# จัดการทรัพยากรเครือข่าย Zero Trust

Canonical: https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/network-resources/resource-objects/

Language: th-TH

Updated: 2026-11-15T04:12:39.703937Z

ทรัพยากรเครือข่ายอธิบายเป้าหมายที่การควบคุมการเข้าถึงอ้างอิง เช่น เครือข่าย IPv4 โฮสต์หรือโดเมน การสร้างเพียงกำหนดเป้าหมาย ไม่ได้สร้างเส้นทาง ตั้ง DNS หรือให้สิทธิ์โดยอัตโนมัติ ต้องตรวจเส้นทาง นโยบายและบริการเป้าหมายแยกกัน

หากทรัพยากร กลุ่มเข้าถึง และนโยบายเข้าถึงที่เปิดใช้อยู่แล้วตรงตามข้อกำหนดปลายทาง ต้นทาง โปรโตคอล พอร์ต การดำเนินการ ทิศทาง และการตรวจสอบความปลอดภัย สามารถใช้ต่อและตรวจสอบได้โดยตรง ไม่ต้องสร้างใหม่ทุกครั้งที่เข้าถึง ขั้นตอนสร้างด้านล่างใช้เมื่อจำเป็นต้องเพิ่มหรือปรับเท่านั้น ก่อนเปลี่ยนให้ตรวจการอ้างอิงอื่นและผลต่อเส้นทาง

## เตรียมการ

-   ใช้บัญชีที่มีสิทธิ์ทรัพยากร กลุ่มและนโยบาย Zero Trust การลบอาจต้องใช้สิทธิ์ต่างจากสร้างและแก้ไข
-   ยืนยันเครือข่าย ที่อยู่หรือโดเมนจริง โหนดที่ต้องใช้ โปรโตคอลและพอร์ต ค่าที่นี่เป็นตัวอย่างรูปแบบ ไม่ควรนำไปใช้จริงโดยไม่ตรวจสอบ
-   ตรวจทรัพยากร กลุ่มและนโยบายเดิมเพื่อไม่ให้ซ้ำหรือขยายสิทธิ์โดยไม่ตั้งใจ สำหรับเครือข่ายระยะไกลให้วางแผน[เส้นทางเครือข่าย](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/) ไฟร์วอลล์เป้าหมายและทางกลับ สำหรับโดเมนให้ตรวจการแปลงชื่อบนอุปกรณ์
-   ทดลองด้วยโหนดที่ควบคุมและเตรียมทดสอบทั้งที่อนุญาตและไม่อนุญาต การบันทึก การส่งและการเชื่อมต่อธุรกิจเป็นคนละสถานะ

## สร้างทรัพยากร

1.  ใน Zero Trust เปิด **Resource** แล้วเลือก **Create** หรือเลือก **Create Resource Object** เมื่อรายการว่าง
2.  ป้อน “Name” เลือก “Type” และป้อน “Value” ชื่อและค่าเป็นข้อมูลบังคับ:
    -   **CIDR:** เครือข่าย IPv4 พร้อมคำนำหน้า เช่น `192.0.2.0/24` ตามแผนเครือข่าย
    -   **HOST:** IPv4 หนึ่งที่อยู่หรือชื่อโฮสต์ เช่น `192.0.2.10` หรือ `files.example.com`
    -   **DOMAIN:** ชื่อโดเมนเต็ม เช่น `service.example.com` แบบฟอร์มปัจจุบันไม่รับไวลด์การ์ด `*`
3.  ตรวจ “Enabled” หน้าจออธิบายว่าอนุญาตให้นโยบายใช้ทรัพยากร ค่าเริ่มต้นตอนสร้างคือเปิด แต่ต้องยืนยันตามแผนเปลี่ยน
4.  บันทึกแล้วตรวจชื่อ ชนิด ค่าและสถานะในรายการ หากไม่สำเร็จให้ตรวจข้อมูลบังคับและรูปแบบตามชนิดจากข้อความแจ้ง หลังบันทึกให้ตรวจชนิดและค่าที่แสดงในรายการ ระบบระบุชนิดใหม่ตามค่าเป้าหมาย เช่น หากกรอก `files.example.com` ใน `HOST` หลังบันทึกอาจแสดงเป็น `DOMAIN` ส่วนที่อยู่ IPv4 จะระบุเป็นที่อยู่โฮสต์ ให้ตรวจอีกครั้งหลังแก้ไขด้วย การเปลี่ยนชนิดไม่ได้ยืนยันว่าชื่อแก้ได้หรือเข้าถึงเป้าหมายได้ ต้องตรวจ DNS เส้นทาง และการเข้าถึงงาน

## ตั้งค่าการเข้าถึงทรัพยากร

-   [นโยบายการเข้าถึง](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)

ตรวจสอบก่อนว่าสมาชิกกลุ่มต้นทางเดิมและนโยบายที่เปิดใช้อยู่ตรงตามข้อกำหนดด้านทรัพยากร ต้นทาง การดำเนินการ ทิศทาง โปรโตคอล พอร์ต และการตรวจสอบความปลอดภัยหรือไม่ หากตรงแล้วไม่ต้องแก้ไข ให้ข้ามขั้นตอน 1 ถึง 4 และตรวจสอบเส้นทาง DNS และเงื่อนไขอื่นก่อนทดสอบ ให้ผู้ดูแลที่มีสิทธิ์ปรับเฉพาะเมื่อจำเป็น หากแก้นโยบายเดิมให้เปิดหน้าแก้ไขและทำตามขั้นตอนที่เกี่ยวข้องด้านล่าง

1.  เฉพาะเมื่อต้องสร้างกลุ่มต้นทางหรือเพิ่มสมาชิก: ใน “Access Groups” ภายใต้การควบคุมการเข้าถึง Zero Trust สร้างหรือเลือกกลุ่มต้นทาง เปิดรายละเอียด เลือก “Add Endpoints” เลือกโหนดทดลองและยืนยัน ก่อนแก้กลุ่มเดิมตรวจการอ้างอิงอื่น
2.  เฉพาะเมื่อต้องสร้างนโยบายใหม่: ในหน้านโยบาย หากมีนโยบายอยู่แล้วให้เลือก “Create” หากรายการว่างให้เลือก “Create Policy” ใน “Policies” สร้างนโยบาย ป้อนชื่อและคำอธิบาย ใน “Sources” เลือกกลุ่มหรือโหนด ใน “Destinations” เลือก “Network resource” และทรัพยากรที่ใช้
3.  เฉพาะเมื่อสร้างหรือแก้ไขนโยบาย: เลือก “Accept” หรือ “Drop” และโปรโตคอลตามงาน สำหรับ `TCP` หรือ `UDP` ป้อนพอร์ตหรือช่วงที่ถูกต้อง เว้นว่างหมายถึงทุกพอร์ต ค่าต้องอยู่ระหว่าง `1` ถึง `65535` และยืนยันตามหน้าจอ เมื่อเป้าหมายเป็นทรัพยากรเครือข่ายจะเปลี่ยนทิศทางไม่ได้ ให้ยึดที่แสดง อย่าผสมพอร์ตเดี่ยวกับช่วงพอร์ตในนโยบายเดียวกัน หรือใช้ `*` ร่วมกับพอร์ตอื่น การที่หน้าจอรับข้อมูลไม่ได้รับประกันว่าบันทึกสำเร็จ หากต้องใช้ทั้งสองแบบ ให้พิจารณาสร้างนโยบายแยกและตรวจสอบผลรวมต่อการเข้าถึงจริง
4.  หากมีการแก้ไขนโยบาย: บันทึกและตรวจว่านโยบายเปิด ต้นทางและเป้าหมายถูกต้อง หากต้องใช้เส้นทางหรือ DNS ให้ตั้งแยกและตรวจบริการเป้าหมาย การบันทึกไม่พิสูจน์ว่าส่งค่าแล้วหรือบริการพร้อมใช้
5.  รอให้โหนดรับค่า แล้วทดสอบจากโหนดที่ควรและไม่ควรได้รับอนุญาตแยกกัน ตรวจนโยบายอื่นและไฟร์วอลล์เป้าหมายด้วย

สามารถเลือก “Bind Network Resources” ในรายละเอียดกลุ่มเพื่อเพิ่มทรัพยากรเดิมให้การตั้งค่าที่อ้างกลุ่มใช้ การผูกอย่างเดียวไม่ให้สิทธิ์ ก่อนเปลี่ยนสมาชิกตรวจการอ้างอิงเดิม

ตัวอย่าง สร้าง `HOST` ค่า `192.0.2.10` เพิ่มโหนดทดลองในกลุ่มต้นทาง และสร้างนโยบายอนุญาต `TCP` พอร์ต `443` เป็นตัวอย่างไม่ใช่ค่าเริ่มต้น ผลยังขึ้นกับเส้นทาง นโยบายอื่น บริการและเครือข่าย ดู[กลุ่มและนโยบายเข้าถึง](https://www.nsecsoft.com/th/docs/ping64-zero-trust/zero-trust/access-control/)

**ข้อควรระวังเรื่องเส้นทาง:** ตรวจโหนดและขอบเขตรับ การเว้น “Policy Target Groups” ว่างสร้างกฎอนุญาตเริ่มต้น ไม่ใช่ปฏิเสธเริ่มต้น หากต้องจำกัดให้เลือกกลุ่มเป้าหมายและทดสอบจริง

หากเข้าถึงทรัพยากรผ่านเส้นทางเครือข่ายทั่วไปตามคู่มือนี้ อย่าถือว่านโยบายที่เลือก “Network resource” เป็นปลายทางโดยตรงแทนนโยบายกลุ่มปลายทางของเส้นทาง ให้สร้างหรือเลือกกลุ่มการเข้าถึงปลายทางแยกต่างหาก และสร้างนโยบายที่เปิดใช้งานโดยกำหนดต้นทางที่ต้องการและกลุ่มนั้นเป็นปลายทาง จากนั้นเลือกกลุ่มเดียวกันในกลุ่มปลายทางของนโยบายบนเส้นทาง ตรวจสอบโปรโตคอลและพอร์ต แล้วทดสอบทั้งการเข้าถึงที่อนุญาตและไม่อนุญาตตามคู่มือเส้นทาง อย่าเว้นกลุ่มปลายทางว่างเพื่อลดการตั้งค่า เพราะจะสร้างกฎอนุญาตเริ่มต้น

เส้นทางเข้าถึงเฉพาะทรัพยากรยังขึ้นกับเครือข่ายที่เกี่ยวข้องและโหนดกำหนดเส้นทางที่เปิดใช้งาน การสร้างทรัพยากรหรือเส้นทางทั่วไปเพียงอย่างเดียวไม่ได้สร้างเส้นทางของทรัพยากรนั้น อย่าสมมติว่านโยบายปฏิเสธที่ระบุเฉพาะทรัพยากรจะลบล้างกฎอนุญาตอื่นบนเส้นทางทั่วไป หากไม่แน่ใจเรื่องเส้นทางหรือข้อจำกัด ให้ผู้ดูแลหรือฝ่ายสนับสนุนตรวจสอบและทดสอบเส้นทางเข้าถึงจริงแต่ละเส้นทางแยกกัน

**ตรวจซ้ำหลังเปลี่ยนตัวเลือก:** การเปลี่ยนโปรโตคอลจาก `TCP` หรือ `UDP` เป็น `ALL` หรือ `ICMP` จะล้างพอร์ตและช่วงพอร์ตที่ป้อนไว้ เมื่อเปลี่ยนกลับเป็น `TCP` หรือ `UDP` ค่าจะไม่คืนโดยอัตโนมัติ และช่องพอร์ตว่างหมายถึงทุกพอร์ต การเปลี่ยนชนิดต้นทางหรือปลายทางจะล้างรายการที่เลือกของด้านนั้นด้วย การเลือกทรัพยากรเครือข่ายเป็นปลายทางจะเปลี่ยนทิศทางเป็นต้นทางไปปลายทาง อย่าสมมติว่าค่าแบบสองทิศทางเดิมกลับมาเมื่อเปลี่ยนชนิดอีกครั้ง ก่อนบันทึกให้เลือกวัตถุใหม่และตรวจโปรโตคอล พอร์ตและทิศทาง เพื่อป้องกันการขยายหรือเปลี่ยนขอบเขตการเข้าถึงโดยไม่ตั้งใจ

## แก้ไข ปิดและลบ

1.  เลือกแก้ในรายการเพื่อเปลี่ยนชื่อ ชนิด ค่า หรือสถานะ แล้วตรวจการแสดงผลหลังบันทึก
2.  ก่อนแก้หรือปิดให้ตรวจการอ้างอิงของกลุ่ม นโยบายและธุรกิจ บันทึกค่าเดิมและประเมินผล หลังส่งค่าให้ทดสอบโหนดที่อนุญาตและไม่อนุญาตแยกกัน
3.  ก่อนลบยืนยันบริการที่พึ่งพา สิทธิ์และแผนกู้คืน เลือกลบและยืนยัน หากล้มเหลวตรวจข้อความ สิทธิ์และการอ้างอิง ไม่ข้ามข้อจำกัด

## ปัญหาที่พบบ่อย

-   **บันทึกค่าไม่ได้:** ตรวจชื่อ ค่าและรูปแบบ CIDR ต้องเป็น IPv4 กับคำนำหน้า HOST เป็น IPv4 หรือชื่อโฮสต์ที่ถูกต้อง DOMAIN เป็นชื่อเต็มไม่รวมโปรโตคอล พาธหรือไวลด์การ์ด
-   **ไม่พบทรัพยากรในนโยบาย:** ตรวจว่าบันทึกและเปิดแล้ว สิทธิ์ ชนิดปลายทาง และการเลือกทรัพยากรหรือกลุ่ม
-   **ยังเข้าถึงไม่ได้:** ตรวจต้นทางและปลายทางนโยบาย โปรโตคอลพอร์ต เส้นทาง DNS บริการ ไฟร์วอลล์และสถานะโหนดแยกกัน ทรัพยากรไม่แทนเส้นทางหรือสิทธิ์
-   **ผู้ใช้อื่นได้รับผลกระทบ:** ตรวจกลุ่มและนโยบายที่ใช้ทรัพยากร คืนค่าหรือปรับตามบันทึกและขั้นตอนองค์กร แล้วทดสอบการอนุญาตและจำกัดอีกครั้ง