นโยบายการเชื่อมต่อขาออกที่ไม่ได้รับอนุญาต
บันทึก Network Access แสดงผลการตัดสินใจเชื่อมต่อจาก Network Access Control และ Illegal Outbound ในการจัดการอุปกรณ์ปลายทาง ทั้งสองนโยบายตั้งค่าแยกกัน โดยนโยบายแรกจับคู่การเชื่อมต่อกับกฎ ส่วนอีกนโยบายประเมินการเชื่อมต่อขาออกตามที่อยู่ที่อนุญาต บันทึกไม่ใช่รายการทราฟฟิกเครือข่ายทั้งหมด รายการว่างไม่ได้พิสูจน์ว่าไม่มีการเชื่อมต่อ และบันทึกอนุญาตเพียงรายการเดียวไม่ได้ยืนยันว่าการเชื่อมต่อธุรกิจสำเร็จในที่สุด
นโยบายเครือข่ายอาจกระทบธุรกิจ การบำรุงรักษาระยะไกล และการสื่อสารระหว่างอุปกรณ์กับแพลตฟอร์มจัดการ ให้ทดสอบที่อยู่ที่อนุมัติบนอุปกรณ์ Windows ทดลองที่ดูแล ณ สถานที่ได้ก่อนและเตรียมวิธีกู้คืน อย่าส่งกฎบล็อกไปยังอุปกรณ์ทั้งหมดโดยตรง คำอธิบายบันทึกต่อไปนี้ใช้การเชื่อมต่อ TCP บนอุปกรณ์ Windows เป็นตัวอย่าง โปรโตคอลและแพลตฟอร์มอื่นต้องตรวจสอบแยกกัน
เตรียมการทดลอง
- ตรวจสอบว่าองค์กรมีสิทธิ์ใช้งานที่จำเป็น การเปลี่ยนนโยบายจัดการอุปกรณ์ การดูบันทึก และการส่งออกบันทึกต้องมีสิทธิ์ที่เกี่ยวข้องแยกกัน อุปกรณ์นำร่องต้องลงทะเบียนและรับนโยบายได้ เมื่อตรวจสอบบันทึกให้ยืนยันด้วยว่าอุปกรณ์รายงานได้และอยู่ในขอบเขตที่บัญชีผู้ดูมองเห็น
- ยืนยันโปรแกรมทดสอบ ที่อยู่ปลายทาง พอร์ต ทิศทางเชื่อมต่อและช่วงบำรุงรักษากับผู้รับผิดชอบเครือข่ายและธุรกิจ เตรียมการเข้าถึง ณ สถานที่และทางย้อนกลับ โดยเฉพาะอย่าบล็อกแพลตฟอร์มจัดการ บริการพื้นฐานที่จำเป็น หรือการบำรุงรักษาระยะไกลที่กำลังใช้งาน
- ใน UEM > Policy ให้ตรวจนโยบายเดิมที่ใช้กับอุปกรณ์นำร่อง เวลาและขอบเขตก่อน หากตรงตามการทดสอบให้ใช้ต่อ เฉพาะเมื่อต้องสร้างหรือแก้ไข ผู้มีสิทธิ์จึงประเมินผลกระทบและทำตามแผนที่อนุมัติ
ตั้งค่า Illegal Outbound
ดำเนินการตั้งค่าต่อไปนี้เฉพาะเมื่อการตั้งค่าเดิมไม่ตรงตามข้อกำหนดนำร่องที่อนุมัติ ก่อนปรับให้ตรวจผลกระทบทางธุรกิจ ขอบเขตและแผนกู้คืน
- ในนโยบายทดลอง ให้เปิด Illegal Outbound แล้วเปิดการตั้งค่า กฎที่อยู่ที่อนุญาตของนโยบายนี้แยกจากกฎ Network Access Control
- ตรวจสอบกฎที่อยู่ IPv4 และ IPv6 ที่อนุญาตเดิม เพิ่มหรือปรับรายการ ช่วงและชื่อกฎตามขอบเขตที่องค์กรอนุมัติ ให้รวมที่อยู่จัดการและธุรกิจที่จำเป็นของอุปกรณ์ทดลองในขอบเขตที่ควรอนุญาต อย่าลบกฎเดิมโดยไม่ประเมิน
- ตรวจสถานะ Block Illegal Outbound เมื่อปิดจะบันทึกการเชื่อมต่อภายนอกที่ผิดเงื่อนไขและตรงกฎ เมื่อเปิดจะบล็อกการเชื่อมต่อนั้น อย่าปิดการบล็อกเดิมเพียงเพื่อทดสอบ หากต้องตรวจแบบไม่บล็อก ให้ตรวจผลกระทบและทางกู้คืนก่อน แล้วใช้การตั้งค่านำร่องที่แยกเหมาะสมตามแผนอนุมัติ การเปลี่ยนสวิตช์ต้องทำตามขั้นตอนอนุมัติและเปลี่ยนแปลงขององค์กร
- บันทึกการตั้งค่าและนโยบายทั้งหมด ตรวจสอบสวิตช์ ที่อยู่ที่อนุญาตและอุปกรณ์เป้าหมาย หลังอุปกรณ์รับนโยบายให้ทดสอบที่อยู่ที่อนุญาตและที่อยู่ทดสอบที่อนุมัติแยกกัน ผลขึ้นอยู่กับกฎ การเชื่อมต่อและสถานะอุปกรณ์ ไม่ใช่การตรวจสอบเครือข่ายทั้งหมดอย่างครบถ้วน
ความเสี่ยงของตระกูลที่อยู่: ในการประมวลผลการเชื่อมต่อ TCP บน Windows บางกรณี ระบบจับคู่ที่อยู่ IPv4 และ IPv6 ที่อนุญาตแยกกัน การตั้งค่าเฉพาะ IPv4 ไม่ได้อนุญาต IPv6 โดยอัตโนมัติ และในทางกลับกันก็เช่นเดียวกัน หากตระกูลที่อยู่ใดไม่มีกฎที่ตรง การเชื่อมต่ออาจถูกระบุว่าเป็นการเชื่อมต่อออกที่ผิดกฎหมายและอาจถูกตัดเมื่อเปิดการบล็อก ให้ตรวจสอบตระกูลที่อยู่ที่อุปกรณ์ทดลองใช้งานจริง ตั้งค่าที่อยู่สำหรับการจัดการและงานที่จำเป็นแยกกัน และทดสอบแต่ละรายการก่อนเปิดการบล็อก
วันที่อัปเดต