Hvað regla um aðgang eftir hýsilnafni getur þýtt á hverju netlagi
Hægt er að framfylgja þjónustunafni á DNS-, vafra-, milliþjóns- eða eldveggsstigi. Veldu lagið sem sér auðkennið sem þú vilt stýra.
Þrír aðilar biðja um sama hlut með sömu orðum: loka á aðgang að einu þjónustunafni. Einn á við að vafri megi ekki opna síðuna, annar að skjáborðsraddforrit megi ekki ná í þjóninn sinn, og sá þriðji að hópur verktaka megi ekki nota tiltekið innra forrit. Setningin er eins, og framfylgdaraðferðirnar eiga nánast ekkert sameiginlegt.
Veldu lagið eftir auðkenninu sem það getur í raun séð, og síðan eftir þeim biðlurum sem það nær yfir. Að byrja á eldveggsskipun sem þú þekkir þegar er leiðin sem reglur enda á að loka á ekkert eða loka á of mikið.
Nafn er ekki auðkenni sem hvert lag getur staðfest
Netfilter og álíka pakkasíur sjá vistföng, samskiptareglur og port. Þær sjá ekki hýsilnöfn, og þegar pakki nær til þeirra er nafnið þegar leyst. Regla sem er skrifuð gegn vistfangi er regla um það vistfang, hvaða nafn sem notandi slær inn til að ná í það.
DNS-stefna situr fyrr á leiðinni og sér fyrirspurnina, sem er annar hlutur en tengingin sem kemur á eftir. Hún stýrir svörunum sem stýrður uppflettir skilar, ekki tengingum sem voru þegar opnar, og ekki biðlurum sem eru stilltir til að komast fram hjá þeim uppfletti. Leyst vistfang getur líka breyst milli stefnuskrárskoðunar og næstu beiðni, og þess vegna er DNS-svar ekki varanleg heimildaryfirlýsing.
Hærri lög sjá meira samhengi og ná yfir færri biðlura. Þessi skipti eru allt efnið, og þau útskýra hvers vegna engin ein röð töflunnar er nokkurn tíma rétta svarið. Veldu röðina sem sér auðkennið sem stefnan þín fjallar í raun um. Samþykktu síðan þá umfjöllun sem röðin felur í sér.
Hvað hvert lag getur auðkennt
Lestu töfluna frá miðdálkinum út: auðkennið sem lag getur séð ræður þeirri stefnu sem það getur framfylgt af heiðarleika.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Lag tilheyrir stefnunni aðeins þegar auðkennið sem það sér passar við auðkennið sem þú stýrir. Taflan útskýrir líka hvers vegna regla sem skrifuð er á einu lagi flyst sjaldan yfir á annað án þess að ákveða aftur hvað hún verndar.
Þar sem hin augljósa regla bregst
Vistfangsregla er nákvæmlega rétt fyrir þjónustu með sérstakt vistfang sem þú stýrir, og það eignarhald ætti að skrifa í stefnuna. Hún er nákvæmlega röng fyrir allt sem er bak við sameiginlegt vistfang fyrir afhendingu efnis, þar sem sama regla snertir ótengda þjónustu og endurnýjað DNS-svar gerir regluna ekki að hýsilnafnaheimild.
Stefna fyrir stýrðan vafra lýsir vefjatakmörkun beint fyrir en afrituðum vistfangalista, en hún gildir fyrir þá vafra og snið sem stjórnkerfið stýrir.
Sú vafraregla gerir ekkert fyrir raddbiðil sem sendir UDP á annan hýsil, og mynstur hennar eru skilgreind af þeirri vöru en ekki af villimerkjavenjum sem lánaðar eru annars staðar frá. CONNECT-milliþjónn tekur líka við hýsli og porti fyrir göngubeiðni, og getur ekki lesið slóðina inni í dulkóðuðu lotunni. Hannaðu regluna út frá því sem samskiptareglan afhjúpar. Skrifaðu síðan niður hvað hún lætur óvarið, því það bil er þaðan sem næsta beiðni kemur.
Veldu eftir biðlurunum, ekki skipuninni
Spurðu hvaða biðlura stefnan verður að ná yfir og hverja hún má missa. Stefna fyrir stýrðan vafra nær yfir það sem stjórnkerfið nær til og stöðvast við vaframörk. Stefna uppflettis nær yfir allt sem notar uppflettið þitt, sem er víðara safn, og hún bregst opið fyrir alla sem gera það ekki.
Fyrir þjónustu sem þú rekur er heimild í forritinu sterkari en nokkur netmörk, því hún fylgir reikningnum en ekki slóðinni. VPN-leið er aðgengi og ekkert meira: að geta sent pakka til þjónustu er ekki leyfi til að nota hana. Þar sem auðkennið sem skiptir máli er notandi eða rásarheimild, framfylgdu því þar og meðhöndlaðu netregluna sem annað lag.
Skrifaðu regluna út frá auðlindinni
Varnarhæf stefna nefnir auðlindina, auðkennin, forritin innan umfangs og slóðina sem ber þau, þar á meðal báðar vistfangafjölskyldur sem eru í notkun. Hún segir líka hvað verður um sameiginlega innviði sem reglan mun óbeint hafa áhrif á.
Sú orðalag býr til ákvörðun sem einhver getur endurskoðað síðar. Regla sem er réttlætt með leysta vistfanginu í dag býr til atvik í fyrsta skipti sem vistfangið breytist, og enginn mun geta útskýrt hvers vegna lokunin var einhvern tíma rétt.