飞连代理模式是基于零信任理念构建的接入方案，支持从网络端口到应用层路径的全维度管控。该模式作为终端与业务系统之间的逻辑安全屏障，通过客户端接管流量并建立加密通道，实现基于用户身份与设备状态的精确授权（支持 IP、端口及 URL 级别）。通过构建统一的逻辑接入边界，代理模式确保了员工在不同网络环境下访问内部资源时均能获得一致的安全性与审计能力。

核心价值与作用 #

• 精细化访问控制：有别于传统 VPN 粗放的网段连通，代理模式通过“引流 ＋ 基础访问策略 ＋ 精细管控策略”多重校验，将访问权限控制到特定的 IP、域名、端口乃至具体的 URL 路径级别。员工仅能访问被授权的特定资源，有效防止内网横向越权访问，将安全风险降至最低。
• 业务高度兼容：代理模式工作在网络层与应用层，既支持非网页类的标准办公软件及协议（如 Git 代码库、数据库客户端、SSH 远程连接等），也针对 Web 业务提供深度的访问路径解析能力，满足企业多样化的研发与办公安全需求。
• 零信任网络隐身：遵循“先认证，后连接”的原则，内部资源默认对终端不可见。只有当员工身份认证通过、设备状态合规，且被明确授权访问特定应用时，网关才会为其打通专属的加密访问通道。
• 联动设备安全基线：基于客户端的实时感知能力，系统能根据终端安全性（如杀毒软件状态、违规进程等）动态调整访问权限。这种基于设备信任度的准入机制替代了传统的物理网络准入，确保了权限控制的灵活性与安全性。
• 智能选路与访问性能：客户端能探测各代理网关集群的时延，实现低时延优先选路，保障员工办公体验；同时支持自动判断流量走向（代理通道或本地直连），确保业务访问的高效与稳定。

整体架构与工作原理 #

在代理模式下，飞连管理后台（Server）、客户端与代理网关三者协同工作，共同构建了一个基于“多重拦截与校验”的零信任访问闭环。

1. 管理员配置资源与策略：管理员在管理后台完成基础设施搭建（部署代理网关集群），定义允许访问的内部资源，并制定终端侧的“引流策略”、网关侧的基础“访问策略（ACL）”以及针对 Web 应用的“精细管控策略”。
2. 策略与配置下发同步：
   • 客户端侧：终端用户安装飞连客户端并完成身份认证后，客户端会从服务器拉取最新的引流策略、可用的代理网关集群信息以及可访问的应用列表。
   • 网关侧：代理网关也会实时同步最新的基础访问策略与精细管控策略。
3. 终端发起访问（端侧引流判断）：当员工在终端发起网络访问时，飞连客户端会根据引流策略判断是否接管该流量。若命中策略，流量将被截获并加密送入代理通道；若未命中，流量将直接通过本地网络发往互联网。
4. 建立连接与网关鉴权（网关侧权限校验）：流量抵达代理网关后，网关会提取请求中的身份、设备属性及目标资源信息，与策略库进行比对。对于 Web 请求，网关会进一步解析其 URL 路径，只有完全符合“允许”策略的请求才会被转发至后端业务系统。
5. 审计日志回流：网关会记录详细的访问轨迹（包含网络连接日志与应用层访问路径日志），并持续上报给管理后台，为管理员提供深度的访问审计与溯源能力。

管理员配置指引 #

必选配置 #

为了帮助您快速在企业内部署并使用代理模式，建议您按照以下流程进行配置：

1. 部署代理网关并配置网关集群
   准备服务器资源，完成代理网关节点的添加与安装，并创建集群、关联节点，为后续的流量转发提供物理通道。
2. 定义代理应用
   将允许员工访问的内部业务系统（如代码库、财务系统等）的具体网络地址录入管理后台，注册为代理应用。
3. 配置代理模式 ACL 策略（设置网关侧放行规则）
   配置基于身份或设备属性的访问控制列表（ACL），明确哪些人有权访问哪些业务端口。
4. 配置代理模式引流策略（设置终端侧接管规则）
   下发引流策略，通知飞连客户端将目标应用的访问请求正式截获并送入代理通道。

可选配置 #

• 配置代理模式精细管控策略（设置 Web 应用深度管控规则）
  针对已发布的 Web 应用，若需实现具体的 URL 路径级权限准入，建议进一步配置精细管控策略。
• 配置代理模式客户端接入策略（设置手动选点规则）
  飞连客户端默认会自动探测各代理网关集群的时延，并优先选择低时延的接入路径。若您有“特定地域强制接入（如必须通过香港集群连接）”或“禁止员工手动切换接入点”等精细化管控需求，可配置客户端接入策略，限定可选的网关集群范围。
• 配置代理模式客户端限速（设置带宽管控规则）
  在代理策略的高级配置中，您可以开启客户端限速功能，防止终端用户过度占用代理网关的带宽资源，并支持基于员工/设备维度定制差异化的限速策略。