ตั้งค่าเส้นทางเครือข่าย Zero Trust

ใน Ping64 เส้นทางเครือข่ายให้เส้นทางแก่อุปกรณ์ที่กำหนดเพื่อเข้าถึงเครือข่ายหรือโดเมนเป้าหมายผ่านโหนดกำหนดเส้นทาง Zero Trust ต้องกำหนดเป้าหมาย โหนด ขอบเขตอุปกรณ์ที่รับเส้นทาง และนโยบายเข้าถึงแยกกัน การบันทึกสำเร็จไม่ยืนยันว่าอุปกรณ์รับการตั้งค่า โหนดส่งต่อได้ หรือบริการเป้าหมายได้รับอนุญาตและเข้าถึงได้

เตรียมการ

• ตรวจสอบสิทธิ์ผู้ดูแลสำหรับกลุ่มการเข้าถึง นโยบายและเส้นทาง Zero Trust เตรียมโหนดที่เชื่อมต่อ Zero Trust และเข้าถึงเครือข่ายเป้าหมายได้ หากใช้กลุ่มโหนด ให้ตรวจสอบการเชื่อมต่อ การเข้าถึงเป้าหมายและเงื่อนไขส่งต่อของโหนดตัวเลือก
• กำหนดเครือข่ายหรือโดเมนเป้าหมาย อุปกรณ์ที่ต้องใช้ โปรโตคอลและพอร์ต ตรวจสอบไฟร์วอลล์ปลายทาง การส่งต่อของเกตเวย์และเส้นทางขากลับ แล้วทดลองด้วยอุปกรณ์ที่ควบคุมก่อน
• เส้นทางโดเมนต้องให้อุปกรณ์แปลงชื่อโดเมนได้ด้วย DNS และเส้นทางตั้งค่าแยกกัน ดู ตั้งค่ากลุ่มเซิร์ฟเวอร์ DNS
• ตรวจสอบเส้นทาง กลุ่มและนโยบายเดิมพร้อมประเมินผลกระทบ ขอบเขตส่งเส้นทาง นโยบายเข้าถึงและไฟร์วอลล์ปลายทางมีหน้าที่ต่างกัน ใช้แทนกันไม่ได้

เตรียมกลุ่มและนโยบายการเข้าถึง

• นโยบายการเข้าถึง

1. ในกลุ่มการเข้าถึง Zero Trust ให้ตรวจสอบสมาชิกโหนดทดลองของกลุ่มต้นทางเดิมและกลุ่มเป้าหมายนโยบายที่ใช้กับเส้นทาง รวมทั้งวัตถุประสงค์และการอ้างอิงก่อน ใช้กลุ่มที่เหมาะสมซ้ำโดยไม่ต้องเพิ่มสมาชิกอีก เฉพาะเมื่อจำเป็นให้ผู้ดูแลที่มีสิทธิ์สร้างกลุ่มหรือเพิ่มโหนดทดลองใน Endpoints ของรายละเอียดกลุ่มต้นทาง ก่อนแก้กลุ่มเดิมให้ประเมินผลต่อการตั้งค่าอื่นและงาน
2. ใน Zero Trust > Access Control > Policies ให้ตรวจสอบสถานะเปิดใช้งาน กลุ่มหรือโหนดต้นทาง กลุ่มปลายทาง การกระทำ ทิศทาง โปรโตคอลและพอร์ตของนโยบายเดิมที่ใช้ได้ก่อน ยืนยันว่ากลุ่มปลายทางตรงกับกลุ่มเป้าหมายนโยบายที่จะใช้กับเส้นทาง ใช้นโยบายที่เหมาะสมซ้ำได้ หากจำเป็นต้องสร้างหรือปรับ ให้ผู้ดูแลที่มีสิทธิ์ประเมินผลกระทบและตั้งค่าตาม นโยบายการเข้าถึง
3. หากมีการเปลี่ยนแปลงให้บันทึกนโยบายและตรวจสอบการตั้งค่าอีกครั้ง หากไม่มีการเปลี่ยนแปลงไม่ต้องบันทึกซ้ำ ช่องพอร์ต TCP หรือ UDP ที่ว่างหมายถึงทุกพอร์ต อย่าใช้พอร์ตเดี่ยวร่วมกับช่วงพอร์ตในนโยบายเดียวกัน หรือใช้ * ร่วมกับพอร์ตอื่น หลังตั้งค่าเส้นทางให้ทดสอบทั้งอุปกรณ์ที่ควรอนุญาตและไม่ควรอนุญาต และตรวจสอบนโยบายอื่นที่อาจมีผล การบันทึกเพียงอย่างเดียวไม่ยืนยันว่าเข้าถึงได้

สำคัญ: “Effective Scope” กำหนดอุปกรณ์ที่ได้รับเส้นทาง ส่วน “Policy Target Groups” เชื่อมเส้นทางกับนโยบายเข้าถึง หากเว้น Policy Target Groups ว่าง ระบบจะสร้างกฎอนุญาตเริ่มต้น ไม่ใช่ปฏิเสธเริ่มต้น หากต้องการจำกัด ให้เลือกกลุ่มเป้าหมายในเส้นทางและยืนยันว่านโยบายที่เปิดใช้เลือกกลุ่มเดียวกันและต้นทางที่ต้องการ หลังบันทึกยังต้องทดสอบจริง ไม่ตัดสินสิทธิ์จากชื่อกลุ่มเพียงอย่างเดียว

Effective Scope ควบคุมว่าอุปกรณ์ใดรับเส้นทาง แต่ไม่ได้จำกัดแหล่งของกฎอนุญาตเริ่มต้นข้างต้นให้เหลือเฉพาะอุปกรณ์เหล่านั้น กฎเริ่มต้นไม่จำกัดทราฟฟิกส่งต่อที่ตรงเงื่อนไขตามแหล่ง โปรโตคอล หรือพอร์ต การเข้าถึงจริงยังขึ้นกับการเชื่อมต่อ การควบคุมอื่น และเครือข่ายปลายทาง อย่าใช้ขอบเขตการกระจายเพียงอย่างเดียวเพื่อแยกการเข้าถึง ให้เลือกกลุ่มเป้าหมายนโยบายและทดสอบเส้นทางอื่นแยกกัน

ตรวจซ้ำหลังเปลี่ยนตัวเลือก: การเปลี่ยนโปรโตคอลจาก TCP หรือ UDP เป็น ALL หรือ ICMP จะล้างพอร์ตและช่วงพอร์ตที่ป้อนไว้ เมื่อเปลี่ยนกลับเป็น TCP หรือ UDP ค่าจะไม่คืนโดยอัตโนมัติ และช่องพอร์ตว่างหมายถึงทุกพอร์ต การเปลี่ยนชนิดต้นทางหรือปลายทางจะล้างรายการที่เลือกของด้านนั้นด้วย การเลือกทรัพยากรเครือข่ายเป็นปลายทางจะเปลี่ยนทิศทางเป็นต้นทางไปปลายทาง อย่าสมมติว่าค่าแบบสองทิศทางเดิมกลับมาเมื่อเปลี่ยนชนิดอีกครั้ง ก่อนบันทึกให้เลือกวัตถุใหม่และตรวจโปรโตคอล พอร์ตและทิศทาง เพื่อป้องกันการขยายหรือเปลี่ยนขอบเขตการเข้าถึงโดยไม่ตั้งใจ

ส่วนร่วมของขอบเขตกระจายเส้นทางและต้นทางนโยบาย: เมื่อเส้นทางเลือกกลุ่มเป้าหมายนโยบาย ให้ตรวจทั้งว่าเครื่องปลายทางอยู่ในขอบเขตกระจายเส้นทางและตรงกับเงื่อนไขต้นทางกับการตรวจความปลอดภัยของนโยบายที่เกี่ยวข้อง การตรงเพียงเงื่อนไขเดียวไม่ยืนยันนโยบายอนุญาตการเข้าถึงผ่านเส้นทางนั้น ตัวอย่างเช่น เส้นทางกระจายไปยัง “เครื่องนำร่อง” ต้นทางนโยบายคือ “กลุ่มพัฒนา” และเป้าหมายนโยบายคือกลุ่มที่เลือกในเส้นทาง เครื่องต้องอยู่ในสองกลุ่มแรกจึงอาจอยู่ในขอบเขตนโยบาย และยังต้องผ่านการตรวจความปลอดภัยที่ใช้รวมถึงตรงกับโปรโตคอลและพอร์ต เครื่องที่อยู่เพียงกลุ่มใดกลุ่มหนึ่งไม่ควรถูกถือว่าตรงนโยบายนี้ ชื่อกลุ่มเป็นเพียงตัวอย่าง ไม่ใช่ค่าเริ่มต้น นโยบายอื่น การเชื่อมต่อและเส้นทางเครือข่ายอาจมีผลต่อผลลัพธ์ จึงต้องทดสอบแยกกัน

สร้างเส้นทาง

1. ใน Zero Trust เปิดหน้าเส้นทางและเลือก “Create Route” ป้อนชื่อเครือข่ายและคำอธิบายที่จำเป็น ชื่อยาว 1 ถึง 40 ตัวอักษร เป็นตัวอักษร ตัวเลข ขีดล่างหรือขีดกลาง เริ่มและลงท้ายด้วยตัวอักษรหรือตัวเลข และลงท้ายด้วย -v6 ไม่ได้
2. เลือกเป้าหมาย เส้นทางเครือข่ายใช้ IPv4 CIDR เช่น 10.20.30.0/24 หรือ /32 สำหรับ IPv4 เดียว เส้นทางโดเมนให้ป้อนโดเมนที่ถูกต้องอย่างน้อยหนึ่งรายการโดยไม่ซ้ำ โดเมนต้องมีจุดอย่างน้อยหนึ่งจุด ไม่รับไวลด์การ์ด *.example.com สกีม พอร์ต หรือพาธ การตรวจรายการซ้ำไม่แยกตัวพิมพ์เล็กและใหญ่ แท็บในหน้าภาษาอังกฤษชื่อ “Route Settings”
3. เลือกโหนดกำหนดเส้นทางหนึ่งโหนดหรือกลุ่มการเข้าถึงโหนดหนึ่งกลุ่ม เลือกพร้อมกันไม่ได้ ตรวจสอบว่าโหนดตัวเลือกเชื่อมต่อ Zero Trust เข้าถึงเป้าหมายและพร้อมส่งต่อ
4. ใน “Effective Scope” เลือกกลุ่มการเข้าถึงที่รับเส้นทางอย่างน้อยหนึ่งกลุ่มและตรวจสอบสมาชิกโหนด ในส่วนควบคุมการเข้าถึงเลือกกลุ่มเป้าหมายที่เตรียมไว้และตรวจสอบต้นทางกับปลายทางของนโยบายอีกครั้ง แท็บนี้ชื่อ “Access Control”
5. ในการตั้งค่าขั้นสูงตรวจสอบการใช้โดยอัตโนมัติ การเก็บเส้นทางและการพรางที่อยู่ บันทึกแล้วตรวจสอบเป้าหมาย โหนด ขอบเขตและสถานะในรายการ รอให้โหนดรับการตั้งค่าก่อนทดสอบ แท็บ “Advanced Settings” มี “Auto Apply”, “Keep Route” และ “Masquerade”

ตัวอย่างใช้ 10.20.30.0/24 เป็นเป้าหมาย เลือกโหนดที่เข้าถึงเครือข่ายนั้น เพิ่มอุปกรณ์ทดลองในขอบเขต และจำกัดด้วยกลุ่มเป้าหมายกับนโยบายที่เปิดเฉพาะโปรโตคอลและพอร์ตจำเป็น นี่เป็นตัวอย่างไม่ใช่ค่าเริ่มต้น ผลจริงขึ้นกับการเชื่อมต่อ นโยบาย บริการและเครือข่ายด้วย

โหนดกำหนดเส้นทางหลายตัวและการทดสอบความขัดข้อง: เมื่อใช้กลุ่มเข้าถึงของโหนดกำหนดเส้นทาง ให้ตรวจสอบแต่ละโหนดว่าอยู่ในเงื่อนไขที่ส่งต่อได้และเข้าถึงบริการปลายทางได้ การเลือกเส้นทางของอุปกรณ์ขึ้นอยู่กับสถานะการเชื่อมต่อโหนดและเงื่อนไขเส้นทาง การที่โหนดแสดงว่าออนไลน์ไม่ได้ยืนยันว่าเส้นทางไปยังบริการปลายทางทำงานหรือรับประกันการสลับอัตโนมัติเมื่อบริการปลายทางขัดข้อง ตามขั้นตอนบำรุงรักษาที่อนุมัติ ให้ทดสอบแยกกันในสภาพแวดล้อมนำร่องทั้งกรณีโหนดขาดการเชื่อมต่อและกรณีโหนดยังออนไลน์แต่เข้าถึงปลายทางไม่ได้ ตรวจสอบเส้นทางสำรอง เซสชันงานเดิมและผลการกู้คืน โดยไม่รับประกันการสลับแบบไม่สะดุดหรือเวลาที่แน่นอน

เส้นทางโดเมนและที่อยู่ที่ใช้ร่วมกัน: เส้นทางโดเมนจัดเตรียมเส้นทางการเข้าถึง ไม่ใช่รายการอนุญาตที่จำกัดการเข้าถึงตามชื่อโดเมนอย่างเคร่งครัด เส้นทางของอุปกรณ์ปลายทางบางแบบสร้างขึ้นจากที่อยู่ IP ที่ได้จากการแปลงชื่อโดเมนที่กำหนด ตัวอย่างเช่น หาก app.example.com และ reports.example.com แปลงเป็นที่อยู่เดียวกัน การเชื่อมต่อด้วยชื่ออื่นหรือโดยตรงไปยังที่อยู่นั้นอาจใช้เส้นทางเดียวกัน ผลจริงขึ้นอยู่กับอุปกรณ์ DNS เส้นทางอื่นและการควบคุมเครือข่าย ตัวอย่างนี้ไม่รับประกันว่าจะเข้าถึงบริการเป้าหมายได้ กำหนดนโยบายการเข้าถึง การยืนยันตัวตนของบริการเป้าหมาย และไฟร์วอลล์ตามความจำเป็น ในสภาพแวดล้อมนำร่องที่ได้รับอนุญาต ให้ทดสอบโดเมนที่กำหนด โดเมนอื่นที่ใช้ที่อยู่ร่วมกัน และการเข้าถึง IP โดยตรงแยกกัน พร้อมตรวจสอบการแปลงชื่อของแอปพลิเคชันที่ใช้งานจริง

ตั้งค่าโหนดทางออก

โหนดทางออกให้เส้นทางเริ่มต้น IPv4 0.0.0.0/0 สำหรับเป้าหมายกว้าง ต่างจากเส้นทางเฉพาะเครือข่ายหรือโดเมน ก่อนเปิดให้ประเมินทราฟฟิกธุรกิจ ความจุทางออก ความปลอดภัยและเส้นทางเดิม การสร้างสำเร็จไม่ได้ยืนยันว่าทราฟฟิกทั้งหมดผ่านทางออก

1. ตามหัวข้อเตรียมกลุ่มและนโยบายข้างต้น ตั้งกลุ่มต้นทางและนโยบายสำหรับโปรโตคอลและพอร์ตที่จำเป็นของอุปกรณ์ทดลอง เตรียมโหนดที่เชื่อมต่อ Zero Trust ส่งต่อและเข้าถึงเป้าหมายได้ ตรวจสอบไฟร์วอลล์และเส้นทางกลับ
2. ที่ Zero Trust > Routes เลือก Create Exit Node ระบุชื่อและคำอธิบาย เลือกโหนดหรือกลุ่มโหนดหนึ่งรายการและกลุ่มเข้าถึงทดลองอย่างน้อยหนึ่งกลุ่มเป็นขอบเขต
3. ในการควบคุมการเข้าถึง เลือกกลุ่มเป้าหมายที่นโยบายใช้ หากปล่อยว่างจะสร้างกฎอนุญาตเริ่มต้นบนโหนดกำหนดเส้นทาง ไม่ใช่ปฏิเสธเริ่มต้น ตรวจสอบ Auto Apply และการตั้งค่าอื่น บันทึกแล้วตรวจสอบสถานะ โหนดและขอบเขต
4. รอให้อุปกรณ์รับการตั้งค่า ทดสอบการเข้าถึงที่ควรอนุญาตและไม่ควรอนุญาตแยกกัน แล้วตรวจสอบเส้นทางจริงที่ทางออกและปลายทาง หากมีหลายทางออกอัตโนมัติและอุปกรณ์ไม่ได้เลือกชัดเจน อย่าสมมติว่าจะเลือกตามลำดับรายการ ให้ตรวจสอบสถานะตามขั้นตอนองค์กร

ทางออก IPv4 ไม่ได้หมายความว่าจะส่งเส้นทางเริ่มต้น IPv6 โดยอัตโนมัติหรือทราฟฟิก IPv6 ทั้งหมดผ่านทางออก เส้นทางที่เฉพาะกว่า การตั้งค่าอุปกรณ์ แอปและเครือข่ายมีผลต่อเส้นทางจริง ต้องตั้งค่าและทดสอบข้อจำกัดของเส้นทางอื่นแยกกัน ไม่ควรพึ่งสวิตช์โหนดทางออกเพียงอย่างเดียว

การตั้งค่าขั้นสูง

• ใช้โดยอัตโนมัติ: ค่าเริ่มต้นเมื่อสร้างคือเปิด สวิตช์นี้ไม่ได้ควบคุมว่าเซิร์ฟเวอร์จะส่งเส้นทางไปยังอุปกรณ์ในขอบเขตหรือไม่ เส้นทางเครือข่ายและโดเมนทั่วไปอาจยังถูกเลือกแม้ปิดสวิตช์ หากอุปกรณ์ไม่ได้ยกเว้นไว้อย่างชัดเจน การเลือกเส้นทางเริ่มต้นยังขึ้นอยู่กับการเลือกบนอุปกรณ์และเส้นทางเริ่มต้นอื่น อย่าใช้การปิดสวิตช์นี้แทนการจำกัดการเข้าถึงหรือถอนเส้นทาง หากต้องถอนเส้นทางให้ปิดใช้งานเส้นทางหรือปรับขอบเขต แล้วตรวจสอบผลร่วมกับนโยบายการเข้าถึง เส้นทางอื่นและสถานะจริงของอุปกรณ์
• เก็บเส้นทาง: เมื่อผลแปลงชื่อโดเมนเปลี่ยน จะเก็บเส้นทาง IP ที่ไม่ถูกส่งกลับอีก ประเมินความเสี่ยงที่ที่อยู่เดิมยังเข้าถึงได้ก่อนเปิด ค่าเริ่มต้นคือปิด
• พรางที่อยู่: ใช้ที่อยู่โหนดเมื่อส่งต่อ อาจลดความจำเป็นในการเพิ่มเส้นทางขากลับที่เครือข่ายเป้าหมาย แต่ที่อยู่ต้นทางที่ปลายทางเห็นอาจเปลี่ยน ค่าเริ่มต้นคือเปิด และยังต้องตรวจสอบการส่งต่อ ไฟร์วอลล์และเส้นทางกลับจริง

ทดสอบการจับคู่และปรับลำดับ

1. ที่ Zero Trust > Routes เลือก Test Routes ใส่ที่อยู่ IPv4, IPv4 CIDR หรือโดเมนแบบตรงทั้งหมดแล้วทดสอบ เช่น 10.20.30.15 และ app.example.com เป็นตัวอย่าง ไม่ใช่ค่าเริ่มต้น
2. ตรวจสอบเส้นทาง เป้าหมาย โหนด ลำดับความสำคัญและเหตุผลที่ตรงกัน การทดสอบตรวจเฉพาะเส้นทางที่เปิดใช้งานและโหลดในหน้า ที่อยู่ต้องอยู่ในเครือข่าย ส่วน CIDR ต้องถูกครอบคลุมทั้งหมด โดเมนต้องตรงทั้งหมด ไม่มีการแปลงเป็น IP ก่อนหรือจับคู่โดเมนย่อยกับโดเมนแม่โดยอัตโนมัติ หมวดรายการที่เลือกไม่จำกัดขอบเขตการทดสอบ
3. ผลแสดงลำดับการจับคู่การตั้งค่า ไม่ตรวจขอบเขตอุปกรณ์ นโยบายการเข้าถึง DNS สถานะโหนดหรือการเชื่อมต่อธุรกิจ การไม่พบผลไม่ได้ยืนยันว่าอุปกรณ์ไม่มีเส้นทางอื่น ให้ตรวจสอบการเข้าถึงจริงตามหัวข้อถัดไป
4. หากปรับลำดับ ให้ใช้บัญชีที่มีสิทธิ์เขียน เปลี่ยนเป็น All ลากแถวเส้นทางและรอการบันทึก การปรับอาจเปลี่ยนลำดับความสำคัญหลายเส้นทาง หากล้มเหลวให้โหลดรายการใหม่และตรวจแต่ละเส้นทาง อย่าสมมติว่าทุกการเปลี่ยนแปลงถูกย้อนกลับ ลำดับการตั้งค่าไม่รับประกันเส้นทางจริง ให้ตรวจขอบเขต สถานะโหนดและเครือข่ายอุปกรณ์ด้วย

ตรวจสอบ ปรับเปลี่ยนและแก้ปัญหา

1. ยืนยันว่าเส้นทางเปิดใช้ เป้าหมาย ขอบเขตรับและโหนดถูกต้อง ตรวจสอบการเชื่อมต่อและการรับการตั้งค่าของอุปกรณ์กับโหนด
2. ตรวจสอบจากโหนดก่อนว่าเข้าถึงบริการเป้าหมายได้ สำหรับเส้นทางโดเมนให้ตรวจสอบการแปลงชื่อบนอุปกรณ์และบริการรับฟังโปรโตคอลกับพอร์ตที่ต้องการ
3. ทดสอบบริการจากอุปกรณ์ที่ควรได้รับอนุญาต และทดสอบข้อจำกัดจากอุปกรณ์ที่ไม่ควรได้รับอนุญาต หากผลไม่ตรงให้ตรวจสอบกลุ่มเป้าหมายว่าว่างหรือไม่ ต้นทางและปลายทาง โปรโตคอล พอร์ตและนโยบายอื่น
4. หากโหนดเข้าถึงได้แต่อุปกรณ์ไม่ได้ ให้ตรวจสอบการส่งเส้นทาง การส่งต่อ ไฟร์วอลล์ปลายทางและเส้นทางกลับ หากใช้การพรางให้ตรวจสอบค่าและต้นทางที่ปลายทางเห็นด้วย
5. ก่อนแก้ ปิดหรือลบ ให้บันทึกการตั้งค่าเดิมและประเมินบริการที่พึ่งพา หลังเปลี่ยนในรายการให้ตรวจสอบการส่งค่าและทั้งการเข้าถึงที่อนุญาตกับปฏิเสธอีกครั้ง การบันทึกไม่พิสูจน์การเชื่อมต่อหรือการแยกจริง