什么是Cato私人访问?

Cato私人访问通过代理架构为用户提供到应用程序的访问。 用户不会直接连接到宿主应用程序的网络。 相反，访问仅对明确定义并通过应用连接器暴露的应用程序建立。

私人访问仅支持用户发起的访问。 应用程序不会对用户发起连接，且不支持服务器发起或双向通信模式。 这种设计在用户和应用环境之间执行严格隔离，并消除暴露内部网络或宣传路由的需求。

需要服务器发起或双向通信的场景超出了私人访问的范围，由Cato的IPsec和Socket站点完整网络架构支持。

如需更多信息，请参见 使用 Cato SASE Cloud 的私有应用程序零信任访问。

私有访问服务是按区域群组中用户来许可的。 欲了解更多信息，请联系您的Cato代理或官方经销商。

私人应用程序代表您通过Cato发布的内部应用。

对于每个应用程序，您通过定义用户如何访问应用程序以及哪个连接器组提供授权连接，安全地发布内部资源。 应用程序从内部IP地址抽象，用户访问发布的域名而不是内部网络。

您在受保护应用程序的环境中（数据中心、云VPC或LAN）部署应用连接器，以便将该环境安全连接到Cato Cloud。 每个连接器建立一个仅出站的DTLS隧道，并仅转发策略明确授权的会话。 因为连接器不接受入站连接也不需要路由更改，您可以在不重新设计应用程序网络的情况下引入私人访问。 您可以部署多个连接器以提高弹性和扩展性。

应用连接器组逻辑上分组连接器以提供高可用性、负载分配和操作分离。 私人应用程序链接到连接器组而不是特定连接器。 这意味着如果某个连接器遇到问题，应用程序可以自动使用组中另一个可用连接器。

您使用私人访问策略来控制谁能访问哪些私人应用程序以及在什么条件下访问。 策略允许您根据用户身份和上下文授予应用程序级访问，同时保持默认拒绝的姿态。 在与应用程序环境建立任何会话之前，授权会在PoP处进行评估，确保只有明确允许的连接被代理到应用程序。

安全地暴露内部应用程序而无需修改路由、宣传子网或更改WAN架构。

私人访问不需要入站防火墙规则，使用来自应用程序环境的仅出站隧道，不需要IP重新寻址，也不需要站点加密。 这使得私人应用程序的快速上线理想，同时保留现有的网络设计。

在M&A场景中，重叠的IP范围通常会延迟整合。

私人访问在不需要IP重新寻址的情况下发布应用程序，使用CGNAT和DNS映射抽象内部寻址，并允许用户访问而无需路由域整合。 这支持快速、无中断地上线收购的环境。

如果以后需要双向或服务器发起的连接，您可以将环境上线为完整的Cato站点。