Tính năng này chỉ cho phép truy cập từ các địa chỉ IP cụ thể (hoặc dải địa chỉ IP) và từ chối mọi truy cập khác. Bằng cách chỉ cho phép truy cập qua các tuyến đường đã thiết lập, chẳng hạn như mạng nội bộ, văn phòng hoặc kết nối VPN, bạn có thể tăng cường bảo mật đáng kể.

Trong Dive, bạn có thể đăng ký giới hạn bằng địa chỉ IP toàn cầu (IPv4 / IPv6) theo ba dạng: đơn lẻ, dải và CIDR. Sau khi lưu cài đặt, mọi đăng nhập từ địa chỉ IP không nằm trong danh sách cho phép sẽ bị chặn, kể cả đối với người dùng có quyền chủ sở hữu. Với gói Enterprise, bạn có thể chọn cách xử lý truy cập từ các mạng ngoài danh sách cho phép, chẳng hạn như "Chỉ có thể tải tư liệu lên" hoặc "Dùng được nếu đã qua xác thực đa yếu tố (MFA)" (xem mục "Thiết lập truy cập từ ngoài mạng được phép" bên dưới).

Ai có thể thiết lập

Chỉ người dùng có quyền chủ sở hữu mới có thể thiết lập.

Những điều cần kiểm tra trước

Tính năng này là một giới hạn mạnh. Thiết lập sai có thể khiến tất cả mọi người, kể cả chủ sở hữu, không thể đăng nhập, vì vậy hãy chắc chắn kiểm tra các mục sau.

• Xác nhận rằng các địa chỉ IP bạn thiết lập là IP toàn cầu (địa chỉ IP đi ra ngoài do nhà cung cấp internet hoặc VPN cấp)
• Trước khi thiết lập, hãy chắc chắn đưa IP toàn cầu của chính bạn vào
• Chúng tôi khuyên bạn nên lưu một bản sao các địa chỉ IP đã cho phép bằng Xuất ra Excel để có thể kiểm tra ngay sau khi thiết lập

※ Nếu bạn không thể đăng nhập, vui lòng liên hệ với chúng tôi tại customer-success@episotech.com.

Các bước thiết lập

1. Đăng nhập Dive, rồi nhấp [Chức năng dành cho chủ sở hữu]
   
2. Chọn tab [Bảo mật] ở phía trên, rồi mở thẻ [Cài đặt giới hạn địa chỉ IP]

3. Đánh dấu chọn "Dùng giới hạn địa chỉ IP"

   

4. Mở ô danh sách cho phép, rồi nhấp một trong các nút sau tùy theo dạng bạn muốn đăng ký
   • [+ Thêm]: Đăng ký một địa chỉ IP đơn lẻ hoặc dạng CIDR (ví dụ: 192.168.0.0/24)
   • [+ Thêm theo phạm vi]: Đăng ký một dải từ địa chỉ IP bắt đầu đến địa chỉ IP kết thúc

5. Nhập địa chỉ IP bạn muốn cho phép (hỗ trợ 3 dạng)

   • IP đơn lẻ: 203.0.113.5 / 2001:db8::1
   • Dải: 203.0.113.5 đến 203.0.113.50
   • CIDR: 192.168.0.0/24 / 2001:db8::/32

   Khi đang nhập, nếu định dạng sai, thông báo lỗi màu đỏ sẽ hiện ngay tại chỗ
   

6. Khi xong, nhấp [Lưu]
   

An toàn khi lưu

Khi lưu, nếu mạng mà phiên hiện tại đang sử dụng (địa chỉ IP bạn đang truy cập lúc này) không có trong danh sách cho phép, thông báo sau sẽ hiện ra. Địa chỉ này được tự động thêm vào, vì vậy hãy nhấp [OK]. Nhờ vậy, bạn không bị tự khóa ngay sau khi thiết lập.

Lưu ý: Nếu hàng "Người đã qua xác thực đa yếu tố" (mô tả bên dưới) được đặt là [Tất cả chức năng] và bạn thuộc đối tượng đó, thông báo này sẽ không hiển thị. Vì bạn có thể kết nối lại bằng xác thực đa yếu tố để thay đổi cài đặt. Khi đặt là [Chỉ tải tư liệu lên], bạn không thể mở màn hình cài đặt dù đã kết nối lại, nên thông báo vẫn hiển thị như trước.

Thiết lập truy cập từ ngoài mạng được phép

Bạn có thể quyết định cách xử lý truy cập từ các mạng không có trong danh sách cho phép, chẳng hạn khi đi công tác hoặc dùng đường truyền di động, theo từng nhóm người dùng. Ban đầu, cả hai nhóm đều được đặt là "Không dùng được" và hoạt động sẽ không thay đổi cho đến khi bạn thay đổi cài đặt.

Thay đổi cài đặt này không làm thay đổi danh sách địa chỉ IP được cho phép. Việc sử dụng từ các mạng được cho phép cũng không thay đổi như trước. Chỉ có cách xử lý với các mạng khác là thay đổi.

Quyết định bằng hai hàng

Cài đặt gồm 2 hàng: "ai" và "được dùng đến đâu". Ở mỗi hàng, hãy chọn phạm vi từ danh sách thả xuống.

• Người đã qua xác thực đa yếu tố ... [Không dùng được] / [Chỉ tải tư liệu lên] / [Tất cả chức năng]
• Những người còn lại ... [Không dùng được] / [Chỉ tải tư liệu lên]

Nếu chọn mục khác [Không dùng được], ô chỉ định người dùng mục tiêu sẽ hiện ra dưới hàng đó. Hãy chọn [Tất cả mọi người] hoặc [Chỉ người dùng đã chỉ định]. Nếu chọn [Chỉ người dùng đã chỉ định] mà không chỉ định người dùng nào, thì không ai dùng được hàng đó (màn hình cài đặt cũng hiển thị cảnh báo).

Hai hàng hoạt động độc lập. Ví dụ, để quản trị viên được dùng mọi chức năng từ bên ngoài, còn nhân viên hiện trường chỉ được tải tư liệu lên từ bên ngoài, thì đặt hàng thứ nhất là [Tất cả chức năng] và hàng thứ hai là [Chỉ tải tư liệu lên]. Ngược lại, để không bao giờ hiển thị SOP từ bên ngoài văn phòng nhưng chỉ cho người đã qua xác thực đa yếu tố đăng nhập, thì đặt hàng thứ nhất là [Chỉ tải tư liệu lên] và hàng thứ hai là [Không dùng được].

Màn hình cài đặt luôn hiển thị cách phân nhánh theo lựa chọn hiện tại. Trước khi lưu, hãy kiểm tra xem tổ hợp đã đúng với ý định của bạn chưa.

Gói có thể sử dụng

Cài đặt này có thể dùng với gói Enterprise. Chỉ người dùng có quyền chủ sở hữu mới có thể thiết lập.

Các bước thiết lập

1. Mở [Chức năng dành cho chủ sở hữu], rồi từ tab [Bảo mật] ở phía trên, mở thẻ [Cài đặt giới hạn địa chỉ IP]
2. Kiểm tra "Dùng giới hạn địa chỉ IP" đã được bật (nếu giới hạn địa chỉ IP bị tắt, cài đặt này không có tác dụng)
3. Ở từng hàng trong [Truy cập từ ngoài mạng được phép], chọn phạm vi cho phép. Khi chọn [Tất cả chức năng], một thông báo xác nhận sẽ hiện ra, hãy kiểm tra nội dung rồi nhấp [OK]
4. Với từng hàng, chọn [Tất cả mọi người] hoặc [Chỉ người dùng đã chỉ định]. Nếu chọn [Chỉ người dùng đã chỉ định], hãy chọn người dùng mục tiêu
5. Kiểm tra cách phân nhánh hiển thị trong [Cách hoạt động với thiết lập này]
6. Nhấp [Lưu]

Khi bỏ chọn "Dùng giới hạn địa chỉ IP", cài đặt này cũng đồng thời bị tắt. Việc này nhằm ngăn truy cập từ ngoài mạng được cho phép bị mở ngoài ý muốn khi bạn bật lại giới hạn địa chỉ IP.

Những việc có thể làm với "Chỉ tải tư liệu lên"

Khi người được cho phép trong phạm vi này kết nối từ bên ngoài mạng được cho phép, chỉ hiển thị một màn hình chỉ để tải tư liệu lên. Các màn hình có thể đọc nội dung, như SOP, danh sách tư liệu, màn hình quản trị và báo cáo, sẽ không được hiển thị.

●Có thể làm

• Tải lên video, ảnh và các tệp khác (bao gồm cả việc chạy phân tích AI khi tải lên)
• Chọn "Phạm vi có thể xem" cho các tư liệu tải lên (Chỉ mình tôi / Chia sẻ nhóm / Chia sẻ nhóm)
• Xem tiến trình của các tệp đang được tải lên
• Chuyển ngôn ngữ hiển thị, và Đăng xuất

●Không thể làm

• Xem, tìm kiếm, chỉnh sửa hoặc xuất bản SOP (bao gồm URL chia sẻ và phát ngoại tuyến đã lưu trên thiết bị)
• Xem danh sách tư liệu, hoặc phát và tải xuống các tư liệu đã tải lên
• Xem kết quả phân tích AI (kết quả của các tư liệu do chính bạn tải lên cũng không được hiển thị)
• Sử dụng các màn hình quản trị, Báo cáo sử dụng, Bản đồ kỹ năng, khóa học và các chức năng khác
• Tự mở cài đặt tài khoản của mình (đổi mật khẩu, đăng ký xác thực đa yếu tố, hồ sơ)

Sau khi tải lên, hãy kiểm tra tư liệu trong danh sách tư liệu khi bạn đã kết nối với mạng được cho phép. Nếu bạn đặt phạm vi xem của tư liệu là [Chỉ mình tôi], người khác sẽ không thể xem tư liệu đó cho đến khi bạn mở nó từ mạng được cho phép.

Lưu ý rằng các màn hình bắt buộc bạn phải phản hồi trước khi tiếp tục, chẳng hạn như đổi mật khẩu khi đăng nhập lần đầu hoặc đăng ký xác thực đa yếu tố khi việc này trở thành bắt buộc, vẫn sẽ được hiển thị ở trạng thái này.

Phương thức đăng nhập áp dụng

Hai hàng có các phương thức đăng nhập được đưa vào khác nhau.

• Hàng "Người đã qua xác thực đa yếu tố": Chỉ những người đăng nhập bằng địa chỉ email và mật khẩu, và đã thiết lập xác thực đa yếu tố, mới thuộc đối tượng. Đăng nhập một lần (Microsoft Entra ID / SAML) không thể đưa vào hàng này, vì việc xác minh danh tính khi đăng nhập được thực hiện bởi IdP nên Dive không thể xác nhận xác thực đa yếu tố đã được vượt qua hay chưa. Tài khoản không cần email (những người đăng nhập bằng ID do quản trị viên cấp) và đăng nhập bằng mã QR trên kính thông minh cũng không thể đưa vào hàng này, vì các phương thức này được thiết kế để dùng trên thiết bị dùng chung
• Hàng "Những người còn lại": Vì không đặt điều kiện xác thực đa yếu tố, tất cả các phương thức đăng nhập nêu trên đều có thể được đưa vào. Ví dụ, việc nhân viên hiện trường tải lên video quay bằng đường truyền di động được thiết lập trong hàng này

Quyền người dùng áp dụng

Ở các hàng chọn [Chỉ tải tư liệu lên], các quyền người dùng có thể tải tư liệu lên là đối tượng áp dụng: Chủ sở hữu, Quản trị viên Nhóm (team), Quản trị viên Nhóm (group) và Người tạo. Người dùng chỉ xem và khách vẫn không thể sử dụng từ bên ngoài các mạng được cho phép, như trước đây.

Chuẩn bị phía người dùng

Người dùng thuộc hàng "Người đã qua xác thực đa yếu tố" phải đăng ký xác thực đa yếu tố từ trước. Hãy đăng ký khi đang kết nối với mạng được cho phép. Các bước xem tại Xác thực hai bước (tự thiết lập cá nhân).

Nếu vận hành toàn đội, bạn cũng nên cân nhắc việc Bắt buộc xác thực hai bước (MFA) cho toàn bộ thành viên trong đội. Ngay cả khi không bắt buộc, bạn vẫn có thể dùng cài đặt này. Những người chưa đăng ký xác thực đa yếu tố chỉ đơn giản là không thuộc hàng đó.

Hàng "Những người còn lại" không cần chuẩn bị gì phía người dùng.

Thông báo khi không thể đăng nhập

• "Giới hạn địa chỉ IP: Không dùng được từ mạng bạn đang kết nối": Cả hai hàng đều được đặt là [Không dùng được]. Vui lòng kết nối từ mạng được cho phép
• "Để dùng từ ngoài mạng được cho phép, cần thiết lập xác thực đa yếu tố. Vui lòng kết nối với mạng được cho phép rồi thiết lập": Bạn là người dùng mục tiêu của hàng "Người đã qua xác thực đa yếu tố", nhưng chưa đăng ký xác thực đa yếu tố
• "Không được phép sử dụng từ ngoài mạng được cho phép. Vui lòng kiểm tra với quản trị viên": Bạn không nằm trong danh sách người dùng mục tiêu ở cả hai hàng. Hãy nhờ chủ sở hữu thêm bạn vào
• "Từ ngoài mạng được cho phép, Chỉ có thể tải tư liệu lên. Tài khoản của bạn không thể tải lên": Quyền người dùng của bạn không cho phép tải tư liệu lên (Người dùng chỉ xem hoặc khách)
• "Phương thức đăng nhập này không thể dùng từ ngoài mạng được cho phép": Phương thức đăng nhập này không thể đưa vào hàng "Người đã qua xác thực đa yếu tố" (như đăng nhập một lần hoặc tài khoản không cần email). Nếu bạn cũng muốn cho phép những người này, hãy đặt hàng "Những người còn lại" thành [Chỉ tải tư liệu lên]

Mạng cũng được kiểm tra sau khi đăng nhập

Địa chỉ IP nguồn của kết nối được kiểm tra lại không chỉ khi đăng nhập mà còn sau khi đã đăng nhập, vào các thời điểm sau:

• Mỗi 5 phút khi màn hình đang hiển thị
• Khi quay lại màn hình hoặc ứng dụng, hoặc khi mạng được kết nối lại
• Khi quản trị viên bật giới hạn địa chỉ IP hoặc thay đổi danh sách cho phép
• Trước khi mở SOP từ đường liên kết hoặc mã QR nhận được trong ứng dụng Dive

Nếu kết nối đến từ mạng không được cho phép, hệ thống sẽ kiểm tra lại sau 10 giây, và nếu vẫn không được phép thì bạn sẽ bị đăng xuất. Màn hình đăng nhập hiển thị "Giới hạn địa chỉ IP: Bạn đã bị đăng xuất vì kết nối đến từ ngoài các mạng được cho phép." Khi không thể kiểm tra, chẳng hạn khi không có kết nối, bạn sẽ không bị đăng xuất. Điều này không áp dụng cho những người đã đăng nhập với sự cho phép từ xác thực đa yếu tố hoặc ngoại lệ của màn hình tải lên.

Thiết bị rời khỏi Wi-Fi văn phòng và chuyển sang đường truyền di động sẽ bị đăng xuất, trừ khi quay lại trong vòng 10 giây. Nếu có thiết bị dùng đường truyền di động ngoài hiện trường, hãy kiểm tra danh sách cho phép hoặc cài đặt ngoại lệ nêu trên.

Kiểm tra bản ghi

Các thay đổi cài đặt, bản ghi cho phép hoặc từ chối đăng nhập từ ngoài mạng được cho phép theo cài đặt này, và bản ghi đăng xuất do kiểm tra lại sau khi đăng nhập đều được lưu trong nhật ký kiểm tra. Bạn có thể xem ai đã dùng, lúc nào và từ địa chỉ IP nào (Xuất nhật ký kiểm tra ra CSV).

Nhập Excel / Xuất ra Excel

Bạn cũng có thể quản lý danh sách IP được cho phép hàng loạt bằng Excel. Ngay cả tổ chức quản lý nhiều địa điểm và VPN cũng có thể đăng ký nguyên danh sách đã chuẩn bị trong Excel.

• [Xuất ra Excel]: Tải danh sách cho phép hiện tại xuống dưới dạng tệp Excel
• [Nhập Excel]: Nhập danh sách cho phép từ tệp Excel (.xlsx)

Cũng hữu ích khi bạn muốn thay đổi quy tắc vận hành hoặc lưu lại bản sao để kiểm toán.

Mẹo sử dụng hiệu quả

• Luôn kiểm tra trước khi áp dụng vào môi trường thật: Lưu một cấu hình tối thiểu có bao gồm IP toàn cầu của chính bạn, rồi kiểm tra đầy đủ từ đăng xuất đến đăng nhập lại
• Bắt buộc truy cập qua VPN: Hữu ích khi bạn muốn chặn truy cập trực tiếp từ nhà hoặc quán cà phê và luôn yêu cầu đăng nhập qua VPN
• Khi mở rộng địa điểm: Khi mở một địa điểm mới, hãy luôn thêm IP toàn cầu tại đó trước khi bắt đầu vận hành
• Môi trường trộn IPv4 và IPv6: Tùy nhà cung cấp, IPv4 và IPv6 có thể cùng tồn tại. Đưa cả hai vào danh sách cho phép sẽ an toàn hơn

Khi dùng kết nối AI (Claude, ChatGPT v.v.)

Ở các đội sử dụng giới hạn địa chỉ IP, mặc định không thể dùng kết nối AI (tính năng cho phép AI như Claude hoặc ChatGPT tìm và đọc SOP của Dive). Điều này là vì kết nối từ AI đến từ máy chủ của công ty AI.

Với gói Enterprise, chủ sở hữu có thể đánh dấu chọn [Cho phép kết nối AI kể cả khi dùng giới hạn địa chỉ IP] trên thẻ [Kết nối AI (MCP)] trong tab [Liên kết] của [Chức năng dành cho chủ sở hữu], rồi lưu. Sau đó, các AI sau có thể được sử dụng. Hàng này chỉ hiển thị với các đội đang dùng giới hạn địa chỉ IP.

• AI đã đăng ký bởi công ty (Microsoft Copilot, Google Gemini Enterprise)
• Claude (kết nối từ các nguồn kết nối do Anthropic công bố)

ChatGPT không thể dùng vì danh sách nguồn kết nối có thể thay đổi. Cài đặt này chỉ dành cho kết nối AI và không ảnh hưởng đến đăng nhập thông thường (cũng không được thêm vào danh sách cho phép). Việc cấp quyền khi kết nối AI (màn hình "Kết nối với Dive") được thực hiện từ nơi bạn có thể dùng Dive khi bị giới hạn địa chỉ IP. Chi tiết xem tại Tìm và đọc SOP từ AI như Claude hoặc ChatGPT (Kết nối AI, bản beta).

Khi đọc SOP qua API từ hệ thống nội bộ

Với gói Enterprise, bạn có thể tìm và đọc SOP của Dive từ hệ thống nội bộ bằng khóa (API key) do chủ sở hữu cấp. Ở các đội dùng giới hạn địa chỉ IP, bạn cần đăng ký địa chỉ IP nguồn của khóa (địa chỉ đầu ra ra internet của máy chủ gọi API). Khóa chưa đăng ký địa chỉ thì không dùng được. Nếu bạn bắt đầu dùng giới hạn địa chỉ IP sau này, khóa đó cũng sẽ không dùng được cho đến khi bạn đăng ký địa chỉ IP.

Đăng ký địa chỉ IP cho từng khóa trong thẻ [API (tìm và đọc SOP)] ở tab [Liên kết] của [Chức năng dành cho chủ sở hữu]. Địa chỉ này không được thêm vào danh sách cho phép của đội, và không ảnh hưởng đến đăng nhập thông thường. Chi tiết xem tại Tìm và đọc SOP từ hệ thống nội bộ và AI (API, bản beta).

Liên quan

• Tổng quan cài đặt bảo mật (Chức năng dành cho chủ sở hữu)
• Về danh sách cho phép (allowlist) trong bảo mật (tên miền kết nối ngoài)
• Xác thực hai bước (tự thiết lập cá nhân)
• Bắt buộc xác thực hai bước (MFA) cho toàn bộ thành viên trong đội
• Xuất nhật ký kiểm tra ra CSV