Mida hostinime juurdepääsureegel igal võrgukihil tähendada võib
Teenusenime saab rakendada DNS-i, brauseri, puhverserveri või tulemüüri tasandil. Valige kiht, mis näeb identiteeti, mida soovite juhtida.
Kolm inimest paluvad sama asja samade sõnadega: blokeerida juurdepääs ühele teenusenimele. Üks mõtleb, et brauser ei tohi saiti avada, teine, et töölaua hääleklient ei tohi oma serverini jõuda, ja kolmas, et töövõtjate rühm ei tohi kasutada ühte kindlat sisemist rakendust. Lause on identne ja jõustamismehhanismidel pole peaaegu midagi ühist.
Valige kiht identifikaatori järgi, mida see tegelikult näeb, ja seejärel klientide järgi, keda see katab. Alustamine tulemüürikäsust, mida te juba teate, on viis, kuidas reeglid lõpuks ei blokeeri midagi või blokeerivad liiga palju.
Nimi ei ole identiteet, mida iga kiht saaks kontrollida
Netfilter ja sarnased paketifiltrid näevad aadresse, protokolle ja porte. Nad ei näe hostinimesid ja selleks ajaks, kui pakett nendeni jõuab, on nimi juba lahendatud. Aadressi vastu kirjutatud reegel on reegel selle aadressi kohta, ükskõik millise nime kasutaja sellele jõudmiseks sisestas.
DNS-poliitika asub teel varem ja näeb päringut, mis on järgnevast ühendusest erinev objekt. See juhib vastuseid, mida kontrollitud resolver tagastab, mitte juba avatud ühendusi ja mitte kliente, mis on seadistatud sellest resolverist mööda minema. Lahendatud aadress võib muutuda ka poliitika ülevaatamise ja järgmise päringu vahel, mistõttu DNS-vastus ei ole püsiv autoriseerimisavaldus.
Kõrgemad kihid näevad rohkem konteksti ja katavad vähem kliente. See vahetus on kogu teema ja see selgitab, miks ükski tabeli rida ei ole kunagi õige vastus. Valige rida, mis näeb identifikaatorit, millest teie poliitika tegelikult räägib. Seejärel nõustuge kattuvusega, mida see rida eeldab.
Mida iga kiht suudab tuvastada
Lugege tabelit keskmisest veerust väljapoole: identifikaator, mida kiht näeb, määrab poliitika, mida see saab ausalt jõustada.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Kiht kuulub poliitikasse ainult siis, kui identifikaator, mida see näeb, vastab identifikaatorile, mida te juhite. Tabel selgitab ka seda, miks ühel kihil kirjutatud reegel harva teisele üle kandub, ilma et uuesti otsustataks, mida see kaitseb.
Kus ilmne reegel ebaõnnestub
Aadressireegel on täpselt õige teenuse jaoks, millel on teie kontrollitav pühendatud aadress, ja see omandus tuleks poliitikasse kirjutada. See on täpselt vale kõige jaoks jagatud sisutarne-aadressi taga, kus sama reegel puudutab mitteseotud teenuseid ja värskendatud DNS-vastus ei muuda reeglit hostinime autoriseerimiseks.
Hallatava brauseri poliitika väljendab veebipiirangut otsesemalt kui kopeeritud aadressiloend, kuid see kehtib brauserite ja profiilide kohta, mida haldussüsteem juhib.
See brauserireegel ei tee midagi hääleliidese kliendi puhul, mis saadab UDP-d teisele hostile, ja selle mustrid määrab see toode, mitte mujalt laenatud metamärkide tavad. CONNECT-puhverserver saab samuti hosti ja pordi tunneldatud päringu jaoks ega suuda lugeda teed krüpteeritud seansi sees. Kujundage reegel selle ümber, mida protokoll paljastab. Seejärel kirjutage üles, mille see katmata jätab, sest just sellest lüngast tuleb järgmine päring.
Valige klientide, mitte käsu järgi
Küsige, milliseid kliente peab poliitika katma ja milliseid võib see vahele jätta. Hallatava brauseri poliitika katab selle, kuhu haldussüsteem jõuab, ja peatub brauseri piiril. Resolveri poliitika katab kõike, mis kasutab teie resolverit, mis on laiem kogum, ja ebaõnnestub avatult igaühe jaoks, kes seda ei tee.
Teenuse jaoks, mida te käitate, on autoriseerimine rakenduses tugevam kui ükski võrgupiir, sest see järgib kontot, mitte teed. VPN-marsruut on kättesaadavus ja mitte midagi enamat: võimalus saata teenusele pakett ei ole luba seda kasutada. Kui oluline identifikaator on kasutaja või kanali luba, jõustage see seal ja käsitlege võrgureeglit teise kihina.
Kirjutage reegel ressursi tingimustes
Kaitstav poliitika nimetab ressursi, identiteedid, ulatusse kuuluvad rakendused ja tee, mis neid kannab, sealhulgas mõlemad kasutusel olevad aadressiperekonnad. Samuti märgitakse, mis juhtub jagatud taristuga, mida reegel juhuslikult mõjutab.
Selline sõnastus annab otsuse, mida keegi saab hiljem auditeerida. Tänase lahendatud aadressiga põhjendatud reegel tekitab intsidendi esimesel korral, kui aadress muutub, ja keegi ei suuda selgitada, miks blokeering kunagi õige oli.