通过浏览器无客户端访问内网应用_办公安全平台(SASE)-阿里云帮助中心

本文档介绍如何在不安装SASE客户端的情况下通过浏览器访问企业内网应用。

适用场景

外部供应商或移动办公用户需通过浏览器安全访问企业内部应用，无需安装客户端。

前提条件

CNAME代理方式，您需要将自定义代理域名的CNAME解析到SASE的接入点域名中。

实现方式

SASE提供两种代理模式以支持内网域名的无客户端访问，请根据实际需求选择适合的模式。

代理方式

原理

优点

缺点

域名映射

SASE提供一个新的代理域名。企业员工可以使用该域名访问内网应用。

独立新域名，不影响原来的访问逻辑。

由于访问域名的变化，可能会导致以下几种问题。

跨域调用限制：如果调用了其他应用的API，则在对应的应用上需要新增加CORS策略，允许无客户端域名进行访问。
SSO登录失败：比如对接了钉钉的SSO，则需要将新的无客户端代理域名添加到钉钉应用的回调地址中。
二级域名cookie不生效：如果企业内部的SSO会在企业的二级域名上设置cookie，来实现不同应用间的身份打通，则建议使用CNAME方式，新申请一个域名来进行无客户端访问。

CNAME

使用企业申请的域名，并CNAME解析到SASE的网关上，企业员工使用该域名访问内网应用。

可以复用内网域名。

配置流程更复杂：

需要企业将自定义代理域名CNAME解析到SASE的接入点域名中。
需要企业有内网DNS服务。
需要上传SSL证书。

步骤一：创建应用

登录办公安全平台控制台。
在左侧导航栏选择内网访问 > 应用管理。
您需要判断是否使用自定义代理域名来选择代理模式。
域名映射代理模式
使用SASE提供一个新的代理域名。企业员工可以使用该域名访问内网应用。
1. 单击添加应用，在手动配置 > 基础配置配置项中输入应用名称并勾选浏览器访问，然后单击下一步。
2. 在应用地址配置项中，配置应用地址、端口、协议、代理域名（SaaS代理网关）、设置映射域名等。请参考下图配置域名映射代理模式。
CNAME代理模式
使用企业申请的域名，并CNAME解析到SASE的网关上，企业员工使用该域名访问内网应用。
1. 在页面右上角，单击证书管理。并上传企业SSL证书及私钥托管在SASE控制台。
2. 单击添加应用，在手动配置 > 基础配置配置项中输入应用名称并勾选浏览器访问，然后单击下一步。
3. 在应用地址配置项中，配置应用地址、端口、协议、代理域名（SaaS代理网关）选择CNAME并设置企业自定义的代理域名等。请参考下图，了解如何配置CNAME代理模式。
如果您的应用满足以下条件，您可以单击确定，完成应用创建。若不满足条件，请参考浏览器访问配置和高级设置。
- 未接入单点登录SSO。
- 未限制访问应用的域名。
- 应用内不存在指向其他内网地址的链接。
- 应用前端未向其他内网应用发起跨域请求。
浏览器访问配置
若应用中包含内网地址链接或需向其他内网应用发起跨域请求，在有客户端的情况下，因内网已打通，可正常访问。而在无客户端场景下，由于无法直接访问其他内网应用，需对相关链接进行改写以确保无客户端访问的正常进行。
配置HTML改写
1. 勾选HTML内网域名重写。如果应用中包含的其他内网应用已经配置了代理域名，SASE会扫描所有链接并自动进行替换代理域名。
2. 对于以下情况，SASE网关无法自动识别，需要指定重写前后地址，SASE会替换代理域名。
```
<script>
  //js变量声明一个url，此时SASE网关无法自动识别到该链接，需要指定替换规则
  const url = "https://www.a.com/"
  //将url赋值给window.href
  window.href = url
</script>
```
配置JS改写
勾选JS内网请求重写。如果应用的前端JS代码向其他内网应用发起跨域请求，会自动替换请求地址。
配置匿名访问
勾选匿名访问，并配置指定IP或IP段对指定内网访问路径不校验身份和零信任策略，直接放行。
高级配置
您可以通过配置网关请求改写参数，将无客户端请求中的Headers和Query参数改写为配置值，作为无客户端的访问标识，方便后期分析。
配置完成后，单击确定。配置生效大约需要2分钟。