होस्टनाम एक्सेस नियम का हर नेटवर्क परत पर क्या अर्थ हो सकता है
किसी सेवा के नाम को DNS, ब्राउज़र, प्रॉक्सी या फ़ायरवॉल स्तर पर लागू किया जा सकता है। वह परत चुनें जो उस पहचान को देखती है जिसे आप नियंत्रित करना चाहते हैं।
तीन लोग एक ही बात एक ही शब्दों में कहते हैं: एक सेवा नाम तक पहुँच रोकनी है। एक का मतलब है कि ब्राउज़र साइट न खोले, दूसरे का मतलब है कि डेस्कटॉप वॉइस क्लाइंट अपने सर्वर तक न पहुँचे, और तीसरे का मतलब है कि ठेकेदारों का एक समूह किसी खास आंतरिक ऐप्लिकेशन का इस्तेमाल न करे। वाक्य एक जैसा है, और लागू करने की विधियों में लगभग कुछ भी समान नहीं है।
परत उस पहचानकर्ता से चुनें जिसे वह वास्तव में देख सकती है, और फिर उन क्लाइंट से जिन्हें वह कवर करती है। उस फ़ायरवॉल कमांड से शुरू करना जिसे आप पहले से जानते हैं, वही रास्ता है जिससे नियम अंत में कुछ भी नहीं रोकते, या बहुत ज़्यादा रोकते हैं।
नाम ऐसी पहचान नहीं है जिसे हर परत जाँच सके
Netfilter और इस जैसे पैकेट फ़िल्टर पते, प्रोटोकॉल और पोर्ट देखते हैं। वे होस्टनाम नहीं देखते, और जब तक कोई पैकेट उन तक पहुँचता है, नाम पहले ही हल हो चुका होता है। पते के विरुद्ध लिखा गया नियम उस पते के बारे में नियम है, चाहे उपयोगकर्ता ने वहाँ पहुँचने के लिए कोई भी नाम टाइप किया हो।
DNS नीति रास्ते में पहले बैठती है और क्वेरी देखती है, जो उसके बाद आने वाले कनेक्शन से अलग वस्तु है। यह नियंत्रित रिज़ॉल्वर जो उत्तर लौटाता है उन्हें नियंत्रित करती है, पहले से खुले कनेक्शनों को नहीं, और उस रिज़ॉल्वर को दरकिनार करने के लिए कॉन्फ़िगर किए गए क्लाइंट को भी नहीं। हल किया गया पता नीति की समीक्षा और अगली अनुरोध के बीच भी बदल सकता है, इसलिए DNS उत्तर टिकाऊ प्राधिकरण वक्तव्य नहीं है।
ऊपरी परतें ज़्यादा संदर्भ देखती हैं और कम क्लाइंट कवर करती हैं। यही अदला-बदली पूरा विषय है, और यह समझाती है कि तालिका की कोई भी एक पंक्ति कभी सही उत्तर क्यों नहीं होती। वह पंक्ति चुनें जो उस पहचानकर्ता को देखती है जिसके बारे में आपकी नीति वास्तव में है। फिर उस पंक्ति के द्वारा निहित कवरेज को स्वीकार करें।
हर परत क्या पहचान सकती है
तालिका को बीच वाले स्तंभ से बाहर की ओर पढ़ें: परत जिस पहचानकर्ता को देख सकती है, वही तय करता है कि वह ईमानदारी से कौन-सी नीति लागू कर सकती है।
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
कोई परत नीति में तभी आती है जब वह जो पहचानकर्ता देखती है वह उस पहचानकर्ता से मेल खाता है जिसे आप नियंत्रित करते हैं। तालिका यह भी समझाती है कि एक परत पर लिखा नियम दूसरी परत पर विरले ही क्यों जाता है, बिना यह तय किए कि वह किसकी रक्षा करता है।
जहाँ स्पष्ट नियम विफल होता है
पता नियम ठीक उसी सेवा के लिए सही है जिसका आपके नियंत्रण में समर्पित पता है, और यह स्वामित्व नीति में लिखा जाना चाहिए। यह ठीक उसी तरह गलत है उस सबके लिए जो साझा सामग्री वितरण पते के पीछे है, जहाँ वही नियम असंबंधित सेवाओं को छूता है और ताज़ा किया गया DNS उत्तर नियम को होस्टनाम प्राधिकरण में नहीं बदलता।
प्रबंधित ब्राउज़र नीति कॉपी की गई पता सूची की तुलना में वेब प्रतिबंध को अधिक सीधे व्यक्त करती है, लेकिन यह उन ब्राउज़रों और प्रोफ़ाइलों पर लागू होती है जिन्हें प्रबंधन प्रणाली नियंत्रित करती है।
वह ब्राउज़र नियम किसी दूसरे होस्ट पर UDP भेजने वाले वॉइस क्लाइंट के बारे में कुछ नहीं करता, और उसके पैटर्न उस उत्पाद द्वारा परिभाषित होते हैं, कहीं और से उधार लिए गए वाइल्डकार्ड सम्मेलनों से नहीं। CONNECT प्रॉक्सी भी सुरंग वाले अनुरोध के लिए होस्ट और पोर्ट प्राप्त करता है, और एन्क्रिप्टेड सत्र के अंदर का पथ नहीं पढ़ सकता। नियम को उसी के इर्द-गिर्द डिज़ाइन करें जो प्रोटोकॉल उजागर करता है। फिर लिखें कि वह क्या खुला छोड़ता है, क्योंकि वही अंतराल अगले अनुरोध का स्रोत होगा।
कमांड से नहीं, क्लाइंट से चुनें
पूछें कि नीति को किन क्लाइंट को कवर करना चाहिए और किन्हें छोड़ सकती है। प्रबंधित ब्राउज़र नीति वह कवर करती है जहाँ तक प्रबंधन प्रणाली पहुँचती है और ब्राउज़र की सीमा पर रुक जाती है। रिज़ॉल्वर नीति वह सब कवर करती है जो आपके रिज़ॉल्वर का उपयोग करता है, जो अधिक व्यापक समुच्चय है, और जो ऐसा नहीं करते उनके लिए यह खुली रूप से विफल होती है।
जिस सेवा को आप संचालित करते हैं, उसके लिए ऐप्लिकेशन में प्राधिकरण किसी भी नेटवर्क सीमा से अधिक मज़बूत है, क्योंकि यह पथ के बजाय खाते का पीछा करता है। VPN मार्ग केवल पहुँच है और इससे अधिक कुछ नहीं: किसी सेवा तक पैकेट भेज सकना उसका उपयोग करने की अनुमति नहीं है। जहाँ मायने रखने वाला पहचानकर्ता कोई उपयोगकर्ता या चैनल अनुमति है, वहीं उसे लागू करें और नेटवर्क नियम को दूसरी परत मानें।
नियम को संसाधन के संदर्भ में लिखें
रक्षात्मक नीति संसाधन, पहचानों, दायरे के ऐप्लिकेशन और उन्हें ले जाने वाले पथ का नाम लेती है, जिसमें उपयोग में मौजूद दोनों पता परिवार शामिल हैं। यह यह भी बताती है कि उस साझा अधोसंरचना का क्या होगा जिसे नियम संयोगवश प्रभावित करेगा।
यह शब्दावली ऐसा निर्णय पैदा करती है जिसे कोई बाद में जाँच सके। आज के हल किए गए पते द्वारा न्यायसंगत ठहराया गया नियम पहली बार पता बदलने पर घटना पैदा करता है, और कोई नहीं समझा पाएगा कि रोक कभी सही क्यों थी।