代理应用是代理模式下定义内网访问目标的基本单元。当您需要通过飞连代理网关让员工安全访问企业内部的业务系统（如代码库、财务系统、OA 平台等）时，必须先将这些系统的网络地址（IP、域名等）注册为代理应用。只有完成代理应用的创建，您才能在引流策略中指定需要代理的流量目标，或在 ACL 策略中针对具体应用配置访问权限。

本文将为您介绍如何在飞连中管理代理应用。

前提条件 #

请确保您已参考接入代理网关，在零信任接入 > 接入网关 > 代理网关页面成功创建了网关集群并添加了至少一个关联节点。

添加代理应用 #

1. 登录飞连管理后台。
2. 在左侧导航栏，选择零信任接入 > 应用管理。
3. 在页面顶部切换至代理应用页签。
   
4. （可选）若您需要按业务类型对代理应用进行分组管理（如区分“研发系统”、“财务系统”），请在页面左侧的标签列表区域单击 + 创建标签（首次）/ + 添加标签（后续），完成标签的定义。
5. 单击页面右侧的 + 添加应用。
6. 在添加应用页面，完成以下基础信息配置。
   • 应用名称：输入易于识别的应用名称，支持多语言配置。
   • 描述：建议根据实际需要填写应用的业务属性、管理人员或配置背景等辅助信息，方便后续识别与维护。
   • 标签：可在下拉列表中为该应用选择步骤 4 中已创建的标签。关联标签后，您可以在配置 ACL 策略或引流策略时，通过“标签”一次性选中该分类下的所有应用，简化大规模资源授权操作。
   • 生效接入点：指定将该应用发布到哪些网关集群。应用发布以集群为管理单位，若代理网关节点尚未加集群，请先参考管理代理网关集群完成集群创建和节点关联。此配置主要用于多地域或多机房网络隔离的场景。例如，某内部应用仅在“北京机房”的局域网内可达，您应当在此处指定“北京代理网关集群”，确保客户端通过该特定集群网关访问应用。
     • 全部集群：默认选项。应用将在所有已创建的代理网关集群中生效。
     • 部分集群：手动勾选特定的网关集群，该应用的路由和权限策略将仅下发至被选中的集群及其包含的所有物理节点。

   说明

   接入继承与调度说明

   • 节点加入集群：新节点自动继承该集群已发布的所有应用配置，无需重新发布应用。
   • 节点移出集群：自动移除该节点从原集群继承的应用发布关系。调整集群成员前，请确认集群中仍有可用节点承接应用访问。
   • 客户端选择集群：飞连会自动探测各网关集群及其内部节点的负载与延迟，并为终端用户优先选择性能最优的接入路径。管理员可通过配置代理模式客户端接入策略来管控员工的手动选点权限或限定自动选路的可选范围。
   • 应用地址：点击右侧 + 添加地址进行添加。
     • 协议：根据应用实际的服务协议选择，可选项包括全部、TCP 和 UDP（ICMP 暂不支持）。
     • 资源类型：选择您即将输入的地址类型（域名或 IP 地址）。非 TCP 协议通常建议使用 IP 地址进行定义。
     • 服务器地址：根据上方选定的资源类型，输入对应的域名或 IP 信息。支持批量输入，多条记录请换行分隔。
       • 域名：适用于通过网址（如 git.corp.com）访问的业务。支持通配符，例如输入*.corp.com可以匹配该后缀下的所有子域名。
       • IP 地址：适用于通过固定 IP 或网段访问的业务，支持 IPv4 和 IPv6。可填写单个 IP（如 10.1.1.1 或 2001:abcd:0:0:0:0:0:1）、IP 范围（如 10.1.1.1-10.1.1.10 或 2001:abcd::1-2001:abcd::10）或 CIDR 网段（如 10.1.1.0/24 或 2001:db8::/32）。
     • 端口列表：输入应用对外提供服务的端口号。支持填写单个端口（80）、端口范围（1-65535）。批量输入请使用逗号或回车分隔。只有发送到指定端口的流量才会被网关代理，未定义的端口请求将被拦截，从而实现服务级的最小化授权。若需要放行所有端口，请填写 1-65535。
   • 快捷添加
     若您已在系统设置 > 资源管理 > 地址管理页面预先维护了企业常用的域名或 IP 资源库，可开启快捷添加开关进行资源引用。单击选择应用，在弹出的资源库列表中勾选您需要引用的地址资源。
7. 确认配置无误后，单击页面底部的确定保存配置。

管理代理应用 #

管理员可以在代理应用列表页面，对已创建的应用资源进行检索、维护或清理。

• 快速检索
  • 按条件搜索：支持通过应用名称、应用地址（IP 或域名）进行关键字搜索，或通过网关集群、协议类型进行快速筛选。
  • 按标签过滤：单击左侧“标签列表”中的具体标签，可一键查看该分类下的所有应用。
• 修改配置：单击目标应用右侧操作栏的编辑，即可修改应用名称、标签、生效接入点或具体的地址/端口等信息。修改应用的生效接入点后，可前往日志审计 > 管理员操作日志查看操作记录，追溯操作者、操作时间及配置变更详情。
• 删除资源：单击目标应用右侧操作栏的删除，移除不再使用的应用资源。删除前请务必确认该应用未被任何引流策略或 ACL 策略引用，以免引发合法的访问请求被意外拦截或敏感流量未能正确引流。

后续操作 #

代理应用创建完成后，仅作为“资源”存在于系统中。要实现真正的网络连通与权限管控，您还需要：

1. 前往代理策略 > ACL 策略，配置允许特定人群访问该应用的授权规则，详情参看配置代理模式 ACL 策略。
2. 前往代理策略 > 引流策略，配置将目标客户端流量引导至代理网关的路由规则，详情参看配置代理模式引流策略。