Ինչ կարող է նշանակել հոսթանվան հասանելիության կանոնը ցանցի յուրաքանչյուր շերտում
Ծառայության անունը կարելի է կիրառել DNS-ի, զննարկիչի, պրոքսիի կամ հրդեհապատի մակարդակում։ Ընտրեք այն շերտը, որը տեսնում է այն ինքնությունը, որը ցանկանում եք կառավարել։
Երեք մարդ նույն բանն են խնդրում նույն բառերով՝ արգելափակել մուտքը մեկ ծառայության անվանը։ Մեկը նկատի ունի, որ զննարկիչը չպետք է բացի կայքը, մյուսը՝ որ աշխատասեղանի ձայնային հաճախորդը չպետք է հասնի իր սերվերին, իսկ երրորդը՝ որ կապալառուների խումբը չպետք է օգտագործի որոշակի ներքին հավելված։ Նախադասությունը նույնն է, իսկ կիրարկման մեխանիզմները գրեթե ոչինչ ընդհանուր չունեն։
Ընտրեք շերտը ըստ այն նույնացուցչի, որը նա իրականում կարող է տեսնել, ապա ըստ այն հաճախորդների, որոնց նա ընդգրկում է։ Արդեն ծանոթ հրդեհապատի հրամանից սկսելը հենց այն ուղին է, որով կանոնները վերջում ոչինչ չեն արգելափակում կամ չափից շատ են արգելափակում։
Անունը ինքնություն չէ, որը յուրաքանչյուր շերտ կարող է ստուգել
Netfilter-ը և նման փաթեթային զտիչները տեսնում են հասցեներ, արձանագրություններ և պորտեր։ Նրանք չեն տեսնում հոսթանուններ, և երբ փաթեթը հասնում է նրանց, անունն արդեն լուծված է։ Հասցեի դեմ գրված կանոնը կանոն է այդ հասցեի մասին, անկախ այն բանից, թե ինչ անուն է մուտքագրել օգտատերը՝ դրան հասնելու համար։
DNS քաղաքականությունը տեղադրված է ուղու ավելի վաղ հատվածում և տեսնում է հարցումը, որը տարբեր օբյեկտ է հաջորդող կապակցումից։ Այն կառավարում է վերահսկվող լուծիչի վերադարձրած պատասխանները, ոչ արդեն բացված կապակցումները, և ոչ այն հաճախորդները, որոնք կարգավորված են շրջանցելու այդ լուծիչը։ Լուծված հասցեն կարող է փոխվել նաև քաղաքականության վերանայման և հաջորդ հարցման միջև, այդ պատճառով DNS պատասխանը երկարաժամկետ լիազորման հայտարարություն չէ։
Ավելի բարձր շերտերը տեսնում են ավելի շատ համատեքստ և ընդգրկում են ավելի քիչ հաճախորդներ։ Այդ փոխանակումը ամբողջ թեման է, և այն բացատրում է, թե ինչու աղյուսակի ոչ մի տող երբեք ճիշտ պատասխան չէ։ Ընտրեք այն տողը, որը տեսնում է այն նույնացուցիչը, որի մասին իրականում ձեր քաղաքականությունն է։ Ապա ընդունեք այն ընդգրկումը, որը ենթադրում է այդ տողը։
Ինչ կարող է նույնականացնել յուրաքանչյուր շերտ
Կարդացեք աղյուսակը միջին սյունակից դեպի դուրս՝ այն նույնացուցիչը, որը շերտը կարող է տեսնել, սահմանում է այն քաղաքականությունը, որը նա կարող է ազնվորեն կիրառել։
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Շերտը քաղաքականության մեջ է մտնում միայն այն ժամանակ, երբ նրա տեսած նույնացուցիչը համընկնում է ձեր կառավարած նույնացուցչի հետ։ Աղյուսակը նաև բացատրում է, թե ինչու մի շերտում գրված կանոնը հազվադեպ է տեղափոխվում մեկ այլ շերտ՝ առանց նորից որոշելու, թե ինչ է այն պաշտպանում։
Որտեղ ակնհայտ կանոնը ձախողվում է
Հասցեի կանոնը ճշգրիտ ճիշտ է այն ծառայության համար, որն ունի ձեր վերահսկողության տակ գտնվող առանձնացված հասցե, և այդ սեփականությունը պետք է գրվի քաղաքականության մեջ։ Այն ճշգրիտ սխալ է այն ամենի համար, ինչ գտնվում է ընդհանուր բովանդակության առաքման հասցեի հետևում, որտեղ նույն կանոնը դիպչում է անկապ ծառայությունների, և թարմացված DNS պատասխանը կանոնը չի վերածում հոսթանվան լիազորման։
Կառավարվող զննարկիչի քաղաքականությունն ավելի ուղղակիորեն է արտահայտում վեբ սահմանափակումը, քան պատճենված հասցեների ցանկը, սակայն այն տարածվում է այն զննարկիչների և պրոֆիլների վրա, որոնք կառավարում է կառավարման համակարգը։
Այդ զննարկիչի կանոնը ոչինչ չի անում այլ հոսթ UDP ուղարկող ձայնային հաճախորդի համար, և նրա օրինաչափությունները սահմանում է այդ ապրանքը, այլ ոչ թե այլ տեղից վերցված վայրի նիշերի պայմանականությունները։ CONNECT պրոքսին նույնպես ստանում է հոսթ և պորտ թունելավորված հարցման համար և չի կարող կարդալ ուղին գաղտնագրված նստաշրջանի ներսում։ Նախագծեք կանոնը այն բանի շուրջ, ինչը բացահայտում է արձանագրությունը։ Ապա գրեք, թե ինչ է այն թողնում չընդգրկված, քանի որ հենց այդ բացն է հաջորդ հարցման աղբյուրը։
Ընտրեք ըստ հաճախորդների, ոչ ըստ հրամանի
Հարցրեք, թե որ հաճախորդներին պետք է ընդգրկի քաղաքականությունը և որոնց կարող է բաց թողնել։ Կառավարվող զննարկիչի քաղաքականությունը ընդգրկում է այն, ինչին հասնում է կառավարման համակարգը, և կանգ է առնում զննարկիչի սահմանին։ Լուծիչի քաղաքականությունն ընդգրկում է այն ամենը, ինչ օգտագործում է ձեր լուծիչը, ինչն ավելի լայն բազմություն է, և այն բաց ձախողվում է նրանց համար, ովքեր դա չեն անում։
Ձեր շահագործած ծառայության համար հավելվածում լիազորումն ավելի ուժեղ է, քան ցանկացած ցանցային սահման, որովհետև այն հետևում է հաշվին, ոչ թե ուղուն։ VPN երթուղին հասանելիություն է և ոչ ավելին. ծառայությանը փաթեթ ուղարկելու հնարավորությունը դրա օգտագործման թույլտվություն չէ։ Այնտեղ, որտեղ կարևոր նույնացուցիչը օգտատեր կամ ալիքի թույլտվություն է, կիրառեք այն հենց այնտեղ և ցանցային կանոնը դիտարկեք որպես երկրորդ շերտ։
Գրեք կանոնը ռեսուրսի առումով
Պաշտպանելի քաղաքականությունը նշում է ռեսուրսը, ինքնությունները, շրջանակում գտնվող հավելվածները և դրանք կրող ուղին՝ ներառյալ օգտագործվող հասցեների երկու ընտանիքները։ Այն նաև նշում է, թե ինչ է լինելու ընդհանուր ենթակառուցվածքի հետ, որին կանոնը պատահաբար կանդրադառնա։
Այդ ձևակերպումը ստեղծում է որոշում, որը հետագայում ինչ-որ մեկը կարող է աուդիտ անել։ Այսօրվա լուծված հասցեով արդարացված կանոնը միջադեպ է ստեղծում հասցեի առաջին փոփոխության ժամանակ, և ոչ ոք չի կարողանա բացատրել, թե ինչու արգելափակումը երբևէ ճիշտ էր։