Mit jelenthet egy hosztnév-alapú hozzáférési szabály az egyes hálózati rétegeken
Egy szolgáltatásnév kikényszeríthető DNS-, böngésző-, proxy- vagy tűzfalszinten. Válassza azt a réteget, amely látja a szabályozni kívánt identitást.
Hárman ugyanazt kérik ugyanazokkal a szavakkal: blokkolni kell az egyik szolgáltatásnév elérését. Az egyik azt érti rajta, hogy a böngésző ne nyissa meg az oldalt, a másik azt, hogy egy asztali hangkliens ne érje el a szerverét, a harmadik pedig azt, hogy szerződők egy csoportja ne használhasson egy adott belső alkalmazást. A mondat azonos, a kikényszerítési mechanizmusoknak pedig szinte semmi közük egymáshoz.
A réteget aszerint válassza, hogy milyen azonosítót képes valóban látni, majd aszerint, hogy mely ügyfeleket fedi le. Egy már ismert tűzfalparanccsal kezdeni az az út, amelyen a szabályok végül semmit nem blokkolnak, vagy túl sokat blokkolnak.
A név nem olyan identitás, amelyet minden réteg ellenőrizni tud
A Netfilter és a hasonló csomagszűrők címeket, protokollokat és portokat látnak. Nem látnak hosztneveket, és mire egy csomag eléri őket, a név már feloldódott. A cím ellen írt szabály erről a címről szóló szabály, függetlenül attól, milyen nevet gépelt be a felhasználó, hogy elérje.
A DNS-szabályzat korábban helyezkedik el az útvonalon, és a lekérdezést látja, amely más objektum, mint az azt követő kapcsolat. Azt szabályozza, milyen válaszokat ad egy felügyelt feloldó, nem a már nyitott kapcsolatokat, és nem azokat az ügyfeleket, amelyek megkerülik ezt a feloldót. A feloldott cím a szabályzat felülvizsgálata és a következő kérés között is megváltozhat, ezért a DNS-válasz nem tartós felhatalmazási nyilatkozat.
A magasabb rétegek több kontextust látnak és kevesebb ügyfelet fednek le. Ez a csere az egész téma, és megmagyarázza, miért soha nem a táblázat egyetlen sora a helyes válasz. Válassza azt a sort, amely látja azt az azonosítót, amelyről a szabályzata valóban szól. Ezután fogadja el az ebből a sorból következő lefedettséget.
Mit tud azonosítani az egyes rétegek
A táblázatot a középső oszloptól kifelé olvassa: az azonosító, amelyet egy réteg látni képes, meghatározza, milyen szabályzatot tud tisztességesen érvényesíteni.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Egy réteg csak akkor tartozik a szabályzathoz, ha az általa látott azonosító megegyezik azzal, amelyet Ön szabályoz. A táblázat azt is megmagyarázza, miért ritkán vihető át az egyik rétegen írt szabály a másikra anélkül, hogy újra eldöntenék, mit véd.
Ahol a kézenfekvő szabály elbukik
A címszabály pontosan helyes egy olyan szolgáltatáshoz, amelynek dedikált, az Ön ellenőrzése alatt álló címe van, és ezt a tulajdonjogot a szabályzatba kell írni. Pontosan helytelen minden olyan esetben, ami megosztott tartalomkiszolgáló cím mögött van, ahol ugyanez a szabály nem kapcsolódó szolgáltatásokat érint, és egy frissített DNS-válasz nem teszi a szabályt hosztnév-felhatalmazássá.
A felügyelt böngészőszabályzat közvetlenebbül fejezi ki a webes korlátozást, mint egy másolt cím lista, de csak azokra a böngészőkre és profilokra érvényes, amelyeket a felügyeleti rendszer irányít.
Az a böngészőszabály semmit nem tesz egy másik hosztra UDP-t küldő hangklienssel, és a mintáit az a termék határozza meg, nem a máshonnan kölcsönzött helyettesítő karakteres konvenciók. A CONNECT proxy szintén hosztot és portot kap egy alagúton átvitt kéréshez, és nem tudja olvasni a titkosított munkamenet belsejében lévő útvonalat. A szabályt ahhoz igazítsa, amit a protokoll feltár. Ezután írja le, mit hagy fedezetlenül, mert az a rés lesz a következő kérés forrása.
Az ügyfelek alapján válasszon, ne a parancs alapján
Kérdezze meg, mely ügyfeleket kell lefednie a szabályzatnak, és melyeket hagyhat ki. A felügyelt böngészőszabályzat azt fedi le, amit a felügyeleti rendszer elér, és a böngésző határán megáll. A feloldó szabályzata mindent lefed, ami az Ön feloldóját használja, ami szélesebb halmaz, és nyitottan meghibásodik mindazoknál, akik nem ezt teszik.
Egy általa üzemeltetett szolgáltatás esetében az alkalmazásban adott felhatalmazás erősebb bármely hálózati határnál, mert a fiókot követi, nem az útvonalat. A VPN-útvonal elérhetőség és semmi több: hogy egy csomagot el tud küldeni egy szolgáltatáshoz, még nem engedély annak használatára. Ahol a fontos azonosító felhasználó vagy csatornaengedély, ott érvényesítse, és a hálózati szabályt második rétegként kezelje.
A szabályt az erőforrás felől fogalmazza meg
Egy megvédhető szabályzat megnevezi az erőforrást, az identitásokat, a hatókörbe tartozó alkalmazásokat és az azokat hordozó útvonalat, beleértve a használatban lévő mindkét címcsaládot. Azt is kimondja, mi történik a megosztott infrastruktúrával, amelyet a szabály mellékesen érint.
Ez a megfogalmazás olyan döntést hoz létre, amelyet valaki később auditálhat. A mai feloldott címmel indokolt szabály incidenst okoz, amikor a cím először megváltozik, és senki nem fogja tudni megmagyarázni, miért volt valaha helyes a blokkolás.