私密访问公有云应用（即SaaS）

F5

随着各组织寻求更具动态性和灵活性的软件使用方式，同时确保运营稳定、成本透明、动态扩展能力和敏捷性，软件即服务（SaaS）产品正日益广泛地应用于各行各业。

不过，在使用第三方提供的应用之前，需要先部署多个组件，用户才能访问应用，例如网络连接、存储、计算（位于基础设施层）、虚拟化、操作系统、中间件、运行时，以及支持应用在服务层中运行所需的所有其他组件。完成这些准备后，才能进行RBAC配置、用户管理，并向最终用户分发应用。

还需要注意的是，尽管上述许多层级在功能所依赖的底层技术方面正逐渐整合并出现重叠，但组织通常会由采用不同流程的不同团队分别负责特定层级。通常，每个层级都有多个团队参与运营。

本文介绍了Thad Széll（UBS杰出工程师）和Nuno Ferreira（Volterra现场首席技术官）的理念与创新，旨在帮助组织实时、安全且私密地采用SaaS应用，同时避免影响或破坏现有环境。他们最初重点关注Microsoft Office 365.a。

众所周知，SaaS应用通常通过公共互联网访问，而这正是首批问题出现的环节。第一个基础设施问题源于：应用过去运行在可控且基本静态的基础设施上，如今则需要通过互联网访问，而互联网高度动态，不受任何单一实体控制。

部分SaaS提供商能够提供专用线路（例如，Azure提供ExpressRoute）或VPN，供组织与其建立私有连接。要采用此类机制，组织至少需要：

在网络层面与SaaS提供商建立对等连接并维护路由关系；将SaaS提供商的公共IP地址注入或通告到企业网络；将该服务视为外联网或DMZ，并叠加多层网络分段和安全措施。如果SaaS提供商仅向客户提供VPN服务，则需要使用设备来建立和维护此VPN。请注意，这些技术无法解决延迟问题。

部署正向代理/NAT设备可以解决部分安全问题，但无法解决路由问题，也无法消除将第三方公共IP地址注入企业网络的需要。

此外，SaaS提供商的环境通常变化极快，其通告地址、DNS名称和已发布端点也会频繁变更，因此需要建立相应的运维机制，以维护对等互联、路由注入、路由通告和安全控制。

因此，更简洁且必要的解决方案应能在无需路由的情况下实现正向代理或NAT。

以Office 365为例。Microsoft正通过Azure扩大其云业务版图，Microsoft应用服务也在不断扩展。该平台支持大型企业通过名为ExpressRoute的专用高速物理链路连接到Azure。

因此，Microsoft可以允许企业员工通过这条专用的ExpressRoute私有线路访问Office 365，从而解决上述隐私和延迟问题。

ExpressRoute for Office 365为许多面向Internet的Office 365服务提供了备用路由路径。ExpressRoute for Office 365的架构会将已可通过Internet访问的Office 365服务公共IP前缀通告到已预配的ExpressRoute线路中，以便随后将这些IP前缀重新分发到您的网络。借助ExpressRoute，实际上可为Office 365服务启用多条不同的路由路径，包括Internet和ExpressRoute。这种网络路由状态可能会显著改变内部网络拓扑的设计和安全防护方式。

好吧，看来也没那么私密。

下图展示了这一场景：

这种方法给网络和安全团队带来了三项不同的挑战：

网络路由和NAT：企业网络基础设施团队需要将可公开路由的IP地址空间注入企业网络，以便用户通过首选路径（经由ExpressRoute）访问。此外，为防止企业网络暴露给Microsoft，网络团队还需要面向该Microsoft网络实施NAT。这不仅增加了与Microsoft共同维护BGP对等连接和NAT的运维复杂性，还需要周密规划，以应对同时通过专用线路和互联网提供路由所带来的网络复杂性，其中专用线路的路由会注入核心网络。安全变更管理：Office 365的地址会不时发生变化，因此企业内部的安全和代理基础设施也需要相应更新。启用ExpressRoute线路后，如果未进行这些更新，可能会导致Office 365服务连接间歇性中断或完全中断。Microsoft提供了一份内容全面且定期更新的文档（以及REST API），其中列出了需要在企业安全和路由设备上配置并持续更新的域名、IP地址及TCP/UDP端口，以实施企业安全和治理策略。运维和安全可见性：NAT设备对应用几乎不具备可见性。那么，在所有方案似乎都不够理想的情况下，我们是如何应对这一场景的？

我们设计了一套简洁高效的解决方案，无需管理复杂的网络基础设施和安全策略，同时让员工能够通过ExpressRoute连接访问Office 365及相关应用服务。

Volterra的集成式网络和安全技术栈包含一个应用路由器，具备可编程代理和负载均衡功能，可满足这一需求。除这些功能外，Volterra还为企业向零信任安全模式演进提供了一条简单路径。

总体而言，企业将部署一个Volterra Application Gateway集群，与Microsoft发布Office 365路由和服务的ExpressRoute路由器建立对等连接。Volterra Application Gateway通过该路由器自动发现Office 365端点，使企业能够从此处访问Office 365服务。这项创新让运维人员无需再管理额外流程，将动态配置转换为基础设施上的规则。借助Volterra Gateway Auto-Discovery，客户可以持续更改请求的目标位置，网关会对任何传入请求触发自动发现并确保TLS完整性。

该解决方案的第二部分是在不向企业网络通告Microsoft公共路由的情况下，让企业用户能够访问这些服务。可通过以下两种方式实现：

第一种方法是通过ExpressRoute线路，直接从Azure中的Volterra Application Gateway集群执行此操作。请注意，注入企业网络的唯一IP地址将是Azure中Volterra Application Gateway集群的IP地址。为便于说明，此处假设网关位于Azure中，但只要满足以下2个条件，网关可以部署在任何位置：a. 用户可以访问网关并向其发送流量（或由网关拦截流量）；b. 网关已连接到ExpressRoute线路，并且可通过该线路访问或发现Office 365端点。第二种方法是在企业本地环境（及私有数据中心）内部添加一个或多个Volterra Application Gateway集群。随后，我们将配置策略，通过本地Application Gateway集群公开已发现的Office 365端点服务。这些端点由位于Azure Cloud中的Volterra Application Gateway发现（如第一部分所述）。此外，企业运维团队还可以配置其他安全和身份验证策略，同时对所有流量进行加密。下图展示了这些场景：

Volterra Application Gateway集群还实现了自动扩缩容功能。这意味着，当一个网关超过特定阈值时，系统会启动另一个网关并将其添加到集群中。

Volterra解决方案中可为企业网络、安全和运维团队带来显著优势的其他功能包括：

通过集中式策略和基于SaaS的管理简化运维
通过可编程数据平面集成并统一代理、安全和路由功能
提供精细而丰富的应用使用和访问可见性、日志及指标
我们相信，这一解决方案凭借简洁性和卓越的运维能力，能够切实满足希望实现与UBS类似目标的组织需求，确保用户可通过专用访问方式使用Office 365等SaaS服务，而无需让企业网络“可供公共网络访问，甚至成为公共网络的一部分”。

关于作者

F5

F5 的更多博客文章