Cấu hình tuyến mạng Zero Trust

Trong Ping64, tuyến mạng cung cấp cho các thiết bị được chỉ định đường đến mạng hoặc miền đích qua nút định tuyến Zero Trust. Cần xác định riêng đích, nút định tuyến, phạm vi thiết bị nhận tuyến và chính sách truy cập. Lưu thành công không chứng minh thiết bị đã nhận cấu hình, nút chuyển tiếp được hoặc dịch vụ đích đã được cấp quyền và có thể truy cập.

Chuẩn bị

• Xác nhận quản trị viên có quyền quản lý nhóm truy cập, chính sách và tuyến Zero Trust. Chuẩn bị nút định tuyến kết nối Zero Trust và truy cập được mạng đích. Nếu dùng nhóm nút định tuyến, kiểm tra kết nối, khả năng đến đích và điều kiện chuyển tiếp của các nút ứng viên.
• Xác định mạng hoặc miền đích, thiết bị cần truy cập, giao thức và cổng dịch vụ. Kiểm tra tường lửa phía đích, chuyển tiếp của cổng mạng và đường về; thử trước với thiết bị được kiểm soát.
• Tuyến miền còn cần thiết bị phân giải được miền đích. DNS và tuyến được cấu hình riêng; xem Cấu hình nhóm máy chủ DNS.
• Kiểm tra tuyến, nhóm và chính sách hiện có, đánh giá tác động thay đổi. Phạm vi phân phối tuyến, chính sách truy cập và tường lửa đích có vai trò khác nhau, không thay thế nhau.

Chuẩn bị nhóm và chính sách truy cập

• Chính sách truy cập

1. Trong nhóm truy cập Zero Trust, trước hết kiểm tra thành viên nút thử nghiệm của nhóm nguồn hiện có và nhóm đích chính sách dùng cho tuyến, gồm mục đích và các tham chiếu. Dùng lại nhóm phù hợp mà không cần thêm lại thành viên. Chỉ khi cần, quản trị viên có quyền mới tạo nhóm hoặc thêm nút thử trong Endpoints ở chi tiết nhóm nguồn. Trước khi sửa nhóm hiện có, đánh giá ảnh hưởng đến cấu hình khác và nghiệp vụ.
2. Trong Zero Trust > Access Control > Policies, trước tiên kiểm tra trạng thái bật, nhóm hoặc nút nguồn, nhóm đích, hành động, hướng, giao thức và cổng của chính sách hiện có phù hợp. Xác nhận nhóm đích khớp nhóm đích chính sách dự định dùng cho tuyến. Có thể dùng lại chính sách phù hợp; chỉ khi cần tạo hoặc điều chỉnh, quản trị viên có quyền mới đánh giá ảnh hưởng và cấu hình theo chính sách truy cập.
3. Nếu có thay đổi, lưu chính sách và kiểm tra lại các cài đặt; không cần lưu lại khi không thay đổi. Để trống cổng TCP hoặc UDP nghĩa là tất cả cổng. Không kết hợp cổng đơn với dải cổng trong cùng chính sách, hoặc kết hợp * với cổng khác. Sau khi cấu hình tuyến, thử riêng thiết bị dự kiến được phép và không được phép, đồng thời kiểm tra các chính sách khác có thể áp dụng. Chỉ lưu thành công không chứng minh truy cập hoạt động.

Quan trọng: “Effective Scope” xác định thiết bị nhận tuyến; “Policy Target Groups” liên kết tuyến với chính sách truy cập. Để trống Policy Target Groups sẽ tạo quy tắc cho phép mặc định, không phải từ chối mặc định. Để hạn chế truy cập, chọn nhóm đích trong tuyến và xác nhận chính sách đang bật dùng cùng nhóm đích và nguồn dự kiến. Sau khi lưu vẫn phải kiểm tra truy cập thực tế, không dựa vào tên nhóm để kết luận quyền.

Effective Scope kiểm soát thiết bị nào nhận tuyến, nhưng không giới hạn nguồn của quy tắc cho phép mặc định đó vào các thiết bị trong phạm vi. Quy tắc mặc định không thu hẹp lưu lượng chuyển tiếp phù hợp theo nguồn, giao thức hoặc cổng. Khả năng truy cập thực tế vẫn phụ thuộc kết nối, biện pháp kiểm soát khác và mạng đích. Không chỉ dựa vào phạm vi phân phối để cô lập truy cập; hãy chọn nhóm đích chính sách và kiểm tra riêng các đường khác.

Kiểm tra lại sau khi đổi lựa chọn: Chuyển giao thức từ TCP hoặc UDP sang ALL hoặc ICMP sẽ xóa các cổng và dải cổng đã nhập. Khi chuyển lại sang TCP hoặc UDP, các giá trị không tự khôi phục; để trống có nghĩa là mọi cổng. Đổi loại nguồn hoặc đích cũng xóa lựa chọn ở phía tương ứng. Chọn tài nguyên mạng làm đích sẽ đổi hướng thành từ nguồn đến đích; không giả định thiết lập hai chiều trước đó được khôi phục khi đổi lại loại khác. Trước khi lưu, chọn lại đối tượng và kiểm tra giao thức, cổng và hướng để tránh vô tình mở rộng hoặc thay đổi phạm vi truy cập.

Phần giao giữa phạm vi phân phối và nguồn chính sách: Khi tuyến chọn nhóm đích chính sách, hãy kiểm tra đồng thời thiết bị có thuộc phạm vi phân phối tuyến và có đáp ứng nguồn cùng điều kiện kiểm tra bảo mật của chính sách liên quan hay không. Chỉ đáp ứng một điều kiện không chứng minh chính sách cho phép truy cập qua tuyến đó. Ví dụ, tuyến phân phối cho “thiết bị thử nghiệm”, nguồn chính sách là “nhóm phát triển”, còn đích là nhóm được chọn trên tuyến. Thiết bị phải thuộc cả hai nhóm đầu mới có thể nằm trong phạm vi chính sách, đồng thời vẫn phải vượt qua kiểm tra bảo mật áp dụng và đáp ứng giao thức, cổng. Không coi thiết bị chỉ thuộc một trong hai nhóm là đã phù hợp chính sách này. Tên nhóm chỉ là ví dụ, không phải mặc định; chính sách khác, kết nối và đường mạng vẫn có thể ảnh hưởng kết quả và cần được kiểm tra riêng.

Tạo tuyến

1. Trong Zero Trust, mở trang tuyến và chọn “Create Route”. Nhập tên mạng và mô tả cần thiết. Tên dài từ 1 đến 40 ký tự chữ, số, gạch dưới hoặc gạch nối; đầu và cuối là chữ hoặc số, không kết thúc bằng -v6.
2. Chọn đích: tuyến mạng dùng CIDR IPv4 như 10.20.30.0/24; địa chỉ IPv4 đơn có thể dùng /32. Tuyến miền cần một hoặc nhiều miền hợp lệ, không trùng nhau. Miền phải có ít nhất một dấu chấm; không chấp nhận ký tự đại diện *.example.com, giao thức, cổng hoặc đường dẫn. Kiểm tra trùng lặp không phân biệt chữ hoa và chữ thường. Thẻ trong giao diện tiếng Anh là “Route Settings”.
3. Chọn một nút định tuyến hoặc một nhóm truy cập nút định tuyến, không chọn đồng thời cả hai. Xác nhận các nút ứng viên kết nối Zero Trust, đến được đích và đáp ứng điều kiện chuyển tiếp.
4. Trong “Effective Scope”, chọn ít nhất một nhóm truy cập nhận tuyến và kiểm tra thành viên nút. Trong phần kiểm soát truy cập, chọn nhóm đích chính sách đã chuẩn bị và kiểm tra lại nguồn, đích của chính sách. Thẻ này là “Access Control”.
5. Trong cài đặt nâng cao, kiểm tra tự động áp dụng, giữ tuyến và giả mạo địa chỉ theo nhu cầu. Sau khi lưu, kiểm tra đích, nút, phạm vi và trạng thái trong danh sách; chờ nhận cấu hình rồi xác minh truy cập. Thẻ “Advanced Settings” có “Auto Apply”, “Keep Route” và “Masquerade”.

Ví dụ: dùng 10.20.30.0/24 làm đích, chọn nút đến được mạng này, đưa thiết bị thử vào phạm vi áp dụng và hạn chế bằng nhóm đích cùng chính sách chỉ cho phép giao thức, cổng cần thiết. Đây là ví dụ, không phải mặc định; kết quả còn phụ thuộc kết nối, chính sách, dịch vụ và mạng.

Nhiều nút định tuyến và kiểm tra sự cố: Khi dùng nhóm truy cập nút định tuyến, hãy xác nhận riêng từng nút ứng viên có thể chuyển tiếp và truy cập dịch vụ đích. Việc chọn đường của thiết bị chịu ảnh hưởng của trạng thái kết nối nút và điều kiện tuyến. Nút hiển thị trực tuyến không chứng minh đường tới dịch vụ đích hoạt động, cũng không bảo đảm tự động chuyển khi dịch vụ đích gặp sự cố. Theo quy trình bảo trì đã phê duyệt, kiểm tra riêng trong môi trường thử nghiệm trường hợp nút mất kết nối và trường hợp nút vẫn trực tuyến nhưng không tới được đích. Xác minh đường dự phòng, các phiên nghiệp vụ hiện có và kết quả khôi phục; không hứa chuyển đổi không gián đoạn hoặc hoàn thành trong thời gian cố định.

Tuyến miền và địa chỉ dùng chung: Tuyến miền cung cấp đường truy cập, không phải danh sách cho phép giới hạn truy cập nghiêm ngặt theo tên miền. Trên một số đường đi của thiết bị đầu cuối, tuyến được tạo dựa trên địa chỉ IP phân giải từ miền đã cấu hình. Ví dụ, nếu app.example.com và reports.example.com cùng phân giải tới một địa chỉ, kết nối bằng tên còn lại hoặc trực tiếp tới địa chỉ đó cũng có thể dùng tuyến này. Kết quả phụ thuộc vào thiết bị, DNS, các tuyến khác và kiểm soát mạng; ví dụ không bảo đảm truy cập được dịch vụ đích. Cấu hình chính sách truy cập, xác thực dịch vụ đích và tường lửa theo nhu cầu. Trong môi trường thử nghiệm được phép, kiểm tra riêng miền đã cấu hình, các miền khác dùng chung địa chỉ và truy cập IP trực tiếp; đồng thời kiểm tra cách ứng dụng thực tế phân giải tên.

Cấu hình nút thoát

Nút thoát cung cấp tuyến IPv4 mặc định 0.0.0.0/0 cho phạm vi đích rộng, khác với tuyến chỉ dành cho mạng hoặc miền xác định. Trước khi bật, đánh giá lưu lượng nghiệp vụ, năng lực nút thoát, bảo mật và các tuyến hiện có. Tạo thành công không chứng minh mọi lưu lượng đều qua nút thoát.

1. Theo phần chuẩn bị nhóm và chính sách ở trên, cấu hình nhóm nguồn và chính sách truy cập cho giao thức, cổng cần thiết của thiết bị thí điểm. Chuẩn bị nút thoát có thể kết nối Zero Trust, chuyển tiếp và đến được đích; kiểm tra tường lửa và đường về.
2. Trong Zero Trust > Routes, chọn Create Exit Node, nhập tên và mô tả, chọn một nút hoặc nhóm nút và ít nhất một nhóm truy cập thí điểm làm phạm vi áp dụng.
3. Trong kiểm soát truy cập, chọn nhóm đích được chính sách sử dụng. Để trống tạo quy tắc cho phép mặc định trên nút định tuyến, không phải từ chối mặc định. Kiểm tra Auto Apply và các cài đặt khác, lưu rồi kiểm tra trạng thái, nút và phạm vi.
4. Chờ thiết bị nhận cấu hình, kiểm tra riêng truy cập được phép và không được phép, rồi xác minh đường thực tế tại nút thoát và đích. Khi nhiều nút tự động áp dụng mà thiết bị chưa chọn rõ ràng, không giả định hệ thống chọn theo thứ tự danh sách; kiểm tra trạng thái thiết bị theo quy trình tổ chức.

Nút thoát IPv4 không có nghĩa tuyến IPv6 mặc định tự được phân phối hoặc mọi lưu lượng IPv6 đều qua nút thoát. Tuyến cụ thể hơn, cấu hình thiết bị, ứng dụng và điều kiện mạng cũng ảnh hưởng đường thực tế. Cấu hình và thử riêng hạn chế đối với đường khác; không chỉ dựa vào công tắc nút thoát.

Cài đặt nâng cao

• Tự động áp dụng: Ban đầu bật khi tạo tuyến. Công tắc này không quyết định việc máy chủ phân phối tuyến tới thiết bị trong phạm vi áp dụng. Tuyến mạng và miền thông thường vẫn có thể được chọn khi công tắc tắt nếu thiết bị chưa loại trừ rõ ràng. Việc chọn tuyến mặc định còn phụ thuộc lựa chọn trên thiết bị và các tuyến mặc định khác. Không coi việc tắt công tắc là hạn chế truy cập hay thu hồi tuyến. Để thu hồi, hãy tắt tuyến hoặc điều chỉnh phạm vi áp dụng, rồi xác minh kết quả cùng chính sách truy cập, các đường khác và trạng thái thực tế của thiết bị.
• Giữ tuyến: Khi kết quả phân giải miền thay đổi, tiếp tục giữ tuyến đến IP không còn được trả về. Đánh giá rủi ro địa chỉ cũ vẫn có thể được truy cập trước khi bật. Ban đầu tắt.
• Giả mạo địa chỉ: Dùng địa chỉ nút định tuyến khi chuyển tiếp, có thể giảm nhu cầu thêm tuyến về ở mạng đích. Địa chỉ nguồn phía đích nhìn thấy có thể thay đổi. Ban đầu bật; vẫn cần kiểm tra chuyển tiếp, tường lửa và đường về thực tế.

Kiểm tra khớp và điều chỉnh thứ tự

1. Trong Zero Trust > Routes, chọn Test Routes, nhập địa chỉ IPv4, IPv4 CIDR hoặc tên miền chính xác rồi kiểm tra. 10.20.30.15 và app.example.com là ví dụ, không phải mặc định.
2. Xem tuyến, đích, nút, ưu tiên và lý do khớp. Công cụ kiểm tra các tuyến đang bật được trang tải: địa chỉ phải nằm trong mạng, còn CIDR phải được bao phủ hoàn toàn. Tên miền phải khớp chính xác, không được phân giải sang IP trước và miền con không tự khớp miền cha. Phân loại danh sách không giới hạn phạm vi kiểm tra.
3. Kết quả chỉ thể hiện thứ tự khớp cấu hình, không xác minh phạm vi thiết bị, chính sách truy cập, DNS, trạng thái nút hay kết nối nghiệp vụ. Không có kết quả cũng không chứng minh thiết bị không có đường mạng khác. Tiếp tục kiểm tra truy cập thực tế bên dưới.
4. Để đổi thứ tự, dùng tài khoản có quyền ghi, chuyển sang All, kéo dòng tuyến và chờ lưu. Việc này có thể cập nhật ưu tiên của nhiều tuyến. Nếu thất bại, tải lại và kiểm tra từng tuyến; không giả định mọi thay đổi đã được hoàn tác. Thứ tự cấu hình không bảo đảm đường thiết bị thực sự chọn; cần xác minh phạm vi, nút và mạng thiết bị.

Xác minh, thay đổi và khắc phục

1. Xác nhận tuyến đang bật, đích, phạm vi nhận và nút định tuyến đúng; kiểm tra kết nối và việc nhận cấu hình của thiết bị và nút.
2. Trước hết kiểm tra từ nút định tuyến có đến được dịch vụ đích không. Với tuyến miền, kiểm tra thêm phân giải trên thiết bị và dịch vụ có lắng nghe giao thức, cổng cần thiết không.
3. Thử truy cập từ thiết bị dự kiến được phép và thử giới hạn từ thiết bị không được phép. Nếu kết quả khác dự kiến, kiểm tra nhóm đích có để trống không, nguồn và đích chính sách, giao thức, cổng và các chính sách khác.
4. Nếu nút đến được đích nhưng thiết bị không truy cập được, kiểm tra phân phối tuyến, chuyển tiếp của nút, tường lửa đích và đường về. Khi dùng giả mạo địa chỉ, kiểm tra thêm cài đặt đó và nguồn nhìn thấy ở đích.
5. Trước khi sửa, tắt hoặc xóa tuyến, ghi lại cấu hình và đánh giá dịch vụ phụ thuộc. Sau khi thay đổi trong danh sách, kiểm tra lại việc phân phối và cả truy cập được phép lẫn bị từ chối. Lưu thành công không chứng minh kết nối hay cách ly thực tế.