Cấu hình kết nối và danh tính Zero Trust

Trong Ping64, cấu hình toàn cục Zero Trust quản lý xác thực, dải địa chỉ đường hầm, cách kết nối và phạm vi quản lý DNS của thiết bị được quản lý. Thay đổi có thể ảnh hưởng nhiều nút. Lưu thành công không chứng minh mọi nút đã nhận cấu hình hay kết nối nghiệp vụ khả dụng.

Chuẩn bị

• Dùng tài khoản được phép quản lý cấu hình Zero Trust, ghi lại cài đặt, các nút và dịch vụ bị ảnh hưởng, xác nhận phê duyệt thay đổi.
• Cùng quản trị mạng và danh tính kiểm tra yêu cầu đăng nhập, kế hoạch địa chỉ, relay và DNS. Khi đổi danh tính, địa chỉ hoặc đường kết nối, bố trí thời gian và phương án khôi phục, thử trước trên thiết bị được kiểm soát.
• Kiểm tra ngoại lệ xác thực theo nút và địa chỉ đường hầm cố định thủ công. Cấu hình toàn cục, ngoại lệ và chính sách truy cập có vai trò khác nhau, không thay thế nhau.

Cấu hình xác thực và kết nối tự động

1. Trong bảng điều khiển, mở cấu hình Zero Trust và chọn 「Authentication method」 phù hợp:
   • Danh tính thiết bị (Endpoint Identity): trang mô tả thiết bị được quản lý có thể kết nối bằng danh tính thiết bị.
   • Danh tính người dùng (User Identity): trang mô tả thiết bị cần đăng nhập người dùng nền tảng trước khi kết nối.
2. Đặt 「Automatic connection」 theo nhu cầu. Theo trang, nút dùng danh tính thiết bị có thể tự kết nối khi cấu hình sẵn sàng; nút dùng danh tính người dùng vẫn cần người dùng kết nối chủ động. Các điều kiện xác thực, mạng và kiểm soát truy cập vẫn cần đáp ứng.
3. Kiểm tra ngoại lệ theo nút. Nút có thể kế thừa cấu hình chung; khi toàn cục yêu cầu danh tính người dùng, trang cũng cho phép danh tính thiết bị riêng cho một nút. Bật ngoại lệ cho phép kết nối không cần người dùng đăng nhập, nên phải xác nhận quyền sở hữu, rủi ro và phê duyệt. Xem quản lý nút.
4. Sau các thay đổi khác, lưu cấu hình và xác minh theo phần dưới. Không mặc định nới xác thực chỉ để xử lý lỗi đăng nhập.

Dải địa chỉ đường hầm

「Tunnel Address Pool」 cấp IPv4 Zero Trust cho nút. Địa chỉ DNS ảo trên trang được suy ra từ dải và không thể sửa riêng.

1. Trước khi đổi, kiểm tra địa chỉ tự động và thủ công, sức chứa dải mới cùng phụ thuộc của tuyến, DNS và dịch vụ vào địa chỉ cũ. Địa chỉ cố định thủ công phải thuộc dải mới; chuẩn bị khôi phục.
2. Nhập CIDR IPv4 trong 100.64.0.0/10. Dải mặc định 100.64.0.0/10 được chấp nhận; dải tùy chỉnh không được chồng vùng nền tảng dành riêng, phải qua kiểm tra kích thước và tiền tố không lớn hơn /30. Theo thông báo và kế hoạch mạng.
3. Sau khi lưu, mở lại cài đặt và kiểm tra nút thử. Trang cảnh báo địa chỉ tự động có thể được cấp lại và nút kết nối lại. Xác minh riêng ảnh hưởng thực tế, việc nhận cấu hình và kết nối nghiệp vụ.

Chọn đường kết nối và truyền relay

「Connection Priority」 quy định ưu tiên giữa các đường nút khả dụng, khác với cài đặt truyền relay:

• P2P First: ưu tiên trực tiếp; có thể dùng relay khả dụng khi không trực tiếp được.
• Relay First: ưu tiên relay; có thể dùng kết nối trực tiếp khả dụng khi relay không dùng được.
• Relay Only: kết nối giữa nút phụ thuộc relay; không chuyển về trực tiếp khi relay không dùng được.

「Relay Transport」 có Auto, WebSocket và QUIC. Theo trang, Auto thử đồng thời QUIC và WebSocket rồi dùng kết nối relay thiết lập trước; chế độ cố định chỉ dùng giao thức đã chọn. Kiểm tra relay, mạng thiết bị, cổng thực tế và tường lửa trước khi chọn. Ưu tiên hoặc Auto không bảo đảm kết nối trên mạng bị hạn chế.

「On-demand connections」 thiết lập kết nối khi có lưu lượng giữa các nút và ngắt sau thời gian nhàn rỗi. Lần truy cập đầu sau khi kết nối lại có thể chậm ngắn; đánh giá nhu cầu và thử trên mạng, máy khách đích trước khi bật.

Quản lý DNS

1. Kiểm tra 「DNS Domain」 để tạo tên miền đầy đủ của nút. Theo trang, để trống khôi phục mặc định tích hợp zt.internal. Trước khi đổi, kiểm tra các tham chiếu tên cũ và nhập miền hợp lệ.
2. Chọn 「DNS Disabled Groups」 nếu cần. Nút thuộc bất kỳ nhóm truy cập được chọn nào không áp dụng quản lý DNS Zero Trust. Đổi thành viên cũng có thể thay đổi phạm vi bị ảnh hưởng. Nếu chọn nhóm All do hệ thống quản lý, mọi nút thành viên của nhóm đều thuộc phạm vi bị vô hiệu hóa; thành viên có thể thay đổi theo trạng thái nút. Hãy kiểm tra phạm vi ảnh hưởng và xác minh phân giải DNS trên thiết bị thử trước khi mở rộng thay đổi.
3. Máy chủ tên và vùng tùy chỉnh được cấu hình riêng; xem nhóm máy chủ DNS và vùng DNS. Tắt quản lý DNS không tắt mọi truy cập mạng; phân giải vẫn phụ thuộc môi trường thiết bị.

Lưu và xác minh

Khi lưu, trang gửi toàn bộ nhóm thiết lập trên trang, không chỉ các trường vừa thay đổi. Nếu quản trị viên khác đã lưu sau khi trang này được tải, việc lưu từ trang cũ có thể ghi đè thiết lập của họ. Hãy phối hợp trước khi thay đổi. Nếu nghi ngờ người khác đã sửa cấu hình, ghi lại nội dung chưa lưu, mở lại trang để lấy giá trị hiện tại, rồi kiểm tra và nhập lại thay đổi cần thiết. Kiểm tra toàn trang trước và sau khi lưu. Mở lại sẽ bỏ nội dung chưa lưu và không ngăn được thay đổi đồng thời xảy ra sau đó.

1. Lưu, kiểm tra thông báo và mở lại trang để xác nhận xác thực, dải, ưu tiên, truyền relay và phạm vi DNS thực tế. Nếu lưu lỗi, xử lý thông báo, không giả định đã áp dụng.
2. Trên thiết bị thử, xác minh riêng đăng nhập hoặc danh tính thiết bị, trạng thái nút và địa chỉ đường hầm. Thử kết nối trực tiếp hoặc relay theo cấu hình rồi kiểm tra truy cập nghiệp vụ.
3. Kiểm tra tên nút, phân giải DNS và giới hạn chính sách trên thiết bị bị ảnh hưởng. Các nút có thể nhận cấu hình khác thời điểm; một nút không đại diện toàn bộ.
4. Nếu kết quả khác dự kiến, kiểm tra toàn cục, ngoại lệ nút, kế hoạch địa chỉ, trạng thái trực tuyến, relay, mạng và tường lửa. Khôi phục hoặc điều chỉnh theo hồ sơ thay đổi và phê duyệt, rồi kiểm tra lại.

“Reset” trên trang chỉ hủy các thay đổi chưa lưu và khôi phục giá trị mà trang đã tải hoặc lưu gần nhất. Nút này không hoàn tác thay đổi đã lưu và không tự lấy thay đổi sau đó của quản trị viên khác. Để kiểm tra cấu hình hiện tại, hãy mở lại trang và xác nhận các giá trị hiển thị.