新增資源

現在，您可以新增資源（應用程式和網頁），使用者可透過閘道存取此資源。

ZTNA 代理程式僅根據FQDN攔截流量。使用者必須使用應用程式的外部 FQDN 存取應用程序，而不是使用 IP 位址。

如果新增的資源在驗證後將使用者重新導向到其他 URL，或者該資源連結到其他資源，則也請新增這些資源。例如，如果您新增了 wiki.mycompany.net 並且 wiki 連結到 jira 票證，則新增 jira.mycompany.net。

您可以強制使用 Protected Browser 來進行對應用程式和資源的無代理程式存取。請參見強制啟用安全瀏覽器。

如何新增資源

要獲取內部部署閘道和 Sophos Cloud 閘道的逐步說明，請按一下下面的部署類型索引標籤

內部部署閘道Sophos Cloud 閘道

若要新增資源，請依照以下步驟操作：

轉至 我的產品 > ZTNA >資源與存取，然後按一下新增資源。
在新增資源中，請執行以下操作：
1. 輸入資源名稱和說明。
2. 檢查是否選取了在使用者入口網站中顯示資源。
按如下所示指定存取類型和資源詳細資料：
1. 選取一個閘道。
2. 在存取方法中，選取代理程式以使用 ZTNA 代理程式存取資源或選取無代理存取資源（在不使用代理程式的情況下存取資源）。同時選取要套用的原則。
3. 選擇資源類型（例如，Web 應用程式）。
4. 輸入資源的外部 FQDN 和內部 FQDN/IP 位址。
  
  警告
  
  如果選擇無代理存取，則外部 FQDN 必須公開供人使用。如果選取了代理存取，則外部 FQDN 不得公開供人使用。
  
  注意
  
  您不需要新增內部 FQDN 或 IP 位址。如果將內部 FQDN/IP 位址欄位留空，則會自動新增外部 FQDN。
5. 提供連接埠類型和編號（例如，Web 應用程式的 HTTPS 和連接埠 443）。
  
  您最多可使用 20 個 TCP 和 UDP 連接埠以提供對此資源的存取。您可以新增逗點分隔的連接埠範圍。範例：TCP 26-27，20-24。
在指派使用者群組中，選中需要存取資源的可用群組。將它們移至已指派的使用者群組並選中它們。

注意

如果您稍後變更已指派的 Microsoft Entra ID (Azure AD) 使用者群組名稱，則清單不會更新。使用者將無法存取應用程式，您必須再次指派群組。
按一下「儲存」
檢查您是否可以存取新增的應用程式。

您可以驗證 SSL 憑證，並確保它與上傳到閘道的萬用字元憑證相同。
針對此資源可能會將使用者重新導向至的任何其他資源，重複上述步驟。

注意

要編輯或移除資源資訊，請移至資源和存取，然後按一下資源名稱以打開資源詳細資料。

注意

如果您使用的是對延遲敏感的應用程序，例如 CIFS 或 SMB 檔案共享，我們建議使用本地網關以獲得更好的效能。

若要新增資源，請依照以下步驟操作：

轉至 我的產品 > ZTNA >資源與存取，然後按一下新增資源。
在新增資源中，請執行以下操作：
1. 輸入資源名稱和說明。
2. 檢查是否選取了在使用者入口網站中顯示資源。
按如下所示指定存取類型和資源詳細資料：
1. 選取一個閘道。
2. 在存取方法中，選取代理程式以使用 ZTNA 代理程式存取資源或選取無代理存取資源（在不使用代理程式的情況下存取資源）。同時選取要套用的原則。
3. 選擇資源類型（例如，Web 應用程式）。
4. 輸入資源的外部 FQDN 和內部 FQDN/IP 位址。
  
  警告
  
  如果選擇無代理存取，則外部 FQDN 必須公開供人使用。如果選取了代理存取，則外部 FQDN 不得公開供人使用。
5. 提供連接埠類型和編號（例如，Web 應用程式的 HTTPS 和連接埠 443）。
  
  您最多可使用 20 個 TCP 和 UDP 連接埠以提供對此資源的存取。您可以新增逗點分隔的連接埠範圍。範例：TCP 26-27，20-24。
在指派使用者群組中，選中需要存取資源的可用群組。將它們移至已指派的使用者群組並選中它們。

注意

如果您稍後變更已指派的 Microsoft Entra ID (Azure AD) 使用者群組名稱，則清單不會更新。使用者將無法存取應用程式，您必須再次指派群組。
按一下「儲存」

您將看到一個已新增資源彈出視窗，其中顯示別名網域。
檢查別名網域是否與設定閘道時產生的別名網域相同。

注意

如果您的存取方法是代理程式，則不會產生別名網域。
檢查您是否可以存取新增的應用程式。

您可以驗證 SSL 認證，並確保它與上傳到閘道的萬用字元認證相同。
針對此資源可能會將使用者重新導向至的任何其他資源，重複上述步驟。

注意

您可以關閉資源連接集區。有關詳細資訊，請參閱 Sophos Central：ZTNA設定。

DNS 項目

基於無代理程式的資源和基於代理程式的資源所需的 DNS 項目不同。

基於無代理程式的資源

為 Sophos Cloud 閘道新增 FQDN 時，將產生閘道別名網域。您必須將此作為 CNAME 記錄新增到您的共用 DNS 伺服器上。
為資源新增 FQDN 時，會產生資源別名網域。您必須將此作為 CNAME 記錄新增到您的共用 DNS 伺服器上。

透過資源的 FQDN 存取資源時，您將被重新導向到別名網域。

基於代理程式的資源

為 Sophos Cloud 閘道新增 FQDN 時，將產生閘道別名網域。您必須將此作為 CNAME 記錄新增到您的共用 DNS 伺服器上。
不會為基於代理程式的資源產生別名網域。因此，您不應為資源新增 CNAME 記錄。
請勿新增任何萬用字元 DNS 項目。

基於 IP 的存取

如果使用者嘗試透過在瀏覽器中鍵入內部資源的 IP 位址來存取內部資源，則使用者將跳過 ZTNA 直接轉到該資源。若要確保使用者透過 FQDN 存取內部資源，您可以新增防火牆規則。

網域控制器作為代理程式型資源

您必須將網域控制器定義為代理程式型資源，才能為其後端資源提供無縫連線能力。

注意

您可以新增多個網域控制器。

當您將資源類型設定為網域控制器 (DC) 時，預設的連接埠清單會自動填入部分預設連接埠。您可以編輯清單並新增自訂連接埠。

您需要新增的連接埠如下：

TCP:53, 80, 88, 135, 139, 389, 443, 464, 636, 3268, 3269, 和 49152-65535.

UCP：88, 389, 464, 636, 4389, 和 63664.

注意

請務必核實並添加所需的正確自訂連接埠。您也可以在 [Sophos社群] 中提出功能請求，以新增新的內建資源類型：Sophos ZTNA](https://community.sophos.com/zero-trust-network-access/)。

外部 FQDN應該是網域控制器的外部 FQDN，而不是根網域的外部 FQDN。

自動將用於尋找特定服務伺服器的 DNS Service (SRV) 記錄新增至進階網域控制器設定。您可以更新這些記錄，

也可以新增其他記錄。為此，請輸入以下資訊：

服務：網域控制器提供的網域服務，例如 LDAP 或 Kerberos。
網域名稱：用於服務 SRV 查詢的 DNS 名稱。
通訊協定：服務使用的傳輸協議，例如 TCP 或 UDP。
連接埠編號：網域控制器上服務使用的網路連接連接埠。這決定了服務監聽的位置，例如 LDAP 使用連接埠389，Kerberos 使用連接埠88。
優先性：優先權決定了當存在多個 SRV 記錄時，首先使用哪個網域控制器。數值越低表示優先權越高。
權數：控制優先權相同的網域控制器之間的流量共用方式。數值越高，表示網域控制器在負載平衡中被選擇的次數越多。例如，權重分別為 60 和 40 的控制器分別有大約 60% 和 40% 的機率被選中。
TTL：指定記錄的快取時間，以秒為單位。預設值為 86400 秒（24 小時）。數值越低，變更生效速度越快。

注意

若您為網域控制器設定外部 FQDN，則必須確保進階設定中的個別 SRV 記錄網域名稱正確無誤。
在進階設定中更新連接埠時，必須確認資源的連接埠欄位已正確顯示對應的連接埠。

在指派使用者群組設定中，請務必將所有可能需要存取網域控制器後端資源的使用者群組納入指派。

範例用例

本範例詳細介紹如何使用多個網域控制器進行負載平衡和備份。

您為同一網域配置了兩個網域控制器，並賦予它們相同的優先權，但賦予它們不同的權重。

範例

網域控制器 A 的優先權為 1，權重為 60。網域控制器 B 的優先權為 1，權重為 40。

當請求 LDAP 等服務時， ZTNA 代理程式會在 SRV 回應中傳回兩個控制器。由於權重設置，網域控制器A 的使用頻率高於網域控制器B。這有助於在網域控制器之間分配流量。

如果主網域控制器不可用，您也可以設定位於不同位置的備份網域控制器以保持存取。在這種情況下，您將網域控制器C 的優先權設為 2，這是一個較低的優先權。

在這種情況下，網域控制器A 和 B 通常會處理所有請求。只有當其他網域控制器沒有回應時，才會使用網域控制器 C。