Kontextbasiertes App-Routing und Auswahl von Ressourcenstandorten
Wenn eine App konfiguriert wird, wird der App-URL ein Routingtyp zugewiesen und für jede intern geroutete URL wird ein Ressourcenstandort ausgewählt. Sobald eine Anwendung veröffentlicht wurde, haben Administratoren keine Möglichkeit mehr, den Domänenroutingtyp oder den Ressourcenstandort zu bearbeiten. Es kann Szenarien geben, in denen für eine Gruppe von Benutzern Folgendes gilt:
- Eine interne App-URL muss extern weitergeleitet werden, um zu verhindern, dass Datenverkehr an den Secure Private Access-Dienst weitergeleitet wird.
- Die Ressourcenstandorte müssen geändert werden, um Anforderungen an das optimale Rechenzentrum weiterzuleiten und so die Leistung zu verbessern.
Die dynamische Domänenrouting-Konfiguration (Routing-Ausnahmen) in der Zugriffsrichtlinie ermöglicht Administratoren, den internen Routing-Typ pro URL basierend auf dem Benutzerkontext zu bearbeiten. Administratoren können die Ressourcenstandorte so ändern, dass die Benutzeranforderungen an das optimale Rechenzentrum weitergeleitet werden. Auf diese Weise wird sichergestellt, dass Benutzeranforderungen effizient bearbeitet und die Leistung optimiert werden.
Die folgenden Beispiele veranschaulichen die Anwendungsfälle der dynamischen Domänenrouting-Konfiguration.
Anwendungsfall: Kontextbasiertes Routing
Szenario:
- Benutzer der Gruppe A: Mitarbeiter des Unternehmens ABC, die über den intern gerouteten Secure Private Access auf die Outlook-App und die Microsoft Teams-App zugreifen.
- Benutzer der Gruppe B: Mitarbeiter eines Drittunternehmens, das mit ABC zusammenarbeitet. Auf bestimmte Anwendungen (außer Outlook) greifen sie über Secure Private Access zu. Sie verfügen außerdem über eine eigene Outlook-Anwendung, auf die über das Internet zugegriffen wird, und möchten ihren Outlook-Verkehr nicht über Secure Private Access leiten.
Problem:
- Benutzer der Gruppe B melden sich beim Secure Access Agent an, um auf ABC-Apps zuzugreifen.
- Ihre Anfragen zum Zugriff auf Outlook über ihren nativen Browser werden über Secure Private Access weitergeleitet, was zu einer Zugriffsverweigerung führt.
- Die Zieldomäne für die Outlook-Anwendung ist für Benutzer der Gruppen A und B dieselbe.
- Die Zugriffsrichtlinie gestattet nur den Zugriff für Benutzer der Gruppe A und führt dazu, dass Benutzern der Gruppe B der Zugriff verweigert wird, wenn sie versuchen, Microsoft Teams oder Outlook zu starten.
- Benutzer der Gruppe B können aufgrund dieses Routingproblems nicht auf ihr Unternehmens-Outlook zugreifen.
Lösung:
Der ABC-Unternehmensadministrator kann die folgenden Konfigurationsänderungen vornehmen, um dieses Problem zu beheben:
- Definieren Sie eine neue Zugriffsrichtlinie speziell für Benutzer der Gruppe B, die auf die Office 365-App zugreifen.
-
Aktivieren Sie in der Zugriffsrichtlinie die dynamische Domänenrouting-Konfiguration (Routing-Ausnahmen).
Der Administrator kann die Liste aller URLs und zugehörigen Domänen aller internen Apps anzeigen, die mit der Zugriffsrichtlinie verknüpft sind.
-
Konfigurieren Sie für alle Office365-App-URLs die Weiterleitung so, dass sie extern erfolgt.
Dadurch wird sichergestellt, dass die Zugriffsanforderungen von Benutzern der Gruppe B auf ihre Outlook-Anwendung über das Internet geleitet werden und Secure Private Access umgangen wird.
Durch die Implementierung dieser Änderungen können Benutzer der Gruppe B über das Internet auf die Outlook-Anwendung ihres Unternehmens zugreifen, ohne über Secure Private Access umgeleitet zu werden, und behalten bei Bedarf weiterhin den Zugriff auf andere ABC-Anwendungen.
Anwendungsfall: Benutzerkontextbasierte Ressourcenstandortauswahl
Szenarios:
- Unternehmen XYZ: Es verfügt über zwei Benutzergruppen an der Ostküste und der Westküste der USA.
- Rechenzentren: Zwei Rechenzentren, eines an der Ostküste und eines an der Westküste, die beide dieselbe Jira-Anwendung hosten.
- Ziel: Der Administrator möchte die Zugriffsanforderungen der Endbenutzer basierend auf dem Benutzerkontext (Geo-Standort, Netzwerkstandort, Benutzername und Benutzergruppe) an die ausgewählten Ressourcenstandorte weiterleiten, um optimale Leistung und Weiterleitung sicherzustellen.
Lösung:
- Bearbeiten Sie die mit der Jira-Anwendung verknüpfte Zugriffsrichtlinie, um den neuen Routing-Anforderungen gerecht zu werden.
- Aktivieren Sie innerhalb der Zugriffsrichtlinie die dynamische Domänenrouting-Konfiguration (Routing-Ausnahmen).
- Ändern Sie die Ressourcenstandorte je nach Benutzerkontext.
Der Administrator kann sicherstellen, dass Benutzeranforderungen je nach Kontext an das optimale Rechenzentrum weitergeleitet werden. Dadurch wird die Leistung verbessert und das Routing für alle Benutzer im Unternehmen effektiv verwaltet.
Schritte zum Ändern des Routingtyps oder Ressourcenstandorts
- Erstellen oder bearbeiten Sie eine Zugriffsrichtlinie. Einzelheiten finden Sie unter Erstellen von Zugriffsrichtlinien.
-
Aktivieren Sie auf der Seite Schritt 3: Aktion die kontextbezogene Routing-Domänenkonfiguration, indem Sie den Umschalter Routing-Ausnahmen verschieben.
Mit dem Schalter Routing-Ausnahmen können Sie die Ressourcenstandorte und Routing-Informationen für innerhalb der Anwendung konfigurierte Domänen bearbeiten.
- Wenn der Schalter eingeschaltet ist: Eine Liste aller URLs und zugehörigen Domänen der Apps, die intern weitergeleitet werden, wird in einem tabellarischen Format angezeigt. Sie können auf das Bearbeitungssymbol neben einer Domäne klicken, um deren Ressourcenstandort und Routingtyp zu ändern. Diese Routing-Ausnahme gilt nur für alle Benutzer in der Zugriffsrichtlinie.
- Wenn der Schalter AUS ist: Vorhandene Routing-Ausnahmen für die Domänen werden entfernt und sind nicht anwendbar. Die Weiterleitung von Endbenutzern erfolgt ausschließlich auf Grundlage der globalen Konfiguration, die während der Anwendungseinrichtung festgelegt wurde. Diese Routing-Ausnahme gilt nur für alle Benutzer in der Zugriffsrichtlinie.
Hinweis:
Die Spalte FQDN/ID in der Tabelle listet nur die FQDNs und Hostnamen und nicht die IP-Adressen der Anwendungen auf.
- Klicken Sie auf das Bearbeitungssymbol neben der Domäne, für die Sie den Routingtyp ändern möchten.
-
Wählen Sie unter Domänendetails bearbeiten den Routingtyp aus:
-
Intern: Der Datenverkehr fließt über das Connector Appliance.
- Bei einer Web-App fließt der Datenverkehr innerhalb des Rechenzentrums.
- Bei einer SaaS-App wird der Datenverkehr über das Connector Appliance außerhalb des Netzwerks geleitet.
- Intern – Proxy umgehen: Der Domänenverkehr wird über Citrix Cloud Connector-Geräte geleitet und der auf dem Connector-Gerät konfigurierte Webproxy des Kunden wird umgangen.
- Extern: Der Datenverkehr fließt direkt ins Internet.
-
Intern: Der Datenverkehr fließt über das Connector Appliance.
- Ändern Sie bei Bedarf den Ressourcenstandort. Diese Option ist nur für intern geroutete Domänen anwendbar.
- Klicken Sie auf Speichern.
Hinweis:
- Sie können nur das Routing und den Ressourcenstandort ändern, aber keine Routingdomänen in der Routingtabelle hinzufügen oder löschen.
- Wenn Sie eine Domäne löschen, für die kontextbezogenes Routing aktiviert ist, wird die Domäne aus der Hauptroutingtabelle nicht aus der Tabelle Routingausnahmen innerhalb der Zugriffsrichtlinie gelöscht. Dies bedeutet, dass die kontextbezogene Routingkonfiguration für diese Domäne in der Zugriffsrichtlinie unverändert bleibt.
- Wenn Sie eine App löschen, für die kontextbezogenes Routing aktiviert ist, wird die Domäne aus der Tabelle Routingausnahmen innerhalb der Zugriffsrichtlinie gelöscht. Dies bedeutet, dass alle mit dieser App verknüpften kontextbezogenen Routingkonfigurationen aus der Zugriffsrichtlinie entfernt werden.
- Die ausgewählte zugehörige Domäne überschreibt die Standardeinstellung, wenn die Bedingung für die Benutzer erfüllt ist, die Teil dieser Zugriffsrichtlinie sind. Andernfalls wird das Standardrouting angewendet.
- Wenn das Routing nicht geändert wird oder die Funktion „Routing-Ausnahmen“ nicht aktiviert ist, erfolgt das Routing basierend auf den Standardeinstellungen in der Hauptroutingtabelle (Einstellungen > Anwendungsdomäne).