سياسات الوصول
في Ping64، تنظم مجموعات الوصول عقد الثقة الصفرية وموارد الشبكة لتستخدمها السياسات والمسارات والإعدادات الأخرى. تحدد سياسة الوصول المصادر والأهداف المسموح بها أو المرفوضة والبروتوكول والاتجاه والمنافذ. لا يمنح إنشاء مجموعة صلاحية بحد ذاته؛ ولا يثبت حفظ السياسة استلام جميع العقد للإعدادات أو إمكانية الوصول إلى الخدمة المستهدفة.
يشرح هذا الفصل إعداد سياسات الوصول والتحقق منها، بما في ذلك المصدر والوجهة والبروتوكول والاتجاه والإجراء. قبل تغيير سياسة، قيّم أثر السياسات والمسارات الأخرى في الوصول.
التحضير
- استخدم حساب مسؤول يملك صلاحيات إدارة مجموعات وسياسات الثقة الصفرية. تحقق من اتصال العقد المشاركة وتجهيز موارد الشبكة اللازمة.
- حدد المصادر والأهداف والبروتوكولات والمنافذ التي يجب السماح بها أو تقييدها، والحاجة إلى الوصول العكسي. اختر أقل نطاق يلبي العمل وجهز عناصر اختبار مسموحا لها وأخرى غير مسموح لها.
- راجع السياسات والمسارات ومراجع المجموعات الموجودة. قد تؤثر إعدادات متعددة في المسار نفسه؛ لا تستنتج النتيجة النهائية من سياسة جديدة واحدة فقط.
- عند الوصول إلى خدمة داخلية تحقق من قدرة عقدة التوجيه على الوصول والتمرير، ومن الخدمة والجدار ومسار العودة. راجع إعداد مسارات شبكة الثقة الصفرية.
قيد إعداد المنافذ: يمكن أن تحتوي قاعدة السياسة الواحدة على عدة منافذ فردية أو نطاق واحد أو أكثر، لكن لا تخلط المنافذ الفردية مع النطاقات في القاعدة نفسها. مثلاً، لا تُدخل 443 و8000-8080 معاً في قاعدة واحدة؛ فقد يفشل الحفظ حتى إن قبلت الواجهة الإدخال. إذا لزم تغطية النوعين، فادرس إنشاء سياسات منفصلة وتحقق من المصدر والهدف والإجراء وفحص الأمان لكل منها، ثم اختبر أثرها المشترك في بيئة تجريبية. لا تخلط * مع منافذ أخرى.
إنشاء سياسة وصول
- في التحكم بالوصول للثقة الصفرية، افتح «Policies». إذا احتوت القائمة على سياسات فاختر «Create»، وإذا كانت فارغة فاختر «Create Policy». أدخل اسم السياسة والوصف اللازم.
- اختر
ALLأوTCPأوUDPأوICMP، واختر «Accept» أو «Drop» حسب الحاجة. قبل استخدام فحص أمني تحقق من محتواه والأجهزة المعنية ومتطلبات المؤسسة. - في «Sources» اختر مجموعات وصول أو عقدة محددة، وفي «Destinations» اختر مجموعات أو عقدة أو مورد شبكة. حدد الكائنات حسب النوع وتحقق من المصدر والهدف المقصودين.
- تحقق من «Direction»: توفر الصفحة المصدر إلى الهدف أو الاتجاهين. عندما يكون الهدف مورد شبكة لا يتاح تغيير الاتجاه؛ اتبع الاتجاه المعروض ولا تفترض منح الوصول العكسي.
- بالنسبة إلى
TCPأوUDPاضبط المنافذ حسب الحاجة. تركها فارغة يعني جميع المنافذ. يمكن إدخال منفذ أو نطاق صالح أو*، مثل443أو8000-8080، وتأكيد الإدخال حسب التعليمات. القيم من1إلى65535. - احفظ وتحقق في القائمة من الاسم والمصدر والهدف والبروتوكول والاتجاه والإجراء وحالة التفعيل. بعد استلام العقد للإعدادات، اختبر العناصر المتوقع السماح بها وغير المسموح بها، وراجع السياسات الأخرى.
مثلا، أضف عقد التطوير التجريبية إلى مجموعتها وجهز مورد الشبكة المستهدف. أنشئ سياسة بالمجموعة مصدرا والمورد هدفا وTCP والمنفذ 443 والإجراء «Accept». بعد الحفظ والتفعيل اختبر من عقدة تجريبية وعقدة خارج المصدر المقصود. هذا ليس سياسة افتراضية؛ تؤثر السياسات الأخرى والمسارات والخدمة والجدار في النتيجة أيضا.
إعادة التحقق بعد تغيير الخيارات: يؤدي تغيير البروتوكول من TCP أو UDP إلى ALL أو ICMP إلى مسح المنافذ ونطاقاتها المدخلة. لا تُستعاد تلقائيًا عند الرجوع إلى TCP أو UDP، ويعني حقل المنافذ الفارغ جميع المنافذ. يؤدي تغيير نوع المصدر أو الوجهة أيضًا إلى مسح العناصر المحددة في الجهة المعنية. يؤدي اختيار مورد شبكة وجهةً إلى تغيير الاتجاه من المصدر إلى الوجهة؛ لا تفترض استعادة الإعداد ثنائي الاتجاه السابق عند الرجوع إلى نوع آخر. قبل الحفظ أعد تحديد العناصر وتحقق من البروتوكول والمنافذ والاتجاه لتجنب توسيع نطاق الوصول أو تغييره دون قصد.
تداخل السياسات: قد يطابق المصدر والهدف والبروتوكول والمنفذ نفسها عدة سياسات سماح أو رفض. مثلًا، إذا كان جهاز ضمن مجموعة مسموحة وأخرى مقيدة، فتحقق من عضوية المجموعتين والاتجاه والمنافذ وفحوص الأمان، ثم اختبر اتصالات جديدة من الجهاز. لا تستنتج النتيجة من ترتيب القائمة أو قاعدة واحدة فقط؛ قلّل التداخل المتعارض متى أمكن، وتحقق كذلك من المسارات وضوابط الطرف المستهدف.
معلومات أخطاء الشبكة: قد تسمح بعض مسارات معالجة الأجهزة برسائل خطأ ICMP محددة، مثل تعذر الوصول إلى الوجهة أو انتهاء المهلة، حتى إذا رفضت سياسة الوصول المعنية المرور. لا تفترض أن سياسة الرفض تحظر جميع رسائل التحكم في الشبكة، ولا تعتبر استلام هذا الرد دليلًا على إمكانية الوصول إلى خدمة الأعمال. تحقق من اتصال الأعمال ومتطلبات التحكم كلًّا على حدة على المنصات الفعلية.
التكامل مع مسارات الشبكة
تتحكم السياسة في المرور المطابق وتوفر المسارات طريق الوصول. عند المرور عبر عقدة توجيه، تحقق معا من العقدة ونطاق المسار ومصدر السياسة وهدفها والبروتوكول والمنافذ. توزيع المسار لا يغني عن اختبار التحكم بالوصول.
مهم: ترك «Policy Target Groups» في المسار فارغا ينشئ قاعدة سماح افتراضية وليس رفضا افتراضيا. للتقييد اختر مجموعة الهدف في المسار وتحقق من أن سياسة مفعلة تختار المجموعة نفسها والمصدر المقصود. أكمل إعدادات المسار الأخرى واختبر الأجهزة المسموح لها وغير المسموح لها كلّا على حدة.
يتحكم Effective Scope في الأجهزة التي تتلقى المسار، لكنه لا يقصر مصادر قاعدة السماح الافتراضية المذكورة على تلك الأجهزة. لا تضيق القاعدة الافتراضية حركة إعادة التوجيه المطابقة حسب المصدر أو البروتوكول أو المنفذ. يظل الوصول الفعلي معتمداً على الاتصال والضوابط الأخرى وشبكة الوجهة. لا تعتمد على نطاق التوزيع وحده لعزل الوصول؛ اختر مجموعات أهداف السياسة واختبر المسارات الأخرى منفصلة.
التحقق من الاتصالات القائمة: بعد تشديد السياسة أو إضافة قاعدة رفض، لا تفترض انقطاع جميع الجلسات القائمة فوراً حتى بعد تلقي العقد للتحديث. قد تستمر بعض الاتصالات المنشأة عبر مسارات اتصال أو توجيه معينة؛ ويتوقف السلوك على منصة الجهاز وحالة الاتصال ووسائل التحكم الأخرى. قيّم الأعمال الجارية قبل التغيير، ثم اختبر الجلسات القائمة والاتصالات الجديدة بصورة منفصلة في بيئة تجريبية معتمدة. إذا لزم الإنهاء الفوري، فاتخذ إجراءً إضافياً وتحقق منه وفق إجراءات الاستجابة للحوادث في المؤسسة، ولا تعتمد على نجاح حفظ السياسة وحده.
التحقق والتغيير ومعالجة المشكلات
- تحقق من تفعيل السياسة ووجود المصدر والهدف وصحة أعضاء المجموعة واتصال العقد واستلامها الإعدادات. الحفظ والتوزيع والتطبيق الفعلي حالات مختلفة.
- تحقق من البروتوكول والمنافذ والاتجاه؛ وإذا كان الهدف مورد شبكة فتحقق أيضا من المورد وعقدة التوجيه والشبكة والخدمة ومسار العودة.
- اختبر المصادر المسموح لها وغير المسموح لها بشكل منفصل. لا يثبت نجاح اتصال أو حفظ واحد كامل حدود الأمان.
- عند اختلاف النتائج افحص السياسات الأخرى والسماح الافتراضي للمسار والفحوص الأمنية المختارة وجدار الهدف. سجل عناصر الاختبار والنتائج ورسائل الصفحة ليفحصها مسؤول مخول.
- قبل تعطيل سياسة أو حذفها أو تغيير أعضاء مجموعة، افحص المراجع والأثر وسجل الإعدادات واتبع إجراءات المؤسسة. أعد اختبار الأعمال والقيود بعد التغيير. ابحث عن السياسة في القائمة: اختر «Edit» في صفها لتعديلها وحفظها، أو استخدم مفتاح الحالة لتعطيلها أو إعادة تفعيلها، أو اختر «Delete» وأكد في مربع الحوار. إذا تعذر الإجراء فتحقق من الصلاحيات ومن وجود عملية قيد المعالجة. لا تدخل السياسة المعطلة في حسابات الإعداد اللاحقة؛ تعطيل سياسة سماح لا يضمن حظر المسارات الأخرى، وتعطيل سياسة رفض قد يوسع الوصول. أعد تحميل القائمة وتحقق من الحالة، ثم اختبر الجلسات الحالية والاتصالات الجديدة كلًا على حدة. إذا فشل تحميل التفاصيل فلا تعتبر السياسة فارغة ولا تحذفها مباشرة؛ اتصل بالمسؤول للتحقق.
آخر تحديث