Kion retnoma alirkondiĉo povas signifi ĉe ĉiu reta tavolo
Serva nomo povas esti trudata ĉe la nivelo de DNS, retumilo, prokura servilo aŭ fajroŝirmilo. Elektu la tavolon, kiu vidas la identecon, kiun vi volas regi.
Tri homoj petas la saman aferon per la samaj vortoj: bloki aliron al unu serva nomo. Unu celas, ke retumilo ne malfermu la retejon, alia celas, ke labortabla voĉkliento ne atingus sian servilon, kaj la tria celas, ke grupo de subkontraktantoj ne uzu certan internan aplikaĵon. La frazo estas identa, kaj la plenumaj mekanismoj havas preskaŭ nenion komunan.
Elektu la tavolon laŭ la identigilo, kiun ĝi efektive povas vidi, kaj poste laŭ la klientoj, kiujn ĝi kovras. Komenci per fajroŝirmila komando, kiun vi jam konas, estas la maniero, kiel reguloj finfine blokas nenion aŭ blokas tro multe.
Nomo ne estas identeco, kiun ĉiu tavolo povas kontroli
Netfilter kaj similaj pakaĵfiltriloj vidas adresojn, protokolojn kaj pordojn. Ili ne vidas retnomojn, kaj kiam pakaĵo atingas ilin, la nomo jam estis solvita. Regulo skribita kontraŭ adreso estas regulo pri tiu adreso, kiun nomon ajn uzanto tajpis por atingi ĝin.
DNS-politiko sidas pli frue sur la vojo kaj vidas la demandon, kiu estas alia objekto ol la sekva konekto. Ĝi regas la respondojn, kiujn redonas kontrolata solvilo, ne konektojn, kiuj jam estis malfermaj, kaj ne klientojn agorditajn por preterpasi tiun solvilon. Solvita adreso ankaŭ povas ŝanĝiĝi inter la politika revizio kaj la sekva peto, kaj tial DNS-respondo ne estas daŭra rajtiga deklaro.
Pli altaj tavoloj vidas pli da kunteksto kaj kovras malpli da klientoj. Tiu interŝanĝo estas la tuta temo, kaj ĝi klarigas, kial neniu unuopa linio de la tabelo iam estas la ĝusta respondo. Elektu la linion, kiu vidas la identigilon, pri kiu via politiko efektive temas. Poste akceptu la kovradon, kiun tiu linio implicas.
Kion ĉiu tavolo povas identigi
Legu la tabelon de la meza kolumno eksteren: la identigilo, kiun tavolo povas vidi, difinas la politikon, kiun ĝi povas honeste plenumi.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Tavolo apartenas al la politiko nur kiam la identigilo, kiun ĝi vidas, kongruas kun la identigilo, kiun vi regas. La tabelo ankaŭ klarigas, kial regulo skribita ĉe unu tavolo malofte transiĝas al alia sen ree decidi, kion ĝi protektas.
Kie la evidenta regulo fiaskas
Adresa regulo estas ĝuste ĝusta por servo kun dediĉita adreso, kiun vi kontrolas, kaj tiu posedo devus esti skribita en la politikon. Ĝi estas ĝuste malĝusta por io ajn malantaŭ komuna enhavlivetada adreso, kie la sama regulo tuŝas nerilatajn servojn kaj refreŝigita DNS-respondo ne igas la regulon retnoma rajtigo.
Administrata retumila politiko esprimas retan limigon pli rekte ol kopiita adreslisto, sed ĝi aplikiĝas al la retumiloj kaj profiloj, kiujn la administra sistemo regas.
Tiu retumila regulo faras nenion pri voĉkliento sendanta UDP al alia gastiganto, kaj ĝiaj ŝablonoj estas difinitaj de tiu produkto, ne de sovaĝsignaj konvencioj pruntitaj de aliloke. CONNECT-prokuro same ricevas gastiganton kaj pordon por tunelita peto, kaj ne povas legi la vojon ene de la ĉifrita seanco. Projektu la regulon ĉirkaŭ tio, kion la protokolo malkaŝas. Poste skribu, kion ĝi lasas nekovrita, ĉar tiu breĉo estas la fonto de la sekva peto.
Elektu laŭ la klientoj, ne laŭ la komando
Demandu, kiujn klientojn la politiko devas kovri kaj kiujn ĝi rajtas maltrafi. Administrata retumila politiko kovras tion, kion la administra sistemo atingas, kaj haltas ĉe la retumila limo. Solvila politiko kovras ĉion, kio uzas vian solvilon, kio estas pli larĝa aro, kaj ĝi fiaskas malferme por ĉiu, kiu ne faras tion.
Por servo, kiun vi funkciigas, rajtigo en la aplikaĵo estas pli forta ol iu ajn reta limo, ĉar ĝi sekvas la konton anstataŭ la vojon. VPN-itinero estas atingeblo kaj nenio pli: povi sendi pakaĵon al servo ne estas permeso uzi ĝin. Kie la grava identigilo estas uzanto aŭ kanala permeso, plenumu ĝin tie kaj traktu la retan regulon kiel duan tavolon.
Skribu la regulon laŭ la rimedo
Defendebla politiko nomas la rimedon, la identecojn, la aplikaĵojn en la amplekso kaj la vojon, kiu portas ilin, inkluzive de ambaŭ adresfamilioj uzataj. Ĝi ankaŭ diras, kio okazas al komuna infrastrukturo, kiun la regulo hazarde tuŝos.
Tiu esprimo produktas decidon, kiun iu povas poste aŭditi. Regulo pravigita per la hodiaŭa solvita adreso produktas incidenton la unuan fojon, kiam la adreso ŝanĝiĝas, kaj neniu povos klarigi, kial la blokado iam estis ĝusta.