Chính sách kết nối ra ngoài trái phép
Bản ghi Network Access hiển thị quyết định kết nối từ Network Access Control và Illegal Outbound trong quản lý thiết bị đầu cuối. Hai chính sách được cấu hình riêng: chính sách đầu đối chiếu kết nối với quy tắc, chính sách sau đánh giá kết nối ra ngoài theo các địa chỉ hợp lệ đã cấu hình. Đây không phải danh sách đầy đủ lưu lượng mạng. Không có bản ghi không chứng minh không có kết nối, và một bản ghi cho phép không chứng minh kết nối nghiệp vụ cuối cùng thành công.
Chính sách mạng có thể ảnh hưởng nghiệp vụ, bảo trì từ xa và liên lạc giữa thiết bị với nền tảng quản lý. Trước tiên kiểm thử địa chỉ được duyệt trên thiết bị Windows thử nghiệm có thể bảo trì tại chỗ và chuẩn bị phương án khôi phục. Không triển khai ngay quy tắc chặn cho mọi thiết bị. Mô tả bản ghi dưới đây lấy kết nối TCP trên thiết bị Windows làm ví dụ; các giao thức và nền tảng khác cần được xác minh riêng.
Chuẩn bị thử nghiệm
- Xác nhận tổ chức có giấy phép cần thiết; thay đổi chính sách quản lý thiết bị, xem và xuất bản ghi lần lượt cần quyền tương ứng. Thiết bị thử nghiệm phải được đăng ký và nhận được chính sách. Khi xác minh bản ghi, kiểm tra thêm khả năng báo cáo và phạm vi nhìn thấy của tài khoản tra cứu.
- Cùng người phụ trách mạng và nghiệp vụ xác nhận chương trình thử nghiệm, địa chỉ đích, cổng, chiều kết nối và thời gian bảo trì. Duy trì khả năng thao tác tại chỗ và phương án quay lui; đặc biệt không chặn nền tảng quản lý, dịch vụ nền tảng thiết yếu hoặc kết nối bảo trì từ xa đang dùng.
- Trong UEM > Policy, trước tiên kiểm tra chính sách hiện có áp dụng cho thiết bị thử nghiệm, thời gian hiệu lực và phạm vi; dùng lại nếu đáp ứng yêu cầu thử. Chỉ khi cần tạo hoặc sửa, người có quyền đánh giá ảnh hưởng và làm theo phương án đã duyệt.
Cấu hình Illegal Outbound
Chỉ thực hiện các bước cấu hình dưới đây nếu thiết lập hiện có không đáp ứng yêu cầu thử nghiệm đã duyệt; trước khi thay đổi, kiểm tra ảnh hưởng nghiệp vụ, phạm vi và phương án khôi phục.
- Trong chính sách thử nghiệm, bật Illegal Outbound và mở cài đặt. Quy tắc địa chỉ hợp lệ được quản lý riêng với Network Access Control.
- Kiểm tra quy tắc địa chỉ IPv4 và IPv6 hợp lệ hiện có; thêm hoặc chỉnh danh sách, dải địa chỉ và tên quy tắc theo phạm vi được tổ chức phê duyệt. Đảm bảo địa chỉ quản lý và nghiệp vụ cần thiết của thiết bị thử nghiệm nằm trong phạm vi cần cho phép; không xóa quy tắc hiện có khi chưa đánh giá.
- Kiểm tra trạng thái Block Illegal Outbound: khi tắt, kết nối ra ngoài không hợp lệ khớp điều kiện được ghi nhận; khi bật, chúng bị chặn. Không tắt chặn hiện có chỉ để thử. Nếu cần xác minh không chặn, trước tiên kiểm tra ảnh hưởng và đường khôi phục rồi dùng cấu hình thử nghiệm được cách ly phù hợp theo phương án đã duyệt. Mọi thay đổi công tắc phải theo quy trình phê duyệt và thay đổi của tổ chức.
- Lưu cài đặt và toàn bộ chính sách, kiểm tra lại công tắc, địa chỉ hợp lệ và thiết bị áp dụng. Khi thiết bị nhận chính sách, kiểm thử riêng địa chỉ hợp lệ và địa chỉ thử nghiệm được duyệt. Việc khớp phụ thuộc quy tắc, kết nối và trạng thái thiết bị, không phải kiểm toán đầy đủ mọi hoạt động mạng.
Rủi ro theo họ địa chỉ: Trong một số trường hợp xử lý kết nối TCP trên Windows, địa chỉ IPv4 và IPv6 hợp lệ được đối chiếu riêng. Chỉ cấu hình IPv4 không tự động cho phép IPv6 và ngược lại. Nếu một họ địa chỉ không có quy tắc khớp, kết nối của họ đó có thể bị nhận diện là kết nối ra ngoài bất hợp lệ và bị gián đoạn khi bật chặn. Kiểm tra các họ địa chỉ thiết bị thử nghiệm thực sự sử dụng, cấu hình riêng các địa chỉ quản trị và nghiệp vụ cần thiết, rồi kiểm tra từng trường hợp trước khi bật chặn.
Ngày cập nhật