Chính sách truy cập

Trong Ping64, nhóm truy cập tổ chức các nút Zero Trust và tài nguyên mạng để chính sách, tuyến và cấu hình khác tham chiếu. Chính sách xác định nguồn nào được phép hoặc bị từ chối truy cập đích nào, cùng giao thức, hướng và cổng. Tạo nhóm không tự cấp quyền; lưu chính sách cũng không chứng minh mọi nút đã nhận cấu hình hoặc dịch vụ đích có thể truy cập.

Chương này hướng dẫn cấu hình và xác minh chính sách truy cập, gồm nguồn, đích, giao thức, hướng và hành động. Trước khi thay đổi, đánh giá ảnh hưởng của các chính sách và tuyến khác đến kết quả truy cập.

Chuẩn bị

• Dùng tài khoản có quyền quản lý nhóm và chính sách Zero Trust. Xác nhận các nút liên quan đã kết nối và tài nguyên mạng cần thiết đã sẵn sàng.
• Xác định nguồn, đích, giao thức và cổng cần cho phép hoặc hạn chế, cũng như nhu cầu truy cập ngược. Chọn phạm vi tối thiểu đáp ứng nghiệp vụ và chuẩn bị đối tượng thử được phép và không được phép.
• Kiểm tra chính sách, tuyến và tham chiếu nhóm hiện có. Nhiều cấu hình có thể ảnh hưởng cùng đường truy cập; không kết luận kết quả chỉ từ một chính sách mới.
• Khi truy cập dịch vụ nội bộ, kiểm tra khả năng đến đích và chuyển tiếp của nút định tuyến, dịch vụ đích, tường lửa và đường về. Xem Cấu hình tuyến mạng Zero Trust.

Giới hạn cấu hình cổng: Một quy tắc chính sách có thể chứa nhiều cổng riêng lẻ hoặc một hay nhiều dải cổng, nhưng không trộn cổng riêng lẻ và dải trong cùng quy tắc. Ví dụ, không nhập cả 443 và 8000-8080 trong một quy tắc; việc lưu có thể thất bại dù giao diện chấp nhận dữ liệu. Nếu cần cả hai, hãy cân nhắc tạo các chính sách riêng, kiểm tra nguồn, đích, hành động và kiểm tra bảo mật của từng chính sách, rồi xác minh tác động kết hợp trong môi trường thí điểm. Không kết hợp * với cổng khác.

Tạo chính sách truy cập

1. Trong kiểm soát truy cập Zero Trust, mở 「Policies」. Nếu danh sách đã có chính sách, chọn “Create”; nếu danh sách trống, chọn “Create Policy”. Nhập tên chính sách và mô tả cần thiết.
2. Chọn giao thức ALL, TCP, UDP hoặc ICMP và chọn 「Accept」 hoặc 「Drop」 theo nhu cầu. Nếu dùng kiểm tra bảo mật, hãy xác nhận nội dung, đối tượng áp dụng và yêu cầu của tổ chức trước.
3. Trong 「Sources」, chọn nhóm truy cập hoặc nút cụ thể; trong 「Destinations」, chọn nhóm, nút hoặc tài nguyên mạng. Chỉ định đối tượng theo loại và kiểm tra đúng nguồn, đích dự kiến.
4. Kiểm tra 「Direction」: trang có hướng nguồn đến đích và hai chiều. Khi đích là tài nguyên mạng, không thể chuyển hướng; làm theo hướng hiển thị và không giả định đã được cấp truy cập ngược.
5. Với TCP hoặc UDP, đặt cổng theo nhu cầu. Để trống nghĩa là mọi cổng. Có thể nhập cổng đơn, dải hợp lệ hoặc *, ví dụ 443 hoặc 8000-8080; xác nhận nhập theo hướng dẫn. Giá trị cổng từ 1 đến 65535.
6. Lưu và kiểm tra tên, nguồn, đích, giao thức, hướng, hành động và trạng thái bật trong danh sách. Sau khi nút nhận cấu hình, thử riêng đối tượng dự kiến được phép và không được phép, đồng thời kiểm tra các chính sách khác.

Ví dụ: thêm nút thử của bộ phận phát triển vào nhóm và chuẩn bị tài nguyên mạng đích. Tạo chính sách với nhóm nguồn đó, tài nguyên làm đích, TCP, cổng 443 và 「Accept」. Sau khi lưu và bật, thử từ nút thử và nút ngoài nguồn dự kiến. Đây không phải chính sách mặc định; chính sách khác, tuyến, dịch vụ và tường lửa cũng ảnh hưởng kết quả.

Kiểm tra lại sau khi đổi lựa chọn: Chuyển giao thức từ TCP hoặc UDP sang ALL hoặc ICMP sẽ xóa các cổng và dải cổng đã nhập. Khi chuyển lại sang TCP hoặc UDP, các giá trị không tự khôi phục; để trống có nghĩa là mọi cổng. Đổi loại nguồn hoặc đích cũng xóa lựa chọn ở phía tương ứng. Chọn tài nguyên mạng làm đích sẽ đổi hướng thành từ nguồn đến đích; không giả định thiết lập hai chiều trước đó được khôi phục khi đổi lại loại khác. Trước khi lưu, chọn lại đối tượng và kiểm tra giao thức, cổng và hướng để tránh vô tình mở rộng hoặc thay đổi phạm vi truy cập.

Chính sách chồng lấp: Cùng nguồn, đích, giao thức và cổng có thể khớp nhiều chính sách cho phép hoặc từ chối. Ví dụ, nếu một thiết bị thuộc cả nhóm được phép và nhóm hạn chế, hãy kiểm tra thành viên hai nhóm, chiều, cổng và kiểm tra an toàn, rồi thử kết nối mới từ thiết bị đó. Không suy ra kết quả chỉ từ thứ tự danh sách hoặc một quy tắc; giảm chồng lấp mâu thuẫn khi có thể và kiểm chứng cả tuyến cùng kiểm soát phía đích.

Thông tin lỗi mạng: Một số đường xử lý trên thiết bị có thể cho phép thông báo lỗi ICMP nhất định, như đích không tới được hoặc hết thời gian, dù chính sách truy cập liên quan từ chối lưu lượng. Không coi chính sách từ chối là chặn mọi thông điệp điều khiển mạng, cũng không xem việc nhận phản hồi đó là bằng chứng dịch vụ nghiệp vụ truy cập được. Kiểm tra riêng kết nối nghiệp vụ và yêu cầu kiểm soát trên nền tảng thực tế.

Phối hợp với tuyến mạng

Chính sách điều khiển lưu lượng phù hợp; tuyến cung cấp đường đến đích. Khi truy cập qua nút định tuyến, kiểm tra nút, phạm vi tuyến và nguồn, đích, giao thức, cổng của chính sách cùng nhau. Phân phối tuyến không thay thế việc kiểm tra kiểm soát truy cập.

Quan trọng: Để trống 「Policy Target Groups」 trong tuyến tạo quy tắc cho phép mặc định, không phải từ chối mặc định. Để hạn chế, chọn nhóm đích trong tuyến và xác nhận chính sách đang bật chọn cùng nhóm và nguồn dự kiến. Hoàn tất cài đặt tuyến còn lại và thử riêng thiết bị được phép và không được phép.

Effective Scope kiểm soát thiết bị nào nhận tuyến, nhưng không giới hạn nguồn của quy tắc cho phép mặc định đó vào các thiết bị trong phạm vi. Quy tắc mặc định không thu hẹp lưu lượng chuyển tiếp phù hợp theo nguồn, giao thức hoặc cổng. Khả năng truy cập thực tế vẫn phụ thuộc kết nối, biện pháp kiểm soát khác và mạng đích. Không chỉ dựa vào phạm vi phân phối để cô lập truy cập; hãy chọn nhóm đích chính sách và kiểm tra riêng các đường khác.

Kiểm tra kết nối hiện có: Sau khi siết chặt chính sách hoặc thêm quy tắc từ chối, không giả định mọi phiên hiện có sẽ bị ngắt ngay, kể cả khi các nút đã nhận bản cập nhật. Một số kết nối đã thiết lập có thể tiếp tục trên một số đường kết nối hoặc định tuyến; hành vi phụ thuộc nền tảng thiết bị, trạng thái kết nối và các biện pháp kiểm soát khác. Đánh giá hoạt động nghiệp vụ đang diễn ra trước khi thay đổi, rồi kiểm tra riêng phiên cũ và kết nối mới trong môi trường thí điểm được phê duyệt. Nếu cần chấm dứt ngay, thực hiện và xác minh biện pháp bổ sung theo quy trình ứng phó sự cố của tổ chức; không chỉ dựa vào việc lưu chính sách thành công.

Xác minh, thay đổi và khắc phục

1. Xác nhận chính sách bật, nguồn và đích tồn tại, thành viên nhóm đúng, các nút đã kết nối và nhận cấu hình. Lưu, phân phối và áp dụng thực tế là các trạng thái khác nhau.
2. Kiểm tra giao thức, cổng và hướng; với tài nguyên mạng là đích, kiểm tra thêm tài nguyên, nút định tuyến, mạng đích, dịch vụ và đường về.
3. Thử riêng nguồn được phép và không được phép. Một lần truy cập hoặc lưu thành công không chứng minh toàn bộ ranh giới bảo mật.
4. Nếu kết quả khác dự kiến, kiểm tra chính sách khác, quy tắc cho phép mặc định của tuyến, kiểm tra bảo mật đã chọn và tường lửa đích. Ghi đối tượng thử, kết quả và thông báo để quản trị viên có quyền điều tra.
5. Trước khi tắt hoặc xóa chính sách hay thay đổi thành viên, kiểm tra tham chiếu và tác động, ghi lại cài đặt và làm theo quy trình tổ chức. Sau thay đổi kiểm tra lại nghiệp vụ và giới hạn. Tìm chính sách trong danh sách: chọn “Edit” ở dòng để sửa và lưu, dùng công tắc trạng thái để tắt hoặc bật lại, hoặc chọn “Delete” và xác nhận trong hộp thoại. Nếu không thao tác được, kiểm tra quyền và thao tác đang xử lý. Chính sách đã tắt không tham gia các lần tính cấu hình tiếp theo: tắt chính sách cho phép không bảo đảm chặn các đường khác, còn tắt chính sách từ chối có thể mở rộng quyền truy cập. Tải lại để kiểm tra trạng thái, rồi thử riêng phiên hiện có và kết nối mới. Nếu không tải được chi tiết, không coi đó là chính sách rỗng hay xóa ngay; hãy liên hệ quản trị viên kiểm tra.

• Nhóm truy cập
• Kiểm tra bảo mật cho chính sách truy cập