VPN-Alternative: Interne Anwendungen mit Azure AD App Proxy von außen zugänglich machen

Als externe Benutzer gelten in diesem Kontext solche, die sich mit ihrem Gerät nicht im Unter­nehmens­netz­werk befinden, die aber über ein so genanntes Schul- oder Organisationskonto in Entra ID verfügen. Dies kann auch ein hybrides, mit einem on-prem AD synchronisiertes Konto sein.

Sie können sich mit einer Anzeige-URL oder über das Portal myapplication.microsoft.com von PCs oder Macs aus mit ihrem Entra-ID-Account anmelden, um auf die lokal ausgeführten (Web)-Anwendungen zuzugreifen, die für sie freigegeben sind.

Der Anwendungsproxy funktioniert mit Web-Anwendungen, die zur Anmeldung die integrierte Windows-Authentifizierung nutzen (IWA). Außerdem funktioniert der Dienst mit formularbasierten Web-Anwendungen oder Header-basiertem Zugriff sowie mit SAML-Authentifizierung oder mit von ihnen veröffentlichten Web-APIs.

Der Dienst lässt sich auch mit Programmen nutzen, die hinter einem Remotedesktop-Gate­way gehostet sind, sowie mit Rich-Client-Apps, welche die Microsoft Authentication Library (MSAL) integriert haben.

Somit ermöglicht der Anwendungsproxy unter anderem Remote-Zugriff und Single Sign-on (SSO) für Remotedesktop, SharePoint-Websites, Tableau, Qlik, OWA und viele Line-of-Business-Applikationen.

Aufbau und Funktionsweise

Im Zentrum der Architektur steht der veröffentlichte Endpunkt. Das kann entweder eine externe URL sein, wenn der Benutzer außerhalb des lokalen Netzwerks auf seine Anwendungen zugreifen möchte, oder ein Benutzer-Portal, etwa bei einem internen Zugriff.

Erreicht ein User einen solchen Endpunkt, dann authentifiziert er sich zunächst via Entra ID und wird dann mit Hilfe des lokal installierten Connectors an die lokale Anwendung weitergeleitet. App Proxy baut dabei im Hintergrund eine Verbindung über eine interne Anwendungs-URL auf, ohne dass man dafür ein VPN benötigt.

Beim Connector handelt es sich um einen einfachen, auf einem beliebigen Windows-Server innerhalb des Domänen-Netzwerks ausgeführten Agenten, der die Kommunikation zwischen dem Dienst in der Cloud und der lokalen Anwendung verwaltet.

Dies geschieht ausschließlich über ausgehende Verbindungen, das heißt, der Connector baut von innen heraus über HTTP oder HTTPS einen Tunnel auf.  Die folgende Abbildung zeigt, wie die Entra-ID-Authenti­fizierungs­dienste und der Anwendungs­proxy gemeinsam Single Sign-on (SSO) für lokale Apps bereitstellen können.

1. Greift der Benutzer über den Endpunkt auf seine Anwendung zu, dann wird er an die Entra-ID-Anmeldeseite weitergeleitet;
2. Dabei stellt je nach Konfiguration Entra ID Conditional Access sicher, dass der Zugriff nur unter den konfigurierten Bedingungen funktioniert. Bei erfolgreicher Anmeldung sendet Entra ID ein Token an das Client-Gerät des Nutzers;
3. Der Client übergibt es an den Anwendungsproxy-Dienst. Dieser extrahiert wiederum den User Principal Name und den Security Principal Name aus dem Token;
4. Anschließend leitet der Anwendungsproxy die Anforderung an den lokalen Connector, der dann die weitere Authentifizierung durchführt, die je nach konfigurierter Authentifizierungs­methode (zum Beispiel SAML) unter Umständen noch erforderlich ist;
5. Der lokale Connector kontaktiert dazu den internen Endpunkt des Anwendungs-Servers, um die Anforderung an die lokale Anwendung senden zu können;
6. Danach sendet der Connector die Antwort des Anwendungs-Servers an den Anwendungsproxy und dieser leitet die Antwort an den Nutzer zurück.

Vorteile des Dienstes

Selbst wenn Sie sich nur auf die durch den App Proxy durchgeführte Vor-Authentifizierung mittels Entra ID beschränken und auf SSO komplett verzichten, weil es ihre Applikation nicht unterstützt oder der Konfigurations­aufwand zu hoch erscheint, ist ohne gültiges Token kein Datenverkehr durch den Anwendungsproxy-Dienst zur lokalen Umgebung erlaubt. Sie blockieren damit bereits eine große Zahl zielgerichteter Angriffe.

Darüber hinaus können Sie mit dem Dienst auch solche lokalen Anwendungen mit dem bedingten Zugriff bzw. allgemein der starken Authentifizierung von Entra ID versorgen, die das von Haus aus gar nicht unterstützen würden.

Da der Dienst keine eingehenden Verbindungen benötigt, ist es auch nicht notwendig, Firewall-Ports für eingehenden Traffic zu öffnen oder andere Komponenten in der DMZ bereitzustellen.

Da der gesamte Datenverkehr zur Back-End-Anwendung im Proxy-Dienst terminiert wird, ist ihr Backend-Server nie für direkten HTTP-Datenverkehr zugänglich. Somit könnten Sie sogar Anwendungen mit SSL absichern, die SSL gar nicht zulassen. Der Dienst schützt somit auch vor DoS-Angriffen.

Zusammenfassung

Der Azure AD Anwendungsproxy erlaubt externen Benutzern den Zugriff auf Anwendungen im Unternehmens­netzwerk. Diese müssen sich dazu mit einem Schul- oder Arbeitskonto an Entra ID anmelden.

Im Vergleich zu einem VPN bietet es gleich mehrere Vorteile. So profitieren Unternehmen von den starken Authentifizierungs­verfahren des Azure AD und können zusätzlich den Zugriff über Conditional Access absichern.

Der Connector baut alle Verbindungen von innen zum Anwendungsproxy in der Cloud auf, so dass kein Port in der Firewall geöffnet werden muss. Potenzielle DoS-Angriffe würden sich zudem nur gegen den Cloud-Service richten, so dass die interne Anwendung davon unberührt bliebe.