Zero-Trust-Verbindungen und Identität konfigurieren

Für Ping64 gilt: Die globalen Zero-Trust-Einstellungen verwalten Authentifizierung, Tunneladresspool, Verbindungsverhalten und DNS-Verwaltungsbereich für verwaltete Endpunkte. Änderungen können mehrere Knoten betreffen. Das Speichern beweist weder den Empfang auf allen Knoten noch eine funktionierende Geschäftsverbindung.

Vorbereitung

• Verwenden Sie ein zur Zero-Trust-Konfiguration berechtigtes Administratorkonto, dokumentieren Sie Einstellungen, betroffene Knoten und Dienste und klären Sie die Änderungsfreigabe.
• Prüfen Sie mit Netzwerk- und Identitätsadministration Anmeldeanforderungen, Adressplanung, Relay und DNS. Planen Sie bei Änderungen von Identität, Adresse oder Pfad ein Wartungsfenster und Wiederherstellung und testen Sie zuerst kontrollierte Endpunkte.
• Prüfen Sie knotenspezifische Authentifizierungsausnahmen und feste Tunneladressen. Globale Einstellungen, Ausnahmen und Zugriffsrichtlinien haben verschiedene Aufgaben und ersetzen einander nicht.

Authentifizierung und automatische Verbindung

1. Öffnen Sie in Zero Trust die Einstellungen und wählen Sie unter „Authentication method“ die benötigte Methode:
   • Endpunktidentität (Endpoint Identity): Laut Seite können verwaltete Endpunkte mit Geräteidentität eine Verbindung aufbauen.
   • Benutzeridentität (User Identity): Laut Seite müssen sich verwaltete Endpunkte vor der Verbindung als Plattformbenutzer anmelden.
2. Konfigurieren Sie „Automatic connection“ nach Bedarf. Die Seite beschreibt die automatische Verbindung bei bereiter Konfiguration für Endpunktidentität; Benutzeridentität erfordert weiterhin eine ausdrückliche Verbindung durch den Benutzer. Authentifizierung, Netzwerk und Zugriffskontrolle bleiben erforderlich.
3. Prüfen Sie Knotenausnahmen. Ein Knoten kann globale Einstellungen erben; fordert die globale Einstellung Benutzeridentität, kann die Seite für einen einzelnen Knoten Endpunktidentität erlauben. Damit kann er ohne Benutzeranmeldung verbinden. Prüfen Sie Zuordnung, Risiko und Freigabe; siehe Knoten verwalten.
4. Speichern Sie nach weiteren Änderungen und prüfen Sie wie unten beschrieben. Lockern Sie Authentifizierung nicht routinemäßig zur Fehlersuche bei Anmeldungen.

Tunneladresspool

„Tunnel Address Pool“ vergibt Zero-Trust-IPv4-Adressen an Knoten. Die auf der Seite angezeigte virtuelle DNS-Adresse wird aus dem Pool abgeleitet und kann nicht getrennt geändert werden.

1. Prüfen Sie vor Änderung automatische und feste Adressen, Kapazität und Abhängigkeiten von Routen, DNS und Diensten. Feste manuelle Adressen müssen im neuen Bereich liegen. Bereiten Sie Wiederherstellung vor.
2. Geben Sie IPv4-CIDR innerhalb 100.64.0.0/10 ein. Der Standardbereich 100.64.0.0/10 ist erlaubt; benutzerdefinierte Bereiche dürfen reservierte Plattformbereiche nicht überschneiden und müssen die Größenprüfung erfüllen: Das Präfix darf nicht größer als /30 sein. Folgen Sie der Anzeige und dem Netzwerkplan.
3. Speichern, öffnen Sie die Einstellungen erneut und prüfen Sie Testknoten. Die Seite warnt vor möglicher Neuzuweisung automatischer Adressen und Neuverbindung. Prüfen Sie tatsächliche Auswirkungen, Empfang und Geschäftsverbindungen einzeln.

Verbindungspfad und Relay-Transport

„Connection Priority“ bestimmt die Bevorzugung verfügbarer Knotenpfade und ist von „Relay Transport“ getrennt:

• P2P First: direkte Verbindung bevorzugen; andernfalls kann ein verfügbares Relay verwendet werden.
• Relay First: Relay bevorzugen; bei dessen Ausfall kann eine verfügbare direkte Verbindung verwendet werden.
• Relay Only: Knotenverbindungen hängen vom Relay ab; bei dessen Ausfall gibt es keinen direkten Rückfall.

„Relay Transport“ bietet Auto, WebSocket und QUIC. Laut Seite versucht Auto QUIC und WebSocket gleichzeitig und verwendet die zuerst aufgebaute Relay-Verbindung; feste Modi verwenden nur das gewählte Protokoll. Prüfen Sie Unterstützung auf Relay und Endpunktnetz einschließlich tatsächlicher Ports und Firewall. Priorität oder Auto garantieren keine Verbindung in eingeschränkten Netzen.

„On-demand connections“ baut bei Datenverkehr eine Verbindung auf und trennt sie nach Inaktivität. Der erste Zugriff nach Wiederverbindung kann kurz verzögert sein. Bewerten und testen Sie dies vor Aktivierung im Zielnetz und auf Clients.

DNS-Verwaltung

1. Prüfen Sie „DNS Domain“ zur Bildung vollständiger Knotennamen. Laut Seite stellt ein leeres Feld den eingebauten Standard zt.internal wieder her. Prüfen Sie vor Änderung Verweise auf alte Namen und geben Sie eine gültige Domäne ein.
2. Wählen Sie bei Bedarf „DNS Disabled Groups“. Knoten in einer der ausgewählten Zugriffsgruppen wenden Zero-Trust-DNS-Verwaltung nicht an. Mitgliederänderungen können den betroffenen Bereich ändern. Bei Auswahl der systemverwalteten Gruppe All werden alle zugehörigen Knoten in den deaktivierten Bereich aufgenommen; die Mitgliedschaft kann sich mit dem Knotenstatus ändern. Prüfen Sie die Auswirkungen und die DNS-Auflösung auf Testendpunkten, bevor Sie die Änderung ausweiten.
3. Nameserver und benutzerdefinierte Zonen werden getrennt eingerichtet: Nameservergruppen, DNS-Zonen. Deaktivierte DNS-Verwaltung schaltet nicht jeden Netzwerkzugriff ab; die Auflösung hängt weiter vom Endpunkt ab.

Speichern und prüfen

Beim Speichern wird der gesamte Einstellungssatz dieser Seite übertragen, nicht nur die geänderten Felder. Hat eine andere Administration nach dem Laden Änderungen gespeichert, kann das Speichern einer älteren Seite diese überschreiben. Stimmen Sie Änderungen ab. Falls Sie eine zwischenzeitliche Änderung vermuten, notieren Sie ungespeicherte Eingaben, öffnen Sie die Seite erneut für aktuelle Werte und prüfen und erfassen Sie Ihre Änderungen nochmals. Kontrollieren Sie vor und nach dem Speichern die ganze Seite. Erneutes Öffnen verwirft ungespeicherte Eingaben und verhindert keine späteren gleichzeitigen Änderungen.

1. Speichern Sie, prüfen Sie die Meldung und öffnen Sie die Seite erneut. Prüfen Sie tatsächliche Authentifizierung, Pool, Priorität, Transport und DNS-Bereich. Behandeln Sie Fehler, statt Anwendung vorauszusetzen.
2. Prüfen Sie an Testendpunkten Benutzeranmeldung oder Endpunktidentität, Knotenstatus und Tunneladresse getrennt. Testen Sie je nach Einstellung direkte Verbindung oder Relay und anschließend Geschäftszugriff.
3. Prüfen Sie Knotennamen, DNS-Auflösung und Richtlinienbeschränkungen auf betroffenen Endpunkten. Knoten können Änderungen zu unterschiedlichen Zeiten erhalten; ein Knoten belegt nicht das gesamte Deployment.
4. Prüfen Sie bei Abweichungen globale Einstellungen, Knotenausnahmen, Adressplan, Onlinestatus, Relay, Netzwerk und Firewall. Stellen Sie gemäß Änderungsprotokoll und Freigabe wieder her oder passen Sie an und testen Sie erneut.

„Reset“ auf dieser Seite verwirft nur ungespeicherte Änderungen und stellt die von dieser Seite zuletzt geladenen oder gespeicherten Werte wieder her. Bereits gespeicherte Änderungen werden nicht rückgängig gemacht; spätere Änderungen anderer Administratoren werden nicht abgerufen. Öffnen Sie die Seite erneut und prüfen Sie die angezeigten Werte, um die aktuelle Konfiguration zu kontrollieren.