Co může pravidlo přístupu podle názvu hostitele znamenat na každé síťové vrstvě
Název služby lze vynutit na úrovni DNS, prohlížeče, proxy nebo firewallu. Vyberte vrstvu, která vidí identitu, kterou chcete spravovat.
Tři lidé žádají totéž stejnými slovy: zablokovat přístup k jednomu názvu služby. Jeden tím myslí, že prohlížeč nesmí otevřít web, druhý, že desktopový hlasový klient nesmí dosáhnout svého serveru, a třetí, že skupina dodavatelů nesmí používat určitou interní aplikaci. Věta je totožná a mechanismy prosazení nemají téměř nic společného.
Vrstvu vybírejte podle identifikátoru, který skutečně vidí, a poté podle klientů, které pokrývá. Začínat příkazem firewallu, který už znáte, je cesta, jak pravidla nakonec neblokují nic, nebo blokují příliš mnoho.
Název není identita, kterou by každá vrstva mohla ověřit
Netfilter a podobné paketové filtry vidí adresy, protokoly a porty. Nevidí názvy hostitelů a než k nim paket dorazí, název už byl přeložen. Pravidlo napsané proti adrese je pravidlem o této adrese, bez ohledu na to, jaké jméno uživatel zadal, aby se k ní dostal.
Zásada DNS stojí na cestě dříve a vidí dotaz, což je jiný objekt než následné spojení. Řídí odpovědi, které vrací kontrolovaný překladač, ne spojení, která už byla otevřená, a ne klienty nastavené tak, aby tento překladač obcházeli. Přeložená adresa se také může změnit mezi revizí zásady a dalším požadavkem, proto odpověď DNS není trvalým prohlášením o autorizaci.
Vyšší vrstvy vidí více kontextu a pokrývají méně klientů. Tato výměna je celé téma a vysvětluje, proč žádný jednotlivý řádek tabulky nikdy není správnou odpovědí. Vyberte řádek, který vidí identifikátor, o který vaše zásada skutečně jde. Pak přijměte pokrytí, které tento řádek implikuje.
Co může každá vrstva identifikovat
Čtěte tabulku od prostředního sloupce ven: identifikátor, který vrstva vidí, určuje zásadu, kterou může poctivě prosadit.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Vrstva patří do zásady jen tehdy, když identifikátor, který vidí, odpovídá identifikátoru, který spravujete. Tabulka také vysvětluje, proč se pravidlo napsané na jedné vrstvě zřídka přenese na jinou, aniž by se znovu rozhodlo, co chrání.
Kde zřejmé pravidlo selhává
Pravidlo adresy je přesně správné pro službu s vyhrazenou adresou, kterou ovládáte, a toto vlastnictví by mělo být zapsáno v zásadě. Je přesně špatné pro cokoli za sdílenou adresou pro doručování obsahu, kde se stejné pravidlo dotýká nesouvisejících služeb a obnovená odpověď DNS nepromění pravidlo v autorizaci podle názvu hostitele.
Zásada spravovaného prohlížeče vyjadřuje webové omezení přímoji než zkopírovaný seznam adres, ale platí pro prohlížeče a profily, které spravuje systém správy.
Toto pravidlo prohlížeče nic neřeší u hlasového klienta, který posílá UDP na jiného hostitele, a jeho vzory definuje tento produkt, nikoli konvence zástupných znaků vypůjčené odjinud. Proxy CONNECT rovněž dostává hostitele a port pro tunelovaný požadavek a nedokáže přečíst cestu uvnitř šifrované relace. Navrhněte pravidlo kolem toho, co protokol odhaluje. Potom zapište, co nechává nepokryté, protože právě z této mezery přijde další požadavek.
Vyberte podle klientů, ne podle příkazu
Ptejte se, které klienty musí zásada pokrýt a které může minout. Zásada spravovaného prohlížeče pokrývá to, kam se systém správy dostane, a zastavuje se na hranici prohlížeče. Zásada překladače pokrývá vše, co používá váš překladač, což je širší množina, a selhává otevřeně pro každého, kdo ho nepoužívá.
Pro službu, kterou provozujete, je autorizace v aplikaci silnější než jakákoli síťová hranice, protože sleduje účet, ne cestu. Trasa VPN je dosažitelnost a nic víc: schopnost poslat paket službě není oprávněním ji používat. Kde je důležitým identifikátorem uživatel nebo oprávnění kanálu, prosazujte to tam a síťové pravidlo berte jako druhou vrstvu.
Napište pravidlo v pojmech zdroje
Obhajitelná zásada pojmenovává zdroj, identity, aplikace v rozsahu a cestu, která je nese, včetně obou rodin adres v použití. Také uvádí, co se stane se sdílenou infrastrukturou, kterou pravidlo mimochodem zasáhne.
Tato formulace vytváří rozhodnutí, které může někdo později auditovat. Pravidlo odůvodněné dnešní přeloženou adresou vytvoří incident při první změně adresy a nikdo nebude schopen vysvětlit, proč bylo blokování vůbec správné.