تكوين سياسة اتصال العميل

تناقش هذه المقالة كيفية تكوين القواعد لسياسة اتصال العميل كجزء من تنفيذ وتطبيق الوصول إلى الشبكة بدون ثقة (ZTNA) في حساب Cato الخاص بك.

لمزيد من المعلومات، انظر ما هي سياسة اتصال العميل؟.

نظرة عامة

استخدم سياسة اتصال العميل لتطبيق متطلبات سياسة ZTNA الخاصة بك والتي يقوم بها عميل Cato على الأجهزة للمستخدمين، مثل: وضعة الجهاز وفحوصات الأمن، مستوى الثقة، نظام تشغيل الجهاز، وأكثر. إذا فشل الجهاز في الامتثال للسياسة التي تم تعيينها للملف الشخصي، فلن يتمكن المستخدم من الاتصال بـ كاتو كلاود.

على سبيل المثال، يمكنك السماح فقط للمستخدمين البعيدين بالوصول إلى الموارد الداخلية عندما يكونون متوافقين مع السياسات الفردية للجهاز. يمكن أن يعزز هذا مستوى الثقة لديك في الأجهزة المتصلة بمواردك الداخلية.

يمكنك أيضًا استخدام سياسة اتصال العميل لتوفير وصول آمن إلى الإنترنت عن بعد للمستخدمين بعد المصادقة لمرة واحدة. لمزيد من المعلومات، انظر الأمان عبر الإنترنت عن بعد مع التحقق من الهوية لمرة واحدة.

فهم الإجراءات

تعرف عملية الإجراء بمستوى الوصول الممنوح للمستخدم. الإجراءات هي:

• السماح بالوصول إلى WAN والإنترنت: المستخدم لديه وصول آمن إلى الإنترنت ويمكنه الوصول إلى الشبكة الخاصة (WAN)
  ملاحظة: هذا الخيار يمنح المستخدم إذنًا للوصول إلى الشبكة الخاصة (WAN). يعتمد وصول المستخدم إلى الشبكة الخاصة (WAN) على القواعد الموجودة في جدار الحماية للشبكة الواسعة (WAN Firewall).

• السماح فقط بالإنترنت: لدى المستخدم وصول آمن إلى الإنترنت فقط ولا يمكنه الوصول إلى الشبكة الخاصة (WAN)

  يتضمن هذا الإجراء أيضًا الخيار لإنهاء الجلسات النشطة لـ WAN. يتم تطبيق هذا الخيار عندما يكون المستخدم عن بعد قد تم السماح له مسبقًا بالوصول إلى شبكة المنطقة الواسعة (WAN) بموجب قاعدة واحدة، ولكن الوضع يتغير بحيث تنطبق فقط قاعدة تسمح بالوصول إلى الإنترنت. في هذه الحالة، يمكنك اختيار ما إذا كنت ستنهي الجلسات النشطة للمستخدم البعيد في شبكة المنطقة الواسعة (WAN).

  على سبيل المثال، يتم منح مستخدم بعيد الوصول إلى شبكة المنطقة الواسعة بناءً على مستوى ثقته. إذا تغير هذا الشرط فيما بعد، مثل انتهاء صلاحية الرمز المميز، فلن يُسمح للمستخدم البعيد بعد ذلك بالوصول إلى شبكة المنطقة الواسعة. هذا الإعداد يحدد ما إذا كانت الجلسات الحالية لـ WAN قد تم قطع الاتصال بها.
  ملاحظة: هذا الخيار يمنح إذنًا للمستخدم للوصول إلى الإنترنت. يعتمد وصول المستخدم إلى الإنترنت على القواعد الموجودة في جدار حماية الإنترنت (Internet Firewall).

• حظر WAN وInternet: المستخدم محجوب من الوصول إلى الإنترنت وWAN

  يتم دائمًا إنهاء الجلسات الحالية لـ WAN بمجرد أن يوافق المستخدم على قاعدة ذات هذا الإجراء.

المتطلبات السابقة

تُدعم فحوصات الأجهزة لعملاء Windows وmacOS. لمزيد من المعلومات حول المتطلبات لكل فحص، انظر إنشاء ملفات تعريف هيئة الجهاز وفحوصات الجهاز.

التحضير لتنفيذ سياسة اتصال العميل

الهدف من السياسة هو الوثوق فقط بالأجهزة التي تطابق السياسة. لذلك، عرّف القواعد التي تحظر جميع الأجهزة غير الموثوقة بحيث لا يُسمح لها بالاتصال بالشبكة.

قبل تمكين سياسة اتصال العميل، تأكد من أنك قررت كيفية التعامل مع المستخدمين الذين يستخدمون العملاء وأنظمة التشغيل غير المدعومة. هل ترغب في السماح لهؤلاء المستخدمين بالاتصال بحسابك؟ على سبيل المثال، المستخدمون الذين يستخدمون عملاء Linux أو عميل Windows الإصدار 4.7 وما قبله.

ميزات سياسة الاتصال المدعومة

• إعداد الفحوصات لمجموعة متنوعة من بائعي برامج مكافحة الفيروسات والجدار الناري على نقاط النهاية، للتأكد من تثبيت البرامج ذات الصلة وتشغيلها للسماح بالوصول عن بعد مع العميل.

• نوصي بعدم تمكين الاتصال الدائم باستخدام الفحوصات في الوقت الحقيقي، لأنه إذا فشل الجهاز في تلبية متطلبات السياسة، فقد يستقطع العميل الاتصال بالشبكة فجأة. يمكن أن يوفر هذا تجربة سيئة للمستخدم.

  يمكنك مراجعة قائمة الموردين والإصدارات المدعومة لعمليات التحقق في الوقت الحقيقي هنا.

• سياسة الاتصال هي سياسة مرتبة، لذلك يمكنك إضافة مستخدمين إلى ملفات تعريف متعددة أو قواعد. ومع ذلك، يتم تطبيق القاعدة المطابقة الأولى على المستخدم.

سياسة اتصال العميل والسياسة الدائمة في المكتب

تناقش هذه القسم استخدام سياسة اتصال العميل عند تطبيق سياسة دائمة خلف الموقع وتتطلب من المستخدمين التحقق من الهوية حتى عند وجودهم في المكتب.

عند وجود العملاء في وضع المكتب، يستخدم العميل نفق الموقع لإرسال حركة البيانات إلى سحابة كاتو بدلاً من إنشاء نفق بيانات جديد وإرسال حركة البيانات داخل نفق. في هذا الوضع، ينشئ العميل نفق تحكم فقط إلى سحابة كاتو، بينما يتم توجيه كل حركة البيانات عبر النفق الموجود للموقع.

إعداد التصديق مطلوب في المكتب دائم التشغيل يتحكم فيما إذا كان يجب على العميل التصديق أثناء التشغيل في وضع المكتب. ينطبق هذا الإعداد فقط على عملاء Windows. العملاء الذين يستخدمون أنظمة تشغيل أخرى يتطلبون دائمًا التصديق في المكتب، بغض النظر عن هذا الإعداد.

• تذكر أن سياسة اتصال العميل ستحتاج إلى السماح لهؤلاء المستخدمين بالاتصال إما بـ WAN أو الإنترنت، حتى عند وجود الجهاز في المكتب خلف موقع.

• إذا دخل العميل في وضع تجاوز الدائم، يتم تطبيق سياسة الجدار الناري لـ WAN والإنترنت الخاصة بالموقع على المستخدم. قد تكون هذه السياسة مختلفة عما يتم فرضه عند توصيل المستخدم عن بعد.

• نظرًا لأن هذا التصديق ينطبق فقط على نفق التحكم، إذا فشلت عملية التصديق أو انتهت صلاحية رمز التصديق، تُنفَّذ فقط القواعد التي تحظر كل شيء في سياسة اتصال العميل.

  • القواعد التي تحظر الوصول إلى WAN بينما تسمح بالوصول إلى الإنترنت لا تُنفَّذ في وضع المكتب.

  • نتيجة لذلك، تتأثر حركة البيانات فقط إذا أسقطت سياسة اتصال العميل نفق التحكم تمامًا بمطابقة قاعدة حظر كل شيء.

لمزيد من المعلومات، انظر حماية المستخدمين بالأمان الدائم.

تكوين سياسة اتصال العميل وإعداداتها

تشرح هذه القسم كيفية إنشاء سياسة اتصال العميل وإضافة ملف تعريف أو أكثر إلى كل قاعدة.

إنشاء سياسة اتصال العميل

سياسة اتصال العميل هي قاعدة منظمة، وكل قاعدة تحدد نطاق المستخدمين الذين تنطبق عليهم، بما في ذلك: تحديد الموقع الجغرافي (الدول)، ونظام تشغيل الجهاز. عندما يطابق المستخدمون أو المجموعات القاعدة، يقوم Cato Cloud بإدارة الاتصال كما يلي:

• عند تحقيق متطلبات ملف تعريف الجهاز لقاعدة معينة، يُسمح لها بالاتصال بحسابك.

• عندما لا تستوفي متطلبات ملف تعريف الجهاز لقاعدة معينة، يستمر سحابة كاتو في فحص الوضع وفقًا للقواعد ذات الأولوية الأدنى في السياسة.

• الجهاز لأي مستخدم أو مجموعة لا تتطابق مع أي قاعدة يتم حظره بواسطة القاعدة النهائية الضمنية للسياسة (أي حظر).

لإنشاء القواعد لسياسة اتصال العميل:

1. من قائمة التنقل، انقر فوق الوصول > سياسة اتصال العميل.

2. انقر على جديد.

   تفتح واجهة القاعدة الجديدة.

3. اضبط نطاق القاعدة:

   1. حدد المستخدمين/المجموعات، مستوى الثقة، المنصات، نطاق IP لمزود الخدمة العام، مصدر الاتصال و البلدان لهذه القاعدة.

4. قم بتوسيع قسم ملفات تسجيل وضعية الجهاز، واختر الملفات لهذه القاعدة.

   إذا تم تضمين ملفات تعريف متعددة في قاعدة سياسة واحدة، فهناك OR ضمني بينها.

   ملاحظة: اختيار أي ملف تعريف وضعة الجهاز يعني عدم تضمين أي ملفات تعريف وضعة الجهاز في القاعدة.

5. اختر الإجراء للقاعدة. لمزيد من المعلومات حول الإجراءات المتاحة، انظر الأمان عبر الإنترنت عن بعد مع التحقق من الهوية لمرة واحدة.

6. انقر على تطبيق.

7. كرر الخطوات من 2-5 لكل قاعدة في سياسة اتصال العميل.

8. قم بتمكين سياسة اتصال العميل ثم انقر على حفظ.

   يكون شريط التحكم أخضر عند تمكين القاعدة، ورمادي عند تعطيل القاعدة.

عينة من سياسة اتصال العميل

تعرض هذه القسم مثالاً على سياسة اتصال العميل وكيفية تطبيق القواعد.

1. نطاق القاعدة 1 هو مجموعات البحث والتطوير لأفريقيا وأوروبا مع الأجهزة التي تعمل بنظام Windows.

   • عندما يحاول هؤلاء المستخدمون الاتصال بسحابة Cato، يُسمح لهم بالاتصال فقط إذا استوفوا متطلبات ملف تعريف RnD لأفريقيا أو ملف تعريف RnD لأوروبا.

     خلاف ذلك، يتحقق النظام من المستخدم والجهاز للقاعدة 2.

2. نطاق القاعدة 2 هو مجموعات البحث والتطوير لأفريقيا وأوروبا مع الأجهزة التي تعمل بنظام Windows والتي لم تستوفِ متطلبات ملف تعريف وضعة الجهاز في القاعدة 1.

   • عندما يحاول هؤلاء المستخدمون الاتصال بسحابة كاتو، يتطابقون مع ملف تعريف وضع الجهاز أي، ويتم حظرهم. لا يمكنهم الاتصال بسحابة كاتو.

   • القاعدة 2 لا تنطبق على المستخدمين الذين ليسوا أعضاء في مجموعات RnD لأفريقيا وأوروبا، ويستمر هؤلاء المستخدمون مع القاعدة 3.

3. نطاق القاعدة 3 هو أي مستخدم أو مجموعة مستخدمين الذين لديهم أجهزة تعمل بنظام Windows.

   عندما يحاول المستخدمون الاتصال بسحابة Cato، يُسمح لهم فقط بالاتصال بالإنترنت وليس بـ WAN إذا استوفوا متطلبات ملف تعريف العينة.

   خلاف ذلك، يتم حظر المستخدمين بواسطة القاعدة الضمنية النهائية لحظر (ANY ANY Block).

تجربة المستخدم مع وضعة الجهاز

عندما تطابق الأجهزة الفحوصات الأمنية، يمكنها الاتصال بسحابة Cato، وتجربة المستخدم هي أن العميل يظهر أنه متصل. هذه هي نفس تجربة المستخدم عندما لا توجد سياسة وضعة الجهاز للحساب.

عندما يفشل الجهاز في مطابقة الفحص الأمني، لا يتصل العميل بسحابة Cato، ويعرض العميل رسالة خطأ للمستخدم. إذا فشل الجهاز في التحقق الدوري بعد اتصال العميل، ينقطع اتصال العميل وتظهر نفس رسالة الخطأ.

هذا مثال على رسالة الخطأ:

انقر على التفاصيل لعرض المتطلبات المحددة التي لا يفي بها الجهاز. يتم أيضًا توليد حدث يوضح نفس التفاصيل.

تجربة المستخدم مع إصدارات العميل غير المدعومة

عند إنشاء سياسة اتصال العميل لنظام التشغيل، نوصي بشدة بأن تتأكد من أن جميع العملاء المثبتين على جميع الأجهزة تم ترقيتهم إلى الحد الأدنى للنسخة المدعومة للعميل. بالنسبة للقواعد التي لا تسمح بالوصول للإصدارات الأقدم (غير المدعومة) من العميل، هذه هي تجربة المستخدم النهائي:

• نظام ويندوز - لا تُعرض أي رسالة للمستخدم، والعميل يواصل محاولة الاتصال بالنفق المشفر.

• macOS، iOS، Android، وLinux - يتم عرض رسالة للمستخدم تقول إن هذا الجهاز محظور من الشبكة (على سبيل المثال، ممنوع الاتصال من هذا نظام التشغيل).

فهم الأحداث لسياسة اتصال العميل

تولد تطبيق إدارة كاتو نوعين من الأحداث المتعلقة بسياسة اتصال العميل:

• عندما يلتزم المستخدمون أو مجموعات المستخدمين بمتطلبات قاعدة في سياسة اتصال العميل، ويُسمح لهم بالاتصال بالشبكة.

• كلما تم حظر المستخدمين أو مجموعات المستخدمين من الاتصال بالشبكة لأنهم لا يوفون بمتطلبات سياسة اتصال العميل.

يوضح الجدول التالي بعض الحقول الحدثية من حدث إجراء السماح:

يوضح الجدول التالي الأحداث المختلفة للاتصال مع إجراء الحظر والسبب في حظر الاتصال.