إدارة موارد شبكة الثقة الصفرية

يصف مورد الشبكة هدفا يشير إليه التحكم بالوصول، مثل شبكة IPv4 أو مضيف أو نطاق. ينشئ المورد تعريفا للهدف فقط؛ لا ينشئ مسارا أو يضبط DNS أو يمنح الوصول تلقائيا. تحقق من مسار الشبكة والسياسة والخدمة المستهدفة كل على حدة.

إذا كانت الموارد ومجموعات الوصول وسياسات الوصول المفعلة الموجودة تلبي متطلبات الوجهة والمصدر والبروتوكول والمنفذ والإجراء والاتجاه والفحص الأمني، فأعد استخدامها وانتقل مباشرة إلى الفحص والتحقق؛ لا يلزم إنشاؤها مجدداً لكل وصول. تنطبق خطوات الإنشاء أدناه عند الحاجة الفعلية إلى الإضافة أو التعديل. افحص المراجع الأخرى وأثر التوجيه قبل التغيير.

التحضير

• استخدم حسابا يملك الصلاحيات اللازمة للموارد والمجموعات والسياسات. قد يتطلب الحذف صلاحية مختلفة عن الإنشاء والتعديل.
• حدد الشبكة أو العنوان أو النطاق الفعلي والعقد التي تحتاج الوصول وبروتوكول العمل والمنافذ. القيم هنا أمثلة للتنسيق ولا تنقل إلى الإنتاج دون تحقق.
• راجع الموارد والمجموعات والسياسات الموجودة لتجنب التكرار أو توسيع الوصول. للشبكات البعيدة خطط لـمسارات الشبكة وجدار الهدف ومسار العودة؛ وللنطاق تحقق أيضا من تحليل الاسم على الجهاز.
• اختبر أولا بعقد خاضعة للضبط، وجهز اختبارات لمسموح لهم وغير مسموح لهم. الحفظ والتوزيع واتصال الأعمال حالات مختلفة.

إنشاء مورد

1. في Zero Trust افتح Resource واختر Create، أو اختر Create Resource Object عندما تكون القائمة فارغة.
2. أدخل «Name» واختر «Type» وأدخل «Value». الاسم والقيمة مطلوبان:
   • CIDR: شبكة IPv4 وبادئة مثل 192.0.2.0/24، وفقا لخطة الشبكة.
   • HOST: عنوان IPv4 واحد أو اسم مضيف مثل 192.0.2.10 أو files.example.com.
   • DOMAIN: اسم نطاق كامل مثل service.example.com. لا يقبل النموذج الحالي البدل *.
3. تحقق من «Enabled». توضح الصفحة أنه يسمح للسياسات باستخدام المورد؛ يكون مفعلا مبدئيا عند الإنشاء، فتحقق وفق خطة التغيير.
4. احفظ وتحقق من الاسم والنوع والقيمة والحالة في القائمة. عند الفشل راجع الحقول المطلوبة والتنسيق المناسب للنوع وفق الرسالة. بعد الحفظ، تحقق من النوع والقيمة في القائمة؛ تعيد المنصة تحديد النوع وفق قيمة الوجهة. مثلًا، قد تظهر files.example.com التي أُدخلت كـ HOST بالنوع DOMAIN بعد الحفظ، بينما يُعرّف عنوان IPv4 كعنوان مضيف. أعد التحقق بعد التعديل أيضًا. لا يثبت تغير النوع نجاح تحليل الاسم أو إمكانية الوصول؛ تحقق من DNS والمسار ووصول الأعمال.

إعداد الوصول إلى المورد

• سياسات الوصول

تحقق أولًا مما إذا كانت عضوية مجموعة المصدر الحالية والسياسة المفعّلة تلبي متطلبات المورد والمصدر والإجراء والاتجاه والبروتوكول والمنافذ وفحوص الأمان. إذا كانت مناسبة فلا حاجة للتعديل: تجاوز الخطوات 1 إلى 4 وتحقق بعد فحص المسار وDNS والشروط الأخرى. لا يجري التغييرات اللازمة إلا مسؤول مخوّل؛ ولتعديل سياسة موجودة افتح صفحة تحريرها واتبع الخطوات المعنية أدناه.

1. فقط عند الحاجة إلى إنشاء مجموعة مصدر أو إضافة أعضاء: في «Access Groups» ضمن التحكم بالوصول، أنشئ أو اختر مجموعة مصدر. افتح تفاصيلها واختر «Add Endpoints»، وحدد عقد الاختبار وأكد. قبل تعديل مجموعة موجودة راجع مراجعها الأخرى.
2. فقط عند الحاجة إلى سياسة جديدة: في صفحة السياسات، اختر «Create» إذا كانت هناك سياسات، أو «Create Policy» إذا كانت القائمة فارغة. في «Policies» أنشئ سياسة وأدخل الاسم والوصف اللازم. في «Sources» اختر المجموعة أو عقدة، وفي «Destinations» اختر «Network resource» والمورد المناسب.
3. فقط عند إنشاء سياسة أو تعديلها: اختر «Accept» أو «Drop» والبروتوكول المطلوب. لـ TCP أو UDP أدخل المنافذ أو النطاقات الصالحة. الفراغ يعني جميع المنافذ والقيم من 1 إلى 65535؛ أكد الإدخال حسب الصفحة. لا يتاح تغيير الاتجاه عندما يكون الهدف مورد شبكة، فاتبع المعروض. لا تخلط المنافذ الفردية ونطاقات المنافذ في سياسة واحدة، ولا تجمع * مع منافذ أخرى؛ قبول الإدخال في الواجهة لا يضمن نجاح الحفظ. إذا احتجت النوعين، فادرس إنشاء سياسات منفصلة وتحقق من أثرها المشترك على الوصول الفعلي.
4. إذا عُدّلت السياسة: احفظ وتحقق من تفعيل السياسة وصحة المصدر والهدف. إذا احتاج الهدف مسارا أو DNS فأعدهما منفصلين وتحقق من الخدمة. الحفظ لا يثبت التوزيع أو الإتاحة.
5. انتظر استلام العقد للإعدادات ثم اختبر من عقدة مسموح لها وأخرى غير مسموح لها. راجع السياسات الأخرى وجدار الهدف.

يمكن أيضا اختيار «Bind Network Resources» في تفاصيل مجموعة الوصول لإضافة موارد قائمة للإعدادات التي تشير إلى المجموعة. الربط وحده لا يمنح الوصول؛ راجع المراجع قبل تغيير الأعضاء.

مثال: أنشئ HOST بقيمة 192.0.2.10 وضع عقد الاختبار في مجموعة مصدر وأنشئ سياسة تسمح لها بالوصول عبر TCP والمنفذ 443. هذا مثال وليس إعدادا افتراضيا؛ تعتمد النتيجة أيضا على المسارات والسياسات والخدمة والشبكة. راجع المجموعات والسياسات.

تنبيه المسار: تحقق من عقدة التوجيه ونطاق الاستلام. ترك «Policy Target Groups» فارغا ينشئ سماحا افتراضيا وليس رفضا افتراضيا. للتقييد اختر المجموعة المناسبة واختبر الوصول الفعلي.

إذا كان الوصول إلى هذا المورد يتم عبر مسار شبكة عادي موضح في هذا الدليل، فلا تعتبر السياسة التي تختار «Network resource» مباشرة كوجهة بديلًا عن سياسة مجموعة وجهة المسار. أنشئ أو اختر مجموعة وصول للوجهة منفصلة، وأنشئ سياسة مفعّلة بالمصادر المطلوبة وتلك المجموعة كوجهة؛ ثم اختر المجموعة نفسها ضمن مجموعات وجهة سياسة المسار. تحقق من البروتوكول والمنافذ، واختبر الوصول المسموح وغير المسموح كلًا على حدة وفق دليل المسارات. لا تترك مجموعة الوجهة فارغة لتقليل الإعداد، لأن تركها فارغة ينشئ قاعدة سماح افتراضية.

يعتمد مسار الوصول الخاص بالمورد أيضًا على الشبكة المرتبطة وعقد التوجيه المفعّلة؛ لا يعني إنشاء المورد أو مسار عادي وحده إنشاء مسار المورد. لا تفترض أن سياسة رفض تستهدف المورد فقط تتجاوز قواعد السماح الأخرى على مسار عادي. إذا لم تتضح المسارات أو القيود، فاطلب من المسؤول أو الدعم الفني التحقق منها واختبر كل مسار وصول فعلي على حدة.

إعادة التحقق بعد تغيير الخيارات: يؤدي تغيير البروتوكول من TCP أو UDP إلى ALL أو ICMP إلى مسح المنافذ ونطاقاتها المدخلة. لا تُستعاد تلقائيًا عند الرجوع إلى TCP أو UDP، ويعني حقل المنافذ الفارغ جميع المنافذ. يؤدي تغيير نوع المصدر أو الوجهة أيضًا إلى مسح العناصر المحددة في الجهة المعنية. يؤدي اختيار مورد شبكة وجهةً إلى تغيير الاتجاه من المصدر إلى الوجهة؛ لا تفترض استعادة الإعداد ثنائي الاتجاه السابق عند الرجوع إلى نوع آخر. قبل الحفظ أعد تحديد العناصر وتحقق من البروتوكول والمنافذ والاتجاه لتجنب توسيع نطاق الوصول أو تغييره دون قصد.

التعديل والتعطيل والحذف

1. اختر تعديل المورد في القائمة لتغيير الاسم أو النوع أو القيمة أو الحالة، ثم تحقق من العرض بعد الحفظ.
2. قبل التعديل أو التعطيل راجع مراجع المجموعات والسياسات وإعدادات الأعمال، وسجل الإعداد السابق وقيّم الأثر. بعد التوزيع اختبر العقد المسموح لها وغير المسموح لها منفصلتين.
3. قبل الحذف تحقق من الاعتماد والصلاحيات وخطة الاستعادة، ثم اختر الحذف وأكد. عند الفشل راجع الرسالة والصلاحيات والمراجع ولا تتجاوز القيود.

مشكلات شائعة

• تعذر حفظ القيمة: تحقق من الاسم والقيمة والتنسيق. يتطلب CIDR عنوان IPv4 وبادئة، وHOST عنوان IPv4 صالحا أو اسم مضيف، وDOMAIN اسما كاملا دون بروتوكول أو مسار أو بدل.
• المورد غير موجود في السياسة: تحقق من الحفظ والتفعيل والصلاحيات ونوع الهدف واختيار المورد أو المجموعة.
• تعذر الوصول بعد الإعداد: افحص مصدر السياسة وهدفها والبروتوكول والمنافذ والمسار وDNS والخدمة والجدار وحالة العقدة كل على حدة. المورد لا يغني عن المسار أو التفويض.
• تأثر مستخدمين آخرين: راجع المجموعات والسياسات المستخدمة للمورد واستعد أو عدّل وفق سجل التغيير وإجراءات المؤسسة، ثم أعد اختبار السماح والقيود.