Cấu hình công bố ứng dụng Zero Trust

Công bố ứng dụng cung cấp điểm truy cập qua cụm proxy và chuyển yêu cầu tới đích đã cấu hình. Cụm, dịch vụ công bố, ứng dụng đích và giới hạn truy cập cần được chuẩn bị, xác minh riêng. Tạo dịch vụ không chứng minh proxy trực tuyến, DNS phân giải được, chứng chỉ khả dụng hay dịch vụ đích truy cập được.

Chuẩn bị

• Dùng tài khoản siêu quản trị có quyền Zero Trust phù hợp. Xem, tạo, sửa và xóa có thể cần quyền khác nhau.
• Cùng quản trị mạng và ứng dụng xác nhận miền truy cập, triển khai proxy, giao thức và cổng đích, chứng chỉ, người hoặc mạng được phép. Bắt đầu với ứng dụng thử và phạm vi kiểm soát, xin phê duyệt thay đổi theo tổ chức.
• Chuẩn bị nút hoặc tài nguyên mạng theo loại đích. Để giới hạn nút truy cập dịch vụ HTTP riêng, tạo hoặc chọn nhóm trong kiểm soát truy cập, mở chi tiết và dùng 「Add Endpoints」 thêm nút thử được phép. Kiểm tra tham chiếu khác trước khi sửa nhóm.
• Kiểm tra chính sách, tuyến, tường lửa đích và đường về cần thiết. Nhóm, xác thực dịch vụ và chính sách mạng có vai trò khác nhau; lưu một cấu hình không chứng minh truy cập đầu cuối đã được xác minh.

Tạo cụm proxy

1. Trong công bố ứng dụng Zero Trust, mở cụm proxy và chọn 「Create Proxy Cluster」.
2. Nhập tên cụm và miền công khai rồi lưu. Miền phải khớp cấu hình triển khai proxy; xác nhận kế hoạch miền, DNS và chứng chỉ với người phụ trách.
3. Xử lý mã cụm theo trang. Mã chỉ hiển thị một lần khi tạo. Chuyển cho người triển khai được phép qua kênh an toàn; không đưa vào tài liệu, hội thoại hoặc phiếu thông thường.
4. Triển khai phiên bản proxy theo quy trình đã phê duyệt, kiểm tra số trực tuyến và khả năng của cụm. Khi trang chờ phiên bản trực tuyến báo cáo, không giả định dịch vụ riêng hoặc cổng tùy chỉnh đã khả dụng. Tạo cụm không đồng nghĩa phiên bản đã trực tuyến.

Tạo dịch vụ và đích

1. Mở dịch vụ công bố và chọn 「Create Published Service」. Chọn cụm, nhập tên, miền công bố và chế độ proxy HTTP, TCP, UDP hoặc TLS; kiểm tra miền theo yêu cầu triển khai.
2. Với chế độ không phải HTTP, chọn cách cấp cổng và kiểm tra cổng lắng nghe. Cổng tùy chỉnh phụ thuộc khả năng cụm báo cáo; kiểm tra tường lửa và xung đột.
3. Thêm đích với loại 「Endpoint」, 「Network Resource」 hoặc 「Proxy Host Direct」. Với nút hoặc tài nguyên cần chọn đối tượng tương ứng; nếu không khả dụng, kiểm tra trạng thái và tham chiếu.
4. Nhập địa chỉ đích và đối chiếu giao thức, cổng backend. HTTP dùng địa chỉ http:// hoặc https:// và đường dẫn nếu cần; chế độ khác nhập máy chủ và cổng theo trang. Khi tham chiếu nút hoặc tài nguyên chính xác, kiểm tra đối tượng và đích hiển thị; không coi tên mẫu là quyền độc lập.
5. Thêm đích khác nếu cần, kiểm tra từng đối tượng, địa chỉ, cổng và dịch vụ. Ví dụ trên trang chỉ minh họa định dạng, không bảo đảm truy cập được. Với dịch vụ HTTP, đường dẫn của mỗi đích phải bắt đầu bằng / và không được trùng trong cùng dịch vụ; đường dẫn mặc định / cũng chỉ được dùng một lần. Trước khi thêm nhiều đích, hãy lập các đường dẫn khác nhau như /reports và /sales, rồi xác minh chuyển tiếp cho từng đường dẫn. Nếu lưu thất bại, kiểm tra xem / có bị dùng lặp lại không.

Ranh giới Proxy Host Direct: theo trang, máy chủ proxy truy cập trực tiếp đích, không qua định tuyến Zero Trust, kiểm soát truy cập và cách ly mạng cục bộ; đích không được là địa chỉ loopback, liên kết cục bộ hoặc multicast. Đánh giá riêng phạm vi proxy đến được, tường lửa và bảo vệ đích; không giả định các kiểm soát mạng Zero Trust vẫn ràng buộc đường này. Khi đích là tên máy chủ, lưu thành công không có nghĩa mọi địa chỉ mà proxy thực sự phân giải đều được phép kết nối. Kết nối có thể bị từ chối nếu địa chỉ phân giải thuộc loại bị hạn chế như loopback, link-local hoặc multicast. Hãy kiểm tra phân giải tên và khả năng tới đích từ môi trường máy chủ proxy, rồi kiểm chứng lại sau khi DNS thay đổi; không tìm cách đổi tên để vượt hạn chế.

Cách truy cập dịch vụ HTTP

Trang xác thực HTTP có các phương án khác nhau; xác định đối tượng và yêu cầu bảo mật trước:

1. Zero Trust Network Only: xác nhận cụm có phiên bản trực tuyến, bật proxy riêng và hỗ trợ dịch vụ riêng. Bật tùy chọn và chọn ít nhất một nhóm đã chuẩn bị. Trang mô tả chỉ nút đã kết nối và khớp nhóm được truy cập; vẫn thử cả nút khớp và không khớp.
2. Không dùng chế độ riêng: chọn 「No Authentication」, PIN hoặc 「Password」. Khi tạo hoặc chuyển sang PIN/mật khẩu, nhập thông tin; PIN gồm sáu chữ số. Đặt thời hạn phiên theo yêu cầu và lưu, chuyển thông tin qua kênh an toàn. Trước khi chọn không xác thực, đánh giá phạm vi và rủi ro; không giả định tự yêu cầu xác thực người dùng.
3. Nhóm của dịch vụ riêng và PIN/mật khẩu của dịch vụ không riêng là các phương án khác nhau. Sau khi chuyển, kiểm tra lại tùy chọn, đối tượng được phép và truy cập thực tế. Chế độ không phải HTTP không hiển thị trang xác thực này; không giả định tự có bảo vệ tương tự.

Khi chọn hoặc chuyển sang xác thực bằng PIN hay mật khẩu, trang đặt thời hạn phiên đăng nhập là 86400 giây (24 giờ). Phạm vi nhập là 60 đến 604800 giây (1 phút đến 7 ngày). Đây là giá trị ban đầu khi chuyển chế độ, không nhất thiết là cài đặt hiện tại của dịch vụ đã có. Hãy đặt và lưu theo yêu cầu tổ chức, rồi kiểm tra lại thông tin xác thực và thời hạn sau khi đổi chế độ.

Cấu hình giới hạn và xác minh

1. Trong 「Access Control」, nhập 「Allowed CIDRs」 và 「Blocked CIDRs」 theo yêu cầu; trong nâng cao kiểm tra thời gian chờ đích, chuyển tiếp và tùy chọn phù hợp. Không kết luận từ một danh sách; thử trên triển khai thực tế.
2. Kiểm tra chứng chỉ và yêu cầu kết nối của dịch vụ đích. Trang cho phép bỏ xác minh TLS backend đối với chứng chỉ tự ký không kiểm tra được trong mạng nội bộ có kiểm soát. Đánh giá bảo mật trước khi bật, không dùng làm cách khắc phục mặc định.
3. Trước khi lưu kiểm tra cụm, miền, đích, xác thực, nhóm và giới hạn mạng. Sau đó kiểm tra trạng thái bật và chạy trong danh sách. Chờ proxy, chưa tạo đường hầm hoặc trạng thái chứng chỉ không chứng minh dịch vụ khả dụng.
4. Từ máy khách được phép xác minh DNS, cổng, chứng chỉ, xác thực và ứng dụng; thử giới hạn từ máy không được phép. Với chế độ riêng, thử nút khớp và không khớp nhóm.
5. Xem nhật ký dịch vụ và nhật ký kiểm toán để đối chiếu dịch vụ và thời gian. Nhật ký chỉ là manh mối các giai đoạn được ghi, không thay thử nghiệm truy cập và bảo mật.

Ví dụ CIDR: Khi danh sách cho phép không rỗng, địa chỉ nguồn phải khớp ít nhất một mục; nếu cũng khớp danh sách chặn thì vẫn bị từ chối. Khi danh sách cho phép rỗng, danh sách đó không giới hạn nguồn, nhưng danh sách chặn và các kiểm soát khác vẫn có thể áp dụng. Ví dụ, cho phép 10.20.0.0/16 và chặn 10.20.5.0/24: 10.20.4.10 qua các kiểm tra CIDR này, 10.20.5.10 bị từ chối do nằm trong phạm vi chặn, còn 10.21.4.10 bị từ chối do ngoài phạm vi cho phép. Địa chỉ chỉ để minh họa. Proxy phía trước hoặc chuyển đổi địa chỉ mạng có thể ảnh hưởng địa chỉ nguồn mà proxy nhận biết; hãy kiểm tra và thử trong môi trường triển khai. Qua kiểm tra CIDR không bảo đảm xác thực, nhóm truy cập hoặc dịch vụ đích đáp ứng các điều kiện khác.

Cách hiểu cột xác thực: Với truy cập HTTP, trạng thái thành công hoặc thất bại trong cột xác thực có thể phụ thuộc mã phản hồi HTTP: 401 hoặc 403 có thể hiển thị thất bại, còn trạng thái khác, kể cả lỗi dịch vụ, có thể hiển thị thành công. Với bản ghi không phải HTTP như TCP, UDP hoặc TLS, hiển thị thất bại không nhất thiết có nghĩa xác thực người dùng đã thất bại. Trong thử nghiệm có kiểm soát, hãy đối chiếu phương thức xác thực dịch vụ, mã phản hồi, nguồn truy cập và nhật ký ứng dụng đích; không kết luận thành công, thất bại hay danh tính người dùng chỉ từ cột này. Các nhãn tương ứng trong giao diện tiếng Anh là Authentication, Success và Failed.

Thay đổi và khắc phục

• Không lưu được: kiểm tra cụm, tên, miền, đối tượng và địa chỉ; chế độ không HTTP kiểm tra cổng, HTTP riêng kiểm tra phiên bản trực tuyến, khả năng và ít nhất một nhóm, cùng PIN đúng yêu cầu.
• Đã tạo nhưng không truy cập được: kiểm tra riêng trạng thái, proxy, DNS, cổng, tường lửa, chứng chỉ, dịch vụ đích và đường mạng.
• Xác thực hoặc truy cập khác dự kiến: kiểm tra chế độ riêng hoặc xác thực, nhóm, mạng cho phép và chặn, chính sách khác và bảo vệ đích; thử đối tượng được phép và bị từ chối.
• Sửa, tắt hoặc xóa: xác nhận tham chiếu, người dùng và phụ thuộc, ghi cài đặt và làm theo phê duyệt; sau đó kiểm tra lại trạng thái, giới hạn và nghiệp vụ. Xử lý mã và thông tin xác thực qua kênh an toàn.