Τι μπορεί να σημαίνει ένας κανόνας πρόσβασης με βάση το όνομα κεντρικού υπολογιστή σε κάθε επίπεδο δικτύου
Ένα όνομα υπηρεσίας μπορεί να επιβληθεί σε επίπεδο DNS, προγράμματος περιήγησης, διαμεσολαβητή ή τείχους προστασίας. Επιλέξτε το επίπεδο που βλέπει την ταυτότητα που θέλετε να διευθύνετε.
Τρία άτομα ζητούν το ίδιο πράγμα με τα ίδια λόγια: να αποκλειστεί η πρόσβαση σε ένα όνομα υπηρεσίας. Ο ένας εννοεί ότι το πρόγραμμα περιήγησης δεν πρέπει να ανοίξει τον ιστότοπο, ο άλλος ότι ένας επιτραπέζιος πελάτης φωνής δεν πρέπει να φτάσει στον διακομιστή του, και ο τρίτος ότι μια ομάδα εργολάβων δεν πρέπει να χρησιμοποιήσει μια συγκεκριμένη εσωτερική εφαρμογή. Η πρόταση είναι ίδια, και οι μηχανισμοί επιβολής δεν έχουν σχεδόν τίποτα κοινό.
Επιλέξτε το επίπεδο με βάση το αναγνωριστικό που μπορεί πραγματικά να δει, και μετά με βάση τους πελάτες που καλύπτει. Το να ξεκινάτε από μια εντολή τείχους προστασίας που ήδη γνωρίζετε είναι ο τρόπος με τον οποίο οι κανόνες καταλήγουν να μην αποκλείουν τίποτα ή να αποκλείουν πάρα πολλά.
Ένα όνομα δεν είναι ταυτότητα που μπορεί να ελέγξει κάθε επίπεδο
Το Netfilter και παρόμοια φίλτρα πακέτων βλέπουν διευθύνσεις, πρωτόκολλα και θύρες. Δεν βλέπουν ονόματα κεντρικών υπολογιστών, και όταν ένα πακέτο φτάσει σε αυτά το όνομα έχει ήδη επιλυθεί. Ένας κανόνας γραμμένος εναντίον μιας διεύθυνσης είναι κανόνας για αυτή τη διεύθυνση, όποιο όνομα κι αν πληκτρολόγησε ένας χρήστης για να φτάσει σε αυτή.
Η πολιτική DNS βρίσκεται νωρίτερα στη διαδρομή και βλέπει το ερώτημα, που είναι διαφορετικό αντικείμενο από τη σύνδεση που ακολουθεί. Διέπει τις απαντήσεις που επιστρέφει ένας ελεγχόμενος επιλυτής, όχι συνδέσεις που ήταν ήδη ανοιχτές, και όχι πελάτες διαμορφωμένους να παρακάμπτουν αυτόν τον επιλυτή. Μια διεύθυνση που έχει επιλυθεί μπορεί επίσης να αλλάξει ανάμεσα στην επισκόπηση της πολιτικής και το επόμενο αίτημα, γι' αυτό μια απάντηση DNS δεν είναι δήλωση εξουσιοδότησης με διάρκεια.
Τα υψηλότερα επίπεδα βλέπουν περισσότερο πλαίσιο και καλύπτουν λιγότερους πελάτες. Αυτή η ανταλλαγή είναι όλο το θέμα, και εξηγεί γιατί καμία μεμονωμένη γραμμή του πίνακα δεν είναι ποτέ η σωστή απάντηση. Επιλέξτε τη γραμμή που βλέπει το αναγνωριστικό με το οποίο ασχολείται πραγματικά η πολιτική σας. Έπειτα αποδεχτείτε την κάλυψη που συνεπάγεται αυτή η γραμμή.
Τι μπορεί να αναγνωρίσει κάθε επίπεδο
Διαβάστε τον πίνακα από τη μεσαία στήλη προς τα έξω: το αναγνωριστικό που βλέπει ένα επίπεδο υπαγορεύει την πολιτική που μπορεί να επιβάλει έντιμα.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Ένα επίπεδο ανήκει στην πολιτική μόνο όταν το αναγνωριστικό που βλέπει ταιριάζει με το αναγνωριστικό που διευθύνετε. Ο πίνακας εξηγεί επίσης γιατί ένας κανόνας γραμμένος σε ένα επίπεδο σπάνια μεταφέρεται σε άλλο χωρίς να αποφασιστεί ξανά τι προστατεύει.
Πού αποτυγχάνει ο προφανής κανόνας
Ένας κανόνας διεύθυνσης είναι ακριβώς σωστός για μια υπηρεσία με αποκλειστική διεύθυνση που ελέγχετε, και αυτή η ιδιοκτησία πρέπει να γραφτεί στην πολιτική. Είναι ακριβώς λάθος για οτιδήποτε πίσω από μια κοινόχρηστη διεύθυνση παράδοσης περιεχομένου, όπου ο ίδιος κανόνας αγγίζει άσχετες υπηρεσίες και μια ανανεωμένη απάντηση DNS δεν μετατρέπει τον κανόνα σε εξουσιοδότηση ονόματος κεντρικού υπολογιστή.
Μια πολιτική διαχειριζόμενου προγράμματος περιήγησης εκφράζει έναν περιορισμό ιστού πιο άμεσα από μια αντιγραμμένη λίστα διευθύνσεων, αλλά εφαρμόζεται στα προγράμματα περιήγησης και τα προφίλ που διέπει το σύστημα διαχείρισης.
Αυτός ο κανόνας προγράμματος περιήγησης δεν κάνει τίποτα για έναν πελάτη φωνής που στέλνει UDP σε άλλον κεντρικό υπολογιστή, και τα μοτίβα του ορίζονται από αυτό το προϊόν και όχι από συμβάσεις μπαλαντέρ δανεισμένες από αλλού. Ένας διαμεσολαβητής CONNECT λαμβάνει επίσης κεντρικό υπολογιστή και θύρα για ένα αίτημα σε σήραγγα, και δεν μπορεί να διαβάσει τη διαδρομή μέσα στην κρυπτογραφημένη συνεδρία. Σχεδιάστε τον κανόνα γύρω από ό,τι αποκαλύπτει το πρωτόκολλο. Έπειτα γράψτε τι αφήνει ακάλυπτο, γιατί αυτό το κενό είναι από όπου θα έρθει το επόμενο αίτημα.
Επιλέξτε με βάση τους πελάτες, όχι την εντολή
Ρωτήστε ποιους πελάτες πρέπει να καλύπτει η πολιτική και ποιους μπορεί να χάσει. Μια πολιτική διαχειριζόμενου προγράμματος περιήγησης καλύπτει ό,τι φτάνει το σύστημα διαχείρισης και σταματά στο όριο του προγράμματος περιήγησης. Μια πολιτική επιλυτή καλύπτει ό,τι χρησιμοποιεί τον επιλυτή σας, που είναι ευρύτερο σύνολο, και αποτυγχάνει ανοιχτά για όποιον δεν το κάνει.
Για μια υπηρεσία που λειτουργείτε, η εξουσιοδότηση στην εφαρμογή είναι ισχυρότερη από οποιοδήποτε όριο δικτύου, γιατί ακολουθεί τον λογαριασμό και όχι τη διαδρομή. Μια διαδρομή VPN είναι προσβασιμότητα και τίποτα περισσότερο: το να μπορείτε να στείλετε ένα πακέτο σε μια υπηρεσία δεν είναι άδεια χρήσης της. Όπου το αναγνωριστικό που μετράει είναι χρήστης ή άδεια καναλιού, επιβάλετέ το εκεί και αντιμετωπίστε τον κανόνα δικτύου ως δεύτερο επίπεδο.
Γράψτε τον κανόνα με όρους του πόρου
Μια υπερασπίσιμη πολιτική ονομάζει τον πόρο, τις ταυτότητες, τις εφαρμογές στο πεδίο και τη διαδρομή που τις μεταφέρει, συμπεριλαμβανομένων και των δύο οικογενειών διευθύνσεων που χρησιμοποιούνται. Δηλώνει επίσης τι συμβαίνει με κοινόχρηστη υποδομή που ο κανόνας θα επηρεάσει παρεμπιπτόντως.
Αυτή η διατύπωση παράγει μια απόφαση που κάποιος μπορεί να ελέγξει αργότερα. Ένας κανόνας που δικαιολογείται από τη σημερινή διεύθυνση που έχει επιλυθεί παράγει ένα περιστατικό την πρώτη φορά που η διεύθυνση θα αλλάξει, και κανείς δεν θα μπορεί να εξηγήσει γιατί ο αποκλεισμός ήταν ποτέ σωστός.