Группы коннекторов частной сети Microsoft Entra

Обзор

Используйте группы соединителей частной сети для назначения соединителей приложениям. Группы соединителей обеспечивают больше управления и помогают оптимизировать развертывания.

Каждый соединитель частной сети находится в группе соединителей. Соединители в той же группе действуют как единое целое для обеспечения высокой доступности и распределения нагрузки. Если вы не создаете группы, все соединители находятся в группе по умолчанию. Создайте новые группы и назначьте соединители в Центре администрирования Microsoft Entra.

Используйте группы соединителей, когда приложения выполняются в разных расположениях. Создайте группы по расположению, чтобы каждое приложение использовало ближайшие соединители.

Требования

Для использования групп соединителей требуется несколько соединителей. Служба автоматически добавляет новые соединители в группу соединителей по умолчанию. Инструкцию по установке соединителей см. в разделе "Настройка соединителей частной сети для Частный доступ Microsoft Entra и прокси-сервера приложений".

Назначение приложений вашим группам соединителей

При публикации назначьте приложение группе соединителей. Измените группу соединителей в любое время.

Варианты использования групп соединителей

Используйте группы соединителей в следующих сценариях.

Сайты с несколькими взаимосвязанными центрами обработки данных.

Крупные организации используют несколько центров обработки данных. Как можно больше трафика в центре обработки данных, так как связи между центрами обработки данных являются дорогостоящими и медленными.

Разверните соединители в каждом центре обработки данных, чтобы обслуживать только приложения в этом центре обработки данных. Такой подход сокращает трафик между центрами обработки данных и является прозрачным для пользователей.

Приложения, установленные на изолированных сетях

Приложения выполняются в сетях, которые не являются частью основной корпоративной сети. Используйте группы соединителей для установки выделенных соединителей в изолированных сетях и хранения этих приложений. Этот сценарий распространен для поставщиков, которые поддерживают определенное приложение.

Приложения, установленные в IaaS

Для приложений в инфраструктуре как услуга (IaaS) используйте группы соединителей, чтобы обеспечить безопасный доступ ко всем приложениям без добавления зависимостей корпоративной сети или фрагментирования интерфейса. Установите соединители в каждом облачном центре обработки данных и определите их круг действий для приложений в этой сети. Установите несколько соединителей для обеспечения высокой доступности.

Например, у организации есть несколько виртуальных машин, подключенных к собственной виртуальной сети, размещенной на IaaS. Чтобы позволить сотрудникам использовать эти приложения, эти виртуальные машины подключены к корпоративной сети через виртуальную частную сеть типа "сеть — сеть" (VPN). VPN типа "сеть — сеть" дает локальным сотрудникам хороший опыт. Однако это не идеально подходит для удаленных сотрудников, так как для этого требуется дополнительная локальная инфраструктура для маршрутизации доступа, как показано на следующей схеме.

С помощью групп соединителей частной сети Microsoft Entra можно включить общую службу, чтобы обеспечить безопасный доступ ко всем приложениям без добавления зависимостей корпоративной сети.

Разные группы соединителей для каждого леса в среде с несколькими лесами

Единый вход часто использует ограниченное делегирование Kerberos (KCD). Компьютеры соединителя присоединяются к домену, который может делегировать пользователей приложению. KCD поддерживает сценарии между лесами, но в разных средах с несколькими лесами без доверия один соединитель не может обслуживать все леса.

Разверните выделенные коннекторы для каждого леса и ограничьте их приложениями для пользователей в этом лесу. Каждая группа соединителей представляет лес. Клиент и большинство возможностей унифицированы, и вы назначаете пользователей своим лесным приложениям с помощью групп Microsoft Entra.

Сайты аварийного восстановления

Существует два подхода, которые следует рассмотреть для сайтов аварийного восстановления:

• Сайт аварийного восстановления работает в активно-активном режиме и соответствует сетевым и Active Directory настройкам основного сайта. Создайте соединители на сайте аварийного восстановления в той же группе соединителей, что и основной сайт. Служба Microsoft Entra ID обнаруживает отказоустойчивость.
• Сайт аварийного восстановления отделен от основного сайта. Создайте другую группу соединителей там. Используйте резервные приложения или вручную перенаправляйте существующие приложения в группу DR-соединителей по мере необходимости.

Обслуживание нескольких компаний из одного клиента

Вы можете реализовать модель, в которой один поставщик услуг развертывает и обслуживает службы, связанные с Microsoft Entra, для нескольких компаний. Группы соединителей помогают разделить соединители и приложения на группы.

Одним из вариантов для небольших компаний является использование одного клиента Microsoft Entra, в то время как каждая компания сохраняет собственное доменное имя и сети. Тот же подход подходит для сценариев слияния и ситуаций, когда одно подразделение обслуживает несколько компаний по нормативным или бизнес-причинам.

Балансировка нагрузки соединителя

При добавлении нескольких соединителей в группу соединителей группа выбирает, какой соединитель обрабатывает каждый запрос. Параметры маршрутизации включают случайный (по умолчанию) и сохраняемость сеансов.

Вы можете изменить поведение маршрутизации трафика для каждого приложения Глобального безопасного доступа. Дополнительные сведения о параметрах маршрутизации трафика и их использовании см. в разделе "Настройка доступа для каждого приложения с помощью приложений Глобального безопасного доступа". Дополнительные сведения о Microsoft Graph см. в разделе тип ресурса onPremisesPublishing.

Случайный

Случайным является метод маршрутизации трафика по умолчанию. Новые запросы для приложения Global Secure Access распределяются по доступным соединителям в назначенной группе соединителей.

Сохраняемость сеанса

Сохраняемость сеансов, также называемая сходством сеансов, последовательно направляет каждый запрос от заданного пользователя и устройства к одному соединителю в группе в течение длительности сеанса. Этот подход полезен для приложений, использующих IP-адрес исходящего соединителя для списков управления проверкой подлинности и доступом (ACL). Это обеспечивает непрерывность и снижает потребность в повторной проверке подлинности или извлечении данных.

Примеры конфигураций

Рассмотрим эти примеры конфигураций групп соединителей.

Конфигурация по умолчанию: не используется для групп соединителей

Если вы не используете группы соединителей, конфигурация выглядит следующим образом. Группа соединителей прокси-сервера по умолчанию обрабатывает все опубликованные приложения.

Конфигурация достаточна для небольших развертываний и тестов. Она также работает, если в вашей организации есть топология неструктурированных сетевых сетей.

Одна группа соединителей для изолированной сети

Эта конфигурация расширяет значение по умолчанию. Определенное приложение выполняется в изолированной сети, например виртуальной сети IaaS. Компания создала группу соединителей для этой изолированной сети.

Рекомендуемая конфигурация: определенные группы и группа простоя по умолчанию

Для крупных сложных организаций установите группу подключений по умолчанию для размещения бездействующих или недавно установленных соединителей. Не назначайте приложения ему. Обслуживать все приложения с помощью настраиваемых групп соединителей.

В этом примере у компании есть два центра обработки данных (A и B). Два соединителя служат каждому сайту. Каждый сайт запускает разные приложения.

Связанный контент

• Соединители частной сети Microsoft Entra