Apa yang dapat dimaksudkan aturan akses nama host pada setiap lapisan jaringan
Nama layanan dapat ditegakkan pada tingkat DNS, peramban, proksi, atau tembok api. Pilih lapisan yang melihat identitas yang ingin Anda atur.
Tiga orang meminta hal yang sama dengan kata-kata yang sama: memblokir akses ke satu nama layanan. Yang satu berarti peramban tidak boleh membuka situs itu, yang lain berarti klien suara desktop tidak boleh mencapai servernya, dan yang ketiga berarti sekelompok kontraktor tidak boleh memakai aplikasi internal tertentu. Kalimatnya identik, dan mekanisme penegakannya hampir tidak punya kesamaan.
Pilih lapisan berdasarkan pengenal yang benar-benar dapat dilihatnya, lalu berdasarkan klien yang dicakupnya. Memulai dari perintah tembok api yang sudah Anda kenal adalah cara aturan akhirnya tidak memblokir apa pun, atau memblokir terlalu banyak.
Nama bukan identitas yang dapat diperiksa setiap lapisan
Netfilter dan penyaring paket serupa melihat alamat, protokol, dan port. Mereka tidak melihat nama host, dan saat paket mencapai mereka nama itu sudah diselesaikan. Aturan yang ditulis terhadap sebuah alamat adalah aturan tentang alamat itu, apa pun nama yang diketik pengguna untuk mencapainya.
Kebijakan DNS berada lebih awal di jalur dan melihat kueri, yang merupakan objek berbeda dari koneksi sesudahnya. Kebijakan itu mengatur jawaban yang dikembalikan penyelesai terkelola, bukan koneksi yang sudah terbuka, dan bukan klien yang dikonfigurasi untuk melewati penyelesai itu. Alamat yang telah diselesaikan juga dapat berubah antara tinjauan kebijakan dan permintaan berikutnya, karena itu jawaban DNS bukan pernyataan otorisasi yang tahan lama.
Lapisan yang lebih tinggi melihat lebih banyak konteks dan mencakup lebih sedikit klien. Pertukaran itu adalah seluruh pokoknya, dan itulah sebabnya tidak ada satu baris pun dalam tabel yang pernah menjadi jawaban yang tepat. Pilih baris yang melihat pengenal yang sebenarnya menjadi pokok kebijakan Anda. Lalu terimalah cakupan yang disiratkan baris itu.
Apa yang dapat diidentifikasi setiap lapisan
Bacalah tabel dari kolom tengah ke luar: pengenal yang dapat dilihat suatu lapisan menentukan kebijakan yang dapat ditegakkannya dengan jujur.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Suatu lapisan termasuk dalam kebijakan hanya bila pengenal yang dilihatnya cocok dengan pengenal yang Anda atur. Tabel itu juga menjelaskan mengapa aturan yang ditulis pada satu lapisan jarang berpindah ke lapisan lain tanpa memutuskan lagi apa yang dilindunginya.
Di mana aturan yang jelas gagal
Aturan alamat tepat sekali untuk layanan dengan alamat khusus yang Anda kendalikan, dan kepemilikan itu sebaiknya dituliskan dalam kebijakan. Aturan itu tepat salah untuk apa pun di balik alamat pengiriman konten bersama, tempat aturan yang sama menyentuh layanan yang tidak terkait dan jawaban DNS yang diperbarui tidak mengubah aturan itu menjadi otorisasi nama host.
Kebijakan peramban terkelola mengungkapkan pembatasan web secara lebih langsung daripada daftar alamat yang disalin, tetapi berlaku untuk peramban dan profil yang diatur sistem manajemen.
Aturan peramban itu tidak melakukan apa pun terhadap klien suara yang mengirim UDP ke host lain, dan polanya ditentukan oleh produk itu, bukan oleh konvensi kartu liar yang dipinjam dari tempat lain. Proksi CONNECT juga menerima host dan port untuk permintaan yang diterowongkan, dan tidak dapat membaca jalur di dalam sesi terenkripsi. Rancang aturan di sekitar apa yang diungkapkan protokol. Lalu tuliskan apa yang dibiarkannya tidak tercakup, karena celah itulah asal permintaan berikutnya.
Pilih berdasarkan klien, bukan perintah
Tanyakan klien mana yang harus dicakup kebijakan dan mana yang boleh terlewat. Kebijakan peramban terkelola mencakup apa yang dijangkau sistem manajemen dan berhenti di batas peramban. Kebijakan penyelesai mencakup semua yang memakai penyelesai Anda, yaitu himpunan yang lebih luas, dan gagal terbuka bagi siapa pun yang tidak memakainya.
Untuk layanan yang Anda operasikan, otorisasi di aplikasi lebih kuat daripada batas jaringan mana pun, karena ia mengikuti akun, bukan jalur. Rute VPN adalah keterjangkauan dan tidak lebih: dapat mengirim paket ke suatu layanan bukan izin untuk memakainya. Bila pengenal yang penting adalah pengguna atau izin kanal, tegakkan di sana dan perlakukan aturan jaringan sebagai lapisan kedua.
Tulis aturan dalam istilah sumber daya
Kebijakan yang dapat dipertahankan menyebutkan sumber daya, identitas, aplikasi dalam ruang lingkup, dan jalur yang mengangkutnya, termasuk kedua keluarga alamat yang dipakai. Kebijakan itu juga menyatakan apa yang terjadi pada infrastruktur bersama yang akan terkena aturan secara tidak langsung.
Frasa itu menghasilkan keputusan yang dapat diaudit seseorang nanti. Aturan yang dibenarkan oleh alamat yang diselesaikan hari ini menghasilkan insiden saat alamat itu berubah pertama kali, dan tidak ada yang akan dapat menjelaskan mengapa blokir itu pernah benar.