# ตั้งค่าเส้นทางเครือข่าย Zero Trust

Canonical: https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/

Language: th-TH

Updated: 2026-11-15T04:12:41.138997Z

ใน Ping64 เส้นทางเครือข่ายให้เส้นทางแก่อุปกรณ์ที่กำหนดเพื่อเข้าถึงเครือข่ายหรือโดเมนเป้าหมายผ่านโหนดกำหนดเส้นทาง Zero Trust ต้องกำหนดเป้าหมาย โหนด ขอบเขตอุปกรณ์ที่รับเส้นทาง และนโยบายเข้าถึงแยกกัน การบันทึกสำเร็จไม่ยืนยันว่าอุปกรณ์รับการตั้งค่า โหนดส่งต่อได้ หรือบริการเป้าหมายได้รับอนุญาตและเข้าถึงได้

## เตรียมการ

-   ตรวจสอบสิทธิ์ผู้ดูแลสำหรับกลุ่มการเข้าถึง นโยบายและเส้นทาง Zero Trust เตรียมโหนดที่เชื่อมต่อ Zero Trust และเข้าถึงเครือข่ายเป้าหมายได้ หากใช้กลุ่มโหนด ให้ตรวจสอบการเชื่อมต่อ การเข้าถึงเป้าหมายและเงื่อนไขส่งต่อของโหนดตัวเลือก
-   กำหนดเครือข่ายหรือโดเมนเป้าหมาย อุปกรณ์ที่ต้องใช้ โปรโตคอลและพอร์ต ตรวจสอบไฟร์วอลล์ปลายทาง การส่งต่อของเกตเวย์และเส้นทางขากลับ แล้วทดลองด้วยอุปกรณ์ที่ควบคุมก่อน
-   เส้นทางโดเมนต้องให้อุปกรณ์แปลงชื่อโดเมนได้ด้วย DNS และเส้นทางตั้งค่าแยกกัน ดู [ตั้งค่ากลุ่มเซิร์ฟเวอร์ DNS](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/dns/dns-nameservers/)
-   ตรวจสอบเส้นทาง กลุ่มและนโยบายเดิมพร้อมประเมินผลกระทบ ขอบเขตส่งเส้นทาง นโยบายเข้าถึงและไฟร์วอลล์ปลายทางมีหน้าที่ต่างกัน ใช้แทนกันไม่ได้

## เตรียมกลุ่มและนโยบายการเข้าถึง

-   [นโยบายการเข้าถึง](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)

1.  ในกลุ่มการเข้าถึง Zero Trust ให้ตรวจสอบสมาชิกโหนดทดลองของกลุ่มต้นทางเดิมและกลุ่มเป้าหมายนโยบายที่ใช้กับเส้นทาง รวมทั้งวัตถุประสงค์และการอ้างอิงก่อน ใช้กลุ่มที่เหมาะสมซ้ำโดยไม่ต้องเพิ่มสมาชิกอีก เฉพาะเมื่อจำเป็นให้ผู้ดูแลที่มีสิทธิ์สร้างกลุ่มหรือเพิ่มโหนดทดลองใน **Endpoints** ของรายละเอียดกลุ่มต้นทาง ก่อนแก้กลุ่มเดิมให้ประเมินผลต่อการตั้งค่าอื่นและงาน
2.  ใน **Zero Trust > Access Control > Policies** ให้ตรวจสอบสถานะเปิดใช้งาน กลุ่มหรือโหนดต้นทาง กลุ่มปลายทาง การกระทำ ทิศทาง โปรโตคอลและพอร์ตของนโยบายเดิมที่ใช้ได้ก่อน ยืนยันว่ากลุ่มปลายทางตรงกับกลุ่มเป้าหมายนโยบายที่จะใช้กับเส้นทาง ใช้นโยบายที่เหมาะสมซ้ำได้ หากจำเป็นต้องสร้างหรือปรับ ให้ผู้ดูแลที่มีสิทธิ์ประเมินผลกระทบและตั้งค่าตาม [นโยบายการเข้าถึง](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)
3.  หากมีการเปลี่ยนแปลงให้บันทึกนโยบายและตรวจสอบการตั้งค่าอีกครั้ง หากไม่มีการเปลี่ยนแปลงไม่ต้องบันทึกซ้ำ ช่องพอร์ต TCP หรือ UDP ที่ว่างหมายถึงทุกพอร์ต อย่าใช้พอร์ตเดี่ยวร่วมกับช่วงพอร์ตในนโยบายเดียวกัน หรือใช้ `*` ร่วมกับพอร์ตอื่น หลังตั้งค่าเส้นทางให้ทดสอบทั้งอุปกรณ์ที่ควรอนุญาตและไม่ควรอนุญาต และตรวจสอบนโยบายอื่นที่อาจมีผล การบันทึกเพียงอย่างเดียวไม่ยืนยันว่าเข้าถึงได้

**สำคัญ:** “Effective Scope” กำหนดอุปกรณ์ที่ได้รับเส้นทาง ส่วน “Policy Target Groups” เชื่อมเส้นทางกับนโยบายเข้าถึง **หากเว้น Policy Target Groups ว่าง ระบบจะสร้างกฎอนุญาตเริ่มต้น ไม่ใช่ปฏิเสธเริ่มต้น** หากต้องการจำกัด ให้เลือกกลุ่มเป้าหมายในเส้นทางและยืนยันว่านโยบายที่เปิดใช้เลือกกลุ่มเดียวกันและต้นทางที่ต้องการ หลังบันทึกยังต้องทดสอบจริง ไม่ตัดสินสิทธิ์จากชื่อกลุ่มเพียงอย่างเดียว

Effective Scope ควบคุมว่าอุปกรณ์ใดรับเส้นทาง แต่ไม่ได้จำกัดแหล่งของกฎอนุญาตเริ่มต้นข้างต้นให้เหลือเฉพาะอุปกรณ์เหล่านั้น กฎเริ่มต้นไม่จำกัดทราฟฟิกส่งต่อที่ตรงเงื่อนไขตามแหล่ง โปรโตคอล หรือพอร์ต การเข้าถึงจริงยังขึ้นกับการเชื่อมต่อ การควบคุมอื่น และเครือข่ายปลายทาง อย่าใช้ขอบเขตการกระจายเพียงอย่างเดียวเพื่อแยกการเข้าถึง ให้เลือกกลุ่มเป้าหมายนโยบายและทดสอบเส้นทางอื่นแยกกัน

**ตรวจซ้ำหลังเปลี่ยนตัวเลือก:** การเปลี่ยนโปรโตคอลจาก `TCP` หรือ `UDP` เป็น `ALL` หรือ `ICMP` จะล้างพอร์ตและช่วงพอร์ตที่ป้อนไว้ เมื่อเปลี่ยนกลับเป็น `TCP` หรือ `UDP` ค่าจะไม่คืนโดยอัตโนมัติ และช่องพอร์ตว่างหมายถึงทุกพอร์ต การเปลี่ยนชนิดต้นทางหรือปลายทางจะล้างรายการที่เลือกของด้านนั้นด้วย การเลือกทรัพยากรเครือข่ายเป็นปลายทางจะเปลี่ยนทิศทางเป็นต้นทางไปปลายทาง อย่าสมมติว่าค่าแบบสองทิศทางเดิมกลับมาเมื่อเปลี่ยนชนิดอีกครั้ง ก่อนบันทึกให้เลือกวัตถุใหม่และตรวจโปรโตคอล พอร์ตและทิศทาง เพื่อป้องกันการขยายหรือเปลี่ยนขอบเขตการเข้าถึงโดยไม่ตั้งใจ

**ส่วนร่วมของขอบเขตกระจายเส้นทางและต้นทางนโยบาย:** เมื่อเส้นทางเลือกกลุ่มเป้าหมายนโยบาย ให้ตรวจทั้งว่าเครื่องปลายทางอยู่ในขอบเขตกระจายเส้นทางและตรงกับเงื่อนไขต้นทางกับการตรวจความปลอดภัยของนโยบายที่เกี่ยวข้อง การตรงเพียงเงื่อนไขเดียวไม่ยืนยันนโยบายอนุญาตการเข้าถึงผ่านเส้นทางนั้น ตัวอย่างเช่น เส้นทางกระจายไปยัง “เครื่องนำร่อง” ต้นทางนโยบายคือ “กลุ่มพัฒนา” และเป้าหมายนโยบายคือกลุ่มที่เลือกในเส้นทาง เครื่องต้องอยู่ในสองกลุ่มแรกจึงอาจอยู่ในขอบเขตนโยบาย และยังต้องผ่านการตรวจความปลอดภัยที่ใช้รวมถึงตรงกับโปรโตคอลและพอร์ต เครื่องที่อยู่เพียงกลุ่มใดกลุ่มหนึ่งไม่ควรถูกถือว่าตรงนโยบายนี้ ชื่อกลุ่มเป็นเพียงตัวอย่าง ไม่ใช่ค่าเริ่มต้น นโยบายอื่น การเชื่อมต่อและเส้นทางเครือข่ายอาจมีผลต่อผลลัพธ์ จึงต้องทดสอบแยกกัน

## สร้างเส้นทาง

1.  ใน Zero Trust เปิดหน้าเส้นทางและเลือก “Create Route” ป้อนชื่อเครือข่ายและคำอธิบายที่จำเป็น ชื่อยาว 1 ถึง 40 ตัวอักษร เป็นตัวอักษร ตัวเลข ขีดล่างหรือขีดกลาง เริ่มและลงท้ายด้วยตัวอักษรหรือตัวเลข และลงท้ายด้วย `-v6` ไม่ได้
2.  เลือกเป้าหมาย เส้นทางเครือข่ายใช้ IPv4 CIDR เช่น `10.20.30.0/24` หรือ `/32` สำหรับ IPv4 เดียว เส้นทางโดเมนให้ป้อนโดเมนที่ถูกต้องอย่างน้อยหนึ่งรายการโดยไม่ซ้ำ โดเมนต้องมีจุดอย่างน้อยหนึ่งจุด ไม่รับไวลด์การ์ด `*.example.com` สกีม พอร์ต หรือพาธ การตรวจรายการซ้ำไม่แยกตัวพิมพ์เล็กและใหญ่ แท็บในหน้าภาษาอังกฤษชื่อ “Route Settings”
3.  เลือกโหนดกำหนดเส้นทางหนึ่งโหนดหรือกลุ่มการเข้าถึงโหนดหนึ่งกลุ่ม เลือกพร้อมกันไม่ได้ ตรวจสอบว่าโหนดตัวเลือกเชื่อมต่อ Zero Trust เข้าถึงเป้าหมายและพร้อมส่งต่อ
4.  ใน “Effective Scope” เลือกกลุ่มการเข้าถึงที่รับเส้นทางอย่างน้อยหนึ่งกลุ่มและตรวจสอบสมาชิกโหนด ในส่วนควบคุมการเข้าถึงเลือกกลุ่มเป้าหมายที่เตรียมไว้และตรวจสอบต้นทางกับปลายทางของนโยบายอีกครั้ง แท็บนี้ชื่อ “Access Control”
5.  ในการตั้งค่าขั้นสูงตรวจสอบการใช้โดยอัตโนมัติ การเก็บเส้นทางและการพรางที่อยู่ บันทึกแล้วตรวจสอบเป้าหมาย โหนด ขอบเขตและสถานะในรายการ รอให้โหนดรับการตั้งค่าก่อนทดสอบ แท็บ “Advanced Settings” มี “Auto Apply”, “Keep Route” และ “Masquerade”

ตัวอย่างใช้ `10.20.30.0/24` เป็นเป้าหมาย เลือกโหนดที่เข้าถึงเครือข่ายนั้น เพิ่มอุปกรณ์ทดลองในขอบเขต และจำกัดด้วยกลุ่มเป้าหมายกับนโยบายที่เปิดเฉพาะโปรโตคอลและพอร์ตจำเป็น นี่เป็นตัวอย่างไม่ใช่ค่าเริ่มต้น ผลจริงขึ้นกับการเชื่อมต่อ นโยบาย บริการและเครือข่ายด้วย

**โหนดกำหนดเส้นทางหลายตัวและการทดสอบความขัดข้อง:** เมื่อใช้กลุ่มเข้าถึงของโหนดกำหนดเส้นทาง ให้ตรวจสอบแต่ละโหนดว่าอยู่ในเงื่อนไขที่ส่งต่อได้และเข้าถึงบริการปลายทางได้ การเลือกเส้นทางของอุปกรณ์ขึ้นอยู่กับสถานะการเชื่อมต่อโหนดและเงื่อนไขเส้นทาง การที่โหนดแสดงว่าออนไลน์ไม่ได้ยืนยันว่าเส้นทางไปยังบริการปลายทางทำงานหรือรับประกันการสลับอัตโนมัติเมื่อบริการปลายทางขัดข้อง ตามขั้นตอนบำรุงรักษาที่อนุมัติ ให้ทดสอบแยกกันในสภาพแวดล้อมนำร่องทั้งกรณีโหนดขาดการเชื่อมต่อและกรณีโหนดยังออนไลน์แต่เข้าถึงปลายทางไม่ได้ ตรวจสอบเส้นทางสำรอง เซสชันงานเดิมและผลการกู้คืน โดยไม่รับประกันการสลับแบบไม่สะดุดหรือเวลาที่แน่นอน

**เส้นทางโดเมนและที่อยู่ที่ใช้ร่วมกัน:** เส้นทางโดเมนจัดเตรียมเส้นทางการเข้าถึง ไม่ใช่รายการอนุญาตที่จำกัดการเข้าถึงตามชื่อโดเมนอย่างเคร่งครัด เส้นทางของอุปกรณ์ปลายทางบางแบบสร้างขึ้นจากที่อยู่ IP ที่ได้จากการแปลงชื่อโดเมนที่กำหนด ตัวอย่างเช่น หาก `app.example.com` และ `reports.example.com` แปลงเป็นที่อยู่เดียวกัน การเชื่อมต่อด้วยชื่ออื่นหรือโดยตรงไปยังที่อยู่นั้นอาจใช้เส้นทางเดียวกัน ผลจริงขึ้นอยู่กับอุปกรณ์ DNS เส้นทางอื่นและการควบคุมเครือข่าย ตัวอย่างนี้ไม่รับประกันว่าจะเข้าถึงบริการเป้าหมายได้ กำหนดนโยบายการเข้าถึง การยืนยันตัวตนของบริการเป้าหมาย และไฟร์วอลล์ตามความจำเป็น ในสภาพแวดล้อมนำร่องที่ได้รับอนุญาต ให้ทดสอบโดเมนที่กำหนด โดเมนอื่นที่ใช้ที่อยู่ร่วมกัน และการเข้าถึง IP โดยตรงแยกกัน พร้อมตรวจสอบการแปลงชื่อของแอปพลิเคชันที่ใช้งานจริง

## ตั้งค่าโหนดทางออก

โหนดทางออกให้เส้นทางเริ่มต้น IPv4 `0.0.0.0/0` สำหรับเป้าหมายกว้าง ต่างจากเส้นทางเฉพาะเครือข่ายหรือโดเมน ก่อนเปิดให้ประเมินทราฟฟิกธุรกิจ ความจุทางออก ความปลอดภัยและเส้นทางเดิม การสร้างสำเร็จไม่ได้ยืนยันว่าทราฟฟิกทั้งหมดผ่านทางออก

1.  ตามหัวข้อเตรียมกลุ่มและนโยบายข้างต้น ตั้งกลุ่มต้นทางและนโยบายสำหรับโปรโตคอลและพอร์ตที่จำเป็นของอุปกรณ์ทดลอง เตรียมโหนดที่เชื่อมต่อ Zero Trust ส่งต่อและเข้าถึงเป้าหมายได้ ตรวจสอบไฟร์วอลล์และเส้นทางกลับ
2.  ที่ **Zero Trust > Routes** เลือก **Create Exit Node** ระบุชื่อและคำอธิบาย เลือกโหนดหรือกลุ่มโหนดหนึ่งรายการและกลุ่มเข้าถึงทดลองอย่างน้อยหนึ่งกลุ่มเป็นขอบเขต
3.  ในการควบคุมการเข้าถึง เลือกกลุ่มเป้าหมายที่นโยบายใช้ **หากปล่อยว่างจะสร้างกฎอนุญาตเริ่มต้นบนโหนดกำหนดเส้นทาง ไม่ใช่ปฏิเสธเริ่มต้น** ตรวจสอบ **Auto Apply** และการตั้งค่าอื่น บันทึกแล้วตรวจสอบสถานะ โหนดและขอบเขต
4.  รอให้อุปกรณ์รับการตั้งค่า ทดสอบการเข้าถึงที่ควรอนุญาตและไม่ควรอนุญาตแยกกัน แล้วตรวจสอบเส้นทางจริงที่ทางออกและปลายทาง หากมีหลายทางออกอัตโนมัติและอุปกรณ์ไม่ได้เลือกชัดเจน อย่าสมมติว่าจะเลือกตามลำดับรายการ ให้ตรวจสอบสถานะตามขั้นตอนองค์กร

ทางออก IPv4 ไม่ได้หมายความว่าจะส่งเส้นทางเริ่มต้น IPv6 โดยอัตโนมัติหรือทราฟฟิก IPv6 ทั้งหมดผ่านทางออก เส้นทางที่เฉพาะกว่า การตั้งค่าอุปกรณ์ แอปและเครือข่ายมีผลต่อเส้นทางจริง ต้องตั้งค่าและทดสอบข้อจำกัดของเส้นทางอื่นแยกกัน ไม่ควรพึ่งสวิตช์โหนดทางออกเพียงอย่างเดียว

## การตั้งค่าขั้นสูง

-   **ใช้โดยอัตโนมัติ:** ค่าเริ่มต้นเมื่อสร้างคือเปิด สวิตช์นี้ไม่ได้ควบคุมว่าเซิร์ฟเวอร์จะส่งเส้นทางไปยังอุปกรณ์ในขอบเขตหรือไม่ เส้นทางเครือข่ายและโดเมนทั่วไปอาจยังถูกเลือกแม้ปิดสวิตช์ หากอุปกรณ์ไม่ได้ยกเว้นไว้อย่างชัดเจน การเลือกเส้นทางเริ่มต้นยังขึ้นอยู่กับการเลือกบนอุปกรณ์และเส้นทางเริ่มต้นอื่น อย่าใช้การปิดสวิตช์นี้แทนการจำกัดการเข้าถึงหรือถอนเส้นทาง หากต้องถอนเส้นทางให้ปิดใช้งานเส้นทางหรือปรับขอบเขต แล้วตรวจสอบผลร่วมกับนโยบายการเข้าถึง เส้นทางอื่นและสถานะจริงของอุปกรณ์
-   **เก็บเส้นทาง:** เมื่อผลแปลงชื่อโดเมนเปลี่ยน จะเก็บเส้นทาง IP ที่ไม่ถูกส่งกลับอีก ประเมินความเสี่ยงที่ที่อยู่เดิมยังเข้าถึงได้ก่อนเปิด ค่าเริ่มต้นคือปิด
-   **พรางที่อยู่:** ใช้ที่อยู่โหนดเมื่อส่งต่อ อาจลดความจำเป็นในการเพิ่มเส้นทางขากลับที่เครือข่ายเป้าหมาย แต่ที่อยู่ต้นทางที่ปลายทางเห็นอาจเปลี่ยน ค่าเริ่มต้นคือเปิด และยังต้องตรวจสอบการส่งต่อ ไฟร์วอลล์และเส้นทางกลับจริง

## ทดสอบการจับคู่และปรับลำดับ

1.  ที่ **Zero Trust > Routes** เลือก **Test Routes** ใส่ที่อยู่ IPv4, IPv4 CIDR หรือโดเมนแบบตรงทั้งหมดแล้วทดสอบ เช่น `10.20.30.15` และ `app.example.com` เป็นตัวอย่าง ไม่ใช่ค่าเริ่มต้น
2.  ตรวจสอบเส้นทาง เป้าหมาย โหนด ลำดับความสำคัญและเหตุผลที่ตรงกัน การทดสอบตรวจเฉพาะเส้นทางที่เปิดใช้งานและโหลดในหน้า ที่อยู่ต้องอยู่ในเครือข่าย ส่วน CIDR ต้องถูกครอบคลุมทั้งหมด โดเมนต้องตรงทั้งหมด ไม่มีการแปลงเป็น IP ก่อนหรือจับคู่โดเมนย่อยกับโดเมนแม่โดยอัตโนมัติ หมวดรายการที่เลือกไม่จำกัดขอบเขตการทดสอบ
3.  ผลแสดงลำดับการจับคู่การตั้งค่า ไม่ตรวจขอบเขตอุปกรณ์ นโยบายการเข้าถึง DNS สถานะโหนดหรือการเชื่อมต่อธุรกิจ การไม่พบผลไม่ได้ยืนยันว่าอุปกรณ์ไม่มีเส้นทางอื่น ให้ตรวจสอบการเข้าถึงจริงตามหัวข้อถัดไป
4.  หากปรับลำดับ ให้ใช้บัญชีที่มีสิทธิ์เขียน เปลี่ยนเป็น **All** ลากแถวเส้นทางและรอการบันทึก การปรับอาจเปลี่ยนลำดับความสำคัญหลายเส้นทาง หากล้มเหลวให้โหลดรายการใหม่และตรวจแต่ละเส้นทาง อย่าสมมติว่าทุกการเปลี่ยนแปลงถูกย้อนกลับ ลำดับการตั้งค่าไม่รับประกันเส้นทางจริง ให้ตรวจขอบเขต สถานะโหนดและเครือข่ายอุปกรณ์ด้วย

## ตรวจสอบ ปรับเปลี่ยนและแก้ปัญหา

1.  ยืนยันว่าเส้นทางเปิดใช้ เป้าหมาย ขอบเขตรับและโหนดถูกต้อง ตรวจสอบการเชื่อมต่อและการรับการตั้งค่าของอุปกรณ์กับโหนด
2.  ตรวจสอบจากโหนดก่อนว่าเข้าถึงบริการเป้าหมายได้ สำหรับเส้นทางโดเมนให้ตรวจสอบการแปลงชื่อบนอุปกรณ์และบริการรับฟังโปรโตคอลกับพอร์ตที่ต้องการ
3.  ทดสอบบริการจากอุปกรณ์ที่ควรได้รับอนุญาต และทดสอบข้อจำกัดจากอุปกรณ์ที่ไม่ควรได้รับอนุญาต หากผลไม่ตรงให้ตรวจสอบกลุ่มเป้าหมายว่าว่างหรือไม่ ต้นทางและปลายทาง โปรโตคอล พอร์ตและนโยบายอื่น
4.  หากโหนดเข้าถึงได้แต่อุปกรณ์ไม่ได้ ให้ตรวจสอบการส่งเส้นทาง การส่งต่อ ไฟร์วอลล์ปลายทางและเส้นทางกลับ หากใช้การพรางให้ตรวจสอบค่าและต้นทางที่ปลายทางเห็นด้วย
5.  ก่อนแก้ ปิดหรือลบ ให้บันทึกการตั้งค่าเดิมและประเมินบริการที่พึ่งพา หลังเปลี่ยนในรายการให้ตรวจสอบการส่งค่าและทั้งการเข้าถึงที่อนุญาตกับปฏิเสธอีกครั้ง การบันทึกไม่พิสูจน์การเชื่อมต่อหรือการแยกจริง