Wat in tagongsregel op basis fan hostnamme op elke netwurklaach betsjutte kin
In tsjinstnamme kin op DNS-, browser-, proxy- of firewallnivo hanthavene wurde. Kies de laach dy’t de identiteit sjocht dy’t jo beheare wolle.
Trije minsken freegje itselde mei deselde wurden: de tagong ta ien tsjinstnamme blokkearje. De iene bedoelt dat in browser de side net iepenje mei, de oare dat in desktop-stiimkliïnt syn tsjinner net berikke mei, en de tredde dat in groep oannimmers in bepaald yntern programma net brûke mei. De sin is identyk, en de hanthaveningsmeganismen hawwe hast neat mienskiplik.
Kies de laach op grûn fan de identifikaasje dy’t er wier sjen kin, en dêrnei op grûn fan de kliïnten dy’t er dekt. Begjinne by in firewallopdracht dy’t jo al ken, is hoe’t regels einigje mei neat blokkearje, of te folle blokkearje.
In namme is gjin identiteit dy’t elke laach kontrolearje kin
Netfilter en ferlykbere pakketfilters sjogge adressen, protokollen en poarten. Se sjogge gjin hostnammen, en ear’t in pakket har berikt is de namme al oplost. In regel skreaun tsjin in adres is in regel oer dat adres, hokker namme in brûker ek ynfierde om it te berikken.
DNS-belied sit earder yn it paad en sjocht de fraach, dat in oar objekt is as de ferbining dy’t folget. It regelet de antwurden dy’t in kontrolearre resolver weromjout, net ferbiningen dy’t al iepen wiene, en net kliïnten dy’t ynsteld binne om dy resolver te omgean. In oplost adres kin ek feroarje tusken de beliedsbesjoch en it folgjende fersyk, en dêrom is in DNS-antwurd gjin duorsume autorisaasjeferklearring.
Hegere lagen sjogge mear kontekst en dekke minder kliïnten. Dy ruil is it hiele ûnderwerp, en it ferklearret wêrom’t gjin inkelde rige fan ’e tabel ea it juste antwurd is. Kies de rige dy’t de identifikaasje sjocht dêr’t jo belied wier oer giet. Akseptearje dan de dekking dy’t dy rige ymplisearret.
Wat elke laach identifisearje kin
Lês de tabel fan ’e middelste kolom nei bûten: de identifikaasje dy’t in laach sjen kin, bepaalt it belied dat er earlik hanthavenje kin.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
In laach heart allinnich yn it belied as de identifikaasje dy’t er sjocht oerienkomt mei de identifikaasje dy’t jo beheare. De tabel ferklearret ek wêrom’t in regel skreaun op ien laach komselden oergiet nei in oare sûnder opnij te besluten wat er beskermet.
Wêr’t de foar de hân lizzende regel mist
In adresregel is krekt goed foar in tsjinst mei in tawijd adres dat jo kontrolearje, en dat eigendom moat yn it belied skreaun wurde. It is krekt ferkeard foar alles efter in dield adres foar ynhâldleverje, wêr’t deselde regel net-relatearre tsjinsten rekket en in fernijde DNS-antwurd de regel net yn hostnamme-autorisaasje feroaret.
In beheard browserbelied sprekt in webbegrinzing direkter út as in kopiearre adreslist, mar it jildt foar de browsers en profilen dy’t it behearsysteem regelet.
Dat browserregel docht neat oan in stimkliïnt dy’t UDP nei in oare host stjoert, en de patroanen wurde bepaald troch dat produkt, net troch wildcard-konvinsjes fan earne oars liend. In CONNECT-proxy krijt likegoed in host en poarte foar in tunnelfersyk, en kin it paad binnen de fersifere sesje net lêze. Untwerp de regel om wat it protokol bleatleit. Skriuw dan op wat er ûnbedutsen lit, want dat gat is wêr’t it folgjende fersyk wei komme sil.
Kies op grûn fan de kliïnten, net fan ’e opdracht
Freegje hokker kliïnten it belied dekke moat en hokker it misse mei. In beheard browserbelied dekt wat it behearsysteem berikt en stiet stil by de browsergrins. In resolverbelied dekt alles wat jo resolver brûkt, dat is in bredere set, en it falt iepen foar elkenien dy’t dat net docht.
Foar in tsjinst dy’t jo betsjinje, is autorisaasje yn de applikaasje sterker as hokker netwurkgrins ek, want it folget it akkount, net it paad. In VPN-rûte is berikberens en neat mear: in pakket nei in tsjinst stjoere kinne is gjin tastimming om it te brûken. Wêr’t de identifikaasje dy’t der ta docht in brûker of in kanaaltastimming is, hanthavenje it dêr en behannelje de netwurkregel as in twadde laach.
Skriuw de regel yn termen fan de boarne
In ferdedigber belied neamt de boarne, de identiteiten, de applikaasjes yn berik en it paad dat se draacht, ynklusyf beide adresfamyljes yn gebrûk. It seit ek wat der bart mei dielde ynfrastruktuer dy’t de regel ynsidinteel rekket.
Dy formulearring liedt ta in beslút dat immen letter auditearje kin. In regel rjochtfeardige troch it hjoeddeiske oploste adres liedt ta in ynsidint de earste kear dat it adres feroaret, en nimmen sil ferklearje kinne wêrom’t de blokkade ea korrekt wie.