【华北区交付直播】某高校零信任交付直播

一、项目背景客户之前使用H3C的vpn用于远程办公场景，但由于很多老师不习惯使用客户端，想要通过浏览器直接访问内网业务，实现无感知访问。
二、需求分析[size=18.6667px]1.项目分析
[size=18.6667px]1.1客户内网部署有统一身份认证平台，部分系统和统一身份认证系统实现单点登录。
[size=18.6667px]1.2客户需要发布的资源有图书馆资产、普通web资产（有通过ip地址访问的业务和带域名的业务地址）。对于图书馆资产客户同意可以使用客户端发布，但是web资源一定要使用浏览器。
[size=18.6667px]1.3有ldap服务器，直接对接用户
[size=18.6667px]1.4软件方式部署，部署在vmware的虚拟机上
[size=18.6667px]

[size=18.6667px]2.实现方式

[size=18.6667px]2.1[size=18.6667px]使用Open LDAP方式获取外部用户

[size=18.6667px]2.2Atrust和统一身份认证平台使用cas的认证方式对接

[size=18.6667px]2.3图书馆资源发布隧道资源，使用客户端访问。web资源发布普通资源，对于之前使用ip地址访问的业务，后端使用ip地址，前端使用内网业务域名地址，将内网业务域名地址的A记录指向代理网关（100.100.100.2[size=18.6667px]）；或者前后端配置域名，在控制中心host写ip和域名对应信息，[size=18.6667px]将内网业务域名地址的A记录指向代理网关（100.100.100.2）[size=18.6667px]。这样就可以实现客户在外网使用浏览器无感知正常访问内网资源。注意开放端口，[size=18.6667px]业务系统使用的是什么端口，就需要把代理网关的端口放通。[size=18.6667px]流量路径为：公网浏览器打开test.edu.cn（内网发布的资源域名）-->跳转到零信任的公网接入域名[size=18.6667px]atrust.edu.cn-->跳转到统一身份认证平台公网地址-->认证通过后使用代理网关的公网ip地址代理访问内网业务。

[size=18.6667px]2.4参考软件部署文档，按照规划ip地址配置，使用分离式部署

三、地址规划（ip非真实）

	内网ip	外网ip	公网域名	开放端口
控制中心	172.16.1.1	100.100.100.1	atrust.edu.cn	100.100.100.1的443；
代理网关	172.16.1.2	100.100.100.2	gateway.edu.cn	100.100.100.1的80，441，443

四、详细配置

[size=18.6667px]1.地址配置

登录后台，配置默认路由和地址

1.1代理网关

1.2控制中心

2.导入ldap

3.cas票据认证

4.资源发布

4.1新建资源

同时DNS服务器上配置域名到代理网关的公网ip地址信息

4.2用户授权

[size=18.6667px]

五、系统验证

登录网址会自动跳转到统一身份认证平台

点击直接跳转到业务系统

六、问题排障

1.发布3个web资源，其中1个成功，两个未成功

经排查发现代理网关到资源不通。代理网关本身是无任何拦截的，后排查发现是内部网络通信问题。

2.变更零信任控制中心和代理网关的ip地址

如果变更ip地址使用前端配置的话，不同网段配置直接写默认路由会冲突，此时应该写静态路由，可以找400协助。也可以进入后台重新配置新地址。