Vai al contenuto

Link permanente della pagina

Utilizza sempre il seguente link permanente quando fai riferimento a questa pagina. Rimarrà invariato nelle versioni future della guida.

https://docs.sophos.com/central/customer/help/it-it/index.html?contextId=9ecf1faf-99ac-4a47-a513-42b2f7e90e2f

Aggiungi risorse

Occorre ora aggiungete le risorse (app e pagine web) alle quali gli utenti accederanno attraverso il gateway.

L’agente ZTNA intercetta il traffico solo in base al nome di dominio completo (FQDN). Gli utenti devono accedere alle app utilizzando il nome di dominio completo (FQDN) esterno dell’app, non l'indirizzo IP.

Se si aggiunge una risorsa che reindirizza l’utente a un URL diverso dopo l’autenticazione o che si collega ad altre risorse, è necessario aggiungere anche queste risorse. Ad esempio, se si aggiungono wiki.mycompany.net e i collegamenti wiki ai ticket di Jira, bisogna aggiungere jira.mycompany.net.

Puoi implementare l’uso di Protected Browser per l’accesso senza agente ad applicazioni e risorse. Vedere Implementazione di Protected Browser.

Come aggiungere risorse

Per istruzioni dettagliate per gateway on-premise e per Sophos Cloud Gateway, cliccare di seguito sulla scheda corrispondente al proprio tipo di distribuzione

Per aggiungere risorse, procedere come segue:

  1. Selezionare Prodotti > ZTNA > Risorse e accesso e cliccare su Aggiungi risorsa.

    Pagine delle risorse.

  2. In Aggiungi risorsa, procedere come segue:

    1. Inserire un nome e una descrizione per la risorsa.
    2. Verificare che l’opzione Mostra risorsa nel portale utenti sia selezionata.

    Finestra di dialogo Aggiungi risorsa.

  3. Specificare il tipo di accesso e i dettagli della risorsa come segue:

    1. Seleziona un Gateway.
    2. In Metodo di accesso, selezionare Agente per accedere alla risorsa con l'agente ZTNA o Senza agente per accedere alla risorsa senza. Selezionare anche il Criterio da applicare.
    3. Selezionare il Tipo di risorsa (ad esempio Applicazione web).

    4. Immettere l’FQDN esterno e l’Indirizzo FQDN/IP interno della risorsa.

      Avviso

      Se è stato selezionato l'accesso senza agente, l'FQDN esterno deve essere disponibile pubblicamente. Se è stato selezionato l’accesso con agente, l’FQDN esterno non deve essere disponibile pubblicamente.

      Nota

      Non è necessario aggiungere un FQDN interno o un indirizzo IP. Lasciando vuoto il campo Indirizzo FQDN/IP interno, viene aggiunto automaticamente l’FQDN esterno.

    5. Fornire il tipo e il numero di porta (ad esempio, HTTPS e la porta 443 per un’app web).

      Per concedere l’accesso a una risorsa, si possono utilizzare fino a 20 porte TCP e UDP. È possibile aggiungere un intervallo di porte separato da virgole. Esempio: TCP 26-27, 20-24.

  4. In Assegna gruppi di utenti, selezionare i gruppi disponibili che richiedono accesso alla risorsa. Spostarli in Gruppi di utenti assegnati e selezionarli.

    Impostazioni per i gruppi di utenti.

    Nota

    Se in un secondo momento si dovesse modificare il nome di un gruppo di utenti di Microsoft Entra ID (Azure AD) assegnato, l’elenco non verrà aggiornato. Gli utenti non potranno accedere all'app e si dovrà assegnare nuovamente il gruppo.

  5. Cliccare su Salva.

  6. Verificare di poter accedere all’app aggiunta.

    È possibile verificare il certificato SSL e assicurarsi che sia lo stesso certificato con caratteri jolly che è stato caricato sul gateway.

  7. Ripetere i passaggi precedenti per tutte le risorse alle quali questa risorsa potrebbe reindirizzare l’utente.

    Nota

    Per modificare o rimuovere le informazioni relative a una risorsa, selezionare Risorse e accesso e cliccare sul nome della risorsa per aprire i Dettagli delle risorse.

Nota

Se si utilizzano applicazioni sensibili alla latenza, come le condivisioni di file tramite CIFS o SMB, si consiglia di utilizzare gateway on-premise per ottenere maggiori livelli di performance.

Per aggiungere risorse, procedere come segue:

  1. Selezionare Prodotti > ZTNA > Risorse e accesso e cliccare su Aggiungi risorsa.

    Pagine delle risorse.

  2. In Aggiungi risorsa, procedere come segue:

    1. Inserire un nome e una descrizione per la risorsa.
    2. Verificare che l’opzione Mostra risorsa nel portale utenti sia selezionata.

    Finestra di dialogo Aggiungi risorsa.

  3. Specificare il tipo di accesso e i dettagli della risorsa come segue:

    1. Seleziona un Gateway.
    2. In Metodo di accesso, selezionare Agente per accedere alla risorsa con l'agente ZTNA o Senza agente per accedere alla risorsa senza. Selezionare anche il Criterio da applicare.

    3. Selezionare il Tipo di risorsa (ad esempio Applicazione web).

      Tipi di risorse per ZTNA.

    4. Immettere l’FQDN esterno e l’Indirizzo FQDN/IP interno della risorsa.

      Avviso

      Se è stato selezionato l'accesso senza agente, l'FQDN esterno deve essere disponibile pubblicamente. Se è stato selezionato l’accesso con agente, l’FQDN esterno non deve essere disponibile pubblicamente.

    5. Fornire il tipo e il numero di porta (ad esempio, HTTPS e la porta 443 per un’app web).

      Per concedere l’accesso a una risorsa, si possono utilizzare fino a 20 porte TCP e UDP. È possibile aggiungere un intervallo di porte separato da virgole. Esempio: TCP 26-27, 20-24.

  4. In Assegna gruppi di utenti, selezionare i gruppi disponibili che richiedono accesso alla risorsa. Spostarli in Gruppi di utenti assegnati e selezionarli.

    Impostazioni per i gruppi di utenti.

    Nota

    Se in un secondo momento si dovesse modificare il nome di un gruppo di utenti di Microsoft Entra ID (Azure AD) assegnato, l’elenco non verrà aggiornato. Gli utenti non potranno accedere all'app e si dovrà assegnare nuovamente il gruppo.

  5. Cliccare su Salva.

    Verrà visualizzata una finestra popup Risorsa aggiunta, che indica il Dominio dell’alias.

  6. Verificare che il Dominio dell’alias sia uguale a quello generato durante la configurazione del gateway.

    Nota

    Se il Metodo di accesso è Agente, il dominio alias non verrà generato.

  7. Verificare di poter accedere all’app aggiunta.

    È possibile verificare il certificato SSL e assicurarsi che sia lo stesso certificato con caratteri jolly che è stato caricato sul gateway.

  8. Ripetere i passaggi precedenti per tutte le risorse alle quali questa risorsa potrebbe reindirizzare l’utente.

Nota

Il pool di connessioni per le risorse può essere disattivato. Per informazioni dettagliate, vedere Sophos Central: Impostazioni ZTNA .

Voci DNS

Le risorse senza agente e quelle basate su agente richiedono voci DNS diverse.

Risorse senza agente

  • Quando si aggiunge un FQDN per il Sophos Cloud Gateway, verrà generato un dominio dell’alias per il gateway. Dovrà essere aggiunto come record CNAME sul proprio server DNS pubblico.

  • Quando si aggiunge un FQDN per la risorsa, verrà generato un dominio dell’alias per la risorsa. Dovrà essere aggiunto come record CNAME sul proprio server DNS pubblico.

Quando si accede a una risorsa tramite il rispettivo FQDN, si verrà reindirizzati sul dominio dell’alias.

Risorse basate su agente

  • Quando si aggiunge un FQDN per il Sophos Cloud Gateway, verrà generato un dominio dell’alias per il gateway. Dovrà essere aggiunto come record CNAME sul proprio server DNS pubblico.

  • Non verrà generato un dominio dell’alias per le risorse basate su agente. Pertanto, non bisogna aggiungere record CNAME per le risorse.

  • Evitare di aggiungere voci DNS con caratteri jolly.

Accesso basato su IP

Se un utente prova ad accedere a una risorsa interna digitandone l’indirizzo IP nel browser, l’utente raggiungerà direttamente la risorsa, senza passare attraverso ZTNA. Per assicurarsi che gli utenti aprano la risorsa interna tramite FQDN, è possibile aggiungere delle regole firewall.

Controller di dominio come risorsa basata su agente

Occorre definire il proprio controller di dominio come risorsa basata su agente, per offrire una connettività fluida alle risorse alle quali è collegato.

Nota

È possibile aggiungere più controller di dominio.

Tipo di risorsa impostato su Controller di dominio.

Quando si imposta il Tipo di risorsa su Controller di dominio (DC), l’elenco di porte predefinito viene popolato automaticamente con alcune porte predefinite. È possibile modificare l’elenco per aggiungere porte personalizzate.

Le porte da aggiungere sono le seguenti:

TCP: 53, 80, 88, 135, 139, 389, 443, 464, 636, 3268, 3269 e 49152-65535.

UCP: 88, 389, 464, 636, 4389 e 63664.

Nota

Assicurarsi di verificare e aggiungere le giuste porte personalizzate di cui si ha bisogno. È anche possibile inviare una richiesta di funzionalità per aggiungere un nuovo tipo di risorsa integrata, dalla pagina Sophos Community: Sophos ZTNA.

Il FQDN esterno deve essere il FQDN esterno del controller di dominio, non del dominio radice.

I record del Servizio DNS (SRV) che individuano i server per servizi specifici vengono aggiunti automaticamente sotto Impostazioni avanzate del controller di dominio. Questi record possono essere aggiornati.

Impostazioni avanzate del Controller di dominio.

È anche possibile aggiungere ulteriori record. Per farlo, inserire le seguenti informazioni:

  • Servizi: il servizio di dominio fornito dal controller di dominio, ad esempio LDAP o Kerberos.
  • Nome dominio: Il nome DNS utilizzato nella query SRV per il servizio.
  • Protocollo: il protocollo di trasporto utilizzato dal servizio, ad es. TCP o UDP.
  • Numeri di porta: la porta di rete utilizzata dal servizio sul controller di dominio. Stabilisce la porta in cui il servizio è in ascolto, ad esempio sulla porta 389 per LDAP o sulla porta 88 per Kerberos.
  • Priorità: la priorità determina quale controller di dominio viene utilizzato per primo quando sono presenti più record SRV. A valori più bassi corrisponde una priorità più alta.
  • Peso: controlla come viene condiviso il traffico tra controller di dominio con la stessa priorità. Un valore più alto significa che il controller di dominio viene selezionato più frequentemente per il bilanciamento del carico. Ad esempio, i controller con pesi pari a 60 e 40 vengono selezionati circa il 60% e il 40% delle volte.
  • TTL: specifica per quanto tempo il record viene memorizzato nella cache, in secondi. Il valore predefinito è 86400 secondi (24 ore). Con valori più bassi, le modifiche entrano in vigore più rapidamente.

Nota

  • Se si configura un controller di dominio con un FQDN esterno, occorre verificare la correttezza dei nomi di dominio per i singoli record SRV nelle impostazioni avanzate.
  • Quando si aggiornano le porte nelle impostazioni avanzate, è necessario controllare che vengano indicate le giuste porte nel campo delle porte per la risorsa.

Sotto Assegna gruppi di utenti, assicurarsi di assegnare tutti i gruppi di utenti che potrebbero richiedere l’accesso alle risorse collegate al proprio controller di dominio.

Tipico caso di utilizzo

In questo esempio viene illustrato in dettaglio come utilizzare più controller di dominio per il bilanciamento del carico e il backup.

Occorre configurare due controller di dominio per lo stesso dominio e assegnarvi la stessa priorità, ma pesi diversi.

Esempio
  • Il controller di dominio A ha priorità 1, e peso pari a 60
  • Il controller di dominio B ha priorità 1, e peso pari a 40

Quando viene richiesto un servizio come LDAP, l’agente ZTNA restituisce entrambi i controller nella risposta SRV. Per via della ponderazione, il controller di dominio A viene utilizzato più spesso del controller di dominio B. Questo aiuta a distribuire il traffico tra i controller di dominio.

È anche possibile configurare un controller di dominio di backup in una posizione diversa per mantenere l’accesso qualora i controller di dominio primari non dovessero essere disponibili. In questo scenario, occorre impostare un controller di dominio C con priorità 2, ovvero una priorità inferiore.

In questo caso, normalmente i controller di dominio A e B gestiranno tutte le richieste. Il controller di dominio C verrà utilizzato solo se gli altri controller di dominio non rispondono.