إعداد مسارات شبكة الثقة الصفرية

في Ping64، يوفر مسار الشبكة للأجهزة المحددة طريقا إلى شبكة أو نطاق مستهدف عبر عقدة توجيه للثقة الصفرية. يجب تحديد الهدف وعقدة التوجيه ونطاق الأجهزة التي تتلقى المسار وسياسة الوصول كل على حدة. لا يثبت الحفظ استلام الأجهزة للإعدادات أو قدرة العقدة على التمرير أو السماح بالوصول إلى الخدمة المستهدفة وإتاحتها.

التحضير

• تحقق من صلاحيات المسؤول لإدارة مجموعات الوصول والسياسات والمسارات. جهز عقدة متصلة بالثقة الصفرية ويمكنها الوصول إلى الشبكة المستهدفة. عند استخدام مجموعة عقد، تحقق من اتصال العقد المرشحة ووصولها إلى الهدف وشروط التمرير.
• حدد الشبكة أو النطاق المستهدف والأجهزة والبروتوكولات والمنافذ اللازمة للعمل. افحص جدار حماية الهدف وتمرير البوابة ومسار العودة، وابدأ بأجهزة اختبار خاضعة للضبط.
• يتطلب مسار النطاق قدرة الجهاز على تحليل اسم الهدف. يضبط DNS والمسار بشكل منفصل؛ راجع إعداد مجموعات خوادم DNS.
• راجع المسارات والمجموعات والسياسات الحالية وقيّم أثر التغيير. توزيع المسار وسياسة الوصول وجدار الحماية أدوار مختلفة ولا يغني أحدها عن الآخر.

إعداد مجموعات الوصول والسياسة

• سياسات الوصول

1. في مجموعات الوصول للثقة الصفرية، تحقق أولًا من عضوية عقد الاختبار في مجموعة مصدر موجودة ومن مجموعة هدف السياسة المتاحة للمسار، بما في ذلك الغرض والمراجع. أعد استخدام المجموعات المناسبة دون إضافة الأعضاء مجددًا. عند الحاجة فقط، ينشئ مسؤول مخوّل مجموعة أو يضيف عقد الاختبار من Endpoints في تفاصيل مجموعة المصدر. قبل تعديل مجموعة موجودة، قيّم أثر ذلك في الإعدادات والأعمال الأخرى.
2. في Zero Trust > Access Control > Policies، تحقق أولاً من حالة تفعيل السياسة الحالية المناسبة ومجموعة المصدر أو العقدة ومجموعة الهدف والإجراء والاتجاه والبروتوكول والمنافذ. تأكد من تطابق مجموعة الهدف مع مجموعة هدف السياسة المراد استخدامها للمسار. أعد استخدام سياسة مناسبة؛ لا ينشئها مسؤول مخوّل أو يعدّلها إلا عند الحاجة بعد تقييم الأثر ووفق سياسة الوصول.
3. إذا أُجريت تغييرات، احفظ السياسة وأعد التحقق من الإعدادات؛ لا حاجة لإعادة الحفظ إن لم يتغير شيء. ترك منفذ TCP أو UDP فارغاً يعني جميع المنافذ. لا تخلط المنافذ المفردة ونطاقات المنافذ في السياسة نفسها، ولا تخلط * مع منافذ أخرى. بعد تهيئة المسار اختبر الأجهزة المتوقع السماح لها وغير المسموح لها كلّاً على حدة، وتحقق من السياسات الأخرى المطبقة. الحفظ وحده لا يثبت نجاح الوصول.

مهم: يحدد «Effective Scope» الأجهزة التي تتلقى المسار، وتربط «Policy Target Groups» المسار بسياسات الوصول. يؤدي ترك Policy Target Groups فارغا إلى إنشاء قاعدة سماح افتراضية، وليس رفضا افتراضيا. لتقييد الوصول اختر مجموعة الهدف في المسار وتحقق من أن سياسة مفعلة تستخدم المجموعة نفسها والمصادر المقصودة. اختبر الوصول الفعلي بعد الحفظ ولا تستنتج الصلاحية من أسماء المجموعات فقط.

يتحكم Effective Scope في الأجهزة التي تتلقى المسار، لكنه لا يقصر مصادر قاعدة السماح الافتراضية المذكورة على تلك الأجهزة. لا تضيق القاعدة الافتراضية حركة إعادة التوجيه المطابقة حسب المصدر أو البروتوكول أو المنفذ. يظل الوصول الفعلي معتمداً على الاتصال والضوابط الأخرى وشبكة الوجهة. لا تعتمد على نطاق التوزيع وحده لعزل الوصول؛ اختر مجموعات أهداف السياسة واختبر المسارات الأخرى منفصلة.

إعادة التحقق بعد تغيير الخيارات: يؤدي تغيير البروتوكول من TCP أو UDP إلى ALL أو ICMP إلى مسح المنافذ ونطاقاتها المدخلة. لا تُستعاد تلقائيًا عند الرجوع إلى TCP أو UDP، ويعني حقل المنافذ الفارغ جميع المنافذ. يؤدي تغيير نوع المصدر أو الوجهة أيضًا إلى مسح العناصر المحددة في الجهة المعنية. يؤدي اختيار مورد شبكة وجهةً إلى تغيير الاتجاه من المصدر إلى الوجهة؛ لا تفترض استعادة الإعداد ثنائي الاتجاه السابق عند الرجوع إلى نوع آخر. قبل الحفظ أعد تحديد العناصر وتحقق من البروتوكول والمنافذ والاتجاه لتجنب توسيع نطاق الوصول أو تغييره دون قصد.

تقاطع نطاق توزيع المسار ومصدر السياسة: عند اختيار مجموعة هدف للسياسة في المسار، تحقق معاً من انتماء الجهاز إلى نطاق توزيع المسار ومن مطابقته لمصدر السياسة المعنية وشروط فحوص الأمان. تحقق شرط واحد لا يثبت أن السياسة تسمح بالوصول عبر المسار. مثلاً، يوزع المسار على «الأجهزة التجريبية»، ومصدر السياسة هو «مجموعة التطوير»، وهدفها هو المجموعة المختارة في المسار. لا يمكن أن يقع الجهاز ضمن نطاق هذه السياسة إلا إذا انتمى إلى المجموعتين الأوليين، ويجب أيضاً أن يجتاز فحوص الأمان المعمول بها ويطابق شروط البروتوكول والمنافذ. لا تعتبر الجهاز المنتمي إلى مجموعة واحدة فقط مطابقاً لهذه السياسة. أسماء المجموعات أمثلة وليست قيماً افتراضية؛ وقد تؤثر سياسات واتصالات ومسارات شبكة أخرى في النتيجة، لذا يجب اختبارها بصورة منفصلة.

إنشاء مسار

1. افتح صفحة المسارات في الثقة الصفرية واختر «Create Route». أدخل اسم الشبكة والوصف اللازم. يتكون الاسم من 1 إلى 40 حرفا أو رقما أو شرطة سفلية أو واصلة، ويبدأ وينتهي بحرف أو رقم، ولا ينتهي بـ -v6.
2. اختر الهدف: لمسار شبكة أدخل IPv4 CIDR مثل 10.20.30.0/24، ويمكن استخدام /32 لعنوان واحد. لمسار نطاق أدخل نطاقا صحيحا واحدا أو أكثر دون تكرار. يجب أن يحتوي النطاق على نقطة واحدة على الأقل؛ لا يقبل حرف البدل *.example.com أو المخطط أو المنفذ أو المسار. لا يميّز فحص التكرار بين الأحرف الكبيرة والصغيرة. اسم علامة التبويب في الواجهة الإنجليزية هو Route Settings.
3. اختر عقدة توجيه واحدة أو مجموعة وصول واحدة لعقد التوجيه، وليس كليهما. تحقق من اتصال المرشحين بالثقة الصفرية ووصولهم إلى الهدف وتوفر شروط التمرير.
4. في «Effective Scope» اختر مجموعة وصول واحدة على الأقل تتلقى المسار وتحقق من عقدها. في التحكم بالوصول اختر مجموعة هدف السياسة التي جهزتها، ثم راجع مصدر السياسة وهدفها. اسم علامة التبويب هو Access Control.
5. في الإعدادات المتقدمة راجع التطبيق التلقائي والاحتفاظ بالمسار وإخفاء العنوان. احفظ وتحقق من الهدف والعقدة والنطاق والحالة في القائمة، وانتظر استلام الإعدادات قبل اختبار الوصول. تتضمن علامة Advanced Settings الخيارات Auto Apply وKeep Route وMasquerade.

مثال: استخدم 10.20.30.0/24 هدفا، واختر عقدة تصل إليه، وأدرج أجهزة الاختبار في النطاق، ثم قيّد الوصول بمجموعة هدف وسياسة تسمح بالبروتوكولات والمنافذ اللازمة فقط. هذه قيم توضيحية وليست افتراضية؛ يعتمد الوصول أيضا على الاتصال والسياسة والخدمة والشبكة.

عدة عُقد توجيه واختبار الأعطال: عند استخدام مجموعة وصول لعُقد التوجيه، تحقق من قدرة كل عقدة مرشحة على تمرير الحركة والوصول إلى الخدمة المستهدفة. يتأثر اختيار مسار جهاز الطرفية بحالة اتصال العقدة وظروف المسار. لا يثبت ظهور العقدة متصلة سلامة طريقها إلى الخدمة المستهدفة، ولا يضمن التحويل التلقائي عند تعطل الخدمة. وفق إجراء صيانة معتمد، اختبر في بيئة تجريبية فقد اتصال العقدة منفصلًا عن حالة بقائها متصلة مع تعذر وصولها إلى الهدف. تحقق من المسار البديل وجلسات العمل القائمة ونتيجة الاستعادة؛ لا تعد بتحويل دون انقطاع أو بمدة ثابتة.

مسارات النطاقات والعناوين المشتركة: يوفّر مسار النطاق مساراً للوصول، وليس قائمة سماح تقيّد الوصول بدقة وفق اسم النطاق. تنشئ بعض مسارات الأجهزة الطرفية المسار استناداً إلى عناوين IP الناتجة عن تحليل النطاق المكوّن. على سبيل المثال، إذا حُلّل app.example.com وreports.example.com إلى العنوان نفسه، فقد يستخدم الاتصال بالاسم الآخر أو بالعنوان مباشرة المسار نفسه. تعتمد النتيجة الفعلية على الجهاز وDNS والمسارات الأخرى وضوابط الشبكة؛ ولا يضمن المثال الوصول إلى الخدمة المستهدفة. اضبط سياسات الوصول ومصادقة الخدمة المستهدفة وجدران الحماية حسب الحاجة. وفي بيئة تجريبية مصرح بها، اختبر بصورة منفصلة النطاق المكوّن والنطاقات الأخرى التي تشترك في العنوان والوصول المباشر إلى IP، وتحقق من طريقة تحليل الأسماء في التطبيق الفعلي.

إعداد عقدة خروج

توفر عقدة الخروج مسار IPv4 الافتراضي الواسع 0.0.0.0/0، بخلاف المسار المحدد لشبكات أو نطاقات معينة. قبل التفعيل، قيّم حركة الأعمال وسعة الخروج ومتطلبات الأمان والمسارات الموجودة. لا يثبت نجاح الإنشاء أن كل الحركة تمر عبر الخروج.

1. اتبع إعداد المجموعات وسياسة الوصول أعلاه لضبط مجموعة مصدر والسياسة للبروتوكولات والمنافذ اللازمة للأجهزة التجريبية. جهّز عقدة تستطيع الاتصال بشبكة Zero Trust وتمرير الحركة والوصول إلى الوجهة؛ وتحقق من الجدار الناري ومسار العودة.
2. ضمن Zero Trust > Routes اختر Create Exit Node، وأدخل الاسم والوصف، واختر عقدة أو مجموعة عقد واحدة ومجموعة وصول تجريبية واحدة على الأقل لنطاق التطبيق.
3. ضمن التحكم بالوصول، اختر المجموعة المستهدفة المستخدمة في السياسة. تركها فارغة ينشئ قاعدة سماح افتراضية على عقدة التوجيه، وليس رفضًا افتراضيًا. راجع Auto Apply والإعدادات الأخرى، واحفظ ثم تحقق من التفعيل والعقدة والنطاق.
4. انتظر تلقي الأجهزة للإعداد، واختبر الوصول المتوقع السماح به وغير المسموح به كلًا على حدة، وتحقق من المسار الفعلي عند الخروج والوجهة. عند وجود مخارج تلقائية متعددة دون اختيار صريح على الجهاز، لا تفترض الاختيار حسب ترتيب القائمة؛ تحقق من حالة الجهاز وفق إجراءات المؤسسة.

لا يعني خروج IPv4 توزيع مسار IPv6 افتراضي تلقائيًا أو مرور جميع حركة IPv6 عبره. تؤثر المسارات الأكثر تحديدًا وإعدادات الجهاز والتطبيقات والشبكة أيضًا في المسار. اضبط قيود المسارات الأخرى واختبرها منفصلة، ولا تعتمد على مفتاح عقدة الخروج وحده.

الإعدادات المتقدمة

• التطبيق التلقائي: يكون مفعّلًا مبدئيًا عند إنشاء المسار. لا يتحكم هذا المفتاح في توزيع الخادم للمسار على الأجهزة الواقعة ضمن نطاقه. قد تظل مسارات الشبكات والنطاقات العادية محددة عند إيقافه ما لم يستبعدها الجهاز صراحةً. يعتمد اختيار المسار الافتراضي أيضًا على اختيار الجهاز والمسارات الافتراضية الأخرى. لا تعتبر إيقاف هذا المفتاح تقييدًا للوصول أو سحبًا للمسار. لسحب مسار، عطّله أو عدّل نطاق تطبيقه، ثم تحقق من النتيجة مع سياسة الوصول والمسارات الأخرى وحالة الجهاز الفعلية.
• الاحتفاظ بالمسار: عند تغير نتائج تحليل النطاق يحتفظ بمسارات عناوين IP التي لم تعد تظهر في النتائج. قيّم خطر استمرار الوصول إلى العناوين القديمة قبل تفعيله. يكون معطلا مبدئيا.
• إخفاء العنوان: يستخدم عنوان عقدة التوجيه للمرور المعاد توجيهه وقد يقلل الحاجة إلى مسارات عودة إضافية في الشبكة المستهدفة. قد يتغير عنوان المصدر الظاهر للهدف. يكون مفعلا مبدئيا؛ ولا يزال يجب فحص التمرير والجدار ومسار العودة الفعلي.

اختبار المطابقة وتعديل الترتيب

1. ضمن Zero Trust > Routes اختر Test Routes، وأدخل عنوان IPv4 أو نطاق IPv4 CIDR أو اسم نطاق مطابقًا تمامًا ثم اختبر. القيمتان 10.20.30.15 وapp.example.com مثالان وليستا إعدادات افتراضية.
2. راجع المسارات والوجهات والعقد والأولويات وأسباب المطابقة. يفحص الاختبار المسارات المفعّلة التي حمّلتها الصفحة: يجب أن يقع العنوان داخل الشبكة وأن يغطي المسار نطاق CIDR بالكامل. تُطابق أسماء النطاقات تمامًا دون تحويلها أولًا إلى IP أو مطابقة النطاق الفرعي مع الأصل تلقائيًا. لا يحد تصنيف القائمة من نطاق الاختبار.
3. تعرض النتائج ترتيب مطابقة الإعدادات، ولا تتحقق من نطاق الجهاز أو سياسة الوصول أو DNS أو حالة العقدة أو اتصال الخدمة. لا يثبت غياب المطابقة عدم وجود مسارات شبكة أخرى. أكمل اختبارات الوصول الفعلية أدناه.
4. لتعديل الترتيب، استخدم حسابًا بصلاحية الكتابة وانتقل إلى All واسحب صف المسار وانتظر الحفظ. قد تتغير أولوية عدة مسارات. عند الفشل أعد تحميل القائمة وافحص كل مسار، ولا تفترض التراجع عن كل التغييرات. لا يضمن ترتيب الإعداد المسار الفعلي للجهاز؛ تحقق من النطاق وحالة العقدة وشبكة الجهاز أيضًا.

التحقق والتغيير ومعالجة المشكلات

1. تحقق من تفعيل المسار وصحة الهدف والنطاق والعقدة، ومن اتصال الأجهزة والعقد واستلام الإعدادات.
2. تحقق أولا من وصول عقدة التوجيه إلى الخدمة. في مسار النطاق افحص تحليل الاسم على الجهاز، وتحقق من استماع الخدمة للبروتوكول والمنفذ المطلوبين.
3. اختبر الوصول من جهاز متوقع السماح له، واختبر التقييد من جهاز غير مسموح له. إذا اختلفت النتيجة فتحقق من فراغ مجموعة الهدف ومصادر السياسات وأهدافها والبروتوكولات والمنافذ والسياسات الأخرى.
4. إذا وصلت العقدة إلى الهدف ولم يصل الجهاز، فتحقق من توزيع المسار وتمرير العقدة وجدار حماية الهدف ومسار العودة. عند استخدام إخفاء العنوان تحقق أيضا من الإعداد والمصدر الظاهر للهدف.
5. قبل التعديل أو التعطيل أو الحذف سجل الإعدادات وقيّم الأعمال المعتمدة عليها. بعد التغيير في القائمة أعد فحص التوزيع وحالتي السماح والرفض. لا يثبت الحفظ الاتصال الفعلي أو العزل.