Host adı əsaslı giriş qaydası hər şəbəkə qatında nə məna verə bilər
Bir xidmət adı DNS, brauzer, proksi və ya firewall səviyyəsində tətbiq oluna bilər. İdarə etmək istədiyiniz kimliyi görən qatı seçin.
Üç nəfər eyni sözlərlə eyni şeyi istəyir: bir xidmət adına girişi bloklamaq. Biri brauzerin saytı açmamasını nəzərdə tutur, digəri masaüstü səs müştərisinin öz serverinə çatmamasını, üçüncüsü isə bir qrup podratçının müəyyən daxili tətbiqdən istifadə etməməsini nəzərdə tutur. Cümlə eynidir, icra mexanizmlərinin isə demək olar ki, heç bir ortaq cəhəti yoxdur.
Qatı əvvəlcə onun həqiqətən görə bildiyi identifikatora, sonra əhatə etdiyi müştərilərə görə seçin. Artıq bildiyiniz firewall əmrindən başlamaq qaydaların heç nəyi bloklamaması və ya həddindən artıq bloklaması ilə bitir.
Ad hər qatın yoxlaya biləcəyi kimlik deyil
Netfilter və oxşar paket filtrləri ünvanları, protokolları və portları görür. Onlar host adlarını görmür və paket onlara çatana qədər ad artıq həll edilib. Ünvana qarşı yazılmış qayda, istifadəçinin ona çatmaq üçün hansı adı yazmasından asılı olmayaraq, həmin ünvan haqqında qaydadır.
DNS siyasəti yolda daha erkən yerləşir və sorğunu görür, bu da ardınca gələn bağlantıdan fərqli bir obyektdir. O, nəzarətli resolverin qaytardığı cavabları idarə edir, artıq açılmış bağlantıları yox, və həmin resolveri yan keçmək üçün konfiqurasiya edilmiş müştəriləri də yox. Həll edilmiş ünvan siyasət baxışı ilə növbəti sorğu arasında da dəyişə bilər, buna görə də DNS cavabı davamlı avtorizasiya bəyanatı deyil.
Daha yüksək qatlar daha çox kontekst görür və daha az müştəri əhatə edir. Bu mübadilə bütün mövzudur və cədvəlin heç bir sətrinin heç vaxt düzgün cavab olmamasını izah edir. Siyasətinizin həqiqətən aid olduğu identifikatoru görən sətri seçin. Sonra həmin sətrin nəzərdə tutduğu əhatəni qəbul edin.
Hər qatın nəyi müəyyən edə bildiyi
Cədvəli orta sütundan bayıra doğru oxuyun: qatın görə bildiyi identifikator onun vicdanla tətbiq edə biləcəyi siyasəti müəyyən edir.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Qat yalnız gördüyü identifikator idarə etdiyiniz identifikatorla uyğun gəldikdə siyasətə daxil olur. Cədvəl həmçinin bir qatda yazılmış qaydanın nədən nadir hallarda başqa qata keçdiyini, nəyi qoruduğuna yenidən qərar vermədən izah edir.
Aşkar qaydanın uğursuz olduğu yer
Ünvan qaydası idarə etdiyiniz ayrılmış ünvana malik xidmət üçün tamamilə düzgündür və bu sahiblik siyasətə yazılmalıdır. Paylaşılan məzmun çatdırılma ünvanının arxasındakı hər şey üçün isə tamamilə yanlışdır: orada eyni qayda əlaqəsiz xidmətlərə toxunur və yenilənmiş DNS cavabı qaydanı host adı avtorizasiyasına çevirmir.
İdarə olunan brauzer siyasəti veb məhdudiyyətini kopyalanmış ünvan siyahısından daha birbaşa ifadə edir, lakin idarəetmə sisteminin idarə etdiyi brauzerlərə və profillərə tətbiq olunur.
Həmin brauzer qaydası fərqli hosta UDP göndərən səs müştərisi barədə heç nə etmir və onun nümunələri başqa yerdən götürülmüş wildcard konvensiyaları ilə deyil, həmin məhsulla müəyyən edilir. CONNECT proksisi də tunellənmiş sorğu üçün host və port alır və şifrələnmiş sessiyanın içindəki yolu oxuya bilmir. Qaydanı protokolun açıq etdiyi şeylər ətrafında qurun. Sonra onun nəyi əhatəsiz qoyduğunu yazın, çünki növbəti sorğu məhz o boşluqdan gələcək.
Əmrə görə deyil, müştərilərə görə seçin
Siyasətin hansı müştəriləri əhatə etməli olduğunu və hansılarını buraxa biləcəyini soruşun. İdarə olunan brauzer siyasəti idarəetmə sisteminin çatdığını əhatə edir və brauzer sərhədində dayanır. Resolver siyasəti sizin resolverinizdən istifadə edən hər şeyi əhatə edir, bu daha geniş çoxluqdur və istifadə etməyənlər üçün açıq şəkildə uğursuz olur.
İdarə etdiyiniz xidmət üçün tətbiqdə avtorizasiya istənilən şəbəkə sərhədindən güclüdür, çünki yolun deyil, hesabın ardınca gedir. VPN marşrutu yalnız əlçatanlıqdır: bir xidmətə paket göndərə bilmək ondan istifadə etmək icazəsi deyil. Əhəmiyyətli identifikator istifadəçi və ya kanal icazəsidirsə, onu orada tətbiq edin və şəbəkə qaydasına ikinci qat kimi baxın.
Qaydanı resurs baxımından yazın
Müdafiə oluna bilən siyasət resursu, kimlikləri, əhatə dairəsindəki tətbiqləri və onları daşıyan yolu, o cümlədən istifadədə olan hər iki ünvan ailəsini adlandırır. O, həmçinin qaydanın təsadüfən təsir edəcəyi paylaşılan infrastrukturla nə olacağını bildirir.
Bu ifadə sonradan kimsənin audit edə biləcəyi qərar yaradır. Bugünkü həll edilmiş ünvanla əsaslandırılan qayda ünvan ilk dəfə dəyişəndə insident yaradır və blokun nə vaxtsa niyə düzgün olduğunu heç kim izah edə bilməyəcək.