目  录

1 SDP零信任

1.1 SDP零信任配置命令

1.1.1 display trusted-access controller sdp assigned-resource

1.1.2 display trusted-access controller sdp session

1.1.3 display trusted-access controller sdp tcp-proxy-connection

1.1.4 sdp access-method

1.1.5 sdp api-access default

1.1.6 sdp enable

1.1.7 spa enable

1.1.8 trusted-access controller sdp

1 SDP零信任

‌

1.1  SDP零信任配置命令

1.1.1  display trusted-access controller sdp assigned-resource

display trusted-access controller sdp assigned-resource命令用来显示SDP控制器下发给用户的内网资源。

【命令】

display trusted-access controller sdp assigned-resource { api | app } [ context context-name ]

【视图】

任意视图

【缺省用户角色】

network-operator

context-admin

context-operator

vsys-admin

vsys-operator

【参数】

api：显示SDP控制器下发给用户的API资源。

app：显示SDP控制器下发给用户的APP资源。

context context-name：显示指定SDP访问实例对应的APP或API资源。context-name表示SDP访问实例名称，为1～31个字符的字符串，只能包含字母、数字、下划线，不区分大小写。如果不指定本参数，则显示所有SDP访问实例对应的APP或API资源。

【举例】

# 显示SDP控制器下发给用户的APP资源。

<Sysname> display trusted-access controller sdp assigned-resource app

Context                : default

App ID                 : 12345

App Name               : sdptest

AccessType             : web-proxy

Protocol               : HTTPS

IPv4Address            : 2.2.2.1

HostName               : host1

Port                   : 4430

App ID                 : 345

App Name               : sdptest

AccessType             : tcp-access

Protocol               : HTTPS

IPv4Address            : 2.2.2.5

HostName               : host5

Port                   : 4420

Gateway Port           : 4430

Identity Location      : 1

表1-1 display trusted-access controller sdp assigned-resource app命令显示信息描述表

# 显示SDP控制器下发给用户的API资源。

<Sysname> display trusted-access controller sdp assigned-resource api

Context                : default

API ID                 : 12345-1

API Name               : sdptest-1

URL                    : https://10.1.1.1

App ID                 : 12345

表1-2 display trusted-access controller sdp assigned-resource api命令显示信息描述表

1.1.2  display trusted-access controller sdp session

display trusted-access controller sdp session命令用来显示SDP会话信息。

【命令】

display trusted-access controller sdp session [ context context-name ] [ user user-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

context-admin

context-operator

vsys-admin

vsys-operator

【参数】

context context-name：显示指定SDP访问实例下的SDP会话的详细信息。context-name表示SDP访问实例名称，为1～31个字符的字符串，只能包含字母、数字、下划线，不区分大小写。如果不指定本参数，则显示所有SDP访问实例下的SDP会话的详细信息。

user user-name：显示指定或所有SDP访问实例下指定SDP用户对应的SDP会话的详细信息。user-name表示SDP用户名称，为1～63个字符的字符串，不区分大小写。如果不指定本参数，则显示指定或所有SDP访问实例下所有SDP用户的SDP会话的详细信息。

【举例】

# 显示所有SDP用户对应的SDP会话的详细信息。

<Sysname> display trusted-access controller sdp session

User                   : user1

Authentication method  : SDP authentication

Context        : default

Created at             : 13:49:27 UTC Wed 04/14/2021

Latest                : 17:50:58 UTC Wed 04/14/2021

Allocated IPv4 address : 2.2.2.1

Session ID             : 1

Send rate              : 0.00 B/s

Receive rate           : 0.00 B/s

Sent bytes             : 0.00 B

Received bytes         : 0.00 B

Apps                   : app1/permit;

                         app2/deny;

                         …

APIs                   : api1/permit;

                         api2/deny;

                         …

User                   : user2

Authentication method  : SDP authentication

Context                : default

Created at             : 13:50:20 UTC Wed 04/14/2021

Latest                : 17:55:58 UTC Wed 04/14/2021

Allocated IPv4 address : 2.2.2.1

Session ID             : 1

Send rate              : 0.00 B/s

Receive rate           : 0.00 B/s

Sent bytes             : 0.00 B

Received bytes         : 0.00 B

Apps                   : app1/permit;

                         app3/deny;

                         …

APIs                   : api1/permit;

                         api3/deny;

                         …

# 显示SDP用户user1对应的SDP会话的详细信息。

<Sysname> display trusted-access controller sdp session user user1

User                   : user1

Authentication method  : SDP authentication

Context                : default

Created at             : 13:49:27 UTC Wed 04/14/2021

Latest                : 17:50:58 UTC Wed 04/14/2021

Allocated IPv4 address : 2.2.2.1

Session ID             : 1

Send rate              : 0.00 B/s

Receive rate           : 0.00 B/s

Sent bytes             : 0.00 B

Received bytes         : 0.00 B

Apps                   : app1/permit;

                         app2/deny;

                         …

APIs                   : api1/permit;

                         api2/deny;

                         …

表1-3 display trusted-access controller sdp session命令显示信息描述表

1.1.3  display trusted-access controller sdp tcp-proxy-connection

display trusted-access controller sdp tcp-proxy-connection命令用来显示TCP代理类型应用的连接信息。

【命令】

（独立运行模式）

display trusted-access controller sdp tcp-proxy-connection [ context context-name ] [ slot slot-number [ cpu cpu-number ] ]

（IRF模式）

display trusted-access controller sdp tcp-proxy-connection [ context context-name ] [ chassis chassis-number slot slot-number [ cpu cpu-number ] ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

context-admin

context-operator

vsys-admin

vsys-operator

【参数】

context context-name：显示指定SDP访问实例下的TCP代理应用连接信息。context-name 表示SDP访问实例名称，为1～31个字符的字符串，只能包含字母、数字、下划线，不区分大小写。如果不指定本参数，则显示所有SDP访问实例下的TCP代理应用连接信息。

slot slot-number：指定单板。slot-number为单板所在的槽位号。如果不指定本参数，则表示指定主用主控板。（独立运行模式）

chassis chassis-number slot slot-number：指定单板。chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。如果不指定本参数，则表示指定Master设备主用主控板。（IRF模式）

cpu cpu-number：指定CPU。cpu-number表示单板上CPU的编号。只有指定的slot支持多CPU时，才能配置该参数。

【举例】

# 显示所有SDP访问实例下TCP代理应用的连接信息。（独立运行模式）

<Sysname> display trusted-access controller sdp tcp-proxy-connection

Slot                    : 1

Total count             : 2

Context                 : default

  User                  : user1

  Client address        : 192.0.2.1

  Client port           : 1025

  Server address        : 192.168.0.39

  Server port           : 80

  TCP connection status : Connected

  User                  : user2

  Client address        : 192.0.2.4

  Client port           : 56190

  Server address        : 192.168.0.50

  Server port           : 23

  TCP connection status : Connecting

表1-4 display trusted-access controller sdp tcp-proxy-connection命令显示信息描述表

1.1.4  sdp access-method

sdp access-method命令用来配置用户通过SDP网关访问内网资源的方式。

undo sdp access-method命令用来恢复缺省情况。

【命令】

sdp access-method { ip-tunnel | mix | web-access }

undo sdp access-method

【缺省情况】

用户通过SDP网关访问内网资源的方式为混合方式。

【视图】

SDP可信访问控制器视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【参数】

ip-tunnel：IP接入方式，该方式下用户仅能通过iNode客户端登录SDP控制器进行身份认证，认证成功后仅能通过iNode客户端访问内网资源。

mix：混合方式，该方式下用户必须首先通过iNode客户端登录SDP控制器进行身份认证，认证成功后可以通过浏览器或iNode客户端访问内网资源。

web-access：Web接入方式，该方式下用户仅能通过浏览器登录SDP控制器进行身份认证，认证成功后仅能通过浏览器访问内网资源。

【使用指导】

本功能仅在SDP可信访问控制功能处于开启状态下生效。

对于已登录的用户，若管理员通过本命令修改了访问方式，则该用户需要重新登录SDP控制进行身份认证，认证成功后才能继续访问内网资源。

多次执行本命令，最后一次执行的命令生效。

【举例】

# 配置用户访问SDP网关的访问方式为Web接入方式。

<Sysname> system-view

[Sysname] trusted-access controller sdp

[Sysname-tac-sdp] sdp access-method web-access

【相关命令】

·     sdp enable

1.1.5  sdp api-access default

sdp api-access default命令用来配置用户通过SDP网关访问内网API的缺省动作。

undo sdp api-access default命令用来恢复缺省情况。

【命令】

sdp api-access default { deny | permit }

undo sdp api-access default

【缺省情况】

用户通过SDP网关访问内网API的缺省动作为允许。

【视图】

SDP可信访问控制器视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【参数】

deny：表示用户通过SDP网关访问内网API的缺省动作为拒绝。

permit：表示用户通过SDP网关访问内网API的缺省动作为允许。

【使用指导】

若用户访问的内网API地址不在SDP控制器下发给SDP网关的API列表中，设备将使用本命令设置的缺省动作来拒绝或允许用户对内网API的访问行为。

当内网API数量巨大时，管理员可以针对特定的API进行权限管理，例如允许或拒绝用户访问某些重要的API，其他的API访问权限可以通过本命令配置缺省处理动作，而不必对每一条API都进行权限配置。

本功能仅在SDP可信访问控制功能处于开启状态下生效。

【举例】

# 配置用户通过SDP网关访问内网API的缺省动作为拒绝。

<Sysname> system-view

[Sysname] trusted-access controller sdp

[Sysname-tac-sdp] sdp api-access default deny

【相关命令】

·     sdp enable

1.1.6  sdp enable

sdp enable命令用来开启SDP功能。

undo sdp enable命令用来关闭SDP功能。

【命令】

sdp enable

undo sdp enable

【缺省情况】

SDP功能处于关闭状态。

【视图】

SDP可信访问控制器视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【使用指导】

SDP（Software Defined Perimeter，软件定义边界）功能是指设备作为SDP网关与SDP控制器联动，对访问指定APP或API的用户进行身份认证和鉴权，以实现对用户身份和访问权限的集中控制，防止非法用户访问。

SDP网关借助云平台连接功能向SDP可信访问控制器通报保活状态，由于SDP可信访问控制器设置的保活时间为30秒，为了保证SDP可信访问控制功能的正常运行，需要将设备向云平台服务器发送Keepalive报文的时间间隔（通过cloud-management keepalive命令）设置为10～29秒。关于云平台连接的详细介绍，请参见“基础配置指导”中的“云平台连接”。

在零信任场景中SDP网关作为SSL VPN网关连接远端用户和企业内部网络。

【举例】

# 开启SDP可信访问控制功能。

<Sysname> system-view

[Sysname] trusted-access controller sdp

[Sysname-tac-sdp] sdp enable

【相关命令】

·     cloud-management keepalive

1.1.7  spa enable

spa enable命令用来开启单包认证功能。

undo spa enable命令用来关闭单包认证功能。

【命令】

spa enable

undo spa enable

【缺省情况】

单包认证功能处于关闭状态。

【视图】

SDP可信访问控制器视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【使用指导】

单包认证功能是指客户端访问SDP网关之前，必须向SDP网关发送SPA（Single Packet Authentication，单包认证）报文，SDP网关通过验证SPA报文判断客户端是否合法，若客户端合法，SDP网关将接收客户端的后续访问请求，否则SDP网关将拒绝客户端的访问请求。

本功能仅在SDP可信访问控制功能处于开启状态下生效，且仅在IP接入方式和混合方式下支持本功能。

重新使能本功能对在线用户有影响，在有用户访问资源的情况下，请不要随意重新使能本功能，可通过display trusted-access controller sdp session命令查看是否有在线用户。

【举例】

# 开启单包认证功能。

<Sysname> system-view

[Sysname] trusted-access controller sdp

[Sysname-tac-sdp] spa enable

【相关命令】

·     sdp enable

·     sdp access-method

·     display trusted-access controller sdp session

1.1.8  trusted-access controller sdp

trusted-access controller sdp命令用来进入SDP可信访问控制器视图。

undo trusted-access controller sdp命令用来退出SDP可信访问控制器视图。

【命令】

trusted-access controller sdp

undo trusted-access controller sdp

【缺省情况】

不存在SDP可信访问控制器视图。

【视图】

系统视图

【缺省用户角色】

network-admin

context-admin

vsys-admin

【举例】

# 进入SDP可信访问控制器视图。

<Sysname> system-view

[Sysname] trusted-access controller sdp

[Sysname-tac-sdp]