การตั้งค่า Ingress Security Rules บน VDC

บทนำ

Ingress Security Rules คือกฎรักษาความปลอดภัยสำหรับควบคุมการเชื่อมต่อขาเข้า (Inbound Traffic) บนแพลตฟอร์ม VDC v5.9.6 ของ Sangfor aDesk โดยผู้ดูแลระบบสามารถกำหนดได้ว่าจะอนุญาตหรือปฏิเสธการเชื่อมต่อจากแหล่งใด ไปยังปลายทางใด ผ่านพอร์ตและโปรโตคอลใดบ้าง การตั้งค่า Ingress Rules อย่างเหมาะสมจะช่วยป้องกันการเข้าถึงระบบ VDI โดยไม่ได้รับอนุญาต และลดความเสี่ยงจากภัยคุกคามภายนอก

ข้อกำหนดเบื้องต้น

• เข้าสู่ระบบ VDC Management Console ด้วยสิทธิ์ Administrator
• ทราบ IP Address หรือ Subnet ของแหล่งที่มาและปลายทางที่ต้องการควบคุม
• ทราบหมายเลขพอร์ตและโปรโตคอลที่ต้องการอนุญาตหรือปฏิเสธ
• วางแผนลำดับความสำคัญ (Priority) ของกฎที่จะสร้างล่วงหน้า

ขั้นตอนการตั้งค่า

1. เข้าสู่หน้า Security Rules

ไปที่ Network > Security Rules > Ingress บน VDC Management Console จะเห็นรายการกฎ Ingress ที่มีอยู่ในระบบ

2. สร้าง Ingress Rule ใหม่

คลิกปุ่ม Add Rule เพื่อเปิดหน้าต่างสร้างกฎใหม่ กรอกรายละเอียดดังนี้:

• Rule Name: ตั้งชื่อกฎที่สื่อความหมาย เช่น "Allow-RDP-From-Office"
• Priority: กำหนดลำดับความสำคัญ (ค่าต่ำ = ประมวลผลก่อน) ระบบจะตรวจสอบกฎตามลำดับ Priority จากน้อยไปมาก และใช้กฎแรกที่ตรงกับ Traffic
• Source: กำหนด IP Address, Subnet (เช่น 192.168.1.0/24) หรือ Security Group ต้นทาง
• Destination: กำหนด IP Address, Subnet หรือ Security Group ปลายทาง
• Protocol: เลือกโปรโตคอล เช่น TCP, UDP, ICMP หรือ Any
• Port: ระบุหมายเลขพอร์ต เช่น 3389 สำหรับ RDP, 443 สำหรับ HTTPS หรือกำหนดช่วงพอร์ต เช่น 8000-9000
• Action: เลือก Allow เพื่ออนุญาต หรือ Deny เพื่อปฏิเสธ

3. จัดลำดับกฎ (Rule Ordering)

หลังจากสร้างกฎแล้ว สามารถลากเพื่อจัดลำดับกฎได้ หรือแก้ไขค่า Priority โดยตรง กฎที่มีความเฉพาะเจาะจงมากกว่า (เช่น กฎสำหรับ IP เดียว) ควรอยู่ลำดับสูงกว่ากฎทั่วไป (เช่น กฎสำหรับทั้ง Subnet) และกฎ Deny ที่สำคัญควรอยู่ก่อนกฎ Allow ที่กว้างกว่า

4. บันทึกและเปิดใช้งาน

คลิก Save เพื่อบันทึกกฎ จากนั้นตรวจสอบว่าสถานะของกฎเป็น Enabled กฎจะมีผลทันทีหลังบันทึก

การตรวจสอบ

• ไปที่ Network > Security Rules > Ingress ตรวจสอบว่ากฎที่สร้างปรากฏในรายการและสถานะเป็น Enabled
• ทดสอบการเชื่อมต่อจากเครื่องต้นทางไปยังปลายทางตามเงื่อนไขที่กำหนด เช่น ใช้ telnet <destination_ip> <port> หรือ Remote Desktop Connection
• ตรวจสอบ Traffic Log ที่ Monitor > Traffic Logs เพื่อยืนยันว่ากฎทำงานตามที่คาดหวัง
• ทดสอบกรณี Deny โดยพยายามเชื่อมต่อจาก IP ที่ถูกบล็อก ควรไม่สามารถเชื่อมต่อได้

หมายเหตุ

• กฎ Ingress จะมีผลเฉพาะกับ Traffic ขาเข้าเท่านั้น สำหรับ Traffic ขาออกให้ตั้งค่าที่ Egress Security Rules
• หากไม่มีกฎใดตรงกับ Traffic ระบบจะใช้ Default Rule ซึ่งโดยปกติจะเป็น Deny All
• ควรตรวจสอบกฎเป็นระยะและลบกฎที่ไม่ใช้งานแล้ว เพื่อลดความซับซ้อนและเพิ่มประสิทธิภาพ
• การเปลี่ยนแปลงกฎจะมีผลทันทีโดยไม่ต้องรีสตาร์ทบริการใดๆ