จัดการทรัพยากรเครือข่าย Zero Trust

ทรัพยากรเครือข่ายอธิบายเป้าหมายที่การควบคุมการเข้าถึงอ้างอิง เช่น เครือข่าย IPv4 โฮสต์หรือโดเมน การสร้างเพียงกำหนดเป้าหมาย ไม่ได้สร้างเส้นทาง ตั้ง DNS หรือให้สิทธิ์โดยอัตโนมัติ ต้องตรวจเส้นทาง นโยบายและบริการเป้าหมายแยกกัน

หากทรัพยากร กลุ่มเข้าถึง และนโยบายเข้าถึงที่เปิดใช้อยู่แล้วตรงตามข้อกำหนดปลายทาง ต้นทาง โปรโตคอล พอร์ต การดำเนินการ ทิศทาง และการตรวจสอบความปลอดภัย สามารถใช้ต่อและตรวจสอบได้โดยตรง ไม่ต้องสร้างใหม่ทุกครั้งที่เข้าถึง ขั้นตอนสร้างด้านล่างใช้เมื่อจำเป็นต้องเพิ่มหรือปรับเท่านั้น ก่อนเปลี่ยนให้ตรวจการอ้างอิงอื่นและผลต่อเส้นทาง

เตรียมการ

• ใช้บัญชีที่มีสิทธิ์ทรัพยากร กลุ่มและนโยบาย Zero Trust การลบอาจต้องใช้สิทธิ์ต่างจากสร้างและแก้ไข
• ยืนยันเครือข่าย ที่อยู่หรือโดเมนจริง โหนดที่ต้องใช้ โปรโตคอลและพอร์ต ค่าที่นี่เป็นตัวอย่างรูปแบบ ไม่ควรนำไปใช้จริงโดยไม่ตรวจสอบ
• ตรวจทรัพยากร กลุ่มและนโยบายเดิมเพื่อไม่ให้ซ้ำหรือขยายสิทธิ์โดยไม่ตั้งใจ สำหรับเครือข่ายระยะไกลให้วางแผนเส้นทางเครือข่าย ไฟร์วอลล์เป้าหมายและทางกลับ สำหรับโดเมนให้ตรวจการแปลงชื่อบนอุปกรณ์
• ทดลองด้วยโหนดที่ควบคุมและเตรียมทดสอบทั้งที่อนุญาตและไม่อนุญาต การบันทึก การส่งและการเชื่อมต่อธุรกิจเป็นคนละสถานะ

สร้างทรัพยากร

1. ใน Zero Trust เปิด Resource แล้วเลือก Create หรือเลือก Create Resource Object เมื่อรายการว่าง
2. ป้อน “Name” เลือก “Type” และป้อน “Value” ชื่อและค่าเป็นข้อมูลบังคับ:
   • CIDR: เครือข่าย IPv4 พร้อมคำนำหน้า เช่น 192.0.2.0/24 ตามแผนเครือข่าย
   • HOST: IPv4 หนึ่งที่อยู่หรือชื่อโฮสต์ เช่น 192.0.2.10 หรือ files.example.com
   • DOMAIN: ชื่อโดเมนเต็ม เช่น service.example.com แบบฟอร์มปัจจุบันไม่รับไวลด์การ์ด *
3. ตรวจ “Enabled” หน้าจออธิบายว่าอนุญาตให้นโยบายใช้ทรัพยากร ค่าเริ่มต้นตอนสร้างคือเปิด แต่ต้องยืนยันตามแผนเปลี่ยน
4. บันทึกแล้วตรวจชื่อ ชนิด ค่าและสถานะในรายการ หากไม่สำเร็จให้ตรวจข้อมูลบังคับและรูปแบบตามชนิดจากข้อความแจ้ง หลังบันทึกให้ตรวจชนิดและค่าที่แสดงในรายการ ระบบระบุชนิดใหม่ตามค่าเป้าหมาย เช่น หากกรอก files.example.com ใน HOST หลังบันทึกอาจแสดงเป็น DOMAIN ส่วนที่อยู่ IPv4 จะระบุเป็นที่อยู่โฮสต์ ให้ตรวจอีกครั้งหลังแก้ไขด้วย การเปลี่ยนชนิดไม่ได้ยืนยันว่าชื่อแก้ได้หรือเข้าถึงเป้าหมายได้ ต้องตรวจ DNS เส้นทาง และการเข้าถึงงาน

ตั้งค่าการเข้าถึงทรัพยากร

• นโยบายการเข้าถึง

ตรวจสอบก่อนว่าสมาชิกกลุ่มต้นทางเดิมและนโยบายที่เปิดใช้อยู่ตรงตามข้อกำหนดด้านทรัพยากร ต้นทาง การดำเนินการ ทิศทาง โปรโตคอล พอร์ต และการตรวจสอบความปลอดภัยหรือไม่ หากตรงแล้วไม่ต้องแก้ไข ให้ข้ามขั้นตอน 1 ถึง 4 และตรวจสอบเส้นทาง DNS และเงื่อนไขอื่นก่อนทดสอบ ให้ผู้ดูแลที่มีสิทธิ์ปรับเฉพาะเมื่อจำเป็น หากแก้นโยบายเดิมให้เปิดหน้าแก้ไขและทำตามขั้นตอนที่เกี่ยวข้องด้านล่าง

1. เฉพาะเมื่อต้องสร้างกลุ่มต้นทางหรือเพิ่มสมาชิก: ใน “Access Groups” ภายใต้การควบคุมการเข้าถึง Zero Trust สร้างหรือเลือกกลุ่มต้นทาง เปิดรายละเอียด เลือก “Add Endpoints” เลือกโหนดทดลองและยืนยัน ก่อนแก้กลุ่มเดิมตรวจการอ้างอิงอื่น
2. เฉพาะเมื่อต้องสร้างนโยบายใหม่: ในหน้านโยบาย หากมีนโยบายอยู่แล้วให้เลือก “Create” หากรายการว่างให้เลือก “Create Policy” ใน “Policies” สร้างนโยบาย ป้อนชื่อและคำอธิบาย ใน “Sources” เลือกกลุ่มหรือโหนด ใน “Destinations” เลือก “Network resource” และทรัพยากรที่ใช้
3. เฉพาะเมื่อสร้างหรือแก้ไขนโยบาย: เลือก “Accept” หรือ “Drop” และโปรโตคอลตามงาน สำหรับ TCP หรือ UDP ป้อนพอร์ตหรือช่วงที่ถูกต้อง เว้นว่างหมายถึงทุกพอร์ต ค่าต้องอยู่ระหว่าง 1 ถึง 65535 และยืนยันตามหน้าจอ เมื่อเป้าหมายเป็นทรัพยากรเครือข่ายจะเปลี่ยนทิศทางไม่ได้ ให้ยึดที่แสดง อย่าผสมพอร์ตเดี่ยวกับช่วงพอร์ตในนโยบายเดียวกัน หรือใช้ * ร่วมกับพอร์ตอื่น การที่หน้าจอรับข้อมูลไม่ได้รับประกันว่าบันทึกสำเร็จ หากต้องใช้ทั้งสองแบบ ให้พิจารณาสร้างนโยบายแยกและตรวจสอบผลรวมต่อการเข้าถึงจริง
4. หากมีการแก้ไขนโยบาย: บันทึกและตรวจว่านโยบายเปิด ต้นทางและเป้าหมายถูกต้อง หากต้องใช้เส้นทางหรือ DNS ให้ตั้งแยกและตรวจบริการเป้าหมาย การบันทึกไม่พิสูจน์ว่าส่งค่าแล้วหรือบริการพร้อมใช้
5. รอให้โหนดรับค่า แล้วทดสอบจากโหนดที่ควรและไม่ควรได้รับอนุญาตแยกกัน ตรวจนโยบายอื่นและไฟร์วอลล์เป้าหมายด้วย

สามารถเลือก “Bind Network Resources” ในรายละเอียดกลุ่มเพื่อเพิ่มทรัพยากรเดิมให้การตั้งค่าที่อ้างกลุ่มใช้ การผูกอย่างเดียวไม่ให้สิทธิ์ ก่อนเปลี่ยนสมาชิกตรวจการอ้างอิงเดิม

ตัวอย่าง สร้าง HOST ค่า 192.0.2.10 เพิ่มโหนดทดลองในกลุ่มต้นทาง และสร้างนโยบายอนุญาต TCP พอร์ต 443 เป็นตัวอย่างไม่ใช่ค่าเริ่มต้น ผลยังขึ้นกับเส้นทาง นโยบายอื่น บริการและเครือข่าย ดูกลุ่มและนโยบายเข้าถึง

ข้อควรระวังเรื่องเส้นทาง: ตรวจโหนดและขอบเขตรับ การเว้น “Policy Target Groups” ว่างสร้างกฎอนุญาตเริ่มต้น ไม่ใช่ปฏิเสธเริ่มต้น หากต้องจำกัดให้เลือกกลุ่มเป้าหมายและทดสอบจริง

หากเข้าถึงทรัพยากรผ่านเส้นทางเครือข่ายทั่วไปตามคู่มือนี้ อย่าถือว่านโยบายที่เลือก “Network resource” เป็นปลายทางโดยตรงแทนนโยบายกลุ่มปลายทางของเส้นทาง ให้สร้างหรือเลือกกลุ่มการเข้าถึงปลายทางแยกต่างหาก และสร้างนโยบายที่เปิดใช้งานโดยกำหนดต้นทางที่ต้องการและกลุ่มนั้นเป็นปลายทาง จากนั้นเลือกกลุ่มเดียวกันในกลุ่มปลายทางของนโยบายบนเส้นทาง ตรวจสอบโปรโตคอลและพอร์ต แล้วทดสอบทั้งการเข้าถึงที่อนุญาตและไม่อนุญาตตามคู่มือเส้นทาง อย่าเว้นกลุ่มปลายทางว่างเพื่อลดการตั้งค่า เพราะจะสร้างกฎอนุญาตเริ่มต้น

เส้นทางเข้าถึงเฉพาะทรัพยากรยังขึ้นกับเครือข่ายที่เกี่ยวข้องและโหนดกำหนดเส้นทางที่เปิดใช้งาน การสร้างทรัพยากรหรือเส้นทางทั่วไปเพียงอย่างเดียวไม่ได้สร้างเส้นทางของทรัพยากรนั้น อย่าสมมติว่านโยบายปฏิเสธที่ระบุเฉพาะทรัพยากรจะลบล้างกฎอนุญาตอื่นบนเส้นทางทั่วไป หากไม่แน่ใจเรื่องเส้นทางหรือข้อจำกัด ให้ผู้ดูแลหรือฝ่ายสนับสนุนตรวจสอบและทดสอบเส้นทางเข้าถึงจริงแต่ละเส้นทางแยกกัน

ตรวจซ้ำหลังเปลี่ยนตัวเลือก: การเปลี่ยนโปรโตคอลจาก TCP หรือ UDP เป็น ALL หรือ ICMP จะล้างพอร์ตและช่วงพอร์ตที่ป้อนไว้ เมื่อเปลี่ยนกลับเป็น TCP หรือ UDP ค่าจะไม่คืนโดยอัตโนมัติ และช่องพอร์ตว่างหมายถึงทุกพอร์ต การเปลี่ยนชนิดต้นทางหรือปลายทางจะล้างรายการที่เลือกของด้านนั้นด้วย การเลือกทรัพยากรเครือข่ายเป็นปลายทางจะเปลี่ยนทิศทางเป็นต้นทางไปปลายทาง อย่าสมมติว่าค่าแบบสองทิศทางเดิมกลับมาเมื่อเปลี่ยนชนิดอีกครั้ง ก่อนบันทึกให้เลือกวัตถุใหม่และตรวจโปรโตคอล พอร์ตและทิศทาง เพื่อป้องกันการขยายหรือเปลี่ยนขอบเขตการเข้าถึงโดยไม่ตั้งใจ

แก้ไข ปิดและลบ

1. เลือกแก้ในรายการเพื่อเปลี่ยนชื่อ ชนิด ค่า หรือสถานะ แล้วตรวจการแสดงผลหลังบันทึก
2. ก่อนแก้หรือปิดให้ตรวจการอ้างอิงของกลุ่ม นโยบายและธุรกิจ บันทึกค่าเดิมและประเมินผล หลังส่งค่าให้ทดสอบโหนดที่อนุญาตและไม่อนุญาตแยกกัน
3. ก่อนลบยืนยันบริการที่พึ่งพา สิทธิ์และแผนกู้คืน เลือกลบและยืนยัน หากล้มเหลวตรวจข้อความ สิทธิ์และการอ้างอิง ไม่ข้ามข้อจำกัด

ปัญหาที่พบบ่อย

• บันทึกค่าไม่ได้: ตรวจชื่อ ค่าและรูปแบบ CIDR ต้องเป็น IPv4 กับคำนำหน้า HOST เป็น IPv4 หรือชื่อโฮสต์ที่ถูกต้อง DOMAIN เป็นชื่อเต็มไม่รวมโปรโตคอล พาธหรือไวลด์การ์ด
• ไม่พบทรัพยากรในนโยบาย: ตรวจว่าบันทึกและเปิดแล้ว สิทธิ์ ชนิดปลายทาง และการเลือกทรัพยากรหรือกลุ่ม
• ยังเข้าถึงไม่ได้: ตรวจต้นทางและปลายทางนโยบาย โปรโตคอลพอร์ต เส้นทาง DNS บริการ ไฟร์วอลล์และสถานะโหนดแยกกัน ทรัพยากรไม่แทนเส้นทางหรือสิทธิ์
• ผู้ใช้อื่นได้รับผลกระทบ: ตรวจกลุ่มและนโยบายที่ใช้ทรัพยากร คืนค่าหรือปรับตามบันทึกและขั้นตอนองค์กร แล้วทดสอบการอนุญาตและจำกัดอีกครั้ง