Configurer les connexions et l'identité Zero Trust

Dans Ping64, les paramètres globaux Zero Trust gèrent l'authentification, le pool d'adresses de tunnel, les connexions et le périmètre DNS des terminaux gérés. Une modification peut toucher plusieurs nœuds. Un enregistrement réussi ne prouve ni la réception par tous les nœuds ni la disponibilité des connexions métier.

Préparation

• Utilisez un compte autorisé à gérer les paramètres Zero Trust, consignez les réglages, nœuds et services concernés et confirmez l'autorisation du changement.
• Avec les administrateurs réseau et identité, vérifiez exigences de connexion utilisateur, plan d'adressage, relais et DNS. Pour un changement d'identité, d'adresse ou de chemin, prévoyez une fenêtre et une restauration, puis testez d'abord sur des terminaux contrôlés.
• Vérifiez les exceptions d'authentification par nœud et les adresses de tunnel fixes. Paramètres globaux, exceptions et politiques d'accès ont des rôles distincts et ne se remplacent pas.

Authentification et connexion automatique

1. Dans Zero Trust, ouvrez les paramètres et choisissez sous « Authentication method » le mode requis :
   • Identité du terminal (Endpoint Identity) : la page indique que le terminal géré peut établir une connexion avec son identité d'appareil.
   • Identité utilisateur (User Identity) : la page indique que le terminal doit d'abord connecter un utilisateur de la plateforme pour établir la connexion.
2. Réglez « Automatic connection » selon les besoins. La page indique qu'un nœud avec identité du terminal peut se connecter lorsque la configuration est prête, tandis qu'un nœud avec identité utilisateur exige encore une connexion explicite de l'utilisateur. Les conditions d'authentification, réseau et contrôle d'accès restent nécessaires.
3. Vérifiez les exceptions par nœud. Un nœud peut hériter du réglage global ; si celui-ci exige l'identité utilisateur, la page permet aussi l'identité du terminal pour un nœud. L'exception permet une connexion sans connexion utilisateur : vérifiez attribution, risque et autorisation. Voir Gérer les nœuds.
4. Après les autres changements, enregistrez et vérifiez selon la procédure ci-dessous. N'assouplissez pas l'authentification par défaut pour résoudre un problème de connexion utilisateur.

Pool d'adresses de tunnel

« Tunnel Address Pool » attribue des IPv4 Zero Trust aux nœuds. L'adresse DNS virtuelle affichée est dérivée du pool et ne peut être modifiée séparément.

1. Avant changement, vérifiez adresses automatiques et fixes, capacité et dépendances des routes, du DNS et des services. Les adresses fixées manuellement doivent appartenir au nouveau réseau. Préparez une restauration.
2. Saisissez un CIDR IPv4 dans 100.64.0.0/10. Le réseau par défaut 100.64.0.0/10 est accepté ; un réseau personnalisé ne doit pas chevaucher les plages réservées et doit respecter la taille contrôlée, avec un préfixe ne dépassant pas /30. Suivez les indications et le plan réseau.
3. Après enregistrement, rouvrez les réglages et vérifiez les nœuds pilotes. La page avertit que les adresses automatiques peuvent être réattribuées et les nœuds reconnectés. Vérifiez séparément les effets réels, la réception et les connexions métier.

Chemin de connexion et transport relais

« Connection Priority » définit la préférence entre chemins disponibles et diffère du transport relais :

• P2P First : privilégie la connexion directe ; un relais disponible peut être utilisé si elle ne l'est pas.
• Relay First : privilégie le relais ; une connexion directe disponible peut être utilisée si le relais ne l'est pas.
• Relay Only : les connexions entre nœuds dépendent du relais ; aucune connexion directe de repli si le relais est indisponible.

« Relay Transport » propose Auto, WebSocket et QUIC. La page décrit Auto comme une tentative simultanée des deux protocoles utilisant la première connexion relais établie ; un mode fixe utilise uniquement le protocole choisi. Vérifiez le support du relais et du réseau des terminaux, les ports réels et le pare-feu. Ni la priorité ni Auto ne garantissent la connexion sur un réseau restreint.

« On-demand connections » établit une connexion lorsqu'un trafic apparaît entre nœuds et la ferme après une période d'inactivité. Le premier accès après reconnexion peut être brièvement retardé. Évaluez le besoin métier et testez sur le réseau et les clients cibles avant activation.

Gestion DNS

1. Vérifiez « DNS Domain », utilisé pour générer les noms complets des nœuds. Selon la page, le laisser vide rétablit la valeur intégrée zt.internal. Avant changement, recherchez les références aux anciens noms et saisissez un domaine valide.
2. Choisissez si nécessaire les « DNS Disabled Groups ». Les nœuds appartenant à l'un des groupes sélectionnés n'appliquent pas la gestion DNS Zero Trust. Un changement de membres peut modifier le périmètre concerné. La sélection du groupe All, géré par le système, inclut tous ses nœuds membres dans le périmètre de désactivation ; ses membres peuvent changer selon l’état des nœuds. Vérifiez les conséquences et la résolution DNS sur des terminaux pilotes avant d’étendre la modification.
3. Serveurs de noms et zones personnalisées sont configurés séparément : groupes DNS et zones personnalisées. Désactiver la gestion DNS ne coupe pas tous les accès réseau ; la résolution dépend encore de l'environnement du terminal.

Enregistrer et vérifier

L’enregistrement transmet l’ensemble des paramètres de cette page, pas seulement les champs modifiés. Si un autre administrateur a enregistré des changements après le chargement de la page, enregistrer une page ancienne peut les écraser. Coordonnez les modifications. Si vous soupçonnez une modification par un tiers, notez vos saisies non enregistrées, rouvrez la page pour obtenir les valeurs actuelles, puis vérifiez et ressaisissez vos changements. Contrôlez toute la page avant et après l’enregistrement. La réouverture abandonne les saisies non enregistrées et ne protège pas contre une modification concurrente ultérieure.

1. Enregistrez, vérifiez le message puis rouvrez la page pour contrôler valeurs effectives de l'authentification, du pool, de la priorité, du transport et du périmètre DNS. En cas d'échec, traitez le message sans supposer l'application.
2. Sur les terminaux pilotes, vérifiez séparément connexion utilisateur ou identité du terminal, état du nœud et adresse de tunnel. Testez connexion directe ou relais selon le réglage, puis accès métier.
3. Vérifiez noms de nœud, résolution DNS et restrictions de politique sur les terminaux concernés. Les nœuds peuvent recevoir le changement à des moments différents ; un seul résultat ne prouve pas tout le déploiement.
4. En cas d'écart, vérifiez paramètres globaux, exceptions, plan d'adressage, état en ligne, relais, réseau et pare-feu. Restaurez ou ajustez selon le journal et l'autorisation, puis retestez.

Le bouton « Reset » de cette page annule uniquement les modifications non enregistrées et rétablit les valeurs chargées ou enregistrées en dernier par cette page. Il n’annule pas les changements déjà enregistrés et ne récupère pas ceux effectués ultérieurement par un autre administrateur. Pour contrôler la configuration actuelle, rouvrez la page et vérifiez les valeurs affichées.