本帖最后由 贺智文 于 2023-12-1 16:09 编辑
【问题背景】 1. 客户内网研发环境,桌面云虚拟机只有内网权限,想通过零信任接入沙箱获取外网权限。同时针对访问外网的行为做到审计和管控。 【测试思路】 2. PC配置windows全局代理(SG),并且SG只能代理访问互联网资源 3. 零信任发布代理SG隧道资源,发布沙箱关联用户和SG资源 4. 用户登录零信任,沙箱内只能访问SG隧道资源,所有互联网流量通过系统代理设置给到SG代理服务器;本地网络只能访问内网业务,不能访问SG隧道资源。 5. 零信任开启虚拟IP,用户默认以虚拟IP在SG上线认证 【测试步骤】 PC配置到SG的代理,不登录零信任,默认拒绝访问SG 零信任上发布SG资源 新建测试用户 资源关联用户 发布沙箱 开启虚拟IP SG配置代理策略,写上虚拟IP的回包路由指向代理网关内网口 用户登录零信任,打开沙箱,添加浏览器应用,访问互联网正常,本地浏览器无法访问互联网 查看SG上有对应PC的虚拟IP上线 针对虚拟IP段做管控策略,或者虚拟IP关联客户端针对某个虚拟IP管控。如禁止访问互联网。 本地空间默认默认只能访问内网资源 如果需要本地软件访问互联网,可以添加对应进程的出站规则,如:在本地使用todesk
未放通前: 新增向日葵进程放通访问SG,软件配置对应代理,在本地使用正常 |