Поделиться через

Известные ограничения для глобального безопасного доступа

Глобальный безопасный доступ — это унифицированный термин, используемый как для Доступа к Интернету Microsoft Entra, так и для приватного доступа Microsoft Entra.

В этой статье описаны известные проблемы и ограничения, которые могут возникнуть при использовании глобального безопасного доступа.

Ограничения клиента глобального безопасного доступа

Клиент Глобального безопасного доступа доступен на нескольких платформах. Выберите каждую вкладку для получения сведений об известных ограничениях для каждой платформы.

Известные ограничения для клиента глобального безопасного доступа для Windows:

Безопасная система доменных имен (DNS)

Клиент глобального безопасного доступа в настоящее время не поддерживает безопасный DNS в разных версиях, таких как DNS по протоколу HTTPS (DoH), DNS по протоколу TLS (DoT) или расширения безопасности DNS (DNSSEC). Чтобы настроить клиент для получения сетевого трафика, необходимо отключить безопасный DNS. Сведения об отключении DNS в браузере см. в разделе "Безопасный DNS", отключенный в браузерах.

DNS через TCP

DNS использует порт 53 UDP для разрешения имен. Некоторые браузеры имеют собственный DNS-клиент, который также поддерживает порт 53 TCP. Клиент Global Secure Access в настоящее время не поддерживает DNS-порт 53 TCP. В качестве устранения рисков отключите DNS-клиент браузера, задав следующие значения реестра:

  • Microsoft Edge
    [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge] "BuiltInDnsClientEnabled"=dword:00000000
  • Хром
    [HKEY_CURRENT_USER\Software\Policies\Google\Chrome] "BuiltInDnsClientEnabled"=dword:00000000
    Также добавьте браузер chrome://flags и отключите Async DNS resolver.

Правила таблицы политик разрешения имен в групповой политике не поддерживаются

Клиент глобального безопасного доступа для Windows не поддерживает правила таблицы политик разрешения имен (NRPT) в групповой политике. Для поддержки частной DNS клиент настраивает локальные правила NRPT на устройстве. Эти правила перенаправляют соответствующие запросы DNS в частный DNS. Если правила NRPT настроены в групповой политике, они переопределяют локальные правила NRPT, настроенные клиентом и частным DNS, не работают.

Кроме того, правила NRPT, настроенные и удаленные в более ранних версиях Windows, создали пустой список правил NRPT в файле registry.pol. Если этот объект групповой политики применяется на устройстве, пустой список переопределяет локальные правила NRPT и частный DNS не работает.

В качестве устранения рисков:

  1. Если раздел реестра HKLM\Software\Policies\Microsoft\Windows NT\DNSClient\DnsPolicyConfig существует на устройстве конечного пользователя, настройте объект групповой политики для применения правил NRPT.
  2. Чтобы найти, какие объекты групповой политики настроены с помощью правил NRPT:
    1. Запустите gpresult /h GPReport.html на устройстве конечного пользователя и найдите конфигурацию NRPT.
    2. Выполните следующий скрипт, который обнаруживает пути всех файлов registry.pol в sysvol, содержащих правила NRPT.

Заметка

Не забудьте изменить переменную sysvolPath в соответствии с конфигурацией сети.

# =========================================================================
# THIS CODE-SAMPLE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND, EITHER 
# EXPRESSED OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE IMPLIED WARRANTIES 
# OF MERCHANTABILITY AND/OR FITNESS FOR A PARTICULAR PURPOSE.
#
# This sample is not supported under any Microsoft standard support program 
# or service. The code sample is provided AS IS without warranty of any kind. 
# Microsoft further disclaims all implied warranties including, without 
# limitation, any implied warranties of merchantability or of fitness for a 
# particular purpose. The entire risk arising out of the use or performance
# of the sample and documentation remains with you. In no event shall 
# Microsoft, its authors, or anyone else involved in the creation, 
# production, or delivery of the script be liable for any damages whatsoever 
# (including, without limitation, damages for loss of business profits, 
# business interruption, loss of business information, or other pecuniary 
# loss) arising out of  the use of or inability to use the sample or 
# documentation, even if Microsoft has been advised of the possibility of 
# such damages.
#========================================================================= 

# Define the sysvol share path.
# Change the sysvol path per your organization, for example: 
# $sysvolPath = "\\dc1.contoso.com\sysvol\contoso.com\Policies"
$sysvolPath = "\\<DC FQDN>\sysvol\<domain FQDN>\Policies"  ## Edit

# Define the search string.
$searchString = "dnspolicyconfig"

# Define the name of the file to search.
$fileName = "registry.pol"

# Get all the registry.pol files under the sysvol share.
$files = Get-ChildItem -Path $sysvolPath -Recurse -Filter $fileName -File

# Array to store paths of files that contain the search string.
$matchingFiles = @()

# Loop through each file and check if it contains the search string.
foreach ($file in $files) {
    try {
        # Read the content of the file.
        $content = Get-Content -Path $file.FullName -Encoding Unicode
        
        # Check if the content contains the search string.
        if ($content -like "*$searchString*") {
            $matchingFiles += $file.FullName
        }
    } catch {
        Write-Host "Failed to read file $($file.FullName): $_"
    }
}

# Output the matching file paths.
if ($matchingFiles.Count -eq 0) {
    Write-Host "No files containing '$searchString' were found."
} else {
    Write-Host "Files containing '$searchString':"
    $matchingFiles | ForEach-Object { Write-Host $_ }
}
  1. Измените каждый из объектов групповой политики, найденных в предыдущем разделе:
    1. Если раздел NRPT пуст, создайте новое fictive правило, обновите политику, удалите правило fictive и снова обновите политику. Эти действия удаляют DnsPolicyConfig из файла registry.pol (который был создан в устаревшей версии Windows).
    2. Если раздел NRPT не пуст и содержит правила, убедитесь, что вам по-прежнему нужны эти правила. Если вам не нужны правила, удалите их. Если нужны правила и применить объект групповой политики на устройстве с клиентом Global Secure Access, частный параметр DNS не работает. Снимок экрана: диалоговое окно

Резервный вариант подключения

Если возникла ошибка подключения к облачной службе, клиент возвращается к прямому интернет-подключению или блокирует подключение на основе значения защиты правила сопоставления в профиле пересылки.

Географическое расположение

Для сетевого трафика, туннелированного в облачную службу, сервер приложений (веб-сайт) обнаруживает исходный IP-адрес подключения как IP-адрес пограничного сервера (а не IP-адрес устройства пользователя). Этот сценарий может повлиять на службы, использующие геолокацию.

Кончик

Для Microsoft Entra и Microsoft Graph для обнаружения истинного исходного общедоступного IP-адреса исходящего трафика (источника) устройства рекомендуется включить восстановление исходного IP-адреса.

Поддержка виртуализации

Невозможно установить клиент глобального безопасного доступа на устройстве, на котором размещаются виртуальные машины. Однако вы можете установить клиент глобального безопасного доступа на виртуальной машине, если клиент не установлен на хост-компьютере. По той же причине подсистема Windows для Linux (WSL) не получает трафик от клиента, установленного на хост-компьютере.

поддержка Hyper-V:

  1. Внешний виртуальный коммутатор: клиент Windows глобального безопасного доступа в настоящее время не поддерживает хост-компьютеры с Hyper-V внешним виртуальным коммутатором. Однако клиент можно установить на виртуальных машинах для туннелирования трафика в глобальный безопасный доступ.
  2. Внутренний виртуальный коммутатор: клиент Windows глобального безопасного доступа можно установить на узлах и гостевых компьютерах. Клиент туннелирует только сетевой трафик компьютера, на котором он установлен. Другими словами, клиент, установленный на хост-компьютере, не туннел сетевой трафик гостевых компьютеров.

Клиент Windows глобального безопасного доступа поддерживает виртуальные машины Azure и виртуальный рабочий стол Azure (AVD).

Заметка

Клиент Windows глобального безопасного доступа не поддерживает AVD с несколькими сеансами.

Доверенность

Если прокси-сервер настроен на уровне приложения (например, браузер) или на уровне ОС, настройте файл автоматической настройки прокси-сервера (PAC), чтобы исключить все полные доменные имена и IP-адреса, которые клиент должен туннелировать.

Чтобы предотвратить туннелирование HTTP-запросов для определенных полных доменных имен/IP-адресов на прокси-сервер, добавьте полное доменное имя/IP-адреса в ФАЙЛ PAC в качестве исключений. (Эти полные доменные имена и IP-адреса находятся в профиле пересылки глобального безопасного доступа для туннелирования. Например:

function FindProxyForURL(url, host) {   
        if (isPlainHostName(host) ||   
            dnsDomainIs(host, ".microsoft.com") || // tunneled 
            dnsDomainIs(host, ".msn.com")) // tunneled 
           return "DIRECT";                    // If true, sets "DIRECT" connection 
        else                                   // If not true... 
           return "PROXY 10.1.0.10:8080";  // forward the connection to the proxy
}

Если прямое подключение к Интернету невозможно, настройте клиент для подключения к службе глобального безопасного доступа через прокси-сервер. Например, задайте grpc_proxy системную переменную, соответствующую значению прокси-сервера, например http://proxy:8080.

Чтобы применить изменения конфигурации, перезапустите клиентские службы Windows глобального безопасного доступа.

Внедрение пакетов

Клиент только туннелирует трафик, отправленный с помощью сокетов. Он не туннелируется в сетевой стек с помощью драйвера (например, некоторые из трафика, созданного сетевой картой (Nmap)). Внедренные пакеты передаются непосредственно в сеть.

Многосеансовый сеанс

Клиент Global Secure Access не поддерживает одновременные сеансы на одном компьютере. Это ограничение применяется к серверам протокола удаленного рабочего стола (RDP) и решениям инфраструктуры виртуальных рабочих столов (VDI), таким как виртуальный рабочий стол Azure (AVD), настроенным для нескольких сеансов.

QUIC не поддерживается для Доступа к Интернету

Так как QUIC еще не поддерживается для Доступа к Интернету, трафик к портам 80 UDP и 443 UDP нельзя туннелировать.

Кончик

В настоящее время QUIC поддерживается в рабочих нагрузках Private Access и Microsoft 365.

Администраторы могут отключить протокол QUIC, запускающий клиенты, чтобы вернуться к ПРОТОКОЛу HTTPS по протоколу TCP, который полностью поддерживается в Доступе к Интернету. Дополнительные сведения см. в разделе QUIC, который не поддерживается для Доступа к Интернету.

Подключение WSL 2

Если клиент глобального безопасного доступа для Windows включен на хост-компьютере, исходящие подключения из подсистемы Windows для Linux (WSL) 2 могут быть заблокированы. Чтобы решить эту проблему, создайте .wslconfig файл, который установит dnsTunneling в false. Таким образом, весь трафик из WSL проходит глобальный безопасный доступ и передается непосредственно в сеть. Дополнительные сведения см. в разделе "Дополнительные параметры" в WSL.

Ограничения удалённых сетей

Известные ограничения для удаленных сетей:

  • Максимальное количество удалённых сетей на арендатора составляет 200, а максимальное количество связей устройств на удалённую сеть — 25. Чтобы увеличить эти ограничения для вашего арендатора, обратитесь в поддержку Microsoft.
  • Универсальный условный доступ позволяет применять контроль идентичности, например, требование многофакторной аутентификации, наличие соответствующего устройства или определение допустимого риска входа в сетевой трафик — не только облачные приложения. Эти контроли идентичности применяются к устройствам с установленным клиентом Global Secure Access. Удалённое сетевое подключение — это безклиентский подход, при котором клиенты создают IPsec-туннель от своего локального оборудования к периферийному сервису Global Secure Access. Сетевой трафик со всех устройств в этой удалённой сети (или филиале) отправляется в Global Secure Access через туннель IPsec. Другими словами, политики условного доступа для Microsoft или интернет-трафика применяются только тогда, когда у пользователя есть клиент глобального безопасного доступа.
  • Используйте клиент Global Secure Access для Microsoft Entra Private Access. Удалённое сетевое подключение поддерживает только Microsoft Entra Internet Access.
  • Подключение к Интернету через удалённую сеть поддерживается только в конкретных регионах, указанных в выпадающем списке «Регион » при создании удалённой сети.
  • Функция Custom Bypass в профиле переадресации интернет-трафика не работает при удалённом сетевом подключении. Вам нужно вручную обойти определённые URL-адреса из вашего оборудования для объектов клиента (CPE).

Ограничения элементов управления доступом

Известные ограничения для элементов управления доступом включают:

  • Применение политик условного доступа к трафику частного доступа в настоящее время не поддерживается. Для моделирования этого поведения примените политику условного доступа на уровне приложений для приложений Quick Access и Global Secure Access. Дополнительные сведения см. в разделе "Применение условного доступа к приложениям приватного доступа".
  • Трафик Microsoft доступен через удалённое сетевое подключение без использования Глобального Защищённого Доступа; однако политика условного доступа не применяется. Другими словами, политики условного доступа для трафика Майкрософт глобального безопасного доступа применяются только в том случае, если у пользователя есть клиент глобального безопасного доступа.
  • Проверка сети, совместимая с соответствием, в настоящее время не поддерживается для приложений приватного доступа.
  • При включении восстановления исходного IP-адреса можно увидеть только исходный общедоступный исходящий (исходный) IP-адрес. IP-адрес службы глобального безопасного доступа не отображается. Если вы хотите просмотреть IP-адрес службы глобального безопасного доступа, отключите восстановление исходного IP-адреса.
  • В настоящее время только ресурсы Майкрософт оценивают политики условного доступа на основе IP-адресов, так как исходный IP-адрес не известен ресурсам, защищенным непрерывной оценкой доступа (CAE).
  • Если вы используете строгое соблюдение местоположения CAE, пользователи блокируются, несмотря на то, что находятся в доверенном диапазоне IP. Чтобы избавиться от этого состояния, следуйте одной из следующих рекомендаций:
    • Если у вас есть политики условного доступа на основе IP-адресов, предназначенные для ресурсов, отличных от Майкрософт, не включите строгое применение расположения.
    • Убедитесь, что восстановление исходного IP-адреса поддерживает трафик. В противном случае не отправляйте соответствующий трафик через глобальный безопасный доступ.
  • В настоящее время для получения приватного доступа требуется подключение через клиент глобального безопасного доступа.
  • Если вы включите Универсальные ограничения арендаторов и зайдёте в административный центр Microsoft Entra для арендатора из списка разрешений, вы можете увидеть ошибку «Доступ запрещён». Чтобы исправить эту ошибку, добавьте следующий флаг компонента в Центр администрирования Microsoft Entra:
    • ?feature.msaljs=true&exp.msaljsexp=true
    • Например, вы работаете в Компании Contoso. Fabrikam, клиент партнера, находится в списке разрешений. Может появиться сообщение об ошибке для центра администрирования Microsoft Entra клиента Fabrikam.
      • Если вы получили сообщение об ошибке "отказано в доступе" для URL-https://entra.microsoft.com/, добавьте флаг функции следующим образом: https://entra.microsoft.com/?feature.msaljs%253Dtrue%2526exp.msaljsexp%253Dtrue#home
  • Только клиент Global Secure Access для Windows (версия 1.8.239.0 и новее) поддерживает Universal CAE. На других платформах клиент Global Secure Access использует обычные маркеры доступа.
  • Идентификатор Microsoft Entra id выдает короткие маркеры для глобального безопасного доступа. Универсальный токен доступа CAE работает от 60 до 90 минут и поддерживает почти в реальном времени отзыв.
  • Для передачи сигнала идентификатора Microsoft Entra ID требуется около двух-пяти минут, чтобы получить доступ к клиенту глобального безопасного доступа, а пользователю будет предложено повторно выполнить проверку подлинности.
  • Клиент Global Secure Access трижды предлагает пользователю аутентификацию, каждый раз с 2-минутным льготным периодом. Это означает, что весь поток ЦС включает в себя 4–5 минут, чтобы сигнализировать клиенту глобального безопасного доступа, а затем до 6-минутного льготного периода, что приводит к отключению примерно через 10 минут.

Ограничения профиля пересылки трафика

Известные ограничения для профилей пересылки трафика:

  • В настоящее время трафик частного доступа можно получить только через клиент глобального безопасного доступа. Не удается получить трафик частного доступа из удаленных сетей.
  • Туннелирование трафика к адресам Private Access по IP-адресу работает только для IP-диапазонов вне локальной подсети устройства конечного пользователя.
  • Необходимо отключить DNS по протоколу HTTPS (Secure DNS) для туннелирования сетевого трафика в соответствии с правилами полных доменных имен (FQDN) в профиле пересылки трафика.

Ограничения частного доступа

Известные ограничения для закрытого доступа:

  • Избегайте дублирования сегментов приложений глобального безопасного доступа.
  • Туннельный трафик к назначениям частного доступа по IP-адресу поддерживается только для диапазонов IP-адресов за пределами локальной подсети устройства конечного пользователя.
  • В настоящее время трафик частного доступа можно получить только с помощью клиента глобального безопасного доступа. Удаленные сети не могут быть назначены профилю пересылки трафика частного доступа.

Ограничения доступа к Интернету

Известные ограничения для Доступа к Интернету:

  • Администратор может создавать до 256 профилей безопасности на клиент, до 1000 политик на клиент и до 1000 правил на клиент.
  • Администратор может настроить 8000 общих назначений (которые могут быть любым сочетанием IP-адресов, полное доменное имя, URL-адрес или веб-категория) в каждом клиенте. Например, в одном клиенте можно создать до двух политик, предназначенных для 4000 доменов каждый или до 1000 политик с восемью доменами.
  • Администраторы в настоящее время могут настраивать правила на основе до 1000 общих URL-адресов.
  • Проверка TLS поддерживает до 100 политик проверки TLS, 1000 правил и 8 000 назначений.
  • Платформа предполагает стандартные порты для трафика HTTP/S (порты 80 и 443).
  • Клиент Глобального безопасного доступа не поддерживает IPv6. Клиент туннелирует только IPv4-трафик и передаёт IPv6-трафик напрямую в сеть. Чтобы убедиться, что весь трафик направляется в Global Secure Access, установите свойства сетевого адаптера на предпочитаемое IPv4.
  • UDP пока не поддерживается на этой платформе.
  • Уведомления для конечных пользователей находятся в разработке.
  • Проверка протокола TLS выполняется в разработке.
  • Фильтрация по путям URL и категоризация URL для HTTP- и HTTPS-трафика находятся в разработке.
  • Понятные уведомления конечных пользователей находятся в разработке.
  • Удаленное сетевое подключение для Доступа к Интернету находится в разработке.
  • Фильтрация на основе URL-адресов и классификация URL-адресов для трафика HTTP и HTTPS находятся в разработке.
  • Трафик, доступный для приобретения в профиле трафика Майкрософт, недоступен для приобретения в профиле трафика Интернет-доступа.

Ограничения гостевого доступа B2B (предварительная версия)

  • Клиент Global Secure Access не поддерживает многосессионный Azure Virtual Desktop.

Ограничения глобального безопасного доступа в государственных облаках

Глобальный безопасный доступ недоступен в облачных облачных средах правительства США (GCC-H), облачных сервисах Министерства обороны и других государственных/суверенных облачных средах.

Для использования в облаке сообщества правительства США (GCC) известны ограничения и оговорки:

  • Сертифицирован не федеральный стандарт обработки информации (FIPS) 140-2: Обратите внимание, что хотя служба GSA аккредитована FedRAMP High, она пока не сертифицирована по FIPS 140-2. Microsoft активно работает над получением аккредитации/сертификации FIPS, и этот процесс уже проходит. Клиентам следует учитывать этот статус при оценке требований к соблюдению. FIPS 140-2 — это стандарт правительства США, определяющий минимальные требования к безопасности FedRAMP для криптографических модулей в продуктах и системах. Для получения дополнительной информации см. Федеральный стандарт информационных процессов (FIPS) 140.
  • Требования к резидентству данных: Клиентам следует тщательно учитывать требования к проживанию данных при оценке решения GSA под свои нужды. При использовании GSA существует вероятность, что ваши данные (вплоть до и включая контент клиента) могут быть прекратены и обработаны за пределами Соединённых Штатов по системе безопасности транспортного уровня (TLS), особенно если пользователи получают доступ к GSA, находясь за пределами США и её территорий. Кроме того, данные могут быть завершаны и обработаны по TLS за пределами США, когда GSA направляет трафик через ближайшую доступную периферийную точку, которая может находиться за пределами США в зависимости от нескольких факторов. Факторы завершения и обработки TLS за пределами США могут включать, но не ограничиваясь: физическое местоположение пользователя, близость к периферийным локациям, задержку сети, доступность сервиса, параметры производительности, конфигурации клиентов и так далее. Например, пользователь рядом с границей США с регионом вне США может подключиться к периферии, не входящей в США, где проводится проверка данных и соблюдение политики.
  • Last updated on