რას შეიძლება ნიშნავდეს ჰოსტის სახელზე დაფუძნებული წვდომის წესი ქსელის თითოეულ შრეზე
მომსახურების სახელი შეიძლება აღსრულდეს DNS-ის, ბრაუზერის, პროქსის ან ფაირვოლის დონეზე. აირჩიეთ შრე, რომელიც ხედავს იმ იდენტობას, რომლის მართვაც გსურთ.
სამი ადამიანი ერთსა და იმავეს ითხოვს ერთი და იმავე სიტყვებით: ერთი მომსახურების სახელზე წვდომის დაბლოკვა. ერთი გულისხმობს, რომ ბრაუზერმა არ გახსნას საიტი, მეორე — რომ სამაგიდო ხმოვანმა კლიენტმა არ მიაღწიოს თავის სერვერს, ხოლო მესამე — რომ კონტრაქტორთა ჯგუფმა არ გამოიყენოს გარკვეული შიდა აპლიკაცია. წინადადება იდენტურია, ხოლო აღსრულების მექანიზმებს თითქმის არაფერი აქვთ საერთო.
აირჩიეთ შრე იმ იდენტიფიკატორის მიხედვით, რომელსაც ის ნამდვილად ხედავს, შემდეგ კი იმ კლიენტების მიხედვით, რომლებსაც ის ფარავს. უკვე ნაცნობი ფაირვოლის ბრძანებიდან დაწყება სწორედ ის გზაა, რომლითაც წესები საბოლოოდ არაფერს ბლოკავს ან ზედმეტს ბლოკავს.
სახელი არ არის იდენტობა, რომლის შემოწმებაც ყველა შრეს შეუძლია
Netfilter და მსგავსი პაკეტის ფილტრები ხედავენ მისამართებს, პროტოკოლებსა და პორტებს. ისინი ვერ ხედავენ ჰოსტის სახელებს და სანამ პაკეტი მათთან მიაღწევს, სახელი უკვე გადაწყვეტილია. მისამართის წინააღმდეგ დაწერილი წესი წესია სწორედ ამ მისამართზე, მიუხედავად იმისა, თუ რა სახელი აკრიფა მომხმარებელმა მასზე მისასვლელად.
DNS პოლიტიკა გზაზე უფრო ადრე ზის და ხედავს მოთხოვნას, რომელიც განსხვავებული ობიექტია მომდევნო კავშირისგან. ის მართავს კონტროლირებადი გადამწყვეტის მიერ დაბრუნებულ პასუხებს და არა უკვე გახსნილ კავშირებს, არც იმ კლიენტებს, რომლებიც ამ გადამწყვეტის გვერდის ავლაზე არიან კონფიგურირებული. გადაწყვეტილი მისამართი შეიძლება შეიცვალოს პოლიტიკის განხილვასა და შემდეგ მოთხოვნას შორისაც, ამიტომ DNS პასუხი არ არის ხანგრძლივი ავტორიზაციის განაცხადი.
უფრო მაღალი შრეები ხედავენ მეტ კონტექსტს და ფარავენ ნაკლებ კლიენტს. ეს გაცვლა მთელი თემაა და ის ხსნის, თუ რატომ არ არის ცხრილის არც ერთი მწკრივი ოდესმე სწორი პასუხი. აირჩიეთ ის მწკრივი, რომელიც ხედავს იმ იდენტიფიკატორს, რომელზეც თქვენი პოლიტიკა ნამდვილადაა. შემდეგ მიიღეთ ის დაფარვა, რომელსაც ეს მწკრივი გულისხმობს.
რა შეუძლია თითოეულ შრეს იდენტიფიცირება
წაიკითხეთ ცხრილი შუა სვეტიდან გარეთ: იდენტიფიკატორი, რომელსაც შრე ხედავს, განსაზღვრავს იმ პოლიტიკას, რომლის პატიოსნად აღსრულებაც მას შეუძლია.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
შრე პოლიტიკაში მხოლოდ მაშინ შედის, როცა მის მიერ დანახული იდენტიფიკატორი ემთხვევა იმ იდენტიფიკატორს, რომელსაც თქვენ მართავთ. ცხრილი ასევე ხსნის, თუ რატომ გადადის ერთ შრეზე დაწერილი წესი იშვიათად სხვაზე ისე, რომ ხელახლა არ გადაწყდეს, რას იცავს ის.
სად იშლება აშკარა წესი
მისამართის წესი ზუსტად სწორია იმ მომსახურებისთვის, რომელსაც თქვენს კონტროლში მყოფი გამოყოფილი მისამართი აქვს, და ეს საკუთრება პოლიტიკაში უნდა ჩაიწეროს. ის ზუსტად მცდარია ყველაფრისთვის, რაც საზიარო კონტენტის მიწოდების მისამართის მიღმაა, სადაც იგივე წესი ეხება უკავშირო მომსახურებებს და განახლებული DNS პასუხი წესს ჰოსტის სახელის ავტორიზაციად არ აქცევს.
მართული ბრაუზერის პოლიტიკა ვების შეზღუდვას უფრო პირდაპირ გამოხატავს, ვიდრე კოპირებული მისამართების სია, თუმცა ის ვრცელდება იმ ბრაუზერებსა და პროფილებზე, რომლებსაც მართვის სისტემა მართავს.
ის ბრაუზერის წესი არაფერს აკეთებს სხვა ჰოსტზე UDP-ის გამომგზავნ ხმოვან კლიენტთან და მის ნიმუშებს განსაზღვრავს ის პროდუქტი და არა სხვა საიდანმე ნასესხები ველური ბარათის კონვენციები. CONNECT პროქსი ასევე იღებს ჰოსტსა და პორტს გვირაბირებული მოთხოვნისთვის და ვერ კითხულობს გზას დაშიფრული სესიის შიგნით. დააპროექტეთ წესი იმის ირგვლივ, რასაც პროტოკოლი ამხელს. შემდეგ ჩაწერეთ, რას ტოვებს ის დაუფარავად, რადგან სწორედ ეს ნაპრალია შემდეგი მოთხოვნის წყარო.
აირჩიეთ კლიენტების მიხედვით და არა ბრძანების
იკითხეთ, რომელი კლიენტები უნდა დაფაროს პოლიტიკამ და რომლების გამოტოვებაც შეიძლება. მართული ბრაუზერის პოლიტიკა ფარავს იმას, სადამდეც მართვის სისტემა აღწევს, და ჩერდება ბრაუზერის საზღვარზე. გადამწყვეტის პოლიტიკა ფარავს ყველაფერს, რაც თქვენს გადამწყვეტს იყენებს, რაც უფრო ფართო სიმრავლეა, და ის ღიად იშლება ყველასთვის, ვინც ამას არ აკეთებს.
თქვენ მიერ ოპერირებული მომსახურებისთვის აპლიკაციაში ავტორიზაცია უფრო ძლიერია, ვიდრე ნებისმიერი ქსელური საზღვარი, რადგან ის მიჰყვება ანგარიშს და არა გზას. VPN მარშრუტი ხელმისაწვდომობაა და მეტი არაფერი: მომსახურებაზე პაკეტის გაგზავნის უნარი არ არის მისი გამოყენების ნებართვა. სადაც მნიშვნელოვანი იდენტიფიკატორი მომხმარებელი ან არხის ნებართვაა, აღასრულეთ ის იქ და ქსელურ წესს მეორე შრედ მოეპყარით.
დაწერეთ წესი რესურსის ტერმინებში
დასაცავი პოლიტიკა ასახელებს რესურსს, იდენტობებს, ფარგლებში მყოფ აპლიკაციებს და გზას, რომელიც მათ ატარებს, მათ შორის გამოყენებაში მყოფ ორივე მისამართის ოჯახს. ის ასევე აცხადებს, რა მოუვა საზიარო ინფრასტრუქტურას, რომელზეც წესი შემთხვევით იმოქმედებს.
ეს ფორმულირება ქმნის გადაწყვეტილებას, რომლის აუდიტიც ვინმეს მოგვიანებით შეუძლია. დღევანდელი გადაწყვეტილი მისამართით გამართლებული წესი ინციდენტს წარმოქმნის მისამართის პირველივე ცვლილებისას და ვერავინ შეძლებს ახსნას, თუ რატომ იყო ბლოკირება ოდესმე სწორი.