Advanced Settings ของ ZTNA: Global Policies, User Policies และ Regions

หน้า Core Features › Zero Trust Security › Policies › Advanced Settings ของ Sangfor Athena SASE รวมการตั้งค่า ZTNA ระดับองค์กรและระดับผู้ใช้ไว้ 3 แท็บ ได้แก่ Global Policies (ค่ากลางของ ZTNA ทั้งองค์กร), User Policies (Session Timeout, หน้าหลัง Login, DNS ภายใน และ Bandwidth ต่อผู้ใช้หรือ Department) และ Regions (กลุ่ม PoP และวิธีเลือกเส้น) บทความนี้อธิบายแต่ละแท็บ ลำดับการมีผลของ User Policy และวิธีตรวจผล ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

Global Policies

แท็บนี้เป็นฟอร์มเดียวสำหรับทั้งองค์กร (กด Save ที่มุมซ้ายล่าง) การเปลี่ยนค่ามีผลกับผู้ใช้ ZTNA ทุกคน

• Poor Network Acceleration ช่วยผู้ใช้ที่ Network มีคุณภาพต่ำ มีสองตัวเลือก
  • Enable bandwidth optimization ปรับ TCP ใน Tunnel ให้ทนต่อ Packet Loss และ Jitter ได้ดีขึ้น
  • Reduce network latency ใช้เทคนิค Local Handshake และ Early Data เพื่อสร้างการเชื่อมต่อแบบ 0RTT ลด Latency ในการเปิด App ใช้กับการเข้าถึง App แบบ Tunnel ที่ไม่ใช่ Persistent Tunnel บน Client ของ PC
• Block Access from Browsers หมายเหตุบนหน้าจอเตือนว่า App แบบ HTML5 ที่เปิดผ่าน Browser ภายใน Application อื่นอาจเข้าใช้งานไม่ได้เมื่อเปิดตัวเลือกนี้ จึงควรทดสอบกับ App ที่องค์กรใช้ก่อนเปิดใช้

User Policies: ลำดับการมีผล

• ผู้ใช้หนึ่งคนมี User Policy ได้ตัวเดียว
• Policy ที่ผูกกับตัวผู้ใช้โดยตรงมีผลก่อน ถ้าผู้ใช้ไม่มี Policy ของตัวเอง ระบบใช้ Policy ของ OU (Department) ที่อยู่เหนือผู้ใช้ขึ้นไปหนึ่งชั้น และถ้าไม่มี ระบบใช้ Default policy
• แถว Default policy เป็นแถวที่ระบบมีให้ (แก้ไขหรือ Copy ได้ แต่ลบไม่ได้) ใช้กับผู้ใช้ที่ไม่ได้ผูกกับ Policy ใด
• เนื่องจาก Policy ของ Department มีผลกับผู้ใช้ที่อยู่ใน Department นั้นโดยตรง ให้เลือก Department ที่ผู้ใช้สังกัดอยู่จริง (เช่นแผนกย่อย) เป็น Objects

สร้าง User Policy

1. ที่แท็บ User Policies กด Add หรือกด Copy ท้ายแถวของ Policy เดิมเพื่อเริ่มจากค่าที่มีอยู่ (ระบบตั้งชื่อเป็น Copied From … และคัดลอก Objects และการตั้งค่าทั้งหมดมาให้)

2. กรอก Name และ Description (ไม่บังคับ) แล้วเลือก Objects ด้วยปุ่ม Select: เลือกได้ทั้ง User และ Department (Select This Dept) ค้นหาหลายคนพร้อมกันได้ด้วย Bulk Search

3. ตั้งค่าแท็บ Account Settings และ Access Settings ตามหัวข้อถัดไป แล้วกด Save

แท็บ Account Settings: Logout เมื่อไม่ได้ใช้งาน

ส่วน Logout Due to Connection Timeout กำหนดให้ ZTNA Logout ผู้ใช้อัตโนมัติเมื่อไม่ได้ใช้งาน ตั้งได้ตั้งแต่ 5 นาทีถึง 365 วัน หน่วยเลือกได้เป็น mins, hrs หรือ days

ผลที่ผู้ใช้เห็น: เมื่อครบเงื่อนไข Client แจ้งว่า Account ถูก Logout เพราะไม่ได้เข้าถึง App เป็นเวลานาน พร้อมเวลา ประวัติดูได้ที่ Logs › User Access › Login/Logout แท็บ Client Users คอลัมน์ Operation (Logout After Reaching Threshold of No Business Access Traffic) และใน ZTNA Logs › User Logs การ Logout อาจเกิดหลังเวลาที่ตั้งเล็กน้อย จึงควรเผื่อเวลาเมื่อทดสอบ

แท็บ Access Settings

Regions

แท็บ Regions จัด PoP เป็นกลุ่มแล้วผูกกับ App เพื่อกำหนด Path ของ Traffic เมื่อ Publish App จะเลือก Region ในช่อง Region ของ App และระบบใช้ PoP ใน Region นั้นสร้าง Tunnel ไปยัง App ก่อน รายการแสดง Name และ Associated PoP พร้อม Edit ท้ายแถว (Region ชื่อ Default ลบไม่ได้)

กด Add เพื่อสร้าง Region

• Name และ PoP (เลือกจาก PoP ที่เปิดใช้งานให้กับองค์กร) เป็นช่องบังคับ
• Line Selection › Mode
  • Low Latency เลือกเส้นที่ Latency ต่ำสุดตอนเชื่อมต่อครั้งแรก เหมาะกับการใช้ PoP เป็นหลัก เมื่อมีหลาย PoP การเชื่อมต่ออาจรวมไปที่ PoP เดียว
  • Low Latency + Load Balancing สุ่มเส้นในช่วง Latency ที่ยอมรับได้ (Base + Threshold โดย Base คือ Latency ต่ำสุดจากเครื่องผู้ใช้ไปถึง Access Address) เพื่อกระจายผู้ใช้ไปหลาย PoP ช่อง Relative Latency Threshold ในฟอร์มใหม่ตั้งไว้ 100 ms
• Advanced › Line Switching ฟอร์มใหม่ตั้งให้ตรวจเส้นทุก 30 วินาที (ตั้งได้ 30-60) ถือว่าเส้นเสื่อมเมื่อ Latency เกิน 200 ms และตรวจซ้ำอีก 3 ครั้ง (ตั้งได้ 3-6) ถ้าเสื่อมทุกครั้งจะสลับไปเส้นอื่น และถ้าทุกเส้นเสื่อมถึงเกณฑ์ ระบบใช้เส้นเดิมต่อไป