Quản lý tài nguyên mạng Zero Trust

Tài nguyên mạng mô tả đích mà kiểm soát truy cập tham chiếu, như mạng IPv4, máy chủ hoặc miền. Tạo đối tượng chỉ định nghĩa đích, không tự tạo tuyến, cấu hình DNS hay cấp quyền. Cần xác minh riêng đường mạng, chính sách và dịch vụ đích.

Nếu tài nguyên, nhóm truy cập và chính sách truy cập đang bật hiện có đã đáp ứng yêu cầu về đích, nguồn, giao thức, cổng, hành động, hướng và kiểm tra bảo mật, hãy dùng lại và kiểm tra, xác minh trực tiếp; không cần tạo lại cho mỗi lần truy cập. Các bước tạo bên dưới áp dụng khi thực sự cần thêm hoặc điều chỉnh. Trước khi thay đổi, hãy kiểm tra các tham chiếu khác và ảnh hưởng đến tuyến.

Chuẩn bị

• Dùng tài khoản có quyền cần thiết với tài nguyên, nhóm và chính sách Zero Trust. Xóa tài nguyên có thể cần quyền khác với tạo và sửa.
• Xác định mạng, địa chỉ hoặc miền thực tế, nút cần truy cập, giao thức và cổng nghiệp vụ. Giá trị trong bài chỉ minh họa định dạng, không dùng nguyên xi trong môi trường sản xuất.
• Kiểm tra tài nguyên, nhóm và chính sách hiện có để tránh trùng lặp hoặc mở rộng truy cập. Với mạng từ xa, lập kế hoạch tuyến mạng, tường lửa đích và đường về; với miền, kiểm tra thiết bị phân giải được tên.
• Thử trước trên nút được kiểm soát, chuẩn bị kiểm tra được phép và không được phép. Lưu, phân phối và kết nối nghiệp vụ là các trạng thái khác nhau.

Tạo tài nguyên

1. Trong Zero Trust, mở Resource và chọn Create, hoặc chọn Create Resource Object khi danh sách trống.
2. Nhập 「Name」, chọn 「Type」 và nhập 「Value」. Tên và giá trị bắt buộc:
   • CIDR: mạng IPv4 và tiền tố, ví dụ 192.0.2.0/24, theo kế hoạch mạng.
   • HOST: một IPv4 hoặc tên máy chủ, ví dụ 192.0.2.10 hoặc files.example.com.
   • DOMAIN: tên miền đầy đủ như service.example.com. Biểu mẫu hiện không chấp nhận ký tự đại diện *.
3. Kiểm tra 「Enabled」. Trang mô tả tùy chọn cho phép chính sách dùng tài nguyên; ban đầu bật khi tạo, nhưng cần xác nhận theo kế hoạch thay đổi.
4. Lưu và kiểm tra tên, loại, giá trị và trạng thái trong danh sách. Nếu thất bại, kiểm tra trường bắt buộc và định dạng theo loại dựa trên thông báo. Sau khi lưu, hãy kiểm tra loại và giá trị trong danh sách: nền tảng nhận dạng lại loại theo giá trị đích. Ví dụ, nhập files.example.com dưới dạng HOST có thể hiển thị thành DOMAIN sau khi lưu; địa chỉ IPv4 được nhận dạng là địa chỉ máy chủ. Hãy kiểm tra lại cả sau khi sửa. Việc đổi loại không chứng minh tên đã phân giải hay đích truy cập được; vẫn cần xác minh DNS, tuyến và truy cập nghiệp vụ.

Cấu hình truy cập tài nguyên

• Chính sách truy cập

Trước hết kiểm tra thành viên nhóm nguồn hiện có và chính sách đã bật có đáp ứng yêu cầu về tài nguyên, nguồn, hành động, hướng, giao thức, cổng và kiểm tra bảo mật hay không. Nếu phù hợp, không cần thay đổi: bỏ qua bước 1 đến 4 và xác minh sau khi kiểm tra tuyến, DNS cùng các điều kiện khác. Chỉ quản trị viên có quyền mới thực hiện thay đổi cần thiết; khi sửa chính sách hiện có, mở trang chỉnh sửa và làm theo các bước liên quan dưới đây.

1. Chỉ khi cần tạo nhóm nguồn hoặc thêm thành viên: Trong 「Access Groups」 của kiểm soát truy cập Zero Trust, tạo hoặc chọn nhóm nguồn. Mở chi tiết, chọn 「Add Endpoints」, chọn nút thử và xác nhận. Kiểm tra tham chiếu khác trước khi sửa nhóm hiện có.
2. Chỉ khi cần chính sách mới: Trên trang chính sách, chọn “Create” nếu đã có chính sách, hoặc “Create Policy” nếu danh sách trống. Trong 「Policies」 tạo chính sách, nhập tên và mô tả cần thiết. Tại 「Sources」 chọn nhóm hoặc nút, tại 「Destinations」 chọn 「Network resource」 và tài nguyên phù hợp.
3. Chỉ khi tạo hoặc sửa chính sách: Chọn 「Accept」 hoặc 「Drop」 cùng giao thức nghiệp vụ. Với TCP hoặc UDP, nhập cổng hoặc dải hợp lệ. Để trống là mọi cổng, giá trị từ 1 đến 65535; xác nhận nhập theo hướng dẫn. Khi đích là tài nguyên mạng, không thể đổi hướng, hãy theo hiển thị. Không trộn cổng riêng lẻ với dải cổng trong cùng một chính sách, hoặc kết hợp * với cổng khác. Giao diện chấp nhận nhập không bảo đảm lưu thành công. Nếu cần cả hai, hãy cân nhắc tạo chính sách riêng và kiểm chứng tác động kết hợp đối với truy cập thực tế.
4. Nếu đã sửa chính sách: Lưu và kiểm tra chính sách bật, nguồn và đích đúng. Nếu cần tuyến hoặc DNS, cấu hình riêng và xác nhận dịch vụ đích có thể truy cập. Lưu không chứng minh đã phân phối hoặc dịch vụ sẵn sàng.
5. Chờ nút nhận cấu hình, rồi thử riêng từ nút được phép và không được phép. Kiểm tra chính sách khác và tường lửa đích.

Cũng có thể chọn 「Bind Network Resources」 trong chi tiết nhóm để đưa tài nguyên hiện có vào nhóm cho cấu hình tham chiếu nhóm. Liên kết không tự cấp quyền; kiểm tra tham chiếu trước khi sửa thành viên.

Ví dụ, tạo HOST giá trị 192.0.2.10, đưa nút thử vào nhóm nguồn và tạo chính sách cho phép nhóm truy cập bằng TCP cổng 443. Đây là ví dụ, không phải mặc định; kết quả còn phụ thuộc tuyến, chính sách khác, dịch vụ và mạng. Xem Nhóm và chính sách truy cập.

Lưu ý tuyến: kiểm tra nút định tuyến và phạm vi nhận. Để trống 「Policy Target Groups」 tạo quy tắc cho phép mặc định, không phải từ chối mặc định. Nếu cần hạn chế, chọn nhóm đích phù hợp và thử truy cập thực tế.

Nếu truy cập tài nguyên này qua tuyến mạng thông thường trong hướng dẫn, không coi chính sách chọn trực tiếp “Network resource” làm đích là chính sách nhóm đích của tuyến. Hãy tạo hoặc chọn riêng nhóm truy cập đích và tạo chính sách đã bật với nguồn dự kiến và nhóm đó làm đích; chọn cùng nhóm trong nhóm đích chính sách của tuyến. Kiểm tra giao thức, cổng rồi thử riêng truy cập được phép và không được phép theo hướng dẫn tuyến. Không để trống nhóm đích để giảm cấu hình vì lựa chọn trống tạo quy tắc cho phép mặc định.

Đường truy cập riêng của tài nguyên còn phụ thuộc mạng liên kết và các nút định tuyến đã bật; tạo tài nguyên hoặc tuyến thông thường không tự thiết lập đường đó. Không giả định chính sách từ chối chỉ nhắm vào tài nguyên sẽ ghi đè các quy tắc cho phép khác trên tuyến thông thường. Nếu chưa rõ đường đi hoặc giới hạn, hãy nhờ quản trị viên hay hỗ trợ kỹ thuật kiểm tra và thử riêng từng đường truy cập thực tế.

Kiểm tra lại sau khi đổi lựa chọn: Chuyển giao thức từ TCP hoặc UDP sang ALL hoặc ICMP sẽ xóa các cổng và dải cổng đã nhập. Khi chuyển lại sang TCP hoặc UDP, các giá trị không tự khôi phục; để trống có nghĩa là mọi cổng. Đổi loại nguồn hoặc đích cũng xóa lựa chọn ở phía tương ứng. Chọn tài nguyên mạng làm đích sẽ đổi hướng thành từ nguồn đến đích; không giả định thiết lập hai chiều trước đó được khôi phục khi đổi lại loại khác. Trước khi lưu, chọn lại đối tượng và kiểm tra giao thức, cổng và hướng để tránh vô tình mở rộng hoặc thay đổi phạm vi truy cập.

Sửa, tắt và xóa

1. Trong danh sách, chọn sửa để thay đổi tên, loại, giá trị hoặc trạng thái bật; kiểm tra hiển thị sau khi lưu.
2. Trước khi sửa hoặc tắt, kiểm tra tham chiếu của nhóm, chính sách và cấu hình nghiệp vụ, ghi lại cài đặt và đánh giá ảnh hưởng. Sau phân phối, thử riêng nút được phép và không được phép.
3. Trước khi xóa, xác nhận phụ thuộc, quyền và phương án khôi phục; chọn xóa và xác nhận. Nếu thất bại, kiểm tra thông báo, quyền và tham chiếu, không vượt qua giới hạn.

Vấn đề thường gặp

• Không lưu được giá trị: kiểm tra tên, giá trị và định dạng theo loại. CIDR cần IPv4 và tiền tố; HOST là IPv4 hợp lệ hoặc tên máy chủ; DOMAIN là tên đầy đủ không có giao thức, đường dẫn hay ký tự đại diện.
• Thiếu tài nguyên trong chính sách: kiểm tra đã lưu và bật, quyền, loại đích và lựa chọn tài nguyên hoặc nhóm.
• Vẫn không truy cập được: kiểm tra riêng nguồn và đích chính sách, giao thức và cổng, tuyến, DNS, dịch vụ, tường lửa và trạng thái nút. Tài nguyên không thay thế đường mạng hay quyền.
• Ảnh hưởng người dùng khác: kiểm tra nhóm và chính sách dùng tài nguyên, khôi phục hoặc điều chỉnh theo hồ sơ thay đổi và quy trình tổ chức, rồi thử lại quyền và giới hạn.