Što pravilo pristupa prema imenu hosta može značiti na svakom mrežnom sloju
Ime usluge može se nametnuti na razini DNS-a, preglednika, proxyja ili vatrozida. Odaberite sloj koji vidi identitet kojim želite upravljati.
Tri osobe traže istu stvar istim riječima: blokirati pristup jednom imenu usluge. Jedna misli da preglednik ne smije otvoriti stranicu, druga da desktop glasovni klijent ne smije doći do svog poslužitelja, a treća da grupa izvođača ne smije koristiti određenu internu aplikaciju. Rečenica je identična, a mehanizmi provedbe gotovo da nemaju ništa zajedničko.
Odaberite sloj prema identifikatoru koji zaista vidi, a zatim prema klijentima koje pokriva. Počinjanje od naredbe vatrozida koju već poznajete jest način na koji pravila na kraju ne blokiraju ništa ili blokiraju previše.
Ime nije identitet koji svaki sloj može provjeriti
Netfilter i slični filtri paketa vide adrese, protokole i portove. Ne vide imena hostova, a dok paket dođe do njih, ime je već razriješeno. Pravilo napisano prema adresi jest pravilo o toj adresi, bez obzira na to koje je ime korisnik upisao da bi došao do nje.
DNS politika stoji ranije na putu i vidi upit, koji je drugačiji objekt od veze koja slijedi. Ona upravlja odgovorima koje vraća nadzirani razrješivač, a ne vezama koje su već bile otvorene, niti klijentima podešenim da zaobiđu taj razrješivač. Razriješena adresa može se promijeniti i između pregleda politike i sljedećeg zahtjeva, zbog čega DNS odgovor nije trajna izjava o autorizaciji.
Viši slojevi vide više konteksta i pokrivaju manje klijenata. Ta razmjena je cijela tema i objašnjava zašto nijedan red tablice nikada nije pravi odgovor. Odaberite red koji vidi identifikator na koji se vaša politika zapravo odnosi. Zatim prihvatite pokrivenost koju taj red podrazumijeva.
Što svaki sloj može identificirati
Čitajte tablicu od srednjeg stupca prema van: identifikator koji sloj vidi određuje politiku koju može pošteno provesti.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Sloj pripada politici samo kada se identifikator koji vidi poklapa s identifikatorom kojim upravljate. Tablica također objašnjava zašto se pravilo napisano na jednom sloju rijetko prenosi na drugi, a da se ponovno ne odluči što štiti.
Gdje očito pravilo pada
Pravilo adrese potpuno je ispravno za uslugu s namjenskom adresom koju kontrolirate, i to vlasništvo treba upisati u politiku. Potpuno je pogrešno za sve iza zajedničke adrese za dostavu sadržaja, gdje isto pravilo dira nepovezane usluge, a osvježen DNS odgovor ne pretvara pravilo u autorizaciju prema imenu hosta.
Politika upravljanog preglednika izražava web ograničenje izravnije od kopiranog popisa adresa, ali primjenjuje se na preglednike i profile kojima upravlja sustav za upravljanje.
To pravilo preglednika ne čini ništa u vezi s glasovnim klijentom koji šalje UDP na drugi host, a njegove uzorke definira taj proizvod, a ne konvencije zamjenskih znakova posuđene odnekud drugdje. CONNECT proxy također prima host i port za tunelirani zahtjev i ne može pročitati putanju unutar šifrirane sesije. Dizajnirajte pravilo oko onoga što protokol otkriva. Zatim zapišite što ostavlja nepokriveno, jer taj jaz je mjesto odakle će doći sljedeći zahtjev.
Birajte prema klijentima, a ne prema naredbi
Pitajte koje klijente politika mora pokriti i koje smije propustiti. Politika upravljanog preglednika pokriva ono do čega sustav za upravljanje dosegne i zaustavlja se na granici preglednika. Politika razrješivača pokriva sve što koristi vaš razrješivač, što je širi skup, i propada otvoreno za svakoga tko ga ne koristi.
Za uslugu koju vodite, autorizacija u aplikaciji jača je od bilo koje mrežne granice, jer slijedi račun, a ne putanju. VPN ruta je dostupnost i ništa više: mogućnost da pošaljete paket usluzi nije dopuštenje da je koristite. Gdje je identifikator koji je važan korisnik ili dopuštenje kanala, provedite ga tamo i tretirajte mrežno pravilo kao drugi sloj.
Napišite pravilo u terminima resursa
Obranjiva politika imenuje resurs, identitete, aplikacije u obuhvatu i putanju koja ih nosi, uključujući obje adresne obitelji u upotrebi. Također navodi što se događa sa zajedničkom infrastrukturom koju će pravilo usputno dotaknuti.
Ta formulacija stvara odluku koju netko kasnije može revidirati. Pravilo opravdano današnjom razriješenom adresom stvara incident prvi put kada se adresa promijeni, i nitko neće moći objasniti zašto je blokada ikada bila ispravna.