تتناول هذه المقالة كيفية تكوين سياسة "دائمًا شغّال" لزيادة أمان الإنترنت للمستخدمين في حسابك.
تعزز سياسة "دائمًا شغّال" أمان الإنترنت من خلال تحديد القواعد عندما يتصل المستخدمون أو مجموعات المستخدمين دائمًا بسحابة Cato. يضمن هذا مرور جميع حركة المرور عبر PoP، وتفحص محركات أمان كاتو الحركة للتأكد من امتثالها لسياسات الأمان الخاصة بك.
يستخدم شبكة شركة ABC موظفوها الذين لديهم وصول إلى الموارد المؤسسية ومتعاقدو الطرف الثالث الذين لا يمكنهم الوصول إلى الموارد المؤسسية. ينشئون قاعدة لتمكين "دائمًا شغّال" لموظفيهم بينما يتمكن متعاقدو الطرف الثالث من الوصول المباشر إلى الإنترنت. يضمن هذا مرور جميع حركة المرور من موظفي الشركة عبر سحابة كاتو وحمايتها بسياسات الأمان.
تقوم شركة ABC بتثبيت عميل كاتو على جميع أجهزتها المدارة، وتسمح أيضاً لموظفيها بتثبيت العميل على أجهزتهم الشخصية ليمكنهم الوصول إلى موارد الشركة عند الضرورة. تتطلب سياسة الأمان المؤسسية أن تكون الأجهزة المدارة متصلة دائمًا بالشبكة.
أجهزة وضعية الجهاز الملف التعريفي الذي يستخدم فحص الجهاز للتحقق من تثبيت شهادة توقيع على الجهاز.
ثم ينشئون قواعد في سياسة التشغيل الدائم لتطلب التشغيل الدائم فقط للأجهزة التي تتوافق مع ملف التعريف للوضعية للأجهزة فيما يتعلق بالشهادات.
سياسة "دائمًا شغّال" هي قاعدة مرتبة. تُطبق القواعد في سياستك على المستخدم أو المجموعة كالتالي:
- عندما يلتقون بقاعدة، يتبع العميل التكوين المحدد في القاعدة
- إذا لم يستوفوا أي قواعد، يمكنهم قطع الاتصال عن الشبكة
تصف هذه القسم سير العمل للحصول على سياسة التشغيل الدائم لتطبيقها على الأجهزة المدارة باستخدام فحص الجهاز لشهادات التوقيع.
-
إعداد الأجهزة لاستخدام فحص الجهاز لشهادة التوقيع.
- توزيع الشهادة على الأجهزة المدارة. شاهد المقالات في توزيع وتثبيت شهادات الأجهزة.
- رفع شهادة التوقيع إلى CMA. انظر إدارة شهادات التوقيع للوصول عن بعد.
- لتحديد الأجهزة المدارة بناءً على الشهادة المثبتة، قم بتكوين فحص الجهاز للشهادات وخصصه لملف تعريف الجهاز. انظر إنشاء ملفات تعريف وضعية الجهاز وفحوصات الجهاز.
-
في سياسة التشغيل الدائم، قم بإنشاء قاعدة جديدة تتطلب من الأجهزة المدارة الاتصال دائمًا بالشبكة:
- المستخدمون/المجموعات - تخصيص مجموعات المستخدمين أو المستخدمين للأجهزة المدارة.
- ملفات تعريف وضع الجهاز - اختر ملف التعريف الذي أنشأته في الخطوة 2.
- متصل - اختر التشغيل الدائم.
-
قم بتكرار القاعدة من الخطوة 3، وغير إعداد متصل إلى عند الطلب.
- نشر سياسة التشغيل الدائم.
مع تمكين سياسة التشغيل الدائم، لا يزال بإمكانك توفير وصول مباشر للمستخدمين إلى الإنترنت من خلال:
- باستخدام طريقة تجاوز مؤقتة
- إنشاء قاعدة بحالة اتصال عند الطلب
- السماح بوصول الإنترنت في وضع الاستعادة
يمكن أن تكون هناك بعض الحالات التي يحتاج فيها المستخدمون إلى تجاوز سحابة Cato مؤقتًا والوصول إلى الإنترنت مباشرة. على سبيل المثال، للوصول مؤقتًا إلى موقع ويب يتم حظره بواسطة قاعدة جدار الحماية على الإنترنت. لكل قاعدة، يمكنك تكوين كيفية تجاوز المستخدمين مؤقتًا شبكة كاتو السحابية.
في Windows v5.9 وما بعده، يمكنك أيضًا تكوين المدة التي يمكن فيها للمستخدمين تجاوز سحابة Cato. خلال هذه الفترة، لا يتدفق حركة المرور عبر سحابة Cato ويكون غير مؤمن.
عند فصل العميل مؤقتًا، يتم إنشاء أحداث تعرض تفاصيل المستخدم والمدة الزمنية التي كان العميل مفصولًا فيها. لعرض هذه الأحداث، في صفحة الأحداث قم بتطبيق فلتر لنوع الفرعي VPN Never-Off Bypass. يعرض طريقة التجاوز في الحدث الطريقة المستخدمة لتجاوز العميل. لمزيد حول الأحداث في حسابك، انظر تحليل الأحداث في شبكتك.
يمكن للمستخدمين تجاوز سحابة Cato مؤقتًا باستخدام أحد الخيارات التالية:
- التجاوز المُتحكم به من قبل المشرف مع رمز التجاوز
- التجاوز المُتحكم به من قبل المستخدم
ملاحظة
ملاحظة: مدعوم على نظام ويندوز، أندرويد، آي أو إس، ونسخة عميل macOS v5.4 وما فوق
استخدم هذا الخيار لتوليد كلمة مرور لمرة واحدة (OTP) في تطبيق إدارة Cato الذي يمكنك منحه لأي مستخدم والسماح لهم بفصل العميل مؤقتًا. في إصدارات العميل Windows الأقل من 5.9 وأنظمة التشغيل الأخرى المدعومة، يتم تجاوز العميل لمدة تصل إلى 15 دقيقة في المرة الواحدة. يمكن أن يكون كل رمز صالحًا لمدة تصل إلى 15 دقيقة.
بالإضافة إلى ذلك، يمكنك استخدام تطبيق مصادقة (مثل Google Authenticator) لمسح رمز QR في هذه الشاشة. ثم يمكنك دائمًا الحصول على OTP للمستخدمين من تطبيق المصادقة. يقوم تطبيق المصادقة بتحديث الرمز كل 30 ثانية، لذا يكون كل رمز صالحًا فقط لمدة 30 ثانية.
يمكنك استخدام نفس رمز التجاوز لأكثر من مستخدم، طالما أن الرمز لا يزال صالحًا.
ملاحظة
ملاحظة: مدعومة من:
- Windows Client v5.9 وما بعدها
- macOS Client v5.5 وما بعدها
- عميل iOS v5.6 وما فوق
تتيح هذه الخيار للمستخدمين فصل العميل مؤقتًا عند الطلب. في العميل، يجب على المستخدم تقديم سبب لقطع اتصال العميل في حقل نصي حر. ثم يمكنه الوصول مباشرة إلى الإنترنت. يتم تضمين هذا السبب في الحدث.
يسمح للعميل بالانفصال لمدة الفترة الزمنية التي تم تكوينها في مدة الانفصال.
فريق الهندسة في شركة البيع بالتجزئة مسؤول عن ضمان كون موقعهم الإلكتروني متاح بنسبة 100% لاستقبال الطلبات عبر الإنترنت. هذا يعني أنهم بحاجة دائمًا للوصول إلى تطبيق SaaS عبر الإنترنت المطلوب لتسهيل إصلاح المشكلات. يتطلب الوصول إلى التطبيق خارج أوقات العمل وعند العمل عن بُعد. تنص سياسة الأمان الخاصة بالشركة على أنه يجب تأمين كل الوصول إلى الإنترنت.
للالتزام بسياسة الأمان، يقوم قسم تكنولوجيا المعلومات بتمكين الاتصال الدائم Always-On. كإجراء احترازي لتجنب حالة حيث لا يمكن العميل الاتصال بسحابة كاتو أثناء انقطاع محتمل، تزود فريق تقنية المعلومات المهندسين بطريقة للوصول الفوري إلى الإنترنت. أنشأت فريق تقنية المعلومات قاعدة في سياسة دائمًا-قيد التشغيل لمجموعة مستخدم المهندسين، حيث يتم تكوين وضع التجاوز للسماح للمستخدمين بفصل الاتصال مؤقتًا عند الطلب.
إذا كان المهندس بحاجة إلى إصلاح مشكلات الموقع الإلكتروني في منتصف الليل، يمكن لفريق تقنية المعلومات التأكد من أنه يمكنه الوصول إلى تطبيق SaaS للإصلاح حتى إذا كان هناك مشكلة في العميل. لا يحتاج المهندس إلى انتظار موافقة تقنية المعلومات لتجاوز سحابة Cato والبدء في إصلاح مشكلات الموقع الإلكتروني.
إذا كان هناك مستخدمون يحتاجون بانتظام إلى الوصول المباشر إلى الإنترنت، يمكنك إضافتهم إلى قاعدة بحالة الاتصال عند الطلب. تتيح هذه التكوين للمستخدمين توصيل أو قطع اتصال العميل حسب الحاجة.
ملاحظة
ملاحظة: مدعومة من:
- Windows Client v5.9 وما بعدها
- macOS Client v5.5 وما بعدها
- عميل iOS v5.6 وما فوق
يمكنك أيضًا اختيار سلوك العميل في حالة عدم التمكن من إنشاء اتصال بسحابة Cato. يمكن تكوين العميل ل:
- السماح بالوصول إلى الإنترنت (الإعداد الافتراضي): يمكن للمستخدمين الوصول إلى الإنترنت. لا تتدفق حركة المرور عبر سحابة Cato وتكون غير مؤمنة حتى يتم إنشاء اتصال بسحابة Cato.
- تقييد الوصول إلى الإنترنت: لا يمكن للمستخدمين الوصول إلى الإنترنت حتى يتم إنشاء اتصال بسحابة كاتو وإنترنت مؤمن.
قامت شركة ABC بتمكين "دائمًا شغّال" لجميع المستخدمين. غالبًا ما يسافر مديروهم التنفيذيون ويتصلون بالإنترنت من المطارات والفنادق. في بعض الأحيان لا يكتشف العميل البوابة المقيدة ولا يمكنه إنشاء نفق مشفر. لضمان استمرار عمل الفريق التنفيذي عند سفرهم، يقوم فريق تكنولوجيا المعلومات بتكوين وضع الاسترداد في قاعدة الاتصال الدائم لمجموعة المستخدمين التنفيذيين للسماح بالوصول إلى الإنترنت.
إذا لم يكتشف العميل بوابة مقيدة، يمكن للمستخدمين في الإدارة العليا مواصلة العمل، لأن العميل يسمح بالوصول إلى الإنترنت حسب سياسة "دائمًا شغّال". بمجرد أن يعيد العميل إنشاء النفق، يتدفق المرور عبر سحابة كاتو كما هو متوقع.
قبل تمكين سياستك "دائمًا شغّال"، فكّر في كيفية تفاعل "دائمًا شغّال" مع الميزات الأخرى وإصدارات العميل في بيئتك. يوفر هذا القسم توصيات حول كيفية استخدام SSO واتصال العميل ومصادقة الجهاز وWindows Client مع سياستك "دائمًا شغّال".
بالنسبة للحسابات التي تستخدم مصادقة تسجيل الدخول الموحد للمستخدمين، يمكنك أيضًا تكوين العملاء المدعومين للبقاء متصلين بشكل دائم مع سحابة Cato (التشغيل الدائم). يوفر هذا التكوين للمستخدمين بساطة تسجيل الدخول الموحد وأمان التشغيل الدائم. يستطيع العميل الوصول إلى موفر الهوية والوصول إلى الموارد الأخرى حسب سياستك الأمنية.
ملاحظة
ملاحظة: لمساعدة المستخدمين الذين لا يمكنهم المصادقة على العميل، نوصي بتمكين طريقة لتجاوز شبكة كاتو السحابية ومراجعة أحداث التجاوز. بخلاف ذلك، لا يمكن للجهاز غير المصدق الاتصال بالإنترنت أو بسحابة Cato).
تحتوي هذه القسم على أفضل الممارسات والتوصيات لتطبيق دائم التشغيل مع SSO في حسابك.
- ابدأ بتمكين دائم التشغيل وSSO لعدد صغير من المستخدمين لتقليل التأثير على حسابك
- راجع أحداث التجاوز، لمراقبة استخدام رموز التجاوز في مؤسستك
- نظرًا لأن المستخدمين غير المصدقين ليس لديهم اتصال بالإنترنت، تأكد من أن المستخدمين يمكنهم تسجيل الدخول إلى الجهاز دون الاعتماد على الإنترنت
- تأكد من أن جميع العملاء محدثون إلى الحد الأدنى المدعوم من الإصدار للنظام التشغيلي ذو الصلة. إذا تم استخدام عميل لإصدار غير مدعوم، لا يمكن للعميل إعادة التحقق ويتم حظر الحركة إلى الإنترنت.
- بالنسبة للانتشارات التي تستخدم وسيطًا خارجيًا، دعم المصادقة في المتصفح داخل العميل فقط لـالتشغيل الدائم وSSO (لمزيد من المعلومات حول المصادقة في المتصفح، راجع تكوين سياسة المصادقة لعملاء Cato)
تطبيق إعدادات سياسة اتصال العميل ومصادقة الأجهزة على الأجهزة للمستخدمين. إذا فشل الجهاز في الامتثال للسياسة التي تم إعدادها للملف الشخصي، فلن يتمكن المستخدم من الاتصال بـCato Cloud. تحتل سياسة اتصال العميل وإعدادات مصادقة الجهاز الأولوية على سياسة دائم التشغيل.
بالنسبة لفرق تكنولوجيا المعلومات، تقديم أو شحن أجهزة جديدة تمامًا للمستخدمين حول العالم، يمكننا توفير أمان دائم التشغيل خارج الصندوق.
بدءًا من عميل الويندوز v5.6، يمكنك تحسين أمن الإنترنت حتى قبل أن يصادق المستخدم على كاتو. سياسة دائم التشغيل متاحة بشكل جاهز، ويتم السماح بالوصول إلى الإنترنت فقط بعد أن يتحقق المستخدم من حسابك في Cato.
لتفعيل هذه الميزة، قم فقط بإضافة مفتاح السجل إلى جهاز Windows لتمكين دائم التشغيل. بمجرد إضافة المستخدم إلى العميل، تنطبق إعدادات دائم التشغيل المحددة في تطبيق إدارة Cato على هذا المستخدم.
بالنسبة للحسابات التي تستخدم ميزة التسجيل المسبق للدخول، يُسمح للجهاز فقط بالوصول إلى الوجهات المسموح بها قبل إضافة المستخدم إلى العميل. يتم حظر جميع عمليات وصول أخرى للإنترنت.
نوصي أيضًا بإضافة مفتاح التسجيل الذي يُشغل العميل عند بدء التشغيل. لمزيد من المعلومات، انظر تثبيت Cato Client.
ملاحظة
ملاحظة: قبل إضافة المستخدمين إلى العميل، لا يمكن تجاوز Cato Cloud.
تشرح هذه القسم كيفية إنشاء سياسة دائم التشغيل.
تتيح لك سياسة دائمًا-قيد التشغيل تعريف المستخدمين أو مجموعات المستخدمين للعملاء الذين يحتاجون إلى الاتصال الدائم بالشبكة.
لإنشاء سياسة دائم التشغيل:
- من قائمة التنقل، انقر على الوصول > سياسة دائم التشغيل.
-
انقر على جديد.
يفتح لوحة قاعدة جديدة.
- أدخل اسم وحدد ترتيب القاعدة.
- حدد المستخدمين & المجموعات والمنصات.
-
حدد حالة متصل الحرجة ووضع التخطّي للتشغيل الدائم.
- بالنسبة إلى حماية منع العبث SD آل، حدد الإجراء الواجب اتخاذه عندما يحاول مستخدم إجراء تغييرات. بشكل افتراضي، يسمح بإجراء التغييرات. لمنع المستخدمين من إجراء التغييرات، حدد تمكين.
لمزيد من المعلومات، انظر العمل مع منع العبث لعميل كاتو. -
حدد لمدة كم تم تعطيل التشغيل الدائم ومنع العبث في مدة الفصل والعبث.
يبدأ الموقت لكل تخطي عند إدخال الرمز. على سبيل المثال، تم تحديد المدة بـ60 دقيقة. إذا تم إدخال رمز التخطي لمنع العبث في الساعة 12:30، فسيبدأ الموقت، وسيتم تمكين منع العبث مرة أخرى في الساعة 13:30. يتم إدخال رمز تخطي للتشغيل الدائم في الساعة 13:00، وسينتهي صلاحيته في الساعة 14:00.
- قم بتكوين كيفية عمل العميل عند التشغيل في وضع الاسترداد.
- انقر على تطبيق.
- كرر الخطوات 2-5 لكل قاعدة في سياسة دائم التشغيل.
-
قم بتمكين سياسة دائم التشغيل ثم انقر على حفظ.
يكون
شريط التمرير بالأخضر عندما تكون القاعدة مفعّلة، وبالرمادي عندما تكون معطّلة.
ملاحظة
ملاحظة: مدعوم من:
- جميع عملاء Windows
- عميل Linux v5.2 وما فوق
يمكنك تزويد المستخدمين بحالة اتصال حسب الطلب مع أمان إضافي عن طريق تكوين العميل للاتصال تلقائيًا أثناء مرحلة الإقلاع. بمجرد الاتصال، يمكن للمستخدمين اختيار فصل وإعادة توصيل العميل كلما احتاجوا إلى ذلك. بالنسبة للمستخدمين ذوي حالة الاتصال دائم التشغيل، يتصل العميل تلقائيًا، دون هذه التكوين.
-
إذا تم تحديد خيارات الاتصال عند الإقلاع أو البدء مصغرًا في تطبيق إدارة Cato:
- تنفذ هذه على جميع العملاء في بيئتك
- لا يمكن للمستخدمين تعطيل هذا الإعداد من العميل
-
إذا لم يتم تحديد خيارات الاتصال عند الإقلاع أو البدء مصغرًا، في تطبيق إدارة Cato:
- يمكن للمستخدمين اختيار تفعيل هذه الميزات في علامة التبويب الإعدادات في العميل
ملاحظة: مع تمكين الاتصال عند الإقلاع، إذا قام المستخدم بتسجيل الخروج من جلسته على Windows، يتصل العميل بـCato Cloud. هذا لتوفير الوصول إلى وحدة تحكم النطاق للسماح للمستخدم بتسجيل الدخول مرة أخرى.
لتكوين الإعدادات الافتراضية للعملاء:
- من قائمة التنقل، انقر على الوصول > سياسة دائم التشغيل.
- افتح علامة التبويب الإعدادات.
-
في قسم الاتصال عند الإقلاع، حدد الإعدادات الافتراضية لعملاء Windows.
- انقر على حفظ.
ملاحظة
ملاحظة: مدعوم من:
- عميل Windows v5.8 وما فوق
- عميل Linux v5.2 وما فوق
عندما يتصل المستخدم خلف Cato Socket أو موقع IPsec، يتصل العميل تلقائيًا بذلك الموقع في وضع المكتب. لمزيد من المعلومات حول وضع المكتب، انظر تكوين وضع المكتب.
يمكنك تكوين ما إذا كان يجب أن يتطلب المستخدمون ذوي الفعل دائم التشغيل المصادقة إلى Cato عندما يكون العميل متصلًا في وضع المكتب. ليس لهذه التكوين أي تأثير على السياسات الأمنية.
كود التجاوز هو كود مكون من 6 أرقام يتم إدخاله في العميل للسماح للمستخدمين بفصل الاتصال مؤقتًا عن سحابة كاتو.
لإنشاء كود تجاوز:
- من قائمة التنقل، انقر على الوصول > سياسة دائمًا-قيد التشغيل.
- افتح علامة التبويب الإعدادات.
- قم بتوسيع إظهار رمز التجاوز أو قسم إظهار رمز الاستجابة السريعة لتطبيق المصادقة.
- حدد مدة زمن انتهاء صلاحية رمز التجاوز.
ملاحظة: مدعوم من Windows Client 5.18 و macOS Client 5.10.6 - يمكنك الآن إرسال كود التجاوز أو كود QR إلى المستخدم.
رمز تجاوز حماية منع العبث هو رمز مكون من 6 أرقام يتم إدخاله في العميل للسماح للمستخدمين بإجراء تغييرات مؤقتة على Cato Client، أو قدرته على العمل، مثلًا، تغيير إدخالات السجل ذات الصلة.
اعتمادًا على وضع التجاوز الذي تم تكوينه في تطبيق إدارة كاتو، يمكن للمستخدمين فصل العميل مؤقتًا باستخدام كود التجاوز أو بإدخال سبب للتجاوز.
يتم إنشاء كود التجاوز بواسطة المسؤولين وإرساله إلى المستخدم ليتم إدخاله في العميل. بعد إدخال كود صالح، يتجاوز العميل النفق المشفر مؤقتًا ويمكن للمستخدم الوصول إلى الإنترنت. يمكن فصل عملاء الويندوز أقل من v5.9، macOS، iOS، وAndroid مؤقتًا لمدة تصل إلى 15 دقيقة. يمكن فصل العملاء في نظام الويندوز نسخة v5.9 وما فوق لمدة محددة في مدة الفصل.
المستخدمون الذين يصادقون باستخدام SSO أو MFA يحتاجون إلى إعادة المصادقة على عميل كاتو عند إعادة الاتصال.
ملاحظة
ملاحظة: تجاوز تجاه إعداد التشغيل الدائم لا يؤثر على حماية منع العبث.
لإدخال سبب التجاوز:
- في عميل الويندوز، يمكن للمستخدمين النقر بزر الماوس الأيمن على رمز العميل في درج النظام وتحديد تجاوز مؤقت
- في عميل macOS، يمكن للمستخدمين النقر بزر الماوس الأيمن على رمز العميل في درج النظام وتحديد فصل مؤقت
- في عميل iOS، على الشاشة الرئيسية للعميل، حدد تجاوز دائمًا-قيد التشغيل
- في عميل Android، من القائمة الجانبية، حدد تجاوز مؤقت
ملاحظة
ملحوظة: مدعوماً من:
- عميل الويندوز v5.9 وما فوق
- عميل macOS v5.5 وما فوق
يستطيع المستخدمون فصل العميل مؤقتًا بعد تقديم سبب. بعد أن يدخل المستخدم السبب، يتجاوز العميل مؤقتًا سحابة كاتو ويمكن للمستخدم الوصول إلى الإنترنت. يتم فصل العميل لمدة محددة في تطبيق إدارة كاتو.
المستخدمون الذين يصادقون باستخدام SSO أو MFA يحتاجون إلى إعادة المصادقة على عميل كاتو عند إعادة الاتصال.
لإدخال سبب التجاوز:
- في عميل الويندوز، يمكن للمستخدمين النقر بزر الماوس الأيمن على رمز العميل في درج النظام وتحديد تجاوز مؤقت.
- قدم سببًا لفصل العميل مؤقتًا.
-
انقر على إدخال.
تم فصل العميل.
ملاحظة
ملاحظة: مدعوم من Windows Client الإصدار 5.14 والإصدارات الأحدث
يمكن للمستخدمين تعطيل حماية منع العبث مؤقتًا بعد استلامهم لرمز من الإدارة.
ملاحظة
ملاحظة: تعطيل حماية منع العبث لا يؤثر على إعداد التشغيل الدائم.
لتعطيل حماية منع العبث:
-
في العميل، انقر على الإعدادات.
بشكل افتراضي، يكون قسم التجاوز مخفيًا عن المستخدمين. لعرض الحقل، استخدم تسلسل المفاتيح CTRL + SHIFT + O
- اتصل بإدارة وأدخل الرمز الذي يتلقونه في حقل إطلاق منع العبث SDP.
-
انقر على إرسال.
يتم تعطيل حماية منع العبث للفترة التي تم تكوينها من قبل الإدارة.
يمكنك تخصيص سياسة دائمًا-قيد التشغيل لمستخدم فردي.
لتكوين سياسة دائمًا-قيد التشغيل لمستخدم معين:
- من قائمة التنقل، انقر على الوصول > سياسة التشغيل الدائم.
-
انقر على جديد.
يفتح لوحة قاعدة جديدة.
- أدخل اسمًا وقم بتعيين ترتيب القاعدة.
- في القسم المستخدمون & المجموعات، حدد مستخدم SDP.
- اختر المستخدم المعين.
- حدد المنصات وحالة متصل.
- انقر على تطبيق.
-
قم بتفعيل سياسة دائمًا-قيد التشغيل ثم انقر على حفظ.
يكون
لا توجد تعليقات
الرجاء تسجيل الدخول لترك تعليق.