Zer esan dezake ostalari-izenean oinarritutako sarbide-arauak sare-maila bakoitzean
Zerbitzu-izen bat DNS, nabigatzaile, proxy edo suebaki mailan betearaz daiteke. Aukeratu kudeatu nahi duzun identitatea ikusten duen maila.
Hiru lagunek gauza bera eskatzen dute hitz berberekin: zerbitzu-izen bakarrera sarbidea blokeatzea. Batek nabigatzaileak gunea ireki behar ez duela esan nahi du, besteak mahaigaineko ahots-klienteak bere zerbitzarira iritsi behar ez duela, eta hirugarrenak kontratista-talde batek barneko aplikazio jakin bat erabili behar ez duela. Esaldia berbera da, eta betearazpen-mekanismoek ia ez dute ezer komunean.
Aukeratu maila benetan ikus dezakeen identifikatzailearen arabera, eta gero estaltzen dituen klienteen arabera. Dagoeneko ezagutzen duzun suebaki-komando batekin hastea da arauak ezer blokeatu ez dezaten edo gehiegi blokea dezaten.
Izena ez da maila guztiek egiaztatu dezaketen identitatea
Netfilter eta antzeko pakete-iragazkiek helbideak, protokoloak eta atakak ikusten dituzte. Ez dituzte ostalari-izenak ikusten, eta paketea haietera iristen denerako izena dagoeneko ebatzita dago. Helbide baten aurka idatzitako araua helbide horri buruzko araua da, erabiltzaileak hara iristeko idatzi zuen izena edozein dela ere.
DNS politika bidearen hasieran dago eta kontsulta ikusten du, hurrengo konexiotik objektu desberdina dena. Resolver kontrolatuak ematen dituen erantzunak gobernatzen ditu, ez dagoeneko irekita zeuden konexioak, eta ez resolver hori saihesteko konfiguratutako klienteak. Helbide ebatzitako bat politika-berrikuspenaren eta hurrengo eskaeraren artean ere alda daiteke, eta horregatik DNS erantzuna ez da baimen-adierazpen iraunkorra.
Goiko mailek testuinguru gehiago ikusten dute eta kliente gutxiago estaltzen dituzte. Truke hori da gai osoa, eta horrek azaltzen du zergatik taularen errenkada bakar bat ere ez den inoiz erantzun zuzena. Aukeratu zure politikak benetan jorratzen duen identifikatzailea ikusten duen errenkada. Ondoren onartu errenkada horrek dakarren estaldura.
Zer identifika dezakeen maila bakoitzak
Irakurri taula erdiko zutabetik kanpora: maila batek ikus dezakeen identifikatzaileak agintzen du zein politika betearaz dezakeen zintzotasunez.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Maila bat politikan sartzen da soilik ikusten duen identifikatzailea kudeatzen duzun identifikatzailearekin bat datorrenean. Taulak ere azaltzen du zergatik gutxitan transferitzen den maila batean idatzitako araua beste batera, zer babesten duen berriro erabaki gabe.
Non huts egiten duen arau begi-bistakoak
Helbide-araua zehazki zuzena da zuk kontrolatzen duzun helbide esklusiboa duen zerbitzu baterako, eta jabetza hori politikan idatzi beharko litzateke. Zehazki okerra da edukiaren banaketarako helbide partekatu baten atzean dagoen edozertarako, non arau berak zerbitzu erlazionatugabeak ukitzen dituen eta DNS erantzun berritu batek araua ostalari-izenaren baimen bihurtzen ez duen.
Kudeatutako nabigatzaile-politika batek web-murrizketa zuzenean adierazten du kopiatutako helbide-zerrenda batek baino, baina kudeaketa-sistemak gobernatzen dituen nabigatzaile eta profilei aplikatzen zaie.
Nabigatzaile-arau horrek ez du ezer egiten beste ostalari batera UDP bidaltzen duen ahots-kliente batekin, eta haren ereduak produktu horrek definitzen ditu, ez beste nonbait mailegatutako komodin-konbentzioek. CONNECT proxy batek ere ostalari eta ataka bat jasotzen ditu tuneletutako eskaerarako, eta ezin du enkriptatutako saioaren barruko bidea irakurri. Diseinatu araua protokoloak agerian uzten duenaren inguruan. Gero idatzi zer uzten duen estali gabe, hutsune hori baita hurrengo eskaeraren iturria.
Aukeratu klienteen arabera, ez komandoaren arabera
Galdetu zein kliente estali behar dituen politikak eta zein gal ditzakeen. Kudeatutako nabigatzaile-politika batek kudeaketa-sistemak iristen duena estaltzen du eta nabigatzailearen muga gelditzen da. Resolver-politika batek zure resolverra erabiltzen duen guztia estaltzen du, multzo zabalagoa dena, eta irekita huts egiten du hori egiten ez duenarentzat.
Kudeatzen duzun zerbitzu batentzat, aplikazioko baimena sare-muga guztiak baino indartsuagoa da, kontua jarraitzen duelako, ez bidea. VPN ibilbidea irisgarritasuna da eta ez gehiago: zerbitzu batera pakete bat bidaltzeko gaitasuna ez da hura erabiltzeko baimena. Garrantzitsua den identifikatzailea erabiltzaile bat edo kanal-baimen bat bada, han betearazi eta trata ezazu sare-araua bigarren maila gisa.
Idatzi araua baliabidearen terminoetan
Defendagarria den politika batek baliabidea, identitateak, esparruko aplikazioak eta haiek garraiatzen dituen bidea izendatzen ditu, erabilera dagoen bi helbide-familiekin. Gainera, arauak ustekabean eragingo duen azpiegitura partekatuari zer gertatuko zaion adierazten du.
Formulazio horrek geroago norbaitek audita dezakeen erabaki bat sortzen du. Gaur egungo helbide ebatzian oinarritutako arauak gertaera bat sortzen du helbidea lehen aldiz aldatzen denean, eta inork ezingo du azaldu zergatik izan zen inoiz blokeoa zuzena.