单包授权（SPA）是SDP（软件定义边界）的核心功能。开启SPA功能后，终端在和设备建立TLS连接时，需要在hello包中携带spa种子方可以建立连接成功。
如开启UDP敲门功能，则能够实现端口完全隐藏（端口无法被扫描到），客户端需要向设备的UDP敲门端口发送敲门包（包中携带了spa种子）后，方可临时打开被隐藏的TCP端口（因此客户端需要周期性的持续敲门方可保证访问连通性正常）。
（一）SPA配置说明：
步骤1、在控制中心[安全中心/服务隐身/SPA防护] 中，勾选<启用服务器隐身>。
步骤2、填写需要隐身端口，可以根据选择内置规则匹配的端口，也可以新增自定义端口。
表44SPA防护操作说明表
| 操作 |
说明 |
| 防护模式 |
防护模式分为： UDP端口敲门+TCP服务隐身：UDP端口敲门+TCP服务隐身模式下，设备将默认隐藏所有需保护的端口，仅开放UDP敲门端口；UDP敲门校验通过后，再开放TCP保护端口，并进行SPA校验。 TCP服务隐身：TCP服务隐身模式下，设备将对保护端口的TCP连接进行SPA数据包校验，校验通过则连接成功。 |
| 控制器保护端口 |
该端口需要选择控制中心/代理网关使用到的端口，分别如下： 所有端口类型如下： 1. 用户接入端口： 用户认证接入端口：443，管理员可配置； 2. 设备通信端口： 本地集群端口：112（keepalive通信端口）、442（数据同步端口）、4434（集群核心服务监听端口）； 证书认证服务器端口：无默认值，需管理员配置； 核心服务端口：58、50004； 3. 自定义端口： 管理员可自定义端口及端口范围。 |
| 代理网关保护端口 |
|
| UDP敲门后端口开放时间 |
用于设置UDP-SPA敲门包完成敲门后TCP端口开放时间，不建议修改此项配置的默认值（180s），开放时间低于默认值将导致前端网络设备的负载增大，开放时间高于默认值将增加设备自身安全风险（单次敲门开放时间必须大于自动敲门周期的3倍） |
| 客户端UDP自动敲门周期 |
用于设置UDP-SPA敲门包敲门周期，不建议修改此项配置的默认值（60s），敲门周期低于默认值将增加客户端的性能消耗，同时导致前端网络设备的负载增大（自动敲门周期必须小于等于单次敲门开放时间的1/3） |
| UDP敲门误差时间 |
用于设置客户端和服务器端时间误差。安全码是基于时间戳计算令牌码，客户端与服务器端时间存在时间差时，容易敲门失败。 |
| 源IP白名单 |
白名单内的IP不受SPA功能限制 1、支持配置SPA白名单，白名单可配置IP、IP段、支持添加描述字段。 2、每次启禁用SPA功能，将自动生成设备通信白名单、集群通信白名单，以保障客户业务，减少客户配置； 设备通信白名单：本地集群心跳线IP、分发线IP、集群IP， 分布式集群通信线路P、数据同步线路IP，保证集群设备间通信正常 集群通信白名单：本地集群心跳线IP、分发线IP、集群IP，分布式集群通信线路P、数据同步线路IP，保证集群设备间通信正常
|
：
1、使用SPA功能设备在配置域名时，域名解析不支持使用本地host解析，需要依靠DNS服务器解析。
2、使用SPA功能设备在配置IP时，只能通过客户端登录并访问隧道资源，无法通过浏览器登录/访问web资源。
3、SDPC和Proxy之间的数据通信，也需要进行SPA鉴权，因此必须配置源地址白名单。
4、aTrust的TCP-SPA是在建立TLS链接时候进行的安全认证，因此telnet设备端口连通性还是可以监测到端口是否开放。
5、如开启UDP敲门，则可以实现端口的完全隐藏，即使是扫描工具也无法扫描到设备开放的端口。
：
1.综合网关需要隐藏的端口则是上述两类端口的集合。
2.如果是集群场景，则需要注意将集群的IP和端口也填写进去。
步骤3、完成配置后，若客户为远程办公的场景需求，则需要将对应保护的端口映射到公网上，映射的内容包括TCP和UDP协议，具体如下参考，具体的根据项目实际确定即可。
（二）SPA效果说明：
1) 用户未安装专属客户端，无法接入零信任aTrust，端口无法扫描；
2) 用户安装了专属客户端，可正常接入零信任aTrust，端口可扫描；
建议使用Chrome浏览器访问！
