Šta pravilo pristupa po imenu hosta može značiti na svakom mrežnom sloju
Ime usluge može se nametnuti na nivou DNS-a, preglednika, proxyja ili firewall-a. Odaberite sloj koji vidi identitet kojim želite upravljati.
Tri osobe traže istu stvar istim riječima: blokirati pristup jednom imenu usluge. Jedna misli da preglednik ne smije otvoriti stranicu, druga da desktop glasovni klijent ne smije doći do svog servera, a treća da grupa izvođača ne smije koristiti određenu internu aplikaciju. Rečenica je identična, a mehanizmi provođenja gotovo da nemaju ništa zajedničko.
Odaberite sloj prema identifikatoru koji zaista vidi, a zatim prema klijentima koje pokriva. Počinjanje od firewall naredbe koju već poznajete jeste način na koji pravila na kraju ne blokiraju ništa ili blokiraju previše.
Ime nije identitet koji svaki sloj može provjeriti
Netfilter i slični filtri paketa vide adrese, protokole i portove. Ne vide imena hostova, a dok paket dođe do njih, ime je već razriješeno. Pravilo napisano prema adresi jeste pravilo o toj adresi, bez obzira na to koje je ime korisnik upisao da bi došao do nje.
DNS politika stoji ranije na putu i vidi upit, koji je drugačiji objekt od veze koja slijedi. Ona upravlja odgovorima koje vraća kontrolirani resolver, a ne vezama koje su već bile otvorene, niti klijentima podešenim da zaobiđu taj resolver. Razriješena adresa može se promijeniti i između pregleda politike i sljedećeg zahtjeva, zbog čega DNS odgovor nije trajna izjava o autorizaciji.
Viši slojevi vide više konteksta i pokrivaju manje klijenata. Ta razmjena je cijela tema i objašnjava zašto nijedan red tabele nikada nije pravi odgovor. Odaberite red koji vidi identifikator na koji se vaša politika zapravo odnosi. Zatim prihvatite pokrivenost koju taj red podrazumijeva.
Šta svaki sloj može identificirati
Čitajte tabelu od srednje kolone prema van: identifikator koji sloj vidi određuje politiku koju može pošteno provesti.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Sloj pripada politici samo kada se identifikator koji vidi poklapa s identifikatorom kojim upravljate. Tabela također objašnjava zašto se pravilo napisano na jednom sloju rijetko prenosi na drugi, a da se ponovo ne odluči šta štiti.
Gdje očigledno pravilo pada
Pravilo adrese potpuno je ispravno za uslugu s namjenskom adresom koju kontrolišete, i to vlasništvo treba upisati u politiku. Potpuno je pogrešno za sve iza zajedničke adrese za dostavu sadržaja, gdje isto pravilo dira nepovezane usluge, a osvježen DNS odgovor ne pretvara pravilo u autorizaciju po imenu hosta.
Politika upravljanog preglednika izražava web ograničenje direktnije od kopirane liste adresa, ali primjenjuje se na preglednike i profile kojima upravlja sistem za upravljanje.
To pravilo preglednika ne čini ništa u vezi s glasovnim klijentom koji šalje UDP na drugi host, a njegove obrasce definira taj proizvod, a ne konvencije džokera posuđene odnekud drugdje. CONNECT proxy također prima host i port za tunelirani zahtjev i ne može pročitati putanju unutar šifrirane sesije. Dizajnirajte pravilo oko onoga što protokol otkriva. Zatim zapišite šta ostavlja nepokriveno, jer taj jaz je mjesto odakle će doći sljedeći zahtjev.
Birajte po klijentima, a ne po naredbi
Pitajte koje klijente politika mora pokriti i koje smije propustiti. Politika upravljanog preglednika pokriva ono do čega sistem za upravljanje dosegne i zaustavlja se na granici preglednika. Politika resolvera pokriva sve što koristi vaš resolver, što je širi skup, i propada otvoreno za svakoga ko ga ne koristi.
Za uslugu koju vodite, autorizacija u aplikaciji jača je od bilo koje mrežne granice, jer slijedi račun, a ne putanju. VPN ruta je dostupnost i ništa više: mogućnost da pošaljete paket usluzi nije dozvola da je koristite. Gdje je identifikator koji je važan korisnik ili dozvola kanala, provedite je tamo i tretirajte mrežno pravilo kao drugi sloj.
Napišite pravilo u terminima resursa
Odbranjiva politika imenuje resurs, identitete, aplikacije u obuhvatu i putanju koja ih nosi, uključujući obje adresne familije u upotrebi. Također navodi šta se dešava sa zajedničkom infrastrukturom koju će pravilo usputno dotaknuti.
Ta formulacija stvara odluku koju neko kasnije može revidirati. Pravilo opravdano današnjom razriješenom adresom stvara incident prvi put kada se adresa promijeni, i niko neće moći objasniti zašto je blokada ikada bila ispravna.