楼主分享

每日一学，坚持打卡。

感谢分享，有助于工作，学习了！！！

每日打卡，谢谢大佬分享。

每日打卡，谢谢大佬分享。

看完这波操作可以轻松上手了，如遇到问题再向楼主请教~

每日打卡，谢谢大佬分享。