Zugriffsrichtlinien

Für Ping64 gilt: Zugriffsgruppen bündeln Zero-Trust-Knoten und Netzwerkressourcen zur Verwendung in Richtlinien, Routen und anderen Konfigurationen. Eine Richtlinie beschreibt erlaubte oder verweigerte Quellen und Ziele sowie Protokoll, Richtung und Ports. Eine Gruppe allein erteilt keine Zugriffsrechte. Das Speichern einer Richtlinie beweist weder deren Empfang durch alle Knoten noch die Erreichbarkeit des Zieldienstes.

Dieses Kapitel erläutert die Konfiguration und Prüfung von Zugriffsrichtlinien einschließlich Quelle, Ziel, Protokoll, Richtung und Aktion. Bewerten Sie vor Änderungen die Auswirkungen anderer Richtlinien und Routen auf den Zugriff.

Vorbereitung

• Verwenden Sie ein Administratorkonto mit Rechten für Zero-Trust-Gruppen und -Richtlinien. Prüfen Sie die Verbindung der beteiligten Knoten und bereiten Sie benötigte Netzwerkressourcen vor.
• Bestimmen Sie zu erlaubende oder einzuschränkende Quellen, Ziele, Protokolle und Ports sowie den Bedarf für Gegenrichtung. Wählen Sie den kleinsten geschäftlich erforderlichen Umfang und bereiten Sie erlaubte und nicht erlaubte Testobjekte vor.
• Prüfen Sie vorhandene Richtlinien, Routen und Gruppenverwendungen. Mehrere Konfigurationen können einen Pfad beeinflussen; eine einzelne neue Regel belegt das Gesamtergebnis nicht.
• Prüfen Sie bei internen Diensten Zielerreichbarkeit und Weiterleitung des Routingknotens sowie Zieldienst, Firewall und Rückweg. Siehe Zero-Trust-Netzwerkrouten konfigurieren.

Einschränkung der Portkonfiguration: Eine Richtlinienregel kann mehrere einzelne Ports oder einen oder mehrere Portbereiche enthalten, aber nicht beide Arten zusammen. Geben Sie beispielsweise 443 und 8000-8080 nicht in derselben Regel ein; das Speichern kann fehlschlagen, obwohl die Oberfläche die Eingabe annimmt. Wenn beides benötigt wird, prüfen Sie getrennte Richtlinien, kontrollieren Sie jeweils Quelle, Ziel, Aktion und Sicherheitsprüfung und testen Sie die kombinierte Wirkung im Pilot. Kombinieren Sie * nicht mit anderen Ports.

Zugriffsrichtlinie erstellen

1. Öffnen Sie unter der Zero-Trust-Zugriffskontrolle „Policies“. Wählen Sie bei vorhandenen Richtlinien „Create“, bei leerer Liste „Create Policy“. Geben Sie den Namen und die erforderliche Beschreibung ein.
2. Wählen Sie ALL, TCP, UDP oder ICMP und entsprechend dem Bedarf „Accept“ oder „Drop“. Prüfen Sie vor Verwendung einer Sicherheitsprüfung deren Inhalt, Zielobjekte und organisatorische Anforderungen.
3. Wählen Sie unter „Sources“ Zugriffsgruppen oder einen bestimmten Knoten und unter „Destinations“ Gruppen, einen Knoten oder eine Netzwerkressource. Geben Sie die Objekte für den gewählten Typ an und prüfen Sie Quelle und Ziel.
4. Prüfen Sie „Direction“: Die Seite bietet Quelle zu Ziel und bidirektional. Bei einer Netzwerkressource als Ziel ist der Richtungswechsel nicht verfügbar; beachten Sie die Anzeige und setzen Sie keine Berechtigung in Gegenrichtung voraus.
5. Konfigurieren Sie für TCP oder UDP benötigte Ports. Leer bedeutet alle Ports. Einzelport, gültiger Bereich oder * sind möglich, etwa 443 oder 8000-8080; bestätigen Sie die Eingabe wie angezeigt. Gültige Werte liegen zwischen 1 und 65535.
6. Speichern und prüfen Sie in der Liste Namen, Quelle, Ziel, Protokoll, Richtung, Aktion und Aktivierung. Testen Sie nach Empfang durch die Knoten sowohl vorgesehene erlaubte als auch nicht erlaubte Objekte und prüfen Sie andere geltende Richtlinien.

Beispiel: Nehmen Sie Testknoten der Entwicklung in eine Entwicklungsgruppe auf und bereiten Sie die Zielressource vor. Erstellen Sie eine Richtlinie mit dieser Quelle, der Ressource als Ziel, TCP, Port 443 und „Accept“. Testen Sie nach Speichern und Aktivierung vom Testknoten und einem Knoten außerhalb der vorgesehenen Quelle. Dies ist keine Standardrichtlinie; andere Richtlinien, Routen, Dienst und Firewall beeinflussen das Ergebnis.

Nach Änderungen erneut prüfen: Ein Wechsel von TCP oder UDP zu ALL oder ICMP löscht eingegebene Ports und Portbereiche. Beim Zurückwechseln zu TCP oder UDP werden sie nicht automatisch wiederhergestellt; ein leeres Feld bedeutet alle Ports. Ein Wechsel des Quell- oder Zieltyps löscht auch die Auswahl auf der jeweiligen Seite. Bei einer Netzwerkressource als Ziel wird die Richtung auf Quelle zu Ziel gesetzt; beim Zurückwechseln ist die frühere bidirektionale Einstellung nicht automatisch wiederhergestellt. Wählen Sie Objekte vor dem Speichern erneut aus und prüfen Sie Protokoll, Ports und Richtung, um unbeabsichtigte Zugriffsänderungen zu vermeiden.

Überlappende Richtlinien: Dieselbe Quelle, dasselbe Ziel, Protokoll und derselbe Port können mehrere Erlaubnis- oder Ablehnungsrichtlinien treffen. Gehört ein Endpunkt beispielsweise sowohl zu einer erlaubten als auch zu einer eingeschränkten Gruppe, prüfen Sie beide Mitgliedschaften, Richtungen, Ports und Sicherheitsprüfungen und testen Sie neue Verbindungen von diesem Endpunkt. Leiten Sie das Ergebnis nicht allein aus der Listenreihenfolge oder einer Regel ab; reduzieren Sie widersprüchliche Überlappungen nach Möglichkeit und prüfen Sie auch Routen und zielseitige Kontrollen.

Netzwerkfehlermeldungen: Einige Verarbeitungspfade können bestimmte ICMP-Fehlermeldungen wie Ziel nicht erreichbar oder Zeitüberschreitung zulassen, obwohl eine relevante Zugriffsrichtlinie den Verkehr ablehnt. Eine Ablehnung blockiert nicht notwendigerweise jede Netzwerksteuerungsmeldung; der Empfang einer solchen Meldung beweist auch nicht, dass der Geschäftsdienst erreichbar ist. Prüfen Sie Geschäftsverbindungen und Kontrollanforderungen auf den tatsächlichen Plattformen getrennt.

Zusammenspiel mit Netzwerkrouten

Richtlinien steuern passende Zugriffe; Routen stellen den Pfad bereit. Prüfen Sie bei Zugriff über einen Routingknoten dessen Zustand, Routenbereich sowie Quelle, Ziel, Protokoll und Ports der Richtlinie. Verteilte Routen ersetzen keinen Zugriffstest.

Wichtig: Eine leere Auswahl „Policy Target Groups“ in der Route erzeugt eine Standard-Erlaubnisregel und bedeutet nicht Standardverweigerung. Wählen Sie zur Einschränkung Zielgruppen in der Route und prüfen Sie eine aktivierte Richtlinie mit denselben Zielgruppen und vorgesehenen Quellen. Ergänzen Sie die Routeneinstellungen und testen Sie erlaubte und nicht erlaubte Endpunkte getrennt.

Effective Scope bestimmt die Empfänger der Route, begrenzt aber die Quellen dieser Standard-Erlaubnisregel nicht auf diese Endpunkte. Die Standardregel schränkt passenden Weiterleitungsverkehr nicht nach Quelle, Protokoll oder Port ein. Die tatsächliche Erreichbarkeit hängt weiterhin von Verbindung, anderen Kontrollen und Zielnetz ab. Verwenden Sie den Verteilungsbereich nicht allein zur Isolation; wählen Sie Richtlinienzielgruppen und testen Sie weitere Pfade separat.

Bestehende Verbindungen prüfen: Nach Verschärfung einer Richtlinie oder Ergänzung einer Ablehnungsregel dürfen Sie nicht annehmen, dass alle bestehenden Sitzungen sofort beendet werden, selbst wenn die Knoten das Update erhalten haben. Auf bestimmten Verbindungs- und Routingpfaden können bestehende Verbindungen weiterlaufen; das Verhalten hängt von Endpunktplattform, Verbindungsstatus und weiteren Kontrollen ab. Bewerten Sie laufende Geschäftsvorgänge vor der Änderung und prüfen Sie in einem genehmigten Pilot bestehende Sitzungen und neu aufgebaute Verbindungen getrennt. Wenn eine sofortige Beendigung erforderlich ist, ergreifen und verifizieren Sie zusätzliche Maßnahmen nach dem Incident-Response-Verfahren der Organisation; das erfolgreiche Speichern allein genügt nicht.

Prüfung, Änderung und Fehlerbehebung

1. Prüfen Sie Aktivierung, vorhandene Quellen und Ziele, korrekte Gruppenmitglieder sowie Verbindung und Konfigurationsempfang der Knoten. Speichern, Verteilen und tatsächliche Anwendung sind unterschiedliche Zustände.
2. Prüfen Sie Protokoll, Ports und Richtung; bei Netzwerkressourcen auch Ressource, Routingknoten, Zielnetz, Dienst und Rückweg.
3. Testen Sie erlaubte und nicht erlaubte Quellen getrennt. Ein erfolgreicher Zugriff oder Speichervorgang belegt keine vollständige Sicherheitsgrenze.
4. Prüfen Sie bei Abweichungen andere Richtlinien, die Standarderlaubnis der Route, ausgewählte Sicherheitsprüfungen und die Zielfirewall. Dokumentieren Sie Testobjekte, Ergebnisse und Meldungen für eine berechtigte Administration.
5. Prüfen Sie vor Deaktivierung oder Löschung einer Richtlinie oder Mitgliederänderung Verwendungen und Auswirkungen, dokumentieren Sie Einstellungen und folgen Sie dem Organisationsverfahren. Testen Sie Dienste und Einschränkungen anschließend erneut. Suchen Sie die Richtlinie in der Liste: Über „Edit“ ändern und speichern Sie sie, über den Statusschalter deaktivieren oder reaktivieren Sie sie; „Delete“ erfordert eine Bestätigung im Dialog. Prüfen Sie bei nicht verfügbaren Aktionen Berechtigungen und laufende Vorgänge. Eine deaktivierte Richtlinie fließt nicht in spätere Konfigurationsberechnungen ein: Das Deaktivieren einer Erlaubnis blockiert nicht garantiert andere Wege; das Deaktivieren einer Ablehnung kann Zugriff erweitern. Laden Sie neu, prüfen Sie den Status und testen Sie bestehende Sitzungen und neue Verbindungen getrennt. Bei einem Ladefehler der Details nicht von einer leeren Richtlinie ausgehen oder sie ungeprüft löschen; wenden Sie sich an eine Administration.

• Zugriffsgruppen
• Sicherheitsprüfungen für Zugriffsrichtlinien