Applications

Модулът Applications е централният модул за деклариране на приложенията (по-рано ресурси), които потребителите на Bastion след това виждат в своя портал. Всяко приложение декларира тип услуга (протоколът за достъп: RDP, SSH, VNC, Web, SMB…) и набор от параметри за целта, потребителското изживяване, защитата и записването. Тази страница описва интерфейса на модула: списък, филтри, формуляр за добавяне и редактиране, действия с агента и импортиране/експортиране.

Този модул, достъпен от административната конзола, се отваря и в режим bulk от други модули (например RDS servers), за да се създадат няколко приложения наведнъж от един шаблон.

Списък с приложения

Основният прозорец показва разделен на страници списък с приложения.

Колона	Описание
Name	Име на приложението, предшествано от икона, представяща типа услуга.
Application type	Privileged (наблюдаван достъп) или Standard.
Service	Тип услуга, т.е. протоколът за достъп (вижте таблицата по-долу).
Recorded videos	Икона, показваща дали сесията се записва.
Server	Адрес на целевия сървър и свързаният компонент Edge Gateway. За приложенията с динамична цел — диапазонът от IP адреси / списъкът с IP адреси / IP + маска. За Citrix Storefront — URL адресът. За общия тунел — списъкът с цели server:port.
SSO	Конфигуриран режим на SSO (Enabled, Disabled, Request, Fixed с името на псевдонима).
Tags	Свързани етикети. Колоната е скрита по подразбиране.
Description	Описание в свободен текст. Колоната е скрита по подразбиране.

Броят редове на страница може да се конфигурира.

Полета, обхванати от полето за търсене

Търсенето работи по подниз, едновременно в пет полета: името, описанието, етикетите, целевия сървър и типа услуга. Следователно едно приложение се запазва в резултатите веднага щом едно от тези пет полета съдържа въведения текст — включително двете колони, скрити по подразбиране.

Поддържани типове услуги

Падащият списък Service type във формуляра предлага следните стойности, подредени по азбучен ред на надписа. Дясната колона дава съответния технически идентификатор — този, който използват публичният API и CSV файлът за импортиране / експортиране.

Тип услуга (показван надпис)	Роля	Идентификатор
Citrix ICA	Сесия на Citrix чрез клиента ICA.	ica
Citrix Storefront	Портал Citrix Storefront.	nfuse
HTML5 (RDP)	RDS сесия, изобразявана в браузъра.	html5rdp
HTML5 (SSH)	SSH терминал в браузъра.	html5ssh
HTML5 (VNC)	VNC сесия в браузъра.	html5vnc
netBIOS	Споделен ресурс NetBIOS, свързан като диск.	netBios
RDS	Сесия на отдалечен работен плот на Windows, собствен клиент.	rdp
Reverse proxy	Уеб приложение, публикувано чрез обратен прокси сървър, със записване.	webrecord_rp
SMB	Споделен файлов ресурс SMB.	smb
SSH (Secure Shell)	SSH терминал, собствен клиент.	ssh
Generic tunnel	TCP/UDP тунел към една или повече цели server:port.	redirectionport
VNC (Virtual Network Computing)	VNC сесия, собствен клиент.	vnc
VPN	Изолиран VPN достъп.	vpn
Web	Записвано уеб приложение.	webrecord_web

Наличност

Трите типа HTML5 се предлагат при създаване само когато функцията HTML5 е активирана в платформата; в противен случай те остават видими само при редактиране. Типовете VPN, Generic tunnel, Citrix Storefront, Citrix ICA, SMB и netBIOS съществуват само за приложения Standard.

Режим без агент за RDS

Типовете RDS и HTML5 (RDP) могат да работят със или без агент на Bastion, внедрен на целевия сървър: това е квадратче за отметка във формуляра, а не отделен тип услуга. Визуално иконата на приложението се различава (цветна икона с агент, сива икона без агент), а филтрите на списъка разграничават двата варианта. Записваните метаданни се различават съответно:

Достъп	Натискания на клавиши	Клипборд	Отваряне / затваряне на прозорци	Стартиране на програма
RDS с агент	✓	✓	✓	✓
RDS без агент	✓	—	—	—
SSH	✓	N/A	N/A	N/A
VNC	✓	—	—	—

Филтри

Сгъваема област с филтри над таблицата стеснява списъка:

Филтър	Описание
Application type	Квадратчета за отметка Privileged и/или Standard.
Service type	По едно квадратче за отметка за всеки тип, всяко със своята икона.

Щракнете върху Display, за да приложите филтрите, или върху Reset, за да изчистите всички филтри.

Създаване на приложение

Щракнете върху бутона +. Отваря се формулярът за създаване. Създаването протича в две стъпки:

1. изберете типа приложение (Privileged / Standard), след това типа услуга;
2. попълнете полетата — те се различават значително в зависимост от избрания тип услуга.

Формулярът е разделен на два раздела.

General informationService

Полета, общи за почти всички приложения (с изключение на няколко силно специфични типа).

Поле	Описание
Name	Задължително, уникално. Знаците @ и , са забранени.
Description	Свободен текст.
Category	Категория за показване в портала (вижте модула Categories).
Tags	Свободни етикети, въвеждани един по един и добавяни с бутона Add. Вече прикачен етикет се отхвърля. Прикачените етикети се показват в отделна група полета.
Ask for a comment to the user	Изисква от потребителя да въведе контекста на връзката си преди стартирането. Коментарът е наличен в записаното видео.
Check video integrity at playback	Изчислява и проверява хеша на записите.
Allow manual removal of archives	Позволява на упълномощен администратор да изтрие конкретно видео.
Delete archives automatically	Активира автоматичното задържане на записите.
Archives conservation time (days)	Продължителност в дни, между 1 и конфигуриран максимум. Достъпно само когато предишното квадратче е отметнато. По подразбиране: 365.

Изберете типа услуга и попълнете специфичните параметри. След като изберете тип, се появяват няколко групи полета:

• Access — целеви сървър, порт, динамичен режим (диапазон от IP адреси, списък с IP адреси, IP + маска), домейн за удостоверяване, брокер на RDS…
• SSO — вижте частта SSO.
• Remote application — само за типовете RDP: режим RemoteApp, име на публикуваното приложение, стартова папка, параметри.
• View — разделителна способност, дълбочина на цвета, динамично преоразмеряване, клавиатурна подредба, тапет, конзолен режим.
• Advanced settings — сгъваема група полета с опции, специфични за типа услуга (CREDSSP/NLA, Restricted Admin, деактивиране на Kerberos, пренасочвания, времена за изчакване и т.н.).

Динамичен режим

За типовете RDS, HTML5 (RDP), SSH, HTML5 (SSH), VNC, HTML5 (VNC) и Generic tunnel целта може да бъде въведена като диапазон от IP адреси, списък с IP адреси или IP + маска вместо фиксиран сървър. Тогава крайният потребител въвежда точния адрес при стартирането.

Щракнете върху Validate, за да запишете. Преди записването се прилагат няколко проверки:

• формулярът трябва да е валиден;
• данните за SSO с предварително удостоверяване (за уеб ресурсите) се валидират;
• ако SSO е Fixed, трябва да бъде избран поне един псевдоним от Keeper;
• за общия тунел трябва да бъде дефинирана поне една цел (освен в динамичен режим);
• за нединамичните цели се извършва проверка за дублиран целеви сървър; показва се списък с приложенията, които вече използват същата цел, и от администратора се изисква потвърждение.

Редактиране или изтриване на приложение

• Редактиране: изберете приложение и щракнете върху иконата Properties или щракнете двукратно върху реда. Формулярът е идентичен с формуляра за създаване.
• Изтриване: изберете едно или повече приложения и щракнете върху бутона ×. Изисква се потвърждение; текстът е различен при единичен и при множествен избор.
• Дублиране: изберете едно или повече приложения и щракнете върху Duplicate Application. Всяко копие получава първоначалното име, последвано от номер в скоби — (1), след това (2), (3)… до първото свободно име. Копират се: параметрите на услугата, етикетите, свързаните групи администратори и, когато SSO е в режим Fixed, прикачените псевдоними от модула Vault. Бутонът остава деактивиран, щом изборът съдържа приложение, което не може да бъде дублирано.

SSO

За всеки съвместим тип услуга поле SSO определя метода за удостоверяване, използван при стартирането.

Режим	Описание
Enabled	Идентификационните данни на потребителя на Bastion се предават на целевата услуга.
Disabled	Не се изпращат идентификационни данни; потребителят се удостоверява ръчно.
Request	Потребителят въвежда идентификационните данни непосредствено преди стартирането.
Fixed	Идентификационните данни се вземат от псевдоним в модула Vault. Появява се поле Alias за избор на псевдонима, който да се използва.

Без SSO

За типовете SMB и netBIOS SSO по принцип не е възможно: полето показва посивял надпис вместо падащия списък.

SSO е несъвместимо с домейните SAML

Режимът Enabled предполага, че платформата знае паролата на потребителя, за да може да я препрати към целевата услуга. Това не е така, когато потребителят се удостоверява спрямо домейн за удостоверяване SAML: паролата се въвежда при доставчика на самоличност, който не я предава нататък. Следователно приложение в режим SSO Enabled е неизползваемо за потребителите на такива домейни — запазете за тях режима Request или Fixed, тъй като и двата вземат идентификационните данни от друго място.

SSO за типовете Reverse proxy и Web

За типовете Reverse proxy и Web, ако режимът на SSO е различен от Disabled, в раздела Service се появява допълнителна секция SSO.

За Reverse proxy секцията предлага три обобщаващи полета:

Поле	Описание
Login attribute	Име на параметъра, който ще пренася името за вход.
Password attribute	Име на параметъра, който ще пренася паролата.
Extra attributes	Допълнителни параметри.

Квадратчето за отметка Advanced settings дава достъп до конфигурация в свободна форма (параметри и заглавки).

За Web секцията предлага допълнително поле SSO type:

Тип	Описание
Classic	Поведение, идентично с това на Reverse proxy.
Form preload	HTML формулярът се извлича, попълва и изпраща автоматично. Допълнителни полета: SSO URL, Form mode (HTTP метод), CSRF token input name.
Preauthentication	Преди окончателното пренасочване се изпраща поредица от HTTP заявки. Бутонът Configuration of preauthentication steps отваря отделен прозорец.

Конфигуриране на стъпките за предварително удостоверяване

Прозорецът за конфигуриране изброява вече дефинираните заявки (URL адрес, метод, ред на изпращане).

Добавянето на заявка с бутона + отваря формуляр със следните полета:

Поле	Описание
URL	URL адрес на заявката, предшестван от конфигурирания хост на услугата.
Method	GET или POST.
Enable cache	Полезно само за GET.
Login parameter / Password parameter	Незадължителни имена на параметри.
ContentType (MIME)	Позволява да посочите например application/json.

Квадратчето за отметка Advanced settings показва два допълнителни раздела: Settings и Headers, всеки от които служи за добавяне на двойки име/стойност.

Специален синтаксис на стойностите

Полето Value (параметри, заглавки, стойности на бисквитки) приема заместващи низове. Квадратчето за отметка Disable special syntax кара стойността да се приема буквално; създадените по този начин записи се показват в списъка с курсив.

Заместващ низ	Резултат
%user%	Име за вход, използвано за SSO.
%password%	Парола, използвана за SSO.
%base64([...])%	Кодиране в Base64.
%lowercase([...])% / %uppercase([...])%	Преобразуване в малки / главни букви.
%trim([...])%	Премахване на началните и крайните интервали.
%uriencoded([...])%	URI кодиране на специалните знаци.
%md5([...])%	MD5 хеш.
%sha256([...])%	SHA-256 хеш.
%hmacmd5(data,key)%	HMAC-MD5 (параметрите са разделени с %,%).
%rsa(key,data)%	RSA шифроване.
%rsaoaep(key,data)%	RSA-OAEP шифроване (PEM ключ).
%reqresult(n)% / %reqresult(n,key)%	Извлича резултата от n-тата изпратена преди това заявка, по желание филтриран по име на ключ.
\%	Буквален знак за процент.

Стъпки за създаване на данни

Подменю на бутона за добавяне позволява да добавите стъпка за създаване на данни (за разлика от заявка). Типът данни може да бъде:

Тип	Резултат
Local variable	Съхранява се в локалното място за съхранение на браузъра.
Session variable	Съхранява се в мястото за съхранение на сесията на браузъра.
Cookie	Съхранява се в бисквитка. Предлага допълнителни полета: Path (по подразбиране /), Lifetime (в часове; празно = без изтичане, 0 или отрицателна стойност = незабавно изтичане), Secured cookie (изисква се HTTPS), SameSite (Strict, Lax, None).

Действия с агента

Действията с агента се предлагат само за привилегировани приложения от тип RDS или HTML5 (RDP) и само когато режимът без агент не е отметнат. В лентата с инструменти са налични два бутона.

Внедряване на агента

Щракването върху Agent deployment отваря формуляр, предварително попълнен със списъка с избраните сървъри.

Поле	Описание
Target server	Адрес на целевия сървър (попълва се автоматично при един сървър).
Target drive	Буква на диска, на който да се инсталира агентът (например C).
Target directory	Път за инсталиране.
Gateway	Компонентът Edge Gateway, използван за внедряването.
Domain	Домейн на Active Directory.
Username / Password	Акаунт на локален администратор или на администратор на домейна, на който е разрешено да инсталира агента.

Щракнете върху Validate; след това конзолата периодично проверява състоянието на инсталирането.

Премахване на агента

Щракването върху Agent removal отваря подобен формуляр, който събира същата информация за удостоверяване и за целта, за да деинсталира агента.

Експортиране / импортиране

• Export: изтегля филтрирания списък като файл .csv. Предварителната проверка може да покаже предупреждения, които администраторът трябва да потвърди едно по едно.

• Import: отваря прозореца за импортиране на файл .csv. Полета за попълване:

  • File — файлът .csv;
  • Record delimiter — разделителят на колоните, ; за файл, създаден чрез експортиране;
  • Field values delimiter — разделителят на множествените стойности, + за файл, създаден чрез експортиране.

  След потвърждаването прозорец обобщава резултата за всеки ред от файла.

Колони на файла

Файлът съдържа един заглавен ред, след това по един ред за всяко приложение. Колоните са едни и същи в целия файл, независимо от експортираните типове услуги: експортирането създава обединението на всички възможни параметри, а всеки ред попълва само колоните, които се отнасят до собствения му тип. Останалите остават празни.

По-долу колоните са представени по семейства типове услуги. Общата основа се попълва независимо от типа; другите раздели се отнасят само до приложенията от посочения тип.

На практика започнете от експортиране

За да създадете приложения масово, най-простият начин остава да експортирате вече конфигурирано приложение от целевия тип, след това да дублирате и редактирате неговите редове: неизползваните колони остават празни, а заглавният ред дава точните заглавия на езика на конзолата.

Обща колона се появява във файла само веднъж

Няколко типа услуги използват едни и същи параметри: затова колона като Resolution е изброена във всеки засегнат раздел, но файлът я съдържа само веднъж.

Обща основаRDS и HTML5 (RDP)SSH и HTML5 (SSH)VNC и HTML5 (VNC)Web и Reverse proxyCitrixМрежаСподелени файлови ресурси

Колона	Очакван формат
Name (задължителна)	текст
Description	текст
Category (задължителна)	текст
Comment	True / False
Integrity	True / False
Manual deletion	True / False
Archives conservation time	цяло число
Service Type (задължителна)	текст
Presented message	текст
Authorized IP address	текст
End IP range	IP адрес
Start IP range	IP адрес
Subnet IP	IP адрес
SSO	текст
Subnet mask	текст
Authorized networks	текст
Dynamic	True / False
Vidéo recording	текст
Server	текст
Port	цяло число
Application type	текст
Launch VNC application	True / False

Колона	Засегнати типове	Очакван формат
Without agent	HTML5 (RDP), RDS	True / False
Embedded gateway	HTML5 (RDP), RDS	True / False
Gateway name	HTML5 (RDP), RDS	текст
Resolution	HTML5 (RDP), RDS	текст
Console mode	HTML5 (RDP), RDS	True / False
Remote Executable	HTML5 (RDP), RDS	текст
Launch Directory	HTML5 (RDP), RDS	текст
Authentication Domain	HTML5 (RDP), RDS	текст
Background	HTML5 (RDP), RDS	True / False
RemoteApp mode	HTML5 (RDP), RDS	True / False
RemoteApp name	HTML5 (RDP), RDS	текст
RDS Broker	HTML5 (RDP), RDS	True / False
Disable Kerberos	HTML5 (RDP), RDS	True / False
Acquire the Kerberos TGT	HTML5 (RDP), RDS	текст
Time before disconnection (seconds)	HTML5 (RDP), RDS	цяло число
RDP broker server collection	HTML5 (RDP), RDS	текст
Use another client program	RDS	True / False
Alternate client program executable	RDS	текст
Client program arguments	RDS	текст
Full Screen	RDS	True / False
CSSP	RDS	True / False
Clipboard	RDS	True / False
Plug and play	RDS	текст
Redirect Audio	RDS	True / False
Install Disks	RDS	True / False
Install Printers	RDS	True / False
Connect COM Ports	RDS	True / False
Colors	HTML5 (RDP), RDS	цяло число
Change title of RDP	RDS	True / False
Enable the restrictedadmin option	RDS	True / False
Custom RDP file parameters	RDS	текст
Mstsc args	RDS	текст
Enable AUP	RDS	True / False
Launch TSE executable	RDS	True / False
Force RDP auth on client side	RDS	True / False
Enable wallpaper	RDS	True / False
Ignore client-side cert	RDS	True / False
Ask interaction mode	HTML5 (RDP)	True / False
Redirect Clipboard	HTML5 (RDP)	True / False
Keyboard format	HTML5 (RDP)	текст
Security	HTML5 (RDP)	текст
User Domain	HTML5 (RDP)	True / False
Visual styles	HTML5 (RDP)	текст
Customize variable clientname	HTML5 (RDP)	текст
RemoteApp parameters	HTML5 (RDP)	текст
Resize method	HTML5 (RDP)	текст
Extended Clipboard (HTML)	HTML5 (RDP)	True / False
Font smoothing	HTML5 (RDP)	True / False
Change the title of tab	HTML5 (RDP)	True / False
Enable file transfer	HTML5 (RDP)	True / False

Колона	Засегнати типове	Очакван формат
Command to execute at launch	HTML5 (SSH), SSH	текст
Enable file transfer	HTML5 (SSH), SSH	True / False
Password injection settings	HTML5 (SSH), SSH	списък (+)
Use another client program	SSH	True / False
Alternate client program executable	SSH	текст
Client program arguments	SSH	текст
Remote Executable	SSH	текст
Parameters	SSH	текст
Local Port	SSH	цяло число
Remote Server	SSH	текст
Enable X11 forwarding	SSH	True / False
local ip	SSH	IP адрес
local port	SSH	цяло число
Launch Executable	SSH	True / False
Remote commands file	SSH	текст
Ask interaction mode	HTML5 (SSH)	True / False
Redirect Clipboard	HTML5 (SSH)	True / False
Authentication Domain	HTML5 (SSH)	текст
Console mode	HTML5 (SSH)	True / False
Backspace character	HTML5 (SSH)	цяло число
Terminal type (xterm, vt100 ...)	HTML5 (SSH)	текст

Колона	Засегнати типове	Очакван формат
VNC proxy address	HTML5 (VNC), VNC	текст
Resize method	HTML5 (VNC), VNC	цяло число
Encoding	HTML5 (VNC), VNC	текст
VNC proxy port	HTML5 (VNC), VNC	текст
Compression level	HTML5 (VNC), VNC	цяло число
JPEG Quality	HTML5 (VNC), VNC	цяло число
Change title of RDP	HTML5 (VNC), VNC	True / False
Change the title of tab	HTML5 (VNC), VNC	True / False
Ignore client-side cert	HTML5 (VNC), VNC	True / False
Custom RDP file parameters	HTML5 (VNC), VNC	текст
Use another client program	VNC	True / False
Alternate client program executable	VNC	текст
Client program arguments	VNC	текст
Resolution	VNC	текст
Ask interaction mode	HTML5 (VNC)	True / False
Redirect Clipboard	HTML5 (VNC)	True / False

Колона	Засегнати типове	Очакван формат
Virtualhost	Reverse proxy, Web	текст
URL	Reverse proxy, Web	текст
https	Reverse proxy, Web	True / False
Authentication type	Reverse proxy, Web	цяло число
SSO type	Reverse proxy, Web	текст
Form mode	Reverse proxy, Web	цяло число
Login attribute	Reverse proxy, Web	текст
Password attribute	Reverse proxy, Web	текст
Extra attributes	Reverse proxy, Web	текст
SSO settings	Reverse proxy, Web	текст
SSO URL	Reverse proxy, Web	текст
Forbidden Urls	Reverse proxy, Web	списък (+)
SSO on classic HTML forms	Reverse proxy, Web	True / False
Advanced settings	Reverse proxy, Web	True / False
csrf	Reverse proxy, Web	текст
IP address(es)	Web	списък (+)
additional networks	Web	True / False

Колона	Засегнати типове	Очакван формат
Authentication Domain	Citrix ICA, Citrix Storefront	текст
Number of colors	Citrix ICA	цяло число
Resolution	Citrix ICA	текст
Keyboard type	Citrix ICA	текст
Keyboard Configuration	Citrix ICA	текст
Remote application	Citrix ICA	текст
Borderless window	Citrix ICA	True / False
Launch ICA application	Citrix ICA	True / False
Storefront server URL	Citrix Storefront	текст
Protocol	Citrix Storefront	текст
URL	Citrix Storefront	текст
composed URL	Citrix Storefront	текст
List of IPs or domains	Citrix Storefront	текст
Citrix version	Citrix Storefront	цяло число
Enable SSO for web portal access	Citrix Storefront	текст
Enable SSO for ICA connections	Citrix Storefront	текст
Enable web parsing	Citrix Storefront	True / False
Enable handling of Session Reliability mode	Citrix Storefront	True / False

Колона	Засегнати типове	Очакван формат
Display VPN state graphical user interface	VPN	True / False
Mode	VPN	текст
Protocol	Generic tunnel, VPN	текст
Network	VPN	IP адрес
Netmask	VPN	IP адрес
User IP address allocation policy	VPN	текст
DNS suffixes	VPN	текст
Redirect all network flows in the VPN tunnel (full tunneling)	VPN	True / False
Routes pushed	VPN	списък (+)
Authorized IP addresses	VPN	списък (+)
Forbidden IP	VPN	списък (+)
IP ranges	VPN	списък (+)
Allowed network masks	VPN	списък (+)
DNS Servers	VPN	списък (+)
URL	Generic tunnel	текст
Remote Server	Generic tunnel	текст
Remote port	Generic tunnel	цяло число
Local server	Generic tunnel	текст
Local Port	Generic tunnel	цяло число
Default remote port	Generic tunnel	цяло число
Inform user	Generic tunnel	True / False
Launch Executable	Generic tunnel	True / False
Launch in a web client	Generic tunnel	True / False
Executable	Generic tunnel	текст
Parameters	Generic tunnel	текст
Enable URL rewriting	Generic tunnel	True / False
Avoid windows authentication	Generic tunnel	True / False
Preserve Host header	Generic tunnel	True / False
SSO on classic HTML forms	Generic tunnel	текст
Login attribute	Generic tunnel	текст
Password attribute	Generic tunnel	текст
Form mode	Generic tunnel	цяло число
Extra attributes	Generic tunnel	текст
Redirections	Generic tunnel	списък (+)

Колона	Засегнати типове	Очакван формат
Share(s)	SMB	текст
Force download	SMB	True / False
Display IP	SMB	True / False
Drive choice	netBIOS	текст
Drive label	netBIOS	текст
Replace an existing network drive	netBIOS	True / False
Launch Windows explorer	netBIOS	True / False
Share	netBIOS	текст

Синтаксис

Елемент	Разделител	Пример
Колони	;	Name;Description;Category;…
Няколко стойности в една клетка	+	10.0.0.1+10.0.0.2
Група делегирани администратори	@ между групата и нейния домейн	AdminsAccounting@AD-Internal
Булеви стойности	—	True или False; празна клетка се счита за False
Цели числа	—	Стойност без допълнения; празна клетка приема стойността по подразбиране на полето

Колоните Name, Category и Service Type са задължителни: ред, в който липсва някоя от тях, се отхвърля. Категорията е единственият случай, в който неизвестна стойност се създава при импортирането; всяка друга посочена стойност трябва вече да съществува.

Договори за достъп

Декларирането на приложение не го прави достъпно за потребителите. След това трябва да създадете договор за достъп, който свързва приложение, една или повече групи потребители и незадължително условие за достъп.