Што можа азначаць правіла доступу да імені вузла на кожным узроўні сеткі
Імя службы можна ўводзіць на ўзроўні DNS, браўзера, проксі або міжсеткавага экрана. Выберыце ўзровень, які бачыць ідэнтычнасць, якой вы хочаце кіраваць.
Тры чалавекі просяць адно і тое ж аднолькавымі словамі: заблакаваць доступ да аднаго імені службы. Адзін мае на ўвазе, што браўзер не павінен адкрываць сайт, другі — што настольны галасавы кліент не павінен дасягаць свайго сервера, а трэці — што група падрадчыкаў не павінна карыстацца пэўнай унутранай праграмай. Сказ адзін і той жа, а механізмы выканання не маюць амаль нічога агульнага.
Выбірайце ўзровень па ідэнтыфікатары, які ён сапраўды бачыць, а затым па кліентах, якіх ён ахоплівае. Пачатак з каманды міжсеткавага экрана, якую вы ўжо ведаеце, — гэта шлях, якім правілы ўрэшце не блакуюць нічога або блуюць занадта шмат.
Імя — не ідэнтычнасць, якую можа праверыць кожны ўзровень
Netfilter і падобныя фільтры пакетаў бачаць адрасы, пратаколы і порты. Яны не бачаць імёнаў вузлоў, і да таго моманту, калі пакет дасягае іх, імя ўжо развязанае. Правіла, напісанае супраць адраса, — гэта правіла пра гэты адрас, незалежна ад таго, якое імя набраў карыстальнік, каб да яго дабрацца.
Палітыка DNS стаіць раней на шляху і бачыць запыт, які з’яўляецца іншым аб’ектам, чым злучэнне, што ідзе за ім. Яна кіруе адказамі, якія вяртае кантраляваны рэзалвер, а не злучэннямі, што ўжо былі адкрытыя, і не кліентамі, наладжанымі ў абыход гэтага рэзалвера. Развязаны адрас таксама можа змяніцца паміж разглядам палітыкі і наступным запытам, таму адказ DNS не з’яўляецца доўгатэрміновай заявай аб аўтарызацыі.
Вышэйшыя ўзроўні бачаць больш кантэксту і ахопліваюць менш кліентаў. Гэты абмен і ёсць уся тэма, і ён тлумачыць, чаму ні адзін радок табліцы ніколі не з’яўляецца правільным адказам. Выберыце радок, які бачыць ідэнтыфікатар, да якога ваша палітыка сапраўды датычыцца. Затым прымеце пакрыццё, якое гэты радок прадугледжвае.
Што можа вызначыць кожны ўзровень
Чытайце табліцу ад сярэдняга слупка вонкі: ідэнтыфікатар, які бачыць узровень, вызначае палітыку, якую ён можа сумленна выконваць.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Узровень трапляе ў палітыку толькі тады, калі ідэнтыфікатар, які ён бачыць, супадае з ідэнтыфікатарам, якім вы кіруеце. Табліца таксама тлумачыць, чаму правіла, напісанае на адным узроўні, рэдка пераносіцца на іншы без новага рашэння, што яно абараняе.
Дзе відавочнае правіла не спраўляецца
Правіла адраса цалкам правільнае для службы з вылучаным адрасам, якім вы кіруеце, і гэта ўласнасць варта запісаць у палітыку. Яно цалкам няправільнае для ўсяго, што стаіць за агульным адрасам дастаўкі кантэнту, дзе тое ж правіла закранае незвязаныя службы, а абноўлены адказ DNS не ператварае правіла ў аўтарызацыю імені вузла.
Палітыка кіраванага браўзера выражае вэб-абмежаванне больш непасрэдна, чым скапіяваны спіс адрасоў, але яна прымяняецца да браўзераў і профіляў, якімі кіруе сістэма кіравання.
Гэта браўзернае правіла нічога не робіць з галасавым кліентам, які шле UDP на іншы вузел, і яго шаблоны вызначаюцца гэтым прадуктам, а не канвенцыямі шаблонаў, запазычанымі дзесьці іншым. Проксі CONNECT гэтак жа атрымлівае імя вузла і порт для тунеляванага запыту і не можа прачытаць шлях унутры зашыфраванай сесіі. Будуйце правіла вакол таго, што раскрывае пратакол. Затым запішыце, што яно пакідае непакрытым, бо менавіта з гэтай прагаліны прыйдзе наступны запыт.
Выбірайце па кліентах, а не па камандзе
Спытайцеся, якіх кліентаў палітыка павінна ахапіць і якіх можа прапусціць. Палітыка кіраванага браўзера ахоплівае тое, да чаго дасягае сістэма кіравання, і спыняецца на мяжы браўзера. Палітыка рэзалвера ахоплівае ўсё, што карыстаецца вашым рэзалверам, — гэта шырэйшы набор, і яна адкрыта не спраўляецца для тых, хто ім не карыстаецца.
Для службы, якой вы кіруеце, аўтарызацыя ў праграме мацнейшая за любую сеткавую мяжу, бо яна ідзе за ўліковым запісам, а не за шляхам. Маршрут VPN — гэта дасягальнасць і нічога больш: магчымасць адправіць пакет да службы не з’яўляецца дазволам ёю карыстацца. Там, дзе важным ідэнтыфікатарам з’яўляецца карыстальнік або дазвол канала, выконвайце яго там, а сеткавае правіла разглядайце як другі ўзровень.
Напішыце правіла ў тэрмінах рэсурсу
Абарончая палітыка называе рэсурс, ідэнтычнасці, праграмы ў межах і шлях, які іх нясе, уключаючы абодва сямействы адрасоў, што выкарыстоўваюцца. Яна таксама ўказвае, што адбудзецца з агульнай інфраструктурай, якую правіла закране пабочна.
Гэтая фармулёўка стварае рашэнне, якое нехта можа з часам правесці аўдыт. Правіла, апраўданае сённяшнім развязаным адрасам, стварае інцыдэнт пры першай змене адраса, і ніхто не зможа растлумачыць, чаму блакаванне калісьці было правільным.