飞连应用网关是对七层应用的访问进行代理，帮助企业实现无端访问企业应用的能力。本文介绍如何添加应用网关、维护应用网关以及查看网关日志。

应用网关主要作用是转发应用访问的请求并校验请求的安全性。当您配置好应用网关以及企业应用，在员工访问应用时，应用网关会根据访问的域名解析到特定的应用网关节点，由应用网关节点完成到后端应用的请求转发。同时在访问流量到达应用网关时，会进行一层身份校验确保访问的安全性。

前提条件 #

• 准备至少一台 Linux 服务器，推荐使用 CentOS 7、Debian 9 或 Ubuntu 20 等稳定版本，后续在服务器内安装应用网关组件作为网关节点。
• 确保服务器具备网络连接能力，包括内网和公网 IP。

操作步骤 #

1. 登录管理后台。
2. 在左侧导航栏，选择零信任接入 > 接入网关 > 应用网关。
3. 在应用网关页面左下方，单击创建节点。
   如果您是首次添加节点，请在页面中间单击创建节点。
   
4. 在添加网关节点界面，依次完成以下配置。

   1. 配置以下基本信息，并单击下一步。
      

      配置区域	配置项	说明
      基础信息	节点名称	设置该节点的唯一标识，支持多语言配置。建议采用“地域-用途”命名，如“北京-财务应用网关”。
      	内网 IP	网关节点在企业私有网络中的实际 IP。
      	公网 IP	网关节点服务器的公网 IP 地址。
      	DNS 服务器（主用）	一般为内网 DNS 服务器地址。如果没有可不填写。
      	DNS 服务器（备用）	一般为内网 DNS 服务器地址。如果没有可不填写。
      高级配置	存储配置场景	定义网关存储用户会话与缓存信息的方式。 本地存储：默认选项。数据存储在网关服务器本地文件中，适用于简单单机测试、对可靠性要求较低的场景。 自定义 Redis：将数据存储至外部独立的 Redis 集群，推荐生产环境使用。选择此项后需填写 Redis 地址（需含端口号，集群用逗号分隔）、用户名及密码。

   2. 根据部署安装界面的提示信息，在已准备的服务器上部署安装应用网关组件，完成后返回飞连管理后台单击下一步。
      其中，命令行回显需要填写的app_id指的是组件 ID、app_secret指的是组件 Secret。

   3. 进行连通性测试，确保应用网关节点可以与飞连正常通信后，单击完成。

1. 登录管理后台。
2. 在左侧导航栏，选择零信任接入 > 接入网关 > 应用网关。
3. 在应用网关页面，您可以对存量的网关节点进行以下操作。
   
   • 查看网关节点信息，包括节点的名称、状态、内网 IP、公网 IP、DNS 服务器、组件相关信息以及当前使用的存储类型。
   • 单击编辑，支持修改节点信息或配置免认证访问。
   • 单击删除节点，可将不再使用的网关节点删除。

   注意

   • 如果您的网关节点处于运行中，则您需要在变更状态中选择下线，待节点下线后才能编辑或删除。
   • 节点被删除后不可恢复，请谨慎操作。

配置免认证访问 #

管理员可根据业务连续性或资源公开性需求，通过编辑存量节点手动调整网关的运行模式。该功能允许网关在特定场景下绕过零信任认证链路，直接执行流量转发。

• 关闭（默认）：网关作为零信任防护的核心组件，强制执行身份验证、二次认证、资源授权及访问控制策略。
• 开启：网关将退化为纯粹的反向代理服务器，跳过所有认证与权限校验链路。
  • 应用场景
    • 公共资源发布：当网关下挂载的应用均为公司官网、公开文档库等不需要身份校验的公共资源时，开启此模式可提升用户访问体验。
    • 紧急故障逃生：当身份认证系统出现异常导致员工无法登录办公应用时，开启此模式可作为紧急避险手段，确保业务连续性。
  • 影响说明
    开启后，飞连将失去对该节点下所有应用的防护能力，未授权用户亦可正常访问。但网关仍会保留基础访问日志与审计日志，以供后续安全溯源。请务必在充分评估安全风险后单击确认开启。

当企业用户规模较大时，频繁的全量用户数据同步可能会导致应用网关负载过高，影响业务稳定性。通过全局配置，您可以自定义网关拉取用户属性的频率与批次大小，在数据实时性与网关性能之间取得平衡。

1. 登录管理后台。
2. 在左侧导航栏，选择零信任接入 > 接入网关 > 应用网关。
3. 在页面右上角，单击网关全局配置。
   
4. 在右侧弹出的网关全局配置抽屉页中，设置以下参数并单击确定。
   

   配置项	说明
   定时拉取用户属性	设置网关自动从云端同步用户属性的时间间隔，单位为分钟。间隔设置越长，网关负载越低，但新员工入职或调岗后的权限生效会有延迟；间隔设置越短，权限生效越快，但会增加网关负载。 默认为 0，即每日 0 点更新一次。建议根据业务对权限生效实时性的要求合理配置。
   拉取用户数量级	设置网关单次请求同步的用户数量，单位为人。该参数用于控制数据处理的批次大小。通过分批拉取，可防止因单次拉取数据量过大导致内存溢出或请求超时。 默认为 100 人。建议根据网关服务器性能配置。
   OCSP（在线证书状态协议）	根据网关的网络环境，自定义开启或关闭 SSL 证书的在线状态查询功能。 开启：适用于网关可访问互联网的场景。开启后网关将自动校验 SSL 证书的实时状态，确保证书未被撤销，提升客户端连接速度与安全性。 关闭：适用于纯内网隔离环境或无法访问 CA 机构的部署场景。关闭后可跳过联网校验步骤，避免因无法连接 CA 机构导致服务启动卡顿或端口监听失败，保障内网业务正常运行。 注意 此处为全局配置，对所有应用生效。如需对单个应用生效，请使用应用安全策略配置开关，详情参看配置应用安全策略。

1. 登录管理后台。
2. 在左侧导航栏，选择零信任接入 > 接入网关 > 应用网关日志。
   
3. 在应用网关日志页面，您可以查看以下信息：
   • 访问分布图：查看展示最近 24 小时的 API 访问量，快速了解流量趋势。
   • 访问日志列表：点击日志条目操作栏的详情按钮，进入详细内容查看，支持复制日志，便于记录和分析。
     
4. 除了默认展示的数据，您还可以通过以下方式筛选访问日志。

   • 高级搜索：可针对 字段名 和 字段值 进行筛选查询数据，不同类型的字段可通过运算符搭配进行搜索。运算符说明：
     

     运算方式	描述
     Exact match a value(精确匹配）	精确匹配查询，示例：status:404和uri:"/a/b/c"。
     Range(范围查询）	范围比较查询，支持数字、字符比较>, <, >=, <=。示例：http.status > 200 and http.status < 600。
     Wildcards(通配符）	字段值设置为通配符*查询，只支持字符串类型，支持字符串第一个及最后一个字符作为通配符，例如：*abc*、*abc、abc*。 示例：host: *.baidu.com、host: www.baidu.*、host:*baidu*
     AND/OR/NOT(与、或、非）	与 AND。示例：status:302 AND status: 404 或 OR。示例：status:302 OR status: 404 非 NOT，用于筛选出排除逻辑使用。示例：NOT status: 404
     Combining multiple queries(组合查询）	使用()圈定字段名 和 字段值范围进行组合查询。 示例：method: GET OR status: 400 (method: GET AND status: 200) OR (method: POST AND status: 400)
     Querying nested fields(嵌套查询）	仅() 圈定字段值作为范围进行嵌套查询。示例：status: (404 OR 500 OR 503)。

     • 示例一：以status:302搜索为例
       
     • 示例二：以 status <= 302 and host:api.mxin.moe 搜索为例
       

   • 时间搜索：默认为最近 24 小时，可调整为 1 ~ 15 天的自定义时间范围。

   • 输入搜索：您可以通过以下维度筛选访问日志：

     • 请求方法：默认勾选 Get、Post、Delete、Option 等所有请求方法，可根据需要取消特定方法。
     • 协议：默认全选，可单独选择HTTP 或 HTTPS 协议。
     • 状态码：默认展示所有状态码，可取消勾选以查看特定状态码的日志。
     • 应用网关：默认展示所有选项，可取消勾选以筛选特定网关的日志。
     • 应用：默认展示所有选项，可取消勾选以筛选特定应用的日志。

     说明

     当需要重新开始筛选时，您可使用一键清空功能快速重置所有筛选条件。

     

应用网关访问统计看板通过对应用网关访问日志进行聚合，提供长周期的流量洞察与业务热度分析。管理员可以通过看板快速识别核心应用、活跃员工及流量趋势。

1. 登录管理后台。
2. 在左侧导航栏，选择零信任接入 > 接入网关 > 应用网关访问统计。
3. 在应用网关访问统计页面，您可以查看以下数据维度。
   
   • 访问数据概览：在页面顶部可选择时间范围（如近 7 天、近 15 天或自定义，上限为 180 天），查看以下核心指标：
     • 访问员工数：统计范围内访问过网关发布应用的去重员工数量。
     • 访问应用数：统计范围内被访问过的应用去重数量。
     • 访问次数：统计范围内产生的总访问请求次数。
     • 登录次数：统计范围内员工成功通过网关认证的登录次数。
   • TOP 5 访问榜单
     • TOP 5 访问应用：按访问次数降序展示排名前 5 的应用，包含应用名称、访问次数及访问人数。
     • TOP 5 访问员工：按访问次数降序展示排名前 5 的员工，包含员工姓名及访问次数。
   • 访问趋势：通过折线图展示访问量的变化趋势。支持在图表右上角切换访问次数与访问员工数视图，以便从不同维度观察流量波动。

您可以将 HTTPS 协议应用对应的 SSL 证书上传至管理后台。后续在飞连中添加应用时，如果使用应用网关，则需要关联 SSL 证书。HTTPS 协议使用数字证书来确保在服务器和客户机之间进行安全、保密的通信。

1. 登录管理后台。
2. 在左侧导航栏，选择零信任接入 > 接入网关。
3. 在接入网关页面，单击证书管理页签。
4. 在证书管理页签右上角，单击添加证书。
   
5. 在添加证书对话框，设置证书名称并上传 SSL 证书文件以及密钥文件。
6. （可选）在证书管理列表，查看已添加的证书信息。支持编辑或删除证书。

   注意

   删除证书后，对应的应用将因为没有可授信证书而导致无法内网访问。请您谨慎操作。