Đây là cơ chế cho phép chỉ các truy cập từ những địa chỉ IP cụ thể (hoặc khoảng địa chỉ IP) và từ chối những địa chỉ khác. Bằng cách chỉ cho phép truy cập từ các đường dẫn được xác định như mạng công ty, chi nhánh hoặc thông qua kết nối VPN, bạn có thể tăng cường bảo mật một cách đáng kể.

Dive hỗ trợ giới hạn địa chỉ IP toàn cầu (IPv4/IPv6) với 3 định dạng: IP đơn / khoảng / CIDR. Sau khi cấu hình, các lần đăng nhập từ các địa chỉ IP không có trong danh sách cho phép sẽ bị chặn, ngay cả với người dùng có quyền Chủ sở hữu. Trên gói Enterprise, bạn có thể chọn cách xử lý các truy cập từ bên ngoài mạng được phép, chẳng hạn như "Chỉ có thể tải tư liệu lên" hoặc "Có thể sử dụng nếu đã qua xác thực đa yếu tố" (xem "Cách thiết lập truy cập từ bên ngoài các mạng được phép" dưới đây).

Người có thể cấu hình

Chỉ những người dùng có quyền Chủ sở hữu mới có thể cấu hình được.

Trước khi bắt đầu

Tính năng này là một giới hạn mạnh mẽ. Có nguy cro cấu hình sai có thể khóa cả Chủ sở hữu ra khỏi hệ thống, vì vậy vui lòng chắc chắn kiểm tra những điều sau:

• Xác thực rằng các địa chỉ IP bạn dự định đăng ký là IP toàn cầu (IP gửi đi được cấp bởi nhà cung cấp dịch vụ hoặc nhà cung cấp VPN)
• Trước khi cấu hình, hãy chắc chắn bao gồm địa chỉ IP toàn cầu của riêng bạn
• Nên Xuất ra Excel để tạo bản sao lưu danh sách các địa chỉ IP được phép để bạn có thể xác minh ngay sau khi cấu hình

* Nếu tình cờ bạn bị khóa tài khoản, vui lòng liên hệ. với đội hỗ trợ Dive tại customer-success@episotech.com.

Các bước cấu hình

1. Đăng nhập vào Dive và nhấp vào [Chức năng dành cho chủ sở hữu]
   
2. Chọn tab [Bảo mật] ở trên cùng và mở thẻ [Cài đặt giới hạn địa chỉ IP]

3. Đánh dấu vào ô "Dùng giới hạn địa chỉ IP"

   

4. Mở phần danh sách cho phép và nhấp vào một trong những lựa chọn sau tùy thuộc vào định dạng bạn muốn đăng ký
   • [+ Thêm]: Đăng ký một địa chỉ IP duy nhất hoặc định dạng CIDR (ví dụ: 192.168.0.0/24)
   • [+ Thêm theo phạm vi]: Đăng ký bằng cách chỉ định phạm vi từ IP bắt đầu đến IP kết thúc

5. Nhập các địa chỉ IP bạn muốn cho phép (hỗ trợ 3 định dạng)

   • IP đơn: 203.0.113.5 / 2001:db8::1
   • Khoảng: 203.0.113.5 đến 203.0.113.50
   • CIDR: 192.168.0.0/24 / 2001:db8::/32

   Nếu định dạng không hợp lệ trong khi bạn nhập, thông báo lỗi màu đỏ sẽ hiển thị ngay lập tức
   

6. Khi hoàn tất, nhấp vào [Lưu]
   

Tính an toàn khi lưu

Khi bạn lưu, nếu mạng hiện đang được sử dụng cho phiên của bạn (IP mà từ đó bạn đang truy cập) không có trong danh sách cho phép, thông báo sau sẽ hiển thị. Nó sẽ được thêm tự động, vui lòng nhấp vào [OK]. Điều này ngăn chặn bạn bị khóa ngay sau khi cấu hình.

Ngoài ra, nếu bạn đã đặt hàng "Người đã qua xác thực đa yếu tố" dưới đây thành [Tất cả chức năng] và bạn nằm trong nhóm đó, thông báo này sẽ không xuất hiện. Điều này là bởi vì bạn có thể kết nối lại bằng xác thực đa yếu tố và thay đổi cài đặt. Khi nó được đặt thành [Chỉ tải tư liệu lên], bạn không thể mở màn hình cài đặt ngay cả sau khi kết nối lại, vì vậy thông báo sẽ xuất hiện như trước.

Cách thiết lập truy cập từ bên ngoài các mạng được phép

Bạn có thể thiết lập cách xử lý các truy cập từ mạng không có trong danh sách cho phép, chẳng hạn như địa điểm công tác hoặc mạng di động, dựa trên các phân đoạn người dùng. Trong trạng thái ban đầu, cả hai phân đoạn đều được đặt thành "Không dùng được", và hành vi sẽ không thay đổi cho đến khi bạn sửa đổi nó.

Ngay cả khi bạn thay đổi cài đặt này, danh sách các địa chỉ IP được phép sẽ không thay đổi. Việc sử dụng từ các mạng được phép sẽ giữ nguyên. Chỉ cách xử lý người dùng bên ngoài các mạng đó sẽ thay đổi.

Hai hàng để quyết định

Cài đặt là "ai" và "họ có thể sử dụng cái gì" trong hai hàng. Mỗi hàng có menu thả xuống để chọn phạm vi.

• Người đã qua xác thực đa yếu tố …… [Không dùng được] / [Chỉ tải tư liệu lên] / [Tất cả chức năng]
• Những người còn lại …… [Không dùng được] / [Chỉ tải tư liệu lên]

Nếu bạn chọn bất kỳ thứ gì khác [Không dùng được], mục tiêu của người dùng bị ảnh hưởng sẽ xuất hiện dưới hàng đó. Chọn [Tất cả mọi người] hoặc [Chỉ người dùng đã chỉ định]. Nếu bạn chọn [Chỉ người dùng đã chỉ định] nhưng không chỉ định người dùng nào, không ai có thể sử dụng hàng đó (cảnh báo cũng sẽ xuất hiện trên màn hình cài đặt).

Hai hàng là độc lập. Ví dụ, nếu bạn muốn vận hành sao cho "quản trị viên có thể sử dụng tất cả các chức năng từ bên ngoài mạng, nhưng nhân viên tại chỗ chỉ có thể tải tư liệu lên từ bên ngoài", hãy đặt hàng đầu tiên thành [Tất cả chức năng] và hàng thứ hai thành [Chỉ tải tư liệu lên]. Ngược lại, nếu bạn muốn vận hành sao cho "các thủ tục không hiển thị bên ngoài mạng, nhưng chỉ cho phép truy cập cho những người đã qua xác thực đa yếu tố", hãy đặt hàng đầu tiên thành [Chỉ tải tư liệu lên] và hàng thứ hai thành [Không dùng được].

Màn hình cài đặt luôn hiển thị cách các lựa chọn hiện tại của bạn sẽ phân nhánh. Trước khi lưu, hãy xác minh rằng bạn có tổ hợp mong muốn.

Gói có sẵn

Cài đặt này dùng được trên gói Enterprise. Chỉ những người dùng có quyền Chủ sở hữu mới có thể cấu hình được.

Các bước cấu hình

1. Mở [Chức năng dành cho chủ sở hữu], chọn [Bảo mật] từ các tab ở trên cùng và mở thẻ [Cài đặt giới hạn địa chỉ IP]
2. Xác minh rằng "Dùng giới hạn địa chỉ IP" được bật (nếu giới hạn địa chỉ IP bị tắt, cài đặt này không có ý nghĩa)
3. Với mỗi hàng dưới [Truy cập từ ngoài mạng được phép], chọn phạm vi bạn muốn cho phép. Khi bạn chọn [Tất cả chức năng], thông báo xác nhận sẽ xuất hiện; vui lòng xem lại nội dung và nhấp vào [OK]
4. Chọn [Tất cả mọi người] hoặc [Chỉ người dùng đã chỉ định] cho mỗi hàng. Nếu chọn [Chỉ người dùng đã chỉ định], hãy chọn người dùng mục tiêu
5. Xác minh sự phân nhánh được hiển thị dưới [Cách hoạt động với thiết lập này]
6. Nhấp vào [Lưu]

Khi bạn bỏ đánh dấu "Dùng giới hạn địa chỉ IP", cài đặt này cũng sẽ bị tắt cùng lúc. Điều này ngăn chặn việc mở các truy cập từ bên ngoài các mạng được phép một cách không chủ ý khi bạn bật lại giới hạn địa chỉ IP.

Những gì bạn có thể làm với "Chỉ tải tư liệu lên"

Khi người dùng được phép trong phạm vi này kết nối từ bên ngoài mạng được phép, chỉ một màn hình duy nhất để tải tư liệu lên sẽ hiển thị. Các màn hình nơi bạn có thể xem nội dung, chẳng hạn như thủ tục, danh sách tư liệu, màn hình quản lý và báo cáo, không được hiển thị.

● Những gì bạn có thể làm

• Tải lên video, ảnh và các tệp khác (bao gồm cả phân tích AI trong quá trình tải lên)
• Chọn phạm vi khả năng hiển thị cho tư liệu được tải lên (chỉ tôi / Chia sẻ nhóm / Chia sẻ nhóm)
• Xem tiến độ của các tệp hiện đang được tải lên
• Chuyển đổi ngôn ngữ hiển thị và đăng xuất

● Những gì bạn không thể làm

• Xem, tìm kiếm, chỉnh sửa hoặc xuất bản thủ tục (bao gồm các URL được chia sẻ và phát lại ngoại tuyến được lưu trên thiết bị)
• Hiển thị danh sách tư liệu hoặc phát lại/tải xuống tư liệu được tải lên
• Xem kết quả phân tích AI (kết quả của tư liệu bạn tải lên cũng không được hiển thị)
• Truy cập các chức năng như màn hình quản lý, Báo cáo sử dụng, Bản đồ kỹ năng hoặc khóa học
• Mở cài đặt tài khoản của riêng bạn (thay đổi mật khẩu, đăng ký xác thực đa yếu tố, hồ sơ)

Sau khi tải lên tư liệu, hãy truy cập danh sách tư liệu từ mạng được phép để xác minh chúng. Nếu bạn đặt phạm vi khả năng hiển thị thành [Chỉ tôi], các người dùng khác không thể truy cập tư liệu cho đến khi bạn truy cập chúng từ mạng được phép.

Lưu ý rằng các màn hình yêu cầu hành động, chẳng hạn như thay đổi mật khẩu khi đăng nhập lần đầu tiên hoặc đăng ký xác thực đa yếu tố khi MFA trở nên bắt buộc, sẽ được hiển thị ngay cả ở trạng thái này.

Phương pháp đăng nhập áp dụng

Hai hàng hỗ trợ các phương pháp đăng nhập khác nhau.

• Hàng "Người đã qua xác thực đa yếu tố": Chỉ những người dùng đăng nhập bằng địa chỉ email và mật khẩu và đã cấu hình xác thực đa yếu tố mới đủ điều kiện. Đăng nhập một lần (Microsoft Entra ID / SAML) không thể được xác minh xác thực đa yếu tố ở phía Dive vì xác minh danh tính được thực hiện ở phía IdP trong quá trình đăng nhập. Các tài khoản không cần email (ID do quản trị viên cấp để đăng nhập) và đăng nhập bằng mã QR của kính thông minh được thiết kế để sử dụng trên thiết bị được chia sẻ, vì vậy không ai có thể được nhắm mục tiêu cho hàng này
• Hàng "Những người còn lại": Vì xác thực đa yếu tố không được yêu cầu, tất cả các phương pháp đăng nhập trên có thể được nhắm mục tiêu. Ví dụ, nếu nhân viên tại chỗ tải lên video được chụp trên mạng di động, hãy cấu hình nó trong hàng này

Quyền người dùng áp dụng

Trong hàng nơi bạn chọn [Chỉ tải tư liệu lên], các quyền người dùng có thể tải lên tư liệu (Chủ sở hữu, Quản trị viên Nhóm, Quản trị viên Nhóm, Người tạo) đủ điều kiện. Người dùng chỉ xem và khách vẫn sẽ không thể sử dụng dịch vụ từ bên ngoài các mạng được phép.

Chuẩn bị người dùng

Người dùng đủ điều kiện cho hàng "Người đã qua xác thực đa yếu tố" phải đăng ký xác thực đa yếu tố trước. Vui lòng hoàn thành đăng ký trong khi kết nối với mạng được phép. Để biết hướng dẫn, hãy tham khảo Xác thực hai yếu tố (thiết lập cá nhân).

Nếu vận hành trên toàn team, cũng hãy cân nhắc sử dụng Làm cho xác thực hai yếu tố (MFA) bắt buộc cho tất cả thành viên nhóm. Cài đặt này có thể được sử dụng ngay cả khi MFA không bắt buộc. Người dùng chưa đăng ký xác thực đa yếu tố sẽ không đủ điều kiện cho hàng này.

Không cần chuẩn bị người dùng cho hàng "Những người còn lại".

Thông báo khi bạn không thể đăng nhập

• "Giới hạn địa chỉ IP: Bạn không thể sử dụng dịch vụ trên mạng bạn đang kết nối": Cả hai hàng được đặt thành [Không dùng được]. Vui lòng kết nối từ mạng được phép
• "Thiết lập xác thực đa yếu tố được yêu cầu để sử dụng dịch vụ từ bên ngoài các mạng được phép. Vui lòng kết nối với mạng được phép và thiết lập nó": Bạn là người dùng đủ điều kiện cho hàng "Người đã qua xác thực đa yếu tố", nhưng xác thực đa yếu tố chưa được đăng ký
• "Sử dụng từ bên ngoài các mạng được phép không được phép. Vui lòng kiểm tra với quản trị viên của bạn": Bạn không được bao gồm trong người dùng mục tiêu cho bất kỳ hàng nào. Yêu cầu Chủ sở hữu thêm bạn
• "Từ bên ngoài các mạng được phép, chỉ có thể tải tư liệu lên. Tài khoản của bạn không thể thực hiện tải lên": Quyền người dùng của bạn không cho phép tải lên tư liệu (người dùng chỉ xem hoặc khách)
• "Với phương pháp đăng nhập này, bạn không thể sử dụng dịch vụ từ bên ngoài các mạng được phép": Phương pháp đăng nhập này không thể được nhắm mục tiêu cho hàng "Người đã qua xác thực đa yếu tố" (đăng nhập một lần, tài khoản không cần email, v.v.). Nếu bạn muốn cho phép truy cập cho những người dùng này, hãy đặt hàng "Những người còn lại" thành [Chỉ tải tư liệu lên]

Chúng tôi cũng kiểm tra lại sau khi bạn đăng nhập

Địa chỉ IP của kết nối của bạn được xác minh không chỉ khi đăng nhập mà còn trong các lần sau.

• Cứ 5 phút một lần trong khi màn hình được hiển thị
• Khi quay lại màn hình hoặc ứng dụng, hoặc khi kết nối lại với mạng
• Khi quản trị viên bật giới hạn địa chỉ IP hoặc thay đổi danh sách cho phép
• Trước khi mở thủ tục từ liên kết nhận được hoặc mã QR trong ứng dụng Dive

Nếu kết nối của bạn từ mạng không được phép, nó sẽ được kiểm tra lại sau 10 giây, và nếu nó vẫn không được phép, bạn sẽ bị đăng xuất. Màn hình đăng nhập sẽ hiển thị "Giới hạn địa chỉ IP: Bạn bị đăng xuất vì bạn đang kết nối từ bên ngoài các mạng được phép." Nếu không thể xác minh hoặc không thể xác định được giao tiếp, bạn sẽ không bị đăng xuất. Người dùng được phép thông qua xác thực đa yếu tố hoặc ngoại lệ màn hình tải lên không thuộc đối tượng này.

Thiết bị chuyển từ Wi-Fi công ty sang mạng di động sẽ bị đăng xuất nếu không kết nối lại trong vòng 10 giây. Nếu bạn có các thiết bị sử dụng mạng di động tại hiện trường, vui lòng xác minh danh sách cho phép hoặc các cài đặt ngoại lệ được đề cập ở trên.

Kiểm tra nhật ký

Bản ghi về những thay đổi đối với cài đặt, cho phép hoặc từ chối đăng nhập từ bên ngoài các mạng được phép do cài đặt này, và đăng xuất do kiểm tra xác minh sau khi đăng nhập được giữ lại trong nhật ký kiểm toán. Bạn có thể xác minh ai đã truy cập hệ thống từ địa chỉ IP nào và khi nào (tham khảo Xuất nhật ký kiểm toán sang CSV).

Nhập Excel và xuất

Bạn cũng có thể quản lý danh sách các địa chỉ IP được phép hàng loạt trong Excel. Ngay cả đối với các tổ chức quản lý nhiều chi nhánh và VPN, bạn có thể đăng ký trực tiếp các danh sách được chuẩn bị trong Excel.

• [Xuất ra Excel]: Tải xuống danh sách cho phép hiện tại dưới dạng tệp Excel
• [Nhập Excel]: Nhập danh sách cho phép từ tệp Excel (.xlsx)

Sử dụng tính năng này khi bạn muốn giữ lại bản sao lưu để thay đổi quy tắc vận hành hoặc kiểm toán.

Mẹo sử dụng hiệu quả

• Luôn kiểm tra trước khi triển khai sản xuất: Lưu với IP toàn cầu của bạn được bao gồm trong cấu hình tối thiểu và xác minh đăng xuất và đăng nhập lại
• Buộc sử dụng VPN: Hiệu quả khi bạn muốn ngăn chặn truy cập trực tiếp từ nhà hoặc quán cà phê và yêu cầu đăng nhập qua VPN
• Khi mở rộng chi nhánh: Khi một chi nhánh mới được thành lập, hãy thêm IP toàn cầu của nó vào danh sách cho phép trước khi bắt đầu hoạt động
• Trong các môi trường IPv4/IPv6 hỗn hợp: Một số nhà cung cấp dịch vụ Internet sử dụng cả IPv4 và IPv6. Bao gồm cả hai trong danh sách cho phép an toàn hơn

Các bài viết liên quan

• Tổng quan về Cài đặt Bảo mật (Chức năng dành cho chủ sở hữu)
• Danh sách cho phép trong Bảo mật (đích kết nối bên ngoài)
• Xác thực hai yếu tố (thiết lập cá nhân)
• Làm cho xác thực hai yếu tố (MFA) bắt buộc cho tất cả thành viên nhóm
• Xuất nhật ký kiểm toán sang CSV