راهنماهاپیش‌نمایش
کنترل دسترسی
با تگ، گروه و grant تعیین کنید کدام کاربران و دستگاه‌ها به کدام دستگاه‌ها دسترسی دارند.
کنترل دسترسی تعیین می‌کند در یک شبکه چه کسی به چه چیزی دسترسی دارد. آن را با تگ‌ها، گروه‌ها و grantها توصیف می‌کنید، در ویرایشگر policy داشبورد می‌نویسید و پیش از ذخیره با تستر policy بررسی‌اش می‌کنید. بعد هر دستگاه خودش آن را اعمال می‌کند.
دسترسی چطور تعیین می‌شود
دسترسی همیشه باید صریحاً داده شود: اتصال فقط وقتی برقرار می‌شود که یک grant اجازه‌اش را بدهد. اگر هیچ grant اجازه‌ی اتصالی را ندهد، آن اتصال مسدود می‌شود.
policy شما روی دستگاه‌های شبکه‌تان اعمال می‌شود. شبکه‌های سازمان‌های دیگر کاملاً از شبکه‌ی شما جدا هستند.
برای اینکه ببینید شبکه‌تان همین حالا چه چیزهایی را اجازه می‌دهد، ویرایشگر policy را باز کنید یا از تستر policy بپرسید.
تگ‌ها
تگ نشان می‌دهد یک دستگاه برای چه کاری است؛ مثلاً server، database یا ci. grantها به‌جای تک‌تک دستگاه‌ها به تگ‌ها اشاره می‌کنند؛ پس سرور جدید به محض اینکه تگ بگیرد، دسترسی درستش را هم می‌گیرد.
دستگاه را در داشبورد تگ بزنید، یا با یک کلید احراز هویت تگ‌دار کاری کنید که در همان لحظه‌ی پیوستن به شبکه تگ‌هایش را بگیرد. کلیدهای تگ‌دار برای سرورها و خودکارسازی مناسب‌اند: هر دستگاهی که با این کلید به شبکه بپیوندد، تگ‌های کلید را می‌گیرد.
گروه‌ها
گروه مجموعه‌ای نام‌دار از کاربران است؛ مثلاً engineering یا support. grantهایی که به یک گروه اشاره می‌کنند همیشه بر اعضای فعلی آن گروه اعمال می‌شوند: کسی را به گروه اضافه کنید، دسترسی گروه را می‌گیرد؛ از گروه حذفش کنید، آن را از دست می‌دهد.
Grantها
grant به یک مبدأ اجازه می‌دهد به یک مقصد دسترسی داشته باشد. grantهایی که بر پایه‌ی گروه‌ها و تگ‌ها نوشته شوند، با آمدن و رفتن آدم‌ها و دستگاه‌ها همچنان درست کار می‌کنند.
| هدف | grant، به زبان ساده |
|---|---|
| مهندس‌ها به همه‌ی سرورها دسترسی داشته باشند | گروه engineering به دستگاه‌هایی که تگ server دارند دسترسی دارد. |
| CI به محیط production دسترسی داشته باشد | دستگاه‌هایی که تگ ci دارند به دستگاه‌هایی که تگ prod دارند دسترسی دارند. |
| پشتیبانی به دستگاه‌های helpdesk دسترسی داشته باشد | گروه support به دستگاه‌هایی که تگ helpdesk دارند دسترسی دارد. |
| کارمندها از نود خروجی استفاده کنند | گروه staff از طریق نودهای خروجی تأییدشده به internet دسترسی دارد. |
| همه به پرینترهای دفتر برسند | همه از طریق subnet router دفتر به زیرشبکه‌ی آن (cidr:10.0.0.0/24) دسترسی دارند. |
اعمال در هر دو سر اتصال
هر دو دستگاهِ یک اتصال policy را اعمال می‌کنند: هم دستگاهی که اتصال را شروع می‌کند و هم دستگاهی که آن را دریافت می‌کند. ترافیک فقط وقتی عبور می‌کند که هر دو طرف آن را مجاز بدانند؛ پس دستگاهی که اشتباه تنظیم شده یا به خطر افتاده، به‌تنهایی نمی‌تواند دسترسی تازه‌ای باز کند.
هر grant در همان جهتی کار می‌کند که نوشته شده. جواب‌های اتصالی که مجاز کرده خودشان برمی‌گردند، ولی دستگاه طرف مقابل بدون grantِ خودش نمی‌تواند اتصال تازه‌ای شروع کند: با grantی از laptop به server، لپ‌تاپ می‌تواند server را ping کند و جوابش را بگیرد، ولی server نمی‌تواند لپ‌تاپ را ping کند.
رله‌ها در این تصمیم نقشی ندارند. آن‌ها فقط بسته‌های رمزشده را جابه‌جا می‌کنند و هیچ‌وقت محتوایشان را نمی‌بینند.
پیش از ذخیره، تست کنید
تستر policy، پیش از ذخیره، برای policy در حال ویرایش به پرسش‌هایی مثل «آیا این کاربر به این دستگاه دسترسی دارد؟» جواب می‌دهد. هم دسترسی‌هایی را که اضافه می‌کنید تست کنید و هم، به همان اندازه مهم، دسترسی‌هایی را که باید مسدود بمانند.
تأییدها
بعضی تغییرها پیش از اعمال، به تأیید یکی از مدیرها نیاز دارند:
| چه چیزی | چه وقت تأیید لازم است |
|---|---|
| subnet routeها | همیشه. Subnet route را ببینید. |
| نودهای خروجی | همیشه. نود خروجی را ببینید. |
| دستگاه‌های جدید | اگر مدیر تأیید دستگاه را الزامی کرده باشد. |
| کاربران جدید | اگر مدیر تأیید کاربر را الزامی کرده باشد. |
روند کار
دستگاه‌ها را تگ بزنید
دستگاه‌ها را بر اساس نقششان در داشبورد تگ بزنید، یا سرورها را با کلیدهای تگ‌دار به شبکه اضافه کنید.
افراد را گروه‌بندی کنید
کسانی را که به دسترسی یکسانی نیاز دارند در یک گروه بگذارید.
grantها را بنویسید
در ویرایشگر policy داشبورد، به گروه‌ها و تگ‌ها اجازه‌ی دسترسی به تگ‌ها را بدهید.
تست کنید
موارد مهم را با تستر policy بررسی کنید؛ از جمله مواردی که باید مسدود بمانند.
ذخیره کنید
همه‌ی دستگاه‌ها policy جدید را اعمال می‌کنند و این تغییر در گزارش رویدادها ثبت می‌شود.