Ressourcen hinzufügen

Jetzt fügen Sie die Ressourcen (Anwendungen und Webseiten) hinzu, auf die Benutzer über das Gateway zugreifen.

Der ZTNA-Agent fängt den Datenverkehr ausschließlich auf FQDN-Basis ab. Benutzer müssen über den externen FQDN der Anwendung auf Anwendungen zugreifen, nicht über die IP-Adresse.

Wenn Sie eine Ressource hinzufügen, die den Benutzer nach der Authentifizierung zu einer anderen URL umleitet oder die mit anderen Ressourcen verknüpft ist, fügen Sie diese Ressourcen ebenfalls hinzu. Wenn Sie beispielsweise wiki.mycompany.net und die Wiki-Links zu jira-Tickets hinzufügen, fügen Sie jira.mycompany.net hinzu

Sie können die Verwendung von Protected Browser für den agentenlosen Zugriff auf Anwendungen und Ressourcen erzwingen. Siehe Protected Browser erzwingen.

Wie Sie Ressourcen hinzufügen

Um Schritt-für-Schritt-Anleitungen für lokale Gateways und Sophos Cloud Gateways zu erhalten, klicken Sie unten auf die Registerkarte für Ihren Bereitstellungstyp.

Lokales GatewaySophos Cloud Gateway

Um Ressourcen hinzuzufügen, gehen Sie folgendermaßen vor:

Gehen Sie zu Meine Produkte > ZTNA > Ressourcen und Zugriff und klicken Sie auf Ressource hinzuzufügen.
Verfahren Sie unter Ressource hinzuzufügen wie folgt:
1. Geben Sie einen Namen und eine Beschreibung für die Ressource ein.
2. Stellen Sie sicher, dass die Option Ressource im Benutzerportal anzeigen ausgewählt ist.
Geben Sie den Zugriffstyp und die Ressourcendetails wie folgt an:
1. Wählen Sie ein Gateway aus.
2. Wählen Sie unter Zugriffsmethode die Option Agent, um mit dem ZTNA-Agenten auf die Ressource zuzugreifen, oder Agentenlos, um ohne Agenten auf die Ressource zuzugreifen. Wählen Sie auch die anzuwendende Richtlinie aus.
3. Wählen Sie die Ressourcentyp ein (zum Beispiel Web-Anwendung).
4. Geben Sie die Werte für Externer FQDN und Interner FQDN/IP-Adresse der Ressource ein.
  
  Warnung
  
  Wenn Sie agentenlosen Zugriff ausgewählt haben, muss der externe FQDN öffentlich verfügbar sein. Wenn Sie Zugriff mit Agenten ausgewählt haben, darf der externe FQDN nicht öffentlich verfügbar sein.
  
  Hinweis
  
  Sie müssen keinen internen FQDN oder eine IP-Adresse hinzufügen. Wenn Sie das Feld Interner FQDN/IP-Adresse leer lassen, wird der externe FQDN automatisch hinzugefügt.
5. Geben Sie Porttyp und Portnummer an (zum Beispiel für eine Web-App: HTTPS und Port 443).
  
  Sie können für den Zugriff auf eine Ressource bis zu 20 TCP- und UDP-Ports verwenden. Sie können einen durch Komma getrennten Portbereich hinzufügen. Beispiel: TCP 26-27, 20-24.
Wählen Sie unter Benutzergruppen zuweisen die verfügbaren Gruppen aus, die Zugriff auf die Ressource benötigen. Verschieben Sie sie in zugewiesene Benutzergruppen und wählen Sie sie aus.

Hinweis

Wenn Sie den Namen einer zugewiesenen Microsoft Entra ID (Azure AD)-Benutzergruppe später ändern, wird die Liste nicht aktualisiert. Benutzer können nicht auf die Anwendung zugreifen und Sie müssen die Gruppe erneut zuweisen.
Klicken Sie auf Speichern
Überprüfen Sie, ob Sie auf die hinzugefügte Anwendung zugreifen können.

Sie können das SSL-Zertifikat überprüfen und sicherstellen, dass es dasselbe Wildcard-Zertifikat ist, das auf das Gateway hochgeladen wurde.
Wiederholen Sie die obigen Schritte für alle anderen Ressourcen, zu denen diese Ressource den Benutzer weiterleiten könnte.

Hinweis

Um Ressourceninformationen zu bearbeiten oder zu entfernen, gehen Sie zu Ressourcen und Zugriff und klicken Sie auf den Namen der Ressource, um Ressourcendetails zu öffnen.

Hinweis

Bei latenzempfindlichen Anwendungen wie CIFS- oder SMB-Dateifreigaben empfehlen wir für eine bessere Performance die Verwendung von lokalen Gateways.

Um Ressourcen hinzuzufügen, gehen Sie folgendermaßen vor:

Gehen Sie zu Meine Produkte > ZTNA > Ressourcen und Zugriff und klicken Sie auf Ressource hinzuzufügen.
Verfahren Sie unter Ressource hinzuzufügen wie folgt:
1. Geben Sie einen Namen und eine Beschreibung für die Ressource ein.
2. Stellen Sie sicher, dass die Option Ressource im Benutzerportal anzeigen ausgewählt ist.
Geben Sie den Zugriffstyp und die Ressourcendetails wie folgt an:
1. Wählen Sie ein Gateway aus.
2. Wählen Sie unter Zugriffsmethode die Option Agent, um mit dem ZTNA-Agenten auf die Ressource zuzugreifen, oder Agentenlos, um ohne Agenten auf die Ressource zuzugreifen. Wählen Sie auch die anzuwendende Richtlinie aus.
3. Wählen Sie die Ressourcentyp ein (zum Beispiel Web-Anwendung).
4. Geben Sie die Werte für Externer FQDN und Interner FQDN/IP-Adresse der Ressource ein.
  
  Warnung
  
  Wenn Sie agentenlosen Zugriff ausgewählt haben, muss der externe FQDN öffentlich verfügbar sein. Wenn Sie Zugriff mit Agenten ausgewählt haben, darf der externe FQDN nicht öffentlich verfügbar sein.
5. Geben Sie Porttyp und Portnummer an (zum Beispiel für eine Web-App: HTTPS und Port 443).
  
  Sie können für den Zugriff auf eine Ressource bis zu 20 TCP- und UDP-Ports verwenden. Sie können einen durch Komma getrennten Portbereich hinzufügen. Beispiel: TCP 26-27, 20-24.
Wählen Sie unter Benutzergruppen zuweisen die verfügbaren Gruppen aus, die Zugriff auf die Ressource benötigen. Verschieben Sie sie in zugewiesene Benutzergruppen und wählen Sie sie aus.

Hinweis

Wenn Sie den Namen einer zugewiesenen Microsoft Entra ID (Azure AD)-Benutzergruppe später ändern, wird die Liste nicht aktualisiert. Benutzer können nicht auf die Anwendung zugreifen und Sie müssen die Gruppe erneut zuweisen.
Klicken Sie auf Speichern

Es wird ein Popup-Fenster Ressource hinzugefügt angezeigt, in dem die Alias-Domäne angezeigt wird.
Stellen Sie sicher, dass die Alias-Domäne der Domäne entspricht, die beim Einrichten des Gateways generiert wurde.

Hinweis

Wenn Ihre Zugriffsmethode Agent lautet, wird die Alias-Domäne nicht generiert.
Überprüfen Sie, ob Sie auf die hinzugefügte Anwendung zugreifen können.

Sie können das SSL-Zertifikat überprüfen und sicherstellen, dass es dasselbe Wildcard-Zertifikat ist, das auf das Gateway hochgeladen wurde.
Wiederholen Sie die obigen Schritte für alle anderen Ressourcen, zu denen diese Ressource den Benutzer weiterleiten könnte.

Hinweis

Sie können die Ressourcenverbindungs-Bündelung deaktivieren. Weitere Informationen finden Sie unter Sophos Central: ZTNA-Einstellungen.

DNS-Einträge

Die DNS-Einträge, die für agentenlose und agentenbasierte Ressourcen erforderlich sind, sind unterschiedlich.

Agentenlose Ressourcen

Wenn Sie einen FQDN für das Sophos Cloud Gateway hinzufügen, wird eine Gateway-Alias-Domäne generiert. Sie müssen diese als CNAME-Datensatz auf Ihrem öffentlichen DNS-Server hinzufügen.
Wenn Sie einen FQDN für die Ressource hinzufügen, wird eine Ressourcen-Alias-Domäne generiert. Sie müssen diese als CNAME-Datensatz auf Ihrem öffentlichen DNS-Server hinzufügen.

Wenn Sie über ihren FQDN auf eine Ressource zugreifen, werden Sie zur Alias-Domäne umgeleitet.

Agentenbasierte Ressourcen

Wenn Sie einen FQDN für das Sophos Cloud Gateway hinzufügen, wird eine Gateway-Alias-Domäne generiert. Sie müssen diese als CNAME-Datensatz auf Ihrem öffentlichen DNS-Server hinzufügen.
Für agentenbasierte Ressourcen wird keine Alias-Domäne generiert. Daher sollten Sie keine CNAME-Datensätze für Ressourcen hinzufügen.
Fügen Sie keine DNS-Einträge mit Platzhaltern hinzu.

IP-basierter Zugriff

Wenn ein Benutzer versucht, auf eine interne Ressource zuzugreifen, indem er seine IP-Adresse in den Browser eingibt, wechselt der Benutzer direkt zu der Ressource und umgeht ZTNA. Um sicherzustellen, dass Benutzer über FQDN auf die interne Ressource zugreifen, können Sie Firewallregeln hinzufügen.

Domänen-Controller als agentenbasierte Ressource

Sie müssen Ihren Domänen-Controller als agentenbasierte Ressource definieren, um eine nahtlose Konnektivität zu den dahinterliegenden Ressourcen zu gewährleisten.

Hinweis

Sie können mehrere Domänen-Controller hinzufügen.

Wenn Sie den Ressourcentyp auf Domänen-Controller (DC) festlegen, wird die Standardportliste automatisch mit einigen der Standardports ausgefüllt. Sie können die Liste bearbeiten, um benutzerdefinierte Ports hinzuzufügen.

Folgende Ports sollten Sie hinzufügen:

TCP: 53, 80, 88, 135, 139, 389, 443, 464, 636, 3268, 3269 und 49152-65535.

UCP: 88, 389, 464, 636, 4389 und 63664.

Hinweis

Stellen Sie sicher, dass Sie die korrekten benutzerdefinierten Ports überprüfen und hinzufügen. Sie können auch eine Feature Request zum Hinzufügen eines neuen integrierten Ressourcentyps stellen in Sophos Community: Sophos ZTNA.

Der externe FQDN sollte der externe FQDN des Domänen-Controllers sein, nicht der der Stammdomäne.

Die DNS-Dienst (SRV)-Einträge, die Server für spezifische Dienste ermitteln, werden automatisch unter Erweiterte Domänencontroller-Einstellungen hinzugefügt. Sie können diese Einträge aktualisieren.

Sie können auch zusätzliche Einträge hinzufügen. Geben Sie dazu folgende Informationen ein:

Dienste: Der vom Domänen-Controller bereitgestellte Domänendienst, zum Beispiel LDAP oder Kerberos.
Domänenname: Der in der SRV-Abfrage für den Dienst verwendete DNS-Name.
Protocol: Das vom Dienst verwendete Transportprotokoll, beispielsweise TCP oder UDP.
Portnummern: Der vom Dienst auf dem Domänen-Controller verwendete Port. Dies legt fest, wo der Dienst lauscht, zum Beispiel Port 389 für LDAP oder Port 88 für Kerberos.
Priorität: Die Priorität bestimmt, welcher Domänen-Controller zuerst verwendet wird, wenn mehrere SRV-Einträge vorhanden sind. Niedrigere Werte weisen auf eine höhere Priorität hin.
Gewichtung: Steuert, wie der Traffic zwischen Domänen-Controllern mit gleicher Priorität aufgeteilt wird. Ein höherer Wert bedeutet, dass der Domänen-Controller häufiger für das Load Balancing ausgewählt wird. Beispielsweise werden Controller mit Gewichtungen von 60 und 40 in etwa 60 Prozent bzw. 40 Prozent der Fälle ausgewählt.
TTL: Gibt an, wie lange der Eintrag zwischengespeichert wird (in Sekunden). Der Standardwert beträgt 86.400 Sekunden (24 Stunden). Niedrigere Werte bewirken, dass Änderungen schneller wirksam werden.

Hinweis

Wenn Sie einen Domänen-Controller mit einem externen FQDN konfigurieren, müssen Sie sicherstellen, dass die Domänennamen für einzelne SRV-Einträge unter den erweiterten Einstellungen korrekt sind.
Beim Aktualisieren der Ports unter den erweiterten Einstellungen müssen Sie sicherstellen, dass die richtigen Ports im Feld „Ports“ für die Ressource angezeigt werden.

Stellen Sie unter Benutzergruppen zuweisen sicher, dass Sie alle Benutzergruppen zuweisen, die möglicherweise Zugriff auf Ressourcen hinter Ihrem Domänen-Controller benötigen.

Anwendungsbeispiel

In diesem Beispiel wird detailliert beschrieben, wie Sie mehrere Domänen-Controller für Load Balancing und Datensicherung verwenden.

Sie konfigurieren zwei Domänen-Controller für dieselbe Domäne und weisen ihnen dieselbe Priorität, aber unterschiedliche Gewichtungen zu.

Beispiel

Domänen-Controller A hat die Priorität 1 und die Gewichtung 60.
Domänen-Controller B hat die Priorität 1 und die Gewichtung 40.

Wenn ein Dienst wie LDAP angefordert wird, gibt der ZTNA-Agent beide Controller in der SRV-Antwort zurück. Aufgrund der Gewichtung wird Domänen-Controller A häufiger genutzt als Domänen-Controller B. Dies trägt zur Verteilung des Traffic zwischen den Domänen-Controllern bei.

Sie können auch einen Backup-Domänen-Controller an einem anderen Standort konfigurieren, um den Zugriff aufrechtzuerhalten, falls Ihre primären Domänen-Controller nicht verfügbar sind. In diesem Szenario konfigurieren Sie den Domänen-Controller C mit der Priorität 2, was einer niedrigeren Priorität entspricht.

In diesem Fall bearbeiten die Domänen-Controller A und B normalerweise alle Anfragen. Domänen-Controller C wird nur dann verwendet, wenn die anderen Domänen-Controller nicht antworten.