Mitä isäntänimen käyttösääntö voi tarkoittaa kullakin verkkokerroksella
Palvelun nimi voidaan panna täytäntöön DNS-, selain-, välityspalvelin- tai palomuuritasolla. Valitse kerros, joka näkee sen identiteetin, jota haluat hallita.
Kolme ihmistä pyytää samaa samoin sanoin: estä pääsy yhteen palvelunimeen. Yksi tarkoittaa, ettei selain saa avata sivustoa, toinen, ettei työpöydän ääniasiakas saa päästä palvelimelleen, ja kolmas, ettei urakoitsijaryhmä saa käyttää tiettyä sisäistä sovellusta. Lause on identtinen, eikä täytäntöönpanomekanismeilla ole juuri mitään yhteistä.
Valitse kerros sen tunnisteen mukaan, jonka se todella näkee, ja sitten sen kattamien asiakkaiden mukaan. Aloittaminen jo tuntemastasi palomuurikomennosta on se tapa, jolla säännöt lopulta eivät estä mitään tai estävät liikaa.
Nimi ei ole identiteetti, jonka jokainen kerros voi tarkistaa
Netfilter ja vastaavat pakettisuodattimet näkevät osoitteet, protokollat ja portit. Ne eivät näe isäntänimiä, ja kun paketti saapuu niille, nimi on jo ratkaistu. Osoitetta vastaan kirjoitettu sääntö on sääntö tuosta osoitteesta, riippumatta siitä, minkä nimen käyttäjä kirjoitti päästäkseen siihen.
DNS-käytäntö istuu polulla aikaisemmin ja näkee kyselyn, joka on eri objekti kuin sitä seuraava yhteys. Se hallitsee vastauksia, joita valvottu ratkaisija palauttaa, ei yhteyksiä, jotka olivat jo auki, eikä asiakkaita, jotka on määritetty ohittamaan kyseinen ratkaisija. Ratkaistu osoite voi myös muuttua käytännön tarkistuksen ja seuraavan pyynnön välillä, minkä vuoksi DNS-vastaus ei ole pysyvä valtuutuslausuma.
Ylemmät kerrokset näkevät enemmän kontekstia ja kattavat vähemmän asiakkaita. Tämä vaihtokauppa on koko aihe, ja se selittää, miksi mikään yksittäinen taulukon rivi ei ole koskaan oikea vastaus. Valitse rivi, joka näkee sen tunnisteen, jota käytäntösi todella koskee. Hyväksy sitten se kattavuus, jonka tämä rivi merkitsee.
Mitä kukin kerros voi tunnistaa
Lue taulukkoa keskimmäisestä sarakkeesta ulospäin: tunniste, jonka kerros näkee, määrää käytännön, jonka se voi rehellisesti panna täytäntöön.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Kerros kuuluu käytäntöön vain, kun sen näkemä tunniste vastaa tunnistetta, jota hallitset. Taulukko selittää myös, miksi yhdellä kerroksella kirjoitettu sääntö harvoin siirtyy toiselle ilman uutta päätöstä siitä, mitä se suojaa.
Missä ilmeinen sääntö epäonnistuu
Osoitesääntö on täsmälleen oikea palvelulle, jolla on oma hallitsemasi osoite, ja tämä omistus tulisi kirjoittaa käytäntöön. Se on täsmälleen väärä kaikelle jaetun sisällönjakeluosoitteen takana, missä sama sääntö koskettaa asiaankuulumattomia palveluja eikä päivitetty DNS-vastaus muuta sääntöä isäntänimen valtuutukseksi.
Hallitun selaimen käytäntö ilmaisee verkkorajoituksen suoremmin kuin kopioitu osoiteluettelo, mutta se koskee selaimia ja profiileja, joita hallintajärjestelmä hallitsee.
Tuo selainsääntö ei tee mitään äänipalvelun asiakkaalle, joka lähettää UDP:tä toiselle isännälle, ja sen mallit määrittelee tuo tuote eikä muualta lainatut jokerimerkkikäytännöt. CONNECT-välityspalvelin saa samoin isännän ja portin tunneloidulle pyynnölle eikä voi lukea polkua salatun istunnon sisällä. Suunnittele sääntö sen ympärille, mitä protokolla paljastaa. Kirjoita sitten ylös, mitä se jättää kattamatta, koska juuri tuo aukko on seuraavan pyynnön lähde.
Valitse asiakkaiden, älä komennon mukaan
Kysy, mitkä asiakkaat käytännön on katettava ja mitkä se saa ohittaa. Hallitun selaimen käytäntö kattaa sen, mihin hallintajärjestelmä yltää, ja pysähtyy selaimen rajalle. Ratkaisijan käytäntö kattaa kaiken, mikä käyttää ratkaisijaasi, mikä on laajempi joukko, ja se epäonnistuu avoimesti kaikille, jotka eivät niin tee.
Palvelulle, jota ylläpidät, sovelluksen valtuutus on vahvempi kuin mikään verkkoraja, koska se seuraa tiliä eikä polkua. VPN-reitti on tavoitettavuus eikä mitään muuta: kyky lähettää paketti palvelulle ei ole lupa käyttää sitä. Missä tärkeä tunniste on käyttäjä tai kanavan käyttöoikeus, pane se täytäntöön siellä ja kohtele verkkosääntöä toisena kerroksena.
Kirjoita sääntö resurssin ehdoin
Puolustettava käytäntö nimeää resurssin, identiteetit, soveltamisalaan kuuluvat sovellukset ja polun, joka ne kuljettaa, mukaan lukien molemmat käytössä olevat osoiteperheet. Se kertoo myös, mitä tapahtuu jaetulle infrastruktuurille, johon sääntö sattumalta vaikuttaa.
Tuo muotoilu tuottaa päätöksen, jonka joku voi auditoida myöhemmin. Tämän päivän ratkaistulla osoitteella perusteltu sääntö tuottaa välikohtauksen ensimmäisellä kerralla, kun osoite muuttuu, eikä kukaan pysty selittämään, miksi esto oli koskaan oikein.