Danh mục đúng mã hàng
Sản phẩm được quản lý theo đúng model và Part Number, bao gồm các hậu tố về firmware, khu vực, PoE, nguồn, quạt, module hoặc chiều dài cáp. Điều này giúp hạn chế nhầm cấu hình khi báo giá và triển khai.
RUCKUS ZTNA là gì? Zero Trust cho mạng doanh nghiệp — Mô hình bảo mật cũ giả định rằng ai đã vào được mạng nội bộ thì đáng tin. Giả định đó không còn đúng khi thiết bị cá nhân, thiết bị IoT và nhà thầu cùng dùng chung hạ tầng. ZTNA thay giả định đó bằng nguyên tắc xác minh liên tục.
Zero Trust nghĩa là gì
ZTNA là mô hình bảo mật thực thi xác minh danh tính nghiêm ngặt và kiểm soát truy cập cho mọi người dùng và mọi thiết bị. Nguyên tắc cốt lõi được gói trong một câu: không bao giờ tin mặc định, luôn xác minh.
Điều này khác căn bản với cách làm truyền thống. Mạng doanh nghiệp cũ dựng một vành đai — firewall ở biên — và coi mọi thứ bên trong là an toàn. Một thiết bị bị nhiễm mã độc, một chiếc camera IP giá rẻ có lỗ hổng, hay một laptop khách được cắm nhầm vào cổng nội bộ đều trở thành bàn đạp để đi ngang trong hệ thống.
ZTNA khác VPN thế nào
| Tiêu chí | VPN truyền thống | ZTNA |
|---|---|---|
| Cấp quyền ở mức | Mạng — vào được là thấy cả subnet | Ứng dụng — chỉ thấy đúng thứ được cấp |
| Niềm tin sau khi kết nối | Mặc định tin cho tới khi ngắt | Xác minh liên tục theo bối cảnh |
| Chống đi ngang | Yếu, đã vào là đi lại được | Micro-segmentation cô lập từng luồng |
| Căn cứ chính sách | Tài khoản đăng nhập | Vai trò, trạng thái thiết bị và bối cảnh thời gian thực |
Ba thành phần trong kiến trúc RUCKUS
RUCKUS Edge thực hiện micro-segmentation ngay tại biên mạng, cô lập lưu lượng giữa người dùng, thiết bị và ứng dụng. Đây là lớp ngăn việc đi ngang: một thiết bị bị chiếm quyền không tự động nhìn thấy các thiết bị khác cùng mạng.
RUCKUS One đảm nhận quản lý danh tính và chính sách thích ứng, thực thi quy tắc truy cập một cách động dựa trên vai trò người dùng, trạng thái thiết bị và bối cảnh thời gian thực.
Cơ chế onboarding an toàn đơn giản hóa việc xác thực cho thiết bị cá nhân và khách — phần thường bị hy sinh khi siết bảo mật, và cũng là nguyên nhân khiến nhiều chính sách chặt chẽ bị vô hiệu trên thực tế vì người dùng tìm đường vòng.
Cách xác thực
RUCKUS dùng ba lớp bổ sung nhau:
- DPSK và DPSK3 — cấp khóa riêng cho từng người dùng hoặc từng thiết bị trên cùng một SSID, loại bỏ rủi ro của mật khẩu dùng chung. Xem DPSK trên RUCKUS: Cấp khóa, VLAN và thu hồi truy cập an toàn.
- Chứng thư số và xác thực đa yếu tố cho các nhóm cần mức bảo đảm cao hơn.
- Chính sách thích ứng dựa trên vai trò và trạng thái thiết bị, thay vì một quy tắc tĩnh cho tất cả.
Nền tảng lý thuyết của xác thực doanh nghiệp được trình bày trong 802.1X là gì? và RADIUS là gì? Cách xác thực người dùng Wi-Fi.
Vì sao DPSK là mảnh ghép quan trọng
Trong mô hình Zero Trust, mọi phiên phải gắn với một danh tính. Với máy tính có người dùng đăng nhập, 802.1X giải quyết tốt. Vấn đề nằm ở nhóm thiết bị không có người dùng: camera, máy in, khóa cửa, cảm biến, TV phòng họp.
DPSK giải quyết đúng nhóm này. Mỗi thiết bị nhận một khóa riêng, gắn với VLAN riêng và có thời hạn. Thu hồi một khóa không ảnh hưởng thiết bị khác — điều không làm được với PSK dùng chung. Về quy mô, SmartZone hỗ trợ tới 320 khóa chưa gán mỗi zone, còn Virtual SmartZone Essentials hỗ trợ tổng cộng 20.000 khóa với tối đa 10.000 mỗi zone.
Quan hệ với phân đoạn mạng
ZTNA không thay thế VLAN mà bổ sung một lớp phía trên. Thứ tự triển khai hợp lý: phân đoạn bằng VLAN trước, rồi thêm micro-segmentation và chính sách theo danh tính. Cách chia VLAN cho ba nhóm phổ biến được mô tả trong Phân chia VLAN cho nhân viên, khách và thiết bị IoT, còn lớp mạng ảo trên nền VXLAN nằm ở SD-LAN trên RUCKUS Edge.
Cần gì để triển khai
Ba điều kiện: thiết bị RUCKUS Edge cho micro-segmentation tại biên, nền tảng RUCKUS One cho quản lý danh tính và chính sách, và một cơ chế onboarding — thường là Cloudpath hoặc DPSK tùy quy mô.
Với hệ thống vừa và nhỏ chưa cần đầy đủ ZTNA, phần lớn giá trị bảo mật vẫn đạt được bằng DPSK cộng phân đoạn VLAN đúng cách. Cần đánh giá mức phù hợp cho hệ thống của bạn, hãy liên hệ RUCKUS Việt Nam.
Các câu hỏi thường gặp
ZTNA là mô hình bảo mật thực thi xác minh danh tính nghiêm ngặt và kiểm soát truy cập cho mọi người dùng và mọi thiết bị, theo nguyên tắc không bao giờ tin mặc định và luôn xác minh.
VPN cấp quyền ở mức mạng, vào được là thấy cả subnet và được tin cho tới khi ngắt kết nối. ZTNA cấp quyền ở mức ứng dụng, xác minh liên tục theo bối cảnh và dùng micro-segmentation để ngăn việc đi ngang trong hệ thống.
Ba thành phần: RUCKUS Edge thực hiện micro-segmentation tại biên mạng, RUCKUS One quản lý danh tính cùng chính sách thích ứng, và cơ chế onboarding an toàn cho thiết bị cá nhân lẫn khách.
Nó cô lập lưu lượng giữa người dùng, thiết bị và ứng dụng ngay tại biên mạng. Nhờ đó một thiết bị bị chiếm quyền không tự động nhìn thấy và tấn công được các thiết bị khác cùng mạng.
Vì mọi phiên phải gắn với một danh tính, trong khi nhóm thiết bị không có người dùng như camera, máy in, khóa cửa hay cảm biến không dùng được 802.1X. DPSK cấp cho mỗi thiết bị một khóa riêng gắn VLAN riêng và có thời hạn, thu hồi được độc lập.
Cần thiết bị RUCKUS Edge cho micro-segmentation, nền tảng RUCKUS One cho quản lý danh tính và chính sách, cùng một cơ chế onboarding như Cloudpath hoặc DPSK tùy quy mô hệ thống.
Không nhất thiết. Với hệ thống vừa và nhỏ, phần lớn giá trị bảo mật vẫn đạt được bằng DPSK kết hợp phân đoạn VLAN đúng cách. ZTNA đầy đủ phù hợp hơn khi hệ thống có nhiều nhóm người dùng, nhiều thiết bị IoT và yêu cầu tuân thủ chặt.
