Zero-Trust-Netzwerkressourcen verwalten

Eine Netzwerkressource beschreibt ein Ziel für die Zugriffskontrolle, etwa ein IPv4-Netz, einen Host oder eine Domäne. Das Erstellen definiert nur das Ziel; es richtet weder Route noch DNS ein und erteilt keine Zugriffsrechte. Netzwerkpfad, Richtlinie und Zieldienst sind getrennt zu prüfen.

Erfüllen vorhandene Ressourcen, Zugriffsgruppen und aktivierte Zugriffsrichtlinien bereits die Anforderungen an Ziel, Quelle, Protokoll, Port, Aktion, Richtung und Sicherheitsprüfung, verwenden Sie diese weiter und prüfen und verifizieren Sie sie direkt. Für jeden Zugriff müssen sie nicht neu angelegt werden. Die folgenden Erstellungsschritte gelten bei nötigen Ergänzungen oder Änderungen; prüfen Sie vorher andere Referenzen und Auswirkungen auf Routen.

Vorbereitung

• Verwenden Sie ein Konto mit den nötigen Rechten für Ressourcen, Zugriffsgruppen und Richtlinien. Löschen kann andere Berechtigungen erfordern als Erstellen und Bearbeiten.
• Bestimmen Sie tatsächliches Zielnetz, Adresse oder Domäne, zugreifende Knoten sowie Protokolle und Ports. Die Werte hier zeigen nur das Format und dürfen nicht ungeprüft in Produktion übernommen werden.
• Prüfen Sie bestehende Ressourcen, Gruppen und Richtlinien auf Duplikate und unbeabsichtigte Erweiterungen. Planen Sie für entfernte Netze Netzwerkrouten, Zielfirewall und Rückweg; bei Domänen prüfen Sie auch die Auflösung am Endpunkt.
• Testen Sie zuerst kontrollierte Knoten und bereiten Sie erlaubte und nicht erlaubte Zugriffstests vor. Speichern, Verteilen und Geschäftsverbindung sind getrennte Zustände.

Ressourcenobjekt erstellen

1. Öffnen Sie in Zero Trust Resource und wählen Sie Create oder bei leerer Liste Create Resource Object.
2. Geben Sie „Name“ und „Value“ ein und wählen Sie „Type“. Name und Wert sind Pflichtfelder:
   • CIDR: IPv4-Netz mit Präfix, etwa 192.0.2.0/24; wählen Sie das Präfix nach Netzwerkplan.
   • HOST: Einzelne IPv4-Adresse oder Hostname, etwa 192.0.2.10 oder files.example.com.
   • DOMAIN: Vollständige Domäne, etwa service.example.com. Das Formular akzeptiert kein Platzhalterformat mit *.
3. Prüfen Sie „Enabled“. Laut Seite darf die Ressource damit von Zugriffsrichtlinien verwendet werden. Bei Erstellung zunächst aktiviert; prüfen Sie den Änderungsplan.
4. Speichern und prüfen Sie Name, Typ, Wert und Status in der Liste. Prüfen Sie bei Fehlern Pflichtfelder und typgerechtes Format anhand der Meldung. Prüfen Sie nach dem Speichern Typ und Wert in der Liste: Die Plattform bestimmt den Typ anhand des Zielwerts neu. Wird beispielsweise files.example.com als HOST eingegeben, kann nach dem Speichern DOMAIN angezeigt werden; eine IPv4-Adresse wird als Hostadresse erkannt. Prüfen Sie dies auch nach Änderungen. Eine Typänderung bestätigt weder Namensauflösung noch Erreichbarkeit; prüfen Sie DNS, Route und Geschäftszugriff.

Ressourcenzugriff einrichten

• Zugriffsrichtlinien

Prüfen Sie zuerst, ob vorhandene Quellgruppenmitglieder und eine aktivierte Richtlinie die Anforderungen an Ressource, Quelle, Aktion, Richtung, Protokoll, Ports und Sicherheitsprüfungen erfüllen. Falls ja, sind keine Änderungen nötig: Überspringen Sie Schritte 1 bis 4 und prüfen Sie nach Kontrolle von Routing, DNS und weiteren Bedingungen den Zugriff. Nur eine berechtigte Administration nimmt notwendige Änderungen vor; öffnen Sie eine bestehende Richtlinie zur Bearbeitung und befolgen Sie die relevanten Schritte.

1. Nur wenn eine Quellgruppe oder weitere Mitglieder benötigt werden: Erstellen oder wählen Sie unter Zero-Trust-Zugriffskontrolle in „Access Groups“ eine Quellgruppe. Öffnen Sie die Details, wählen Sie „Add Endpoints“, die Testknoten und bestätigen Sie. Prüfen Sie vor Änderungen bestehender Gruppen andere Verwendungen.
2. Nur wenn eine neue Richtlinie benötigt wird: Wählen Sie auf der Richtlinienseite bei vorhandenen Richtlinien „Create“, bei leerer Liste „Create Policy“. Erstellen Sie unter „Policies“ eine Richtlinie mit Namen und nötiger Beschreibung. Wählen Sie unter „Sources“ die Gruppe oder einen Knoten und unter „Destinations“ „Network resource“ sowie die zutreffende Ressource.
3. Nur beim Erstellen oder Ändern einer Richtlinie: Wählen Sie „Accept“ oder „Drop“ und das benötigte Protokoll. Für TCP oder UDP geben Sie Ports oder gültige Bereiche ein. Leer bedeutet alle Ports, gültige Werte sind 1 bis 65535; bestätigen Sie die Eingabe gemäß Anzeige. Bei Netzwerkressourcen als Ziel ist der Richtungswechsel nicht verfügbar; beachten Sie die Anzeige. Mischen Sie in einer Richtlinie weder einzelne Ports mit Portbereichen noch * mit anderen Ports. Eine akzeptierte Eingabe garantiert keine erfolgreiche Speicherung. Werden einzelne Ports und Bereiche benötigt, prüfen Sie getrennte Richtlinien und testen Sie deren gemeinsame Wirkung auf den tatsächlichen Zugriff.
4. Falls die Richtlinie geändert wurde: Speichern und prüfen Sie Aktivierung, Quelle und Ziel. Richten Sie bei Bedarf Route und DNS getrennt ein und prüfen Sie den Zieldienst. Speichern beweist weder Verteilung noch Verfügbarkeit.
5. Warten Sie auf den Konfigurationsempfang und testen Sie von erlaubten und nicht erlaubten Knoten. Prüfen Sie weitere Richtlinien und die Zielfirewall.

Alternativ können Sie in Gruppendetails unter Netzwerkressourcen „Bind Network Resources“ wählen, um vorhandene Ressourcen für gruppenbasierte Konfigurationen einzubinden. Eine Bindung erteilt allein keinen Zugriff. Prüfen Sie vor Mitgliederänderungen bestehende Referenzen.

Beispiel: Erstellen Sie HOST mit 192.0.2.10, nehmen Sie Testknoten in eine Quellgruppe auf und erlauben Sie dieser per Richtlinie TCP-Port 443. Dies ist kein Standardwert; das Ergebnis hängt auch von Routen, anderen Richtlinien, Dienst und Netzwerk ab. Siehe Zugriffsgruppen und Richtlinien.

Routenhinweis: Prüfen Sie Routingknoten und Empfangsbereich. Ein leeres „Policy Target Groups“ erzeugt eine Standard-Erlaubnisregel, keine Standardverweigerung. Wählen Sie zur Einschränkung passende Zielgruppen und testen Sie den Zugriff.

Wird diese Ressource über eine in diesem Handbuch beschriebene klassische Netzwerkroute erreicht, ersetzt die Richtlinie mit direkt gewählter „Network resource“ nicht die Richtlinie für die Routenzielgruppe. Erstellen oder wählen Sie zusätzlich eine Zielzugriffsgruppe und eine aktivierte Richtlinie mit den vorgesehenen Quellen und dieser Gruppe als Ziel; wählen Sie dieselbe Gruppe in den Richtlinienzielgruppen der Route. Prüfen Sie Protokoll und Ports und testen Sie erlaubten und nicht erlaubten Zugriff nach der Routenanleitung. Lassen Sie die Zielgruppe nicht zur Vereinfachung leer: Eine leere Auswahl erzeugt eine Standarderlaubnis.

Ein ressourcenspezifischer Zugriffspfad hängt auch vom zugehörigen Netzwerk und aktivierten Routingknoten ab; das Erstellen der Ressource oder einer klassischen Route stellt diesen Pfad nicht selbst her. Eine nur auf die Ressource gerichtete Ablehnungsrichtlinie überschreibt nicht notwendigerweise andere Erlaubnisregeln einer klassischen Route. Lassen Sie unklare Pfade und Einschränkungen administrativ oder vom technischen Support prüfen und testen Sie jeden tatsächlichen Zugriffspfad einzeln.

Nach Änderungen erneut prüfen: Ein Wechsel von TCP oder UDP zu ALL oder ICMP löscht eingegebene Ports und Portbereiche. Beim Zurückwechseln zu TCP oder UDP werden sie nicht automatisch wiederhergestellt; ein leeres Feld bedeutet alle Ports. Ein Wechsel des Quell- oder Zieltyps löscht auch die Auswahl auf der jeweiligen Seite. Bei einer Netzwerkressource als Ziel wird die Richtung auf Quelle zu Ziel gesetzt; beim Zurückwechseln ist die frühere bidirektionale Einstellung nicht automatisch wiederhergestellt. Wählen Sie Objekte vor dem Speichern erneut aus und prüfen Sie Protokoll, Ports und Richtung, um unbeabsichtigte Zugriffsänderungen zu vermeiden.

Bearbeiten, deaktivieren und löschen

1. Bearbeiten Sie in der Liste Name, Typ, Wert oder Aktivierung und prüfen Sie nach dem Speichern die Anzeige.
2. Prüfen Sie vor Änderungen Referenzen in Gruppen, Richtlinien und Geschäftssettings, dokumentieren Sie die alte Konfiguration und bewerten Sie die Wirkung. Testen Sie nach Verteilung erlaubte und nicht erlaubte Knoten getrennt.
3. Klären Sie vor dem Löschen Abhängigkeiten, Rechte und Wiederherstellung, wählen Sie Löschen und bestätigen Sie. Prüfen Sie bei Fehlern Meldung, Berechtigung und Referenzen; umgehen Sie keine Einschränkungen.

Häufige Probleme

• Wert nicht speicherbar: Prüfen Sie Pflichtfelder und Format. CIDR benötigt IPv4 und Präfix, HOST gültige IPv4 oder Hostname, DOMAIN einen vollständigen Namen ohne Protokoll, Pfad oder Platzhalter.
• Ressource fehlt in Richtlinie: Prüfen Sie Speichern, Aktivierung, Rechte, Zieltyp sowie Ressourcen- oder Gruppenauswahl.
• Weiterhin kein Zugriff: Prüfen Sie Richtlinienquelle und -ziel, Protokoll und Ports, Route, DNS, Dienst, Firewall und Knotenstatus getrennt. Das Objekt ersetzt weder Pfad noch Autorisierung.
• Andere Benutzer betroffen: Prüfen Sie verwendende Gruppen und Richtlinien, stellen Sie gemäß Änderungsprotokoll und Organisationsverfahren wieder her oder passen Sie an und testen Sie Erlaubnis und Einschränkung erneut.