นโยบายการเข้าถึง

ใน Ping64 กลุ่มการเข้าถึงจัดโหนด Zero Trust และทรัพยากรเครือข่ายเพื่อให้นโยบาย เส้นทางและการตั้งค่าอื่นอ้างอิง นโยบายกำหนดว่าต้นทางใดได้รับอนุญาตหรือปฏิเสธให้เข้าถึงเป้าหมายใด รวมถึงโปรโตคอล ทิศทางและพอร์ต การสร้างกลุ่มเพียงอย่างเดียวไม่ให้สิทธิ์ และการบันทึกนโยบายไม่ยืนยันว่าโหนดทั้งหมดรับการตั้งค่าหรือบริการเป้าหมายเข้าถึงได้

บทนี้อธิบายการกำหนดและตรวจสอบนโยบายเข้าถึง รวมถึงต้นทาง ปลายทาง โปรโตคอล ทิศทาง และการดำเนินการ ก่อนเปลี่ยนนโยบายให้ประเมินผลของนโยบายและเส้นทางอื่นต่อการเข้าถึง

เตรียมการ

• ใช้บัญชีผู้ดูแลที่มีสิทธิ์จัดการกลุ่มและนโยบาย Zero Trust ตรวจสอบว่าโหนดที่เกี่ยวข้องเชื่อมต่อแล้วและเตรียมทรัพยากรเครือข่ายที่ต้องใช้
• กำหนดต้นทาง เป้าหมาย โปรโตคอลและพอร์ตที่จะอนุญาตหรือจำกัด รวมทั้งความจำเป็นในการเข้าถึงย้อนกลับ เลือกขอบเขตน้อยที่สุดที่ตอบโจทย์ และเตรียมออบเจ็กต์ทดสอบทั้งที่อนุญาตและไม่อนุญาต
• ตรวจสอบนโยบาย เส้นทางและการอ้างอิงกลุ่มเดิม หลายการตั้งค่าอาจมีผลต่อเส้นทางเดียวกัน จึงไม่ตัดสินผลจากนโยบายใหม่เพียงข้อเดียว
• เมื่อเข้าถึงบริการภายใน ตรวจสอบว่าโหนดกำหนดเส้นทางเข้าถึงเป้าหมายและส่งต่อได้ รวมถึงบริการ ไฟร์วอลล์และเส้นทางกลับ ดู ตั้งค่าเส้นทางเครือข่าย Zero Trust

ข้อจำกัดการตั้งค่าพอร์ต: กฎนโยบายหนึ่งข้อระบุพอร์ตเดี่ยวได้หลายพอร์ต หรือระบุช่วงพอร์ตได้หนึ่งช่วงขึ้นไป แต่ห้ามผสมพอร์ตเดี่ยวกับช่วงพอร์ตในกฎเดียวกัน เช่น อย่าใส่ 443 และ 8000-8080 พร้อมกันในกฎเดียว แม้หน้าจอรับข้อมูล การบันทึกก็อาจล้มเหลว หากต้องครอบคลุมทั้งสองแบบ ให้พิจารณาสร้างนโยบายแยก ตรวจสอบต้นทาง ปลายทาง การดำเนินการ และการตรวจสอบความปลอดภัยของแต่ละนโยบาย แล้วทดสอบผลรวมในสภาพแวดล้อมนำร่อง อย่าผสม * กับพอร์ตอื่น

สร้างนโยบายเข้าถึง

1. ในการควบคุมการเข้าถึง Zero Trust เปิด “Policies” หากรายการมีนโยบายอยู่แล้วให้เลือก “Create” หากรายการว่างให้เลือก “Create Policy” แล้วป้อนชื่อนโยบายและคำอธิบายที่จำเป็น
2. เลือกโปรโตคอล ALL, TCP, UDP หรือ ICMP และเลือก “Accept” หรือ “Drop” ตามงาน หากใช้การตรวจสอบความปลอดภัย ให้ตรวจสอบเนื้อหา ผู้ที่ใช้และข้อกำหนดองค์กรก่อน
3. ใน “Sources” เลือกกลุ่มหรือโหนดเฉพาะ ใน “Destinations” เลือกกลุ่ม โหนดหรือทรัพยากรเครือข่าย กำหนดออบเจ็กต์ตามชนิดและตรวจสอบต้นทางกับเป้าหมายให้ถูกต้อง
4. ตรวจสอบ “Direction” ซึ่งมีต้นทางไปเป้าหมายและสองทิศทาง หากเป้าหมายเป็นทรัพยากรเครือข่ายจะเปลี่ยนทิศทางไม่ได้ ให้ยึดที่แสดงและอย่าสมมติว่าได้สิทธิ์ย้อนกลับ
5. สำหรับ TCP หรือ UDP ตั้งพอร์ตตามจำเป็น การเว้นว่างหมายถึงทุกพอร์ต ป้อนพอร์ตเดียว ช่วงที่ถูกต้องหรือ * ได้ เช่น 443 หรือ 8000-8080 และยืนยันตามคำแนะนำ ค่าพอร์ตอยู่ระหว่าง 1 ถึง 65535
6. บันทึกและตรวจสอบชื่อ ต้นทาง เป้าหมาย โปรโตคอล ทิศทาง การดำเนินการและสถานะในรายการ เมื่อโหนดรับค่าแล้ว ให้ทดสอบทั้งออบเจ็กต์ที่ควรและไม่ควรได้รับอนุญาต พร้อมตรวจนโยบายอื่น

ตัวอย่าง เพิ่มโหนดทดลองฝ่ายพัฒนาในกลุ่มและเตรียมทรัพยากรเป้าหมาย จากนั้นสร้างนโยบายโดยเลือกกลุ่มต้นทาง ทรัพยากรปลายทาง TCP พอร์ต 443 และ “Accept” หลังบันทึกและเปิดใช้ให้ทดสอบจากโหนดทดลองและโหนดนอกต้นทางที่กำหนด นี่ไม่ใช่นโยบายเริ่มต้น ผลยังขึ้นกับนโยบายอื่น เส้นทาง บริการและไฟร์วอลล์

ตรวจซ้ำหลังเปลี่ยนตัวเลือก: การเปลี่ยนโปรโตคอลจาก TCP หรือ UDP เป็น ALL หรือ ICMP จะล้างพอร์ตและช่วงพอร์ตที่ป้อนไว้ เมื่อเปลี่ยนกลับเป็น TCP หรือ UDP ค่าจะไม่คืนโดยอัตโนมัติ และช่องพอร์ตว่างหมายถึงทุกพอร์ต การเปลี่ยนชนิดต้นทางหรือปลายทางจะล้างรายการที่เลือกของด้านนั้นด้วย การเลือกทรัพยากรเครือข่ายเป็นปลายทางจะเปลี่ยนทิศทางเป็นต้นทางไปปลายทาง อย่าสมมติว่าค่าแบบสองทิศทางเดิมกลับมาเมื่อเปลี่ยนชนิดอีกครั้ง ก่อนบันทึกให้เลือกวัตถุใหม่และตรวจโปรโตคอล พอร์ตและทิศทาง เพื่อป้องกันการขยายหรือเปลี่ยนขอบเขตการเข้าถึงโดยไม่ตั้งใจ

นโยบายซ้อนทับ: ต้นทาง ปลายทาง โปรโตคอล และพอร์ตเดียวกันอาจตรงกับหลายนโยบายอนุญาตหรือปฏิเสธ เช่น หากอุปกรณ์อยู่ทั้งกลุ่มอนุญาตและกลุ่มจำกัด ให้ตรวจสมาชิกทั้งสองกลุ่ม ทิศทาง พอร์ต และการตรวจความปลอดภัย แล้วทดสอบการเชื่อมต่อใหม่จากอุปกรณ์นั้น อย่าสรุปผลจากลำดับในรายการหรือกฎเดียว ลดการซ้อนทับที่ขัดแย้งเมื่อทำได้ และตรวจเส้นทางกับการควบคุมฝั่งปลายทางด้วย

ข้อมูลข้อผิดพลาดเครือข่าย: บางเส้นทางประมวลผลของอุปกรณ์อาจยอมให้ข้อความข้อผิดพลาด ICMP บางชนิด เช่น ปลายทางเข้าถึงไม่ได้หรือหมดเวลา แม้นโยบายเข้าถึงที่เกี่ยวข้องจะปฏิเสธ อย่าถือว่านโยบายปฏิเสธบล็อกข้อความควบคุมเครือข่ายทั้งหมด หรือถือว่าได้รับข้อความดังกล่าวแล้วบริการธุรกิจเข้าถึงได้ ให้ตรวจการเชื่อมต่อธุรกิจและข้อกำหนดการควบคุมแยกกันบนแพลตฟอร์มจริง

ใช้ร่วมกับเส้นทางเครือข่าย

นโยบายควบคุมทราฟฟิกที่ตรงเงื่อนไข ส่วนเส้นทางให้ทางไปเป้าหมาย เมื่อผ่านโหนดกำหนดเส้นทางให้ตรวจสอบโหนด ขอบเขตเส้นทางและต้นทาง เป้าหมาย โปรโตคอล พอร์ตของนโยบายร่วมกัน การส่งเส้นทางไม่แทนการทดสอบควบคุมการเข้าถึง

สำคัญ: หากเว้น “Policy Target Groups” ในเส้นทางว่าง จะเกิดกฎอนุญาตเริ่มต้น ไม่ใช่ปฏิเสธเริ่มต้น หากต้องจำกัด ให้เลือกกลุ่มเป้าหมายในเส้นทางและยืนยันว่านโยบายที่เปิดใช้เลือกกลุ่มเดียวกันกับต้นทางที่ต้องการ ตั้งค่าเส้นทางอื่นให้ครบและทดสอบอุปกรณ์ที่อนุญาตกับไม่อนุญาตแยกกัน

Effective Scope ควบคุมว่าอุปกรณ์ใดรับเส้นทาง แต่ไม่ได้จำกัดแหล่งของกฎอนุญาตเริ่มต้นข้างต้นให้เหลือเฉพาะอุปกรณ์เหล่านั้น กฎเริ่มต้นไม่จำกัดทราฟฟิกส่งต่อที่ตรงเงื่อนไขตามแหล่ง โปรโตคอล หรือพอร์ต การเข้าถึงจริงยังขึ้นกับการเชื่อมต่อ การควบคุมอื่น และเครือข่ายปลายทาง อย่าใช้ขอบเขตการกระจายเพียงอย่างเดียวเพื่อแยกการเข้าถึง ให้เลือกกลุ่มเป้าหมายนโยบายและทดสอบเส้นทางอื่นแยกกัน

ตรวจสอบการเชื่อมต่อที่มีอยู่: หลังเข้มงวดนโยบายหรือเพิ่มกฎปฏิเสธ อย่าสมมติว่าเซสชันเดิมทั้งหมดจะหยุดทันที แม้โหนดจะได้รับการอัปเดตแล้ว บางเส้นทางการเชื่อมต่อและการกำหนดเส้นทางอาจยังปล่อยการเชื่อมต่อเดิมต่อไป โดยพฤติกรรมขึ้นกับแพลตฟอร์ม สถานะการเชื่อมต่อ และการควบคุมอื่น ประเมินงานที่กำลังใช้งานก่อนเปลี่ยนแปลง แล้วทดสอบเซสชันเดิมและการเชื่อมต่อใหม่แยกกันในสภาพแวดล้อมนำร่องที่ได้รับอนุมัติ หากต้องยุติทันที ให้ดำเนินการเพิ่มเติมและตรวจสอบตามกระบวนการตอบสนองเหตุการณ์ขององค์กร อย่าพึ่งเพียงการบันทึกนโยบายสำเร็จ

ตรวจสอบ เปลี่ยนแปลงและแก้ปัญหา

1. ตรวจสอบนโยบายเปิดใช้ ต้นทางและเป้าหมายมีอยู่ สมาชิกถูกต้อง และโหนดเชื่อมต่อพร้อมรับค่า การบันทึก การส่งและการใช้จริงเป็นคนละสถานะ
2. ตรวจโปรโตคอล พอร์ตและทิศทาง หากเป้าหมายเป็นทรัพยากรเครือข่าย ให้ตรวจทรัพยากร โหนด เครือข่ายเป้าหมาย บริการและทางกลับด้วย
3. ทดสอบต้นทางที่ควรและไม่ควรได้รับอนุญาตแยกกัน การเข้าถึงหรือบันทึกสำเร็จครั้งเดียวไม่พิสูจน์ขอบเขตความปลอดภัยทั้งหมด
4. หากผลไม่ตรง ตรวจนโยบายอื่น กฎอนุญาตเริ่มต้นของเส้นทาง การตรวจสอบความปลอดภัยและไฟร์วอลล์ปลายทาง บันทึกออบเจ็กต์ ผลและข้อความเพื่อให้ผู้ดูแลที่มีสิทธิ์ตรวจสอบ
5. ก่อนปิดหรือลบนโยบายหรือเปลี่ยนสมาชิก ให้ตรวจการอ้างอิงและผลกระทบ บันทึกค่าและทำตามขั้นตอนองค์กร หลังเปลี่ยนให้ตรวจธุรกิจและข้อจำกัดอีกครั้ง ค้นหานโยบายในรายการ เลือก “Edit” ในแถวเพื่อแก้ไขและบันทึก ใช้สวิตช์สถานะเพื่อปิดหรือเปิดอีกครั้ง หรือเลือก “Delete” แล้วต้องยืนยันในหน้าต่าง หากดำเนินการไม่ได้ให้ตรวจสิทธิ์และงานที่กำลังประมวลผล นโยบายที่ปิดจะไม่รวมในการคำนวณการตั้งค่าครั้งต่อไป การปิดนโยบายอนุญาตไม่รับประกันว่าช่องทางอื่นถูกปิดกั้น และการปิดนโยบายปฏิเสธอาจขยายสิทธิ์เข้าถึง โหลดใหม่เพื่อตรวจสถานะ แล้วทดสอบเซสชันเดิมและการเชื่อมต่อใหม่แยกกัน หากโหลดรายละเอียดไม่สำเร็จ อย่าถือว่าเป็นนโยบายว่างหรือลบทันที ให้ติดต่อผู้ดูแลตรวจสอบ

• กลุ่มการเข้าถึง
• การตรวจความปลอดภัยสำหรับนโยบายการเข้าถึง