ตั้งค่าการเชื่อมต่อและตัวตน Zero Trust
ใน Ping64 การตั้งค่าส่วนกลาง Zero Trust จัดการการพิสูจน์ตัวตน กลุ่มที่อยู่อุโมงค์ วิธีเชื่อมต่อและขอบเขตจัดการ DNS ของอุปกรณ์ที่จัดการ การเปลี่ยนอาจกระทบหลายโหนด การบันทึกสำเร็จไม่ยืนยันว่าทุกโหนดรับค่าหรือบริการเชื่อมต่อได้
เตรียมการ
- ใช้บัญชีที่มีสิทธิ์จัดการการตั้งค่า Zero Trust บันทึกค่า โหนดและบริการที่ได้รับผลกระทบ และยืนยันการอนุญาตเปลี่ยน
- ตรวจข้อกำหนดเข้าสู่ระบบ แผนที่อยู่ รีเลย์และ DNS ร่วมกับผู้ดูแลเครือข่ายและตัวตน หากเปลี่ยนตัวตน ที่อยู่หรือเส้นทาง ให้จัดช่วงเปลี่ยนและแผนกู้คืน แล้วทดลองบนอุปกรณ์ที่ควบคุมก่อน
- ตรวจข้อยกเว้นการพิสูจน์ตัวตนระดับโหนดและที่อยู่อุโมงค์คงที่ การตั้งค่าส่วนกลาง ข้อยกเว้นและนโยบายเข้าถึงมีหน้าที่ต่างกัน ใช้แทนกันไม่ได้
ตั้งค่าตัวตนและการเชื่อมต่ออัตโนมัติ
- ในคอนโซลเปิดการตั้งค่า Zero Trust และเลือก “Authentication method” ตามข้อกำหนดองค์กร:
- ตัวตนอุปกรณ์ (Endpoint Identity): หน้าจออธิบายว่าอุปกรณ์ที่จัดการสามารถเชื่อมต่อด้วยตัวตนอุปกรณ์
- ตัวตนผู้ใช้ (User Identity): หน้าจออธิบายว่าต้องให้ผู้ใช้แพลตฟอร์มเข้าสู่ระบบก่อนเชื่อมต่อ
- ตั้ง “Automatic connection” ตามงาน หน้าจอระบุว่าโหนดตัวตนอุปกรณ์เชื่อมต่ออัตโนมัติเมื่อค่าพร้อม แต่โหนดตัวตนผู้ใช้ยังต้องให้ผู้ใช้สั่งเชื่อมต่อ เงื่อนไขตัวตน เครือข่ายและควบคุมการเข้าถึงยังจำเป็น
- ตรวจข้อยกเว้นระดับโหนด โหนดสืบทอดค่าส่วนกลางได้ และเมื่อส่วนกลางกำหนดตัวตนผู้ใช้ หน้าจออนุญาตให้เลือกตัวตนอุปกรณ์เป็นรายโหนดได้ เมื่อเปิดข้อยกเว้น โหนดเชื่อมต่อโดยผู้ใช้ไม่ต้องเข้าสู่ระบบ จึงต้องยืนยันเจ้าของ ความเสี่ยงและการอนุญาต ดูจัดการโหนด
- หลังตั้งค่าอื่นให้บันทึกและตรวจตามขั้นตอนด้านล่าง อย่าลดข้อกำหนดตัวตนโดยอัตโนมัติเพียงเพื่อแก้ปัญหาเข้าสู่ระบบ
กลุ่มที่อยู่อุโมงค์
“Tunnel Address Pool” จัดสรร IPv4 ของโหนดใน Zero Trust ที่อยู่ DNS เสมือนบนหน้าจอคำนวณจากกลุ่มนี้และแก้แยกไม่ได้
- ก่อนเปลี่ยนตรวจที่อยู่อัตโนมัติและคงที่ ความจุช่วงใหม่ และการพึ่งพาที่อยู่เดิมของเส้นทาง DNS และบริการ ที่อยู่กำหนดเองต้องอยู่ในช่วงใหม่ พร้อมเตรียมแผนกู้คืน
- ป้อน IPv4 CIDR ภายใน
100.64.0.0/10หน้าจออนุญาตช่วงเริ่มต้น100.64.0.0/10ช่วงกำหนดเองห้ามทับช่วงสงวนของแพลตฟอร์มและต้องผ่านการตรวจขนาด โดยคำนำหน้าต้องไม่มากกว่า/30ให้ยึดข้อความและแผนเครือข่าย - หลังบันทึกเปิดค่าอีกครั้งและตรวจโหนดทดลอง หน้าจอเตือนว่าอาจจัดสรรที่อยู่อัตโนมัติใหม่และเชื่อมต่อใหม่ ให้ตรวจผลกระทบจริง การรับค่าและการเชื่อมต่อธุรกิจทีละรายการ
เลือกเส้นทางและการส่งรีเลย์
“Connection Priority” กำหนดลำดับเส้นทางระหว่างโหนดที่ใช้ได้ แยกจากการส่งรีเลย์:
- P2P First: เลือกตรงก่อน หากใช้ไม่ได้อาจใช้รีเลย์ที่พร้อม
- Relay First: เลือกรีเลย์ก่อน หากใช้ไม่ได้อาจใช้การเชื่อมต่อตรงที่พร้อม
- Relay Only: การเชื่อมต่อระหว่างโหนดพึ่งรีเลย์ เมื่อรีเลย์ใช้ไม่ได้ไม่กลับไปเชื่อมต่อตรง
“Relay Transport” เลือก Auto, WebSocket หรือ QUIC หน้าจออธิบายว่า Auto ทดลอง QUIC กับ WebSocket พร้อมกันและใช้การเชื่อมต่อรีเลย์ที่สำเร็จก่อน โหมดคงที่ใช้เฉพาะโปรโตคอลที่เลือก ก่อนเลือกตรวจการรองรับของรีเลย์และเครือข่ายอุปกรณ์ รวมถึงพอร์ตจริงและไฟร์วอลล์ ลำดับหรือ Auto ไม่รับประกันว่าเครือข่ายจำกัดจะเชื่อมต่อได้
“On-demand connections” สร้างการเชื่อมต่อเมื่อมีทราฟฟิกระหว่างโหนด และตัดหลังว่างระยะหนึ่ง การเข้าถึงครั้งแรกหลังเชื่อมใหม่อาจล่าช้าเล็กน้อย ก่อนเปิดให้ประเมินงานและทดสอบบนเครือข่ายและไคลเอนต์เป้าหมาย
จัดการ DNS
- ตรวจ “DNS Domain” ซึ่งใช้สร้างชื่อโดเมนเต็มของโหนด หน้าจอระบุว่าเว้นว่างจะคืนค่าเริ่มต้น
zt.internalก่อนเปลี่ยนตรวจการอ้างอิงชื่อเดิมและป้อนโดเมนที่ถูกต้อง - เลือก “DNS Disabled Groups” ตามจำเป็น โหนดที่อยู่ในกลุ่มการเข้าถึงใดกลุ่มหนึ่งที่เลือกจะไม่ใช้การจัดการ DNS ของ Zero Trust การเปลี่ยนสมาชิกอาจเปลี่ยนขอบเขตผลกระทบด้วย
หากเลือกกลุ่ม
Allที่ระบบจัดการ โหนดสมาชิกทั้งหมดของกลุ่มจะอยู่ในขอบเขตที่ปิดใช้งาน สมาชิกอาจเปลี่ยนตามสถานะโหนด ตรวจสอบผลกระทบและการแก้ชื่อ DNS บนอุปกรณ์ทดลองก่อนขยายการเปลี่ยนแปลง - เนมเซิร์ฟเวอร์และโซนกำหนดแยกกัน ดูกลุ่มเซิร์ฟเวอร์ DNSและโซน DNS การปิดจัดการ DNS ไม่ได้ปิดการเข้าถึงเครือข่ายทั้งหมด ผลแปลงชื่อยังขึ้นกับอุปกรณ์
บันทึกและตรวจสอบ
การบันทึกจะส่งการตั้งค่าทั้งชุดบนหน้านี้ ไม่ใช่เฉพาะช่องที่แก้ไข หากผู้ดูแลอื่นบันทึกหลังจากหน้านี้โหลด การบันทึกจากหน้าเก่าอาจเขียนทับการตั้งค่าของผู้นั้น ให้ประสานงานก่อนเปลี่ยน หากสงสัยว่ามีผู้อื่นเปลี่ยนค่า ให้จดข้อมูลที่ยังไม่บันทึก เปิดหน้าใหม่เพื่อรับค่าปัจจุบัน แล้วตรวจและป้อนการเปลี่ยนแปลงอีกครั้ง ตรวจทั้งหน้าก่อนและหลังบันทึก การเปิดใหม่จะทิ้งข้อมูลที่ยังไม่บันทึก และไม่ป้องกันการเปลี่ยนพร้อมกันที่เกิดขึ้นภายหลัง
- บันทึก ตรวจข้อความ แล้วเปิดหน้าใหม่เพื่อตรวจค่าจริงของตัวตน กลุ่มที่อยู่ ลำดับ การส่งรีเลย์และขอบเขต DNS หากบันทึกล้มเหลวให้แก้ตามข้อความ ไม่สมมติว่ามีผลแล้ว
- บนอุปกรณ์ทดลอง ตรวจการเข้าสู่ระบบหรือตัวตนอุปกรณ์ สถานะโหนดและที่อยู่อุโมงค์แยกกัน ทดสอบตรงหรือรีเลย์ตามค่า แล้วตรวจบริการธุรกิจ
- ตรวจชื่อโหนด การแปลง DNS และข้อจำกัดนโยบายบนอุปกรณ์ที่เกี่ยวข้อง แต่ละโหนดอาจรับค่าต่างเวลากัน ไม่ตัดสินทั้งระบบจากเครื่องเดียว
- หากผลไม่ตรง ให้ตรวจค่าส่วนกลาง ข้อยกเว้นโหนด แผนที่อยู่ สถานะออนไลน์ รีเลย์ เครือข่ายและไฟร์วอลล์ กู้คืนหรือปรับตามบันทึกและการอนุญาต แล้วทดสอบใหม่
“Reset” บนหน้านี้จะยกเลิกเฉพาะการแก้ไขที่ยังไม่บันทึกและคืนค่าที่หน้านี้โหลดหรือบันทึกล่าสุด ไม่ได้ย้อนการเปลี่ยนแปลงที่บันทึกแล้วหรือดึงค่าที่ผู้ดูแลคนอื่นแก้ไขภายหลัง หากต้องตรวจการตั้งค่าปัจจุบัน ให้เปิดหน้านี้ใหม่และตรวจค่าที่แสดง
วันที่อัปเดต