Secure Access Service Edge：配置辦公應用

支援添加的辦公應用類型

• 使用私網IP或者私網網域名稱可訪問的應用

  企業私網應用是為企業員工辦公所使用的內部應用服務、伺服器或資料庫等IT資源，只允許特定使用者訪問該應用。

• 使用公網IP或者公網網域名稱可訪問的應用（已配置白名單訪問機制）

  企業對公網應用地址配置了白名單訪問機制，例如通過ECS安全性群組或者Cloud Firewall的存取控制策略，只允許特定的IP段訪問該應用。

添加辦公應用

當您將企業辦公應用添加到SASE上，基於對所有應用採用零信任的安全原則，SASE預設建立一條禁止所有訪問的策略。所以您在添加應用後，還需要配置對應用訪問的允許存取策略。具體操作，請參見配置零信任策略。

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇內網訪問 > 應用管理。

3. 在辦公應用頁面，單擊添加應用，根據如下步驟配置應用。

   支援手動設定和大量匯入兩種方式：

   • 手動設定

     1. 在手動設定頁簽，根據如下表格說明設定基礎配置參數。

        配置項	說明
        應用程式名稱	應用的名稱。 長度為2~100個字元，支援輸入漢字、字母、數字、中劃線（-）、底線（_）和半形句號（.）。
        標籤	應用的自訂標籤，方便您對應用進行分類、搜尋和管理。 說明 您可以添加自訂標籤，方便您對應用進行分類、搜尋和管理，也可以直接使用系統預設標籤。
        狀態	應用的啟用或禁用狀態。

     2. 單擊下一步，根據如下表格說明設定應用地址資訊。

        配置項	說明
        應用地址	填寫待SASE訪問的企業辦公應用地址、連接埠資訊、及其協議類型。 應用地址支援以下類型： 如果辦公應用地址是精確IP。例如“10.10.XX.XX”。 如果辦公應用地址是IP段。例如“10.0.0.0/8”、“172.16.0.0/12”、“192.168.0.0/24”。 如果辦公應用地址是精確網域名稱。例如“www.aliyun.com”。 如果辦公應用地址是泛網域名稱。例如填寫泛網域名稱“*.aliyun.com”，則根據您填寫的連接埠資訊匹配“*.aliyun.com”的子網域名稱，確定SASE可以訪問該泛網域名稱下的某些子網域名稱。 連接埠號碼的填寫方式如下： 如果辦公應用使用的連接埠號碼是連續的，您可以配置連接埠號碼的範圍。例如80~8080連接埠，表示80~8080的全閉合區間。 如果辦公應用使用的連接埠號碼是不連續的，您可以添加多個連接埠號碼。例如80、8080。 如果辦公應用使用的是一個連接埠號碼，您只需要將開始端點口寫一樣即可。例如80。 支援應用的協議類型： TCP協議 UDP協議
        連接埠
        協議
        進階設定 > web應用訪問加固	如果您需要對Web應用的訪問流量進行安全校正或者訪問溯源，可以配置如下安全強化策略。 安全校正 針對Host要求標頭進行檢測，防止惡意繞過 訪問溯源 HTTP header中增加使用者名稱等資訊用於訪問溯源

   • 大量匯入

     1. 在大量匯入頁簽，單擊模板下載。

     2. 單擊上傳本地檔案，上傳已填寫的模板檔案。

        說明

        支援XLSX檔案，檔案的上限為100 MB。

4. 單擊確定。

   建立成功的企業辦公應用會在應用列表顯示。

應用網域名稱解析

網域名稱解析策略

1. 企業員工（內網訪問終端使用者）發起網域名稱解析請求，優先去Alibaba Cloud DNS PrivateZone進行網域名稱解析記錄查詢，並返回解析結果。

   說明

   如果您的業務組網中接入了PrivateZone，則SASE會自動同步PrivateZone的解析資料，您無需在SASE控制台上配置PrivateZone資訊。關於PrivateZone的詳細介紹，請參見內網DNS解析簡介。

2. 若網域名稱解析請求未在PrivateZone內擷取到解析結果，則判斷是否配置了自訂DNS解析（預設DNS服務和其他DNS服務），若配置了則將此請求轉寄至自訂DNS解析，並返回解析結果。

   • 如果企業員工未在SASE App上切換DNS服務，則使用預設DNS服務來解析網域名稱。

   • 如果企業員工在SASE App上切換到指定DNS服務，則使用指定的DNS服務來解析網域名稱。

3. 若未配置自訂DNS解析，則此網域名稱解析請求會發送至ECS執行個體配置的預設DNS解析，並返回解析結果。

配置自訂DNS服務

1. 在辦公應用頁面，單擊內網DNS配置。

2. 在DNS地址對話方塊，配置預設DNS服務和其他DNS服務。

   一個DNS服務可以配置多個伺服器IP，如果一個伺服器IP解析失敗，會將網域名稱解析請求發送到該DNS服務的其他伺服器進行解析。

   

為辦公應用添加白名單

什麼情況下需要為應用添加白名單

如果業務中無需對個別辦公應用的網路流量進行安全分析與審計，可以通過白名單配置，將該應用的IP或者網域名稱地址加入內網訪問白名單。加入白名單後，該應用的網路流量不經過SASE。

例如，您在辦公應用管理中配置了泛網域名稱*.abc.com，但是子網域名稱123.abc.com的業務流量因為企業認為是安全的，無需SASE分析與審計，則可以為子網域名稱123.abc.com配置白名單。

配置辦公應用白名單

支援對需要加白的應用IP或者網域名稱添加到辦公應用白名單，可添加多個辦公應用，例如添加多個IP或者IP段、多個網域名稱或者萬用字元網域名稱。關於白名單配置的詳細操作，請參見配置內網訪問白名單。

刪除和編輯辦公應用

您可以根據實際情況，執行如下操作：

• 編輯：單擊詳情，在詳情面板，查看指定的企業辦公應用資訊，或者修改應用資訊。

• 刪除：單擊刪除，刪除指定的企業辦公應用。

  重要

  企業辦公應用被刪除後，企業員工將無法訪問該應用。請謹慎操作。