ตั้งค่าการเผยแพร่แอปพลิเคชัน Zero Trust

การเผยแพร่ให้จุดเข้าถึงผ่านคลัสเตอร์พร็อกซีและส่งคำขอไปเป้าหมายที่ตั้งไว้ ต้องเตรียมและตรวจคลัสเตอร์ บริการ แอปเป้าหมายและข้อจำกัดแยกกัน การสร้างบริการไม่ยืนยันว่าพร็อกซีออนไลน์ DNS แปลงชื่อได้ ใบรับรองพร้อมหรือเป้าหมายเข้าถึงได้

เตรียมการ

• ใช้บัญชีผู้ดูแลสูงสุดที่มีสิทธิ์ Zero Trust ตามงาน การดู สร้าง แก้และลบอาจต้องใช้สิทธิ์ต่างกัน
• ยืนยันโดเมนเข้าถึง การติดตั้งพร็อกซี โปรโตคอลและพอร์ตเป้าหมาย ใบรับรอง และผู้ใช้หรือเครือข่ายที่อนุญาตร่วมกับผู้ดูแล เริ่มด้วยแอปทดสอบและขอบเขตควบคุม พร้อมขออนุมัติเปลี่ยนตามองค์กร
• เตรียมโหนดหรือทรัพยากรเครือข่ายตามเป้าหมาย หากจำกัดโหนดที่เข้า HTTP ส่วนตัว ให้สร้างหรือเลือกกลุ่มในการควบคุมการเข้าถึง เปิดรายละเอียดและใช้ “Add Endpoints” เพิ่มโหนดทดลองที่อนุญาต ตรวจการอ้างอิงอื่นก่อนแก้กลุ่มเดิม
• ตรวจนโยบาย เส้นทาง ไฟร์วอลล์และทางกลับที่จำเป็น กลุ่ม การพิสูจน์ตัวตนบริการและนโยบายเครือข่ายมีหน้าที่ต่างกัน การบันทึกอย่างใดอย่างหนึ่งไม่ยืนยันการเข้าถึงครบเส้นทาง

สร้างคลัสเตอร์พร็อกซี

1. เปิดคลัสเตอร์พร็อกซีในการเผยแพร่แอป Zero Trust และเลือก “Create Proxy Cluster”
2. ป้อนชื่อคลัสเตอร์และโดเมนสาธารณะแล้วบันทึก โดเมนต้องตรงกับการติดตั้งพร็อกซี ตรวจแผนโดเมน DNS และใบรับรองกับผู้รับผิดชอบ
3. จัดการโทเคนตามหน้าจอ โทเคนแสดงเพียงครั้งเดียวเมื่อสร้าง ส่งผ่านช่องทางปลอดภัยให้ผู้ติดตั้งที่ได้รับสิทธิ์ ห้ามใส่ในเอกสาร แชตหรือทิกเก็ตทั่วไป
4. ติดตั้งอินสแตนซ์ตามขั้นตอนที่อนุมัติ แล้วตรวจจำนวนออนไลน์และความสามารถในหน้าคลัสเตอร์ หากรออินสแตนซ์รายงาน อย่าสมมติว่าบริการส่วนตัวหรือพอร์ตกำหนดเองพร้อม การสร้างคลัสเตอร์ไม่ได้ทำให้อินสแตนซ์ออนไลน์

สร้างบริการและเป้าหมาย

1. เปิดบริการเผยแพร่ เลือก “Create Published Service” เลือกคลัสเตอร์ ป้อนชื่อ โดเมนเผยแพร่และโหมด HTTP, TCP, UDP หรือ TLS ตรวจโดเมนให้ตรงข้อกำหนดติดตั้ง
2. โหมดที่ไม่ใช่ HTTP ให้เลือกวิธีจัดสรรพอร์ตและตรวจพอร์ตรับตามหน้าจอ พอร์ตกำหนดเองขึ้นกับความสามารถที่คลัสเตอร์รายงาน ตรวจไฟร์วอลล์และพอร์ตชนกันก่อน
3. เพิ่มเป้าหมายชนิด “Endpoint”, “Network Resource” หรือ “Proxy Host Direct” หากเลือกอุปกรณ์หรือทรัพยากรต้องเลือกออบเจ็กต์ด้วย หากใช้ไม่ได้ให้ตรวจสถานะและการอ้างอิง
4. ป้อนที่อยู่และตรวจโปรโตคอลกับพอร์ตแบ็กเอนด์ HTTP ใช้ http:// หรือ https:// และพาธตามจำเป็น โหมดอื่นป้อนโฮสต์และพอร์ตตามหน้าจอ เมื่ออ้างอิงอุปกรณ์หรือทรัพยากรที่ระบุแน่ชัด ให้ตรวจออบเจ็กต์และเป้าหมายที่แสดง ไม่ถือชื่อโฮสต์ตัวอย่างเป็นสิทธิ์แยก
5. เพิ่มเป้าหมายได้ตามจำเป็น ตรวจออบเจ็กต์ ที่อยู่ พอร์ตและบริการทีละรายการ ตัวอย่างแสดงรูปแบบ ไม่รับประกันว่าเข้าถึงได้ สำหรับบริการ HTTP เส้นทางของแต่ละเป้าหมายต้องขึ้นต้นด้วย / และห้ามซ้ำกันภายในบริการเดียวกัน เส้นทางเริ่มต้น / ก็ใช้ได้เพียงครั้งเดียว ก่อนเพิ่มหลายเป้าหมายให้วางแผนเส้นทางต่างกัน เช่น /reports และ /sales แล้วตรวจผลการส่งต่อแต่ละเส้นทาง หากบันทึกไม่สำเร็จให้ตรวจว่ามี / ซ้ำหรือไม่

ขอบเขต Proxy Host Direct: หน้าจอระบุว่าโฮสต์พร็อกซีเข้าถึงเป้าหมายโดยตรง ไม่ผ่านเส้นทาง Zero Trust การควบคุมเข้าถึงและการแยกเครือข่ายท้องถิ่น เป้าหมายห้ามเป็น loopback, link-local หรือ multicast ต้องประเมินเครือข่ายที่พร็อกซีเข้าถึง ไฟร์วอลล์และการป้องกันปลายทางแยกกัน อย่าสมมติว่าการควบคุมดังกล่าวยังจำกัดเส้นทางนี้ เมื่อกำหนดเป้าหมายเป็นชื่อโฮสต์ การบันทึกสำเร็จไม่ได้หมายความว่าทุกที่อยู่ที่พร็อกซีแปลงชื่อได้จริงจะอนุญาตให้เชื่อมต่อ หากผลเป็นที่อยู่ที่จำกัด เช่น loopback, link-local หรือ multicast การเชื่อมต่อนั้นอาจถูกปฏิเสธ ให้ตรวจการแปลงชื่อและการเข้าถึงเป้าหมายจากสภาพแวดล้อมของโฮสต์พร็อกซี และทดสอบอีกครั้งหลังเปลี่ยน DNS อย่าพยายามเปลี่ยนชื่อเพื่อข้ามข้อจำกัด

วิธีเข้าถึงบริการ HTTP

หน้าพิสูจน์ตัวตน HTTP มีหลายวิธี ต้องยืนยันกลุ่มผู้ใช้และข้อกำหนดความปลอดภัยก่อน:

1. Zero Trust Network Only: ตรวจว่าคลัสเตอร์มีอินสแตนซ์ออนไลน์ เปิดโหมดพร็อกซีส่วนตัวและรองรับบริการส่วนตัว เปิดตัวเลือกและเลือกกลุ่มที่เตรียมไว้อย่างน้อยหนึ่งกลุ่ม หน้าจอระบุว่าเฉพาะโหนดเชื่อมต่อและตรงกลุ่มเข้าถึงได้ แต่ยังต้องทดสอบทั้งโหนดตรงและไม่ตรงกลุ่ม
2. วิธีอื่น: เลือก “No Authentication”, PIN หรือ “Password” เมื่อสร้างหรือเปลี่ยนเป็น PIN/รหัสผ่านให้ป้อนข้อมูล โดย PIN ต้องเป็นตัวเลขหกหลัก ตั้งอายุเซสชันตามข้อกำหนดและเก็บส่งข้อมูลผ่านช่องทางปลอดภัย ก่อนเลือกไม่พิสูจน์ตัวตนให้ประเมินขอบเขตและความเสี่ยง อย่าสมมติว่ามีการยืนยันผู้ใช้โดยอัตโนมัติ
3. กลุ่มบริการส่วนตัวกับ PIN/รหัสผ่านบริการที่ไม่ใช่ส่วนตัวเป็นคนละวิธี หลังสลับให้ตรวจตัวเลือก ผู้ได้รับอนุญาตและผลจริง โหมดที่ไม่ใช่ HTTP ไม่แสดงหน้านี้ จึงไม่ควรสมมติว่ามีการป้องกันเดียวกันอัตโนมัติ

เมื่อเลือกหรือเปลี่ยนเป็นการยืนยันด้วย PIN หรือรหัสผ่าน หน้าจะตั้งอายุเซสชันเข้าสู่ระบบเป็น 86400 วินาที (24 ชั่วโมง) ช่วงที่ป้อนได้คือ 60 ถึง 604800 วินาที (1 นาทีถึง 7 วัน) นี่เป็นค่าเริ่มต้นเมื่อเปลี่ยน ไม่จำเป็นต้องเป็นค่าปัจจุบันของบริการเดิม ให้ตั้งและบันทึกตามข้อกำหนดองค์กร แล้วตรวจข้อมูลยืนยันตัวตนและระยะเวลาอีกครั้งหลังเปลี่ยนวิธี

ตั้งข้อจำกัดและตรวจสอบ

1. ใน “Access Control” ป้อน “Allowed CIDRs” และ “Blocked CIDRs” ตามองค์กร ในขั้นสูงตรวจเวลารอ การส่งต่อและตัวเลือกที่ใช้ อย่าตัดสินผลจากรายการเดียว ต้องทดสอบการติดตั้งจริง
2. ตรวจใบรับรองและข้อกำหนดเชื่อมต่อของเป้าหมาย หน้าจอมีตัวเลือกข้ามการตรวจ TLS แบ็กเอนด์สำหรับใบรับรองลงนามเองที่ตรวจไม่ได้ในเครือข่ายภายในควบคุม ประเมินความปลอดภัยก่อนเปิด ไม่ใช้เป็นวิธีแก้ปัญหาเริ่มต้น
3. ก่อนบันทึกตรวจคลัสเตอร์ โดเมน เป้าหมาย ตัวตน กลุ่มและข้อจำกัด หลังบันทึกตรวจสถานะเปิดและทำงาน การรอพร็อกซี อุโมงค์ไม่พร้อมหรือสถานะใบรับรองไม่หมายความว่าบริการพร้อม
4. ตรวจ DNS พอร์ต ใบรับรอง ตัวตนและแอปจากไคลเอนต์ที่อนุญาต แล้วทดสอบข้อจำกัดจากไคลเอนต์ที่ไม่ควรได้รับสิทธิ์ หากส่วนตัวให้ทดสอบโหนดตรงและไม่ตรงกลุ่ม
5. ดูบันทึกเข้าถึงในรายการบริการและเทียบบันทึกตรวจสอบตามบริการและเวลา บันทึกเป็นเบาะแสเฉพาะขั้นที่บันทึก ไม่แทนการทดสอบเข้าถึงและความปลอดภัยจริง

ตัวอย่าง CIDR: หากรายการอนุญาตไม่ว่าง ที่อยู่ต้นทางต้องตรงอย่างน้อยหนึ่งรายการ และหากตรงรายการบล็อกด้วยจะยังถูกปฏิเสธ หากรายการอนุญาตว่าง รายการนั้นจะไม่จำกัดต้นทาง แต่รายการบล็อกและการควบคุมอื่นยังอาจมีผล ตัวอย่าง เมื่ออนุญาต 10.20.0.0/16 และบล็อก 10.20.5.0/24 ที่อยู่ 10.20.4.10 ผ่านการตรวจ CIDR นี้ ส่วน 10.20.5.10 ถูกปฏิเสธเพราะอยู่ในช่วงบล็อก และ 10.21.4.10 ถูกปฏิเสธเพราะอยู่นอกช่วงอนุญาต ที่อยู่เป็นเพียงตัวอย่าง พร็อกซีต้นทางหรือการแปลงที่อยู่เครือข่ายอาจกระทบที่อยู่ต้นทางที่พร็อกซีรับรู้ จึงต้องตรวจและทดสอบในระบบจริง การผ่าน CIDR ไม่ได้ยืนยันว่าการยืนยันตัวตน กลุ่มเข้าถึง หรือบริการเป้าหมายพร้อมแล้ว

การตีความคอลัมน์การยืนยันตัวตน: สำหรับการเข้าถึง HTTP ผลสำเร็จหรือล้มเหลวที่แสดงอาจขึ้นอยู่กับสถานะตอบกลับ HTTP โดย 401 หรือ 403 อาจแสดงว่าล้มเหลว ส่วนสถานะอื่นรวมถึงข้อผิดพลาดของบริการอาจแสดงว่าสำเร็จ สำหรับบันทึกที่ไม่ใช่ HTTP เช่น TCP, UDP หรือ TLS การแสดงว่าล้มเหลวไม่ได้หมายความว่าการยืนยันตัวตนผู้ใช้ล้มเหลวเสมอไป ให้พิจารณาวิธียืนยันตัวตนของบริการ รหัสตอบกลับ แหล่งที่มาและบันทึกของแอปเป้าหมายร่วมกันในการทดสอบที่ควบคุม อย่าสรุปผลยืนยันตัวตนหรืออัตลักษณ์ผู้ใช้จากคอลัมน์นี้เพียงอย่างเดียว ข้อความที่เกี่ยวข้องในหน้าภาษาอังกฤษคือ Authentication, Success และ Failed

เปลี่ยนแปลงและแก้ปัญหา

• บันทึกไม่ได้: ตรวจคลัสเตอร์ ชื่อ โดเมน ออบเจ็กต์และรูปแบบที่อยู่ โหมดไม่ใช่ HTTP ตรวจพอร์ตรับ HTTP ส่วนตัวตรวจอินสแตนซ์ออนไลน์ ความสามารถและอย่างน้อยหนึ่งกลุ่ม รวมถึง PIN ตามข้อกำหนด
• สร้างแล้วเข้าไม่ได้: ตรวจสถานะ พร็อกซี DNS พอร์ต ไฟร์วอลล์ ใบรับรอง บริการและเส้นทางแยกกัน
• ตัวตนหรือการเข้าถึงไม่ตรง: ตรวจโหมดส่วนตัวหรือวิธียืนยัน กลุ่ม เครือข่ายที่อนุญาตและบล็อก นโยบายอื่นและการป้องกันปลายทาง ทดสอบทั้งที่อนุญาตและปฏิเสธ
• แก้ ปิดหรือลบ: ตรวจการอ้างอิง ผู้ใช้และบริการที่พึ่งพา บันทึกค่าและทำตามขั้นตอนอนุญาต หลังเปลี่ยนตรวจสถานะ ข้อจำกัดและบริการอีกครั้ง จัดการโทเคนและข้อมูลลับผ่านช่องทางปลอดภัย