ZTNA Clientless Source IP Address Restrictions

Problem

Bei dem Versuch, die Zugriffskontrolle für browserbasierte Anwendungen zu implementieren, die über ZTNA Clientless veröffentlicht werden, können Administratoren feststellen, dass die Beschränkung des Zugriffs basierend auf bestimmten, zugelassenen öffentlichen IP-Adressen nicht als Konfigurationsoption verfügbar ist. Die Anforderung besteht darin, den Zugriff nur von festgelegten Quell-IP-Adressen aus zuzulassen und gleichzeitig alle anderen Quell-IPs für Anwendungen zu blockieren, auf die über den ZTNA Clientless mit benutzerdefinierten Domänen zugegriffen wird.

Umwelt

• Cisco Secure Access - ZTNA (Zero Trust Network Access)

• ZTNA Clientless (browserbasierter Zugriff)

• Anwendungen mit benutzerdefinierten Domänen veröffentlicht

• Alle betroffenen Softwareversionen

Auflösung

Quell-IP-Adressbasierte Zugriffsbeschränkungen für Clientless-URLs ohne ZTNA werden von der Cisco Secure Access-Plattform nicht unterstützt. Diese Einschränkung gilt für alle Anwendungen, die über ZTNA Clientless veröffentlicht werden, unabhängig davon, ob sie benutzerdefinierte Domänen oder standardmäßige ZTNA-URLs verwenden.

Die ZTNA Clientless-Architektur bietet keine Möglichkeit, IP-basierte Zugriffskontrolllisten oder Funktionen zum Zulassen von Listen auf Anwendungsebene zu implementieren. Die Zugriffskontrolle wird über andere Authentifizierungs- und Autorisierungsmechanismen innerhalb des Zero Trust Frameworks verwaltet, z. B.:

• Überprüfung der Benutzeridentität

• Statusüberprüfung für Geräte

• Multifaktor-Authentifizierung

• Anwendungsspezifische Richtlinien

Unternehmen, die eine IP-basierte Quellzugriffskontrolle benötigen, müssen möglicherweise alternative Ansätze in Betracht ziehen oder auf zukünftige Produkterweiterungen warten, die diese Funktion beinhalten können.
Wenden Sie sich bitte an das Cisco Account Team, um eine Anfrage zur Erweiterung der Funktion einzureichen.

Ursache

Die Clientless-Service-Architektur der ZTNA umfasst keine Filterfunktionen für Quell-IP-Adressen im Rahmen des aktuellen Feature-Sets. Hierbei handelt es sich um eine Produktbeschränkung und nicht um ein Konfigurationsproblem.

Verwandte Inhalte

• Technischer Support und Downloads von Cisco