Хост атына негізделген қатынау ережесі әр желілік деңгейде нені білдіруі мүмкін
Қызмет атауын DNS, браузер, прокси немесе желілік қалқан деңгейінде қолдануға болады. Басқарғыңыз келетін сәйкестікті көретін деңгейді таңдаңыз.
Үш адам бір нәрсені бірдей сөздермен сұрайды: бір қызмет атауына қатынауды бұғаттау. Біреуі браузер сайтты ашпауы керек дегенді білдіреді, екіншісі жұмыс үстелінің дауыс клиенті өз серверіне жетпеуі керек дегенді, ал үшіншісі мердігерлер тобы белгілі бір ішкі қолданбаны пайдаланбауы керек дегенді білдіреді. Сөйлем бірдей, ал орындау механизмдерінің ортақ түк жері жоқ.
Деңгейді ол шынымен көре алатын идентификаторға қарай, содан кейін ол қамтитын клиенттерге қарай таңдаңыз. Өзіңіз білетін желілік қалқан пәрменінен бастау — ережелердің ақырында ештеңені бұғаттамауының немесе тым көп бұғаттауының жолы.
Атау — әр деңгей тексере алатын сәйкестік емес
Netfilter және оған ұқсас пакет сүзгілері мекенжайларды, хаттамаларды және порттарды көреді. Олар хост атауларын көрмейді, ал пакет оларға жеткенде атау әлдеқашан шешілген. Мекенжайға қарсы жазылған ереже — сол мекенжай туралы ереже, пайдаланушы оған жету үшін қандай атау терсе де.
DNS саясаты жолда ертерек орналасады және сұранысты көреді, ол кейінгі қосылымнан өзге нысан. Ол бақыланатын шешуші қайтаратын жауаптарды реттейді, бұрыннан ашық қосылымдарды емес, сол шешушіні айналып өтуге конфигурацияланған клиенттерді де емес. Шешілген мекенжай саясатты қарау мен келесі сұраныс арасында да өзгеруі мүмкін, сондықтан DNS жауабы — ұзаққа созылатын авторизация мәлімдемесі емес.
Жоғары деңгейлер көбірек контекст көреді және азырақ клиентті қамтиды. Бұл айырбас — бүкіл тақырып, және кестенің ешбір жолы ешқашан дұрыс жауап болмайтынын түсіндіреді. Саясатыңыз шын мәнінде қай идентификатор туралы болса, сол идентификаторды көретін жолды таңдаңыз. Содан кейін сол жол білдіретін қамтуды қабылдаңыз.
Әр деңгей нені анықтай алады
Кестені ортаңғы бағаннан сыртқа қарай оқыңыз: деңгей көре алатын идентификатор оның адал орындай алатын саясатын айқындайды.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Деңгей саясатқа тек ол көретін идентификатор өзіңіз басқаратын идентификаторға сәйкес келгенде ғана кіреді. Кесте сондай-ақ бір деңгейде жазылған ереженің нені қорғайтынын қайта шешпей, екінші деңгейге сирек ауысатынын түсіндіреді.
Айқын ереже сәтсіздікке ұшырайтын жер
Мекенжай ережесі өзіңіз басқаратын арнайы мекенжайы бар қызмет үшін дәл дұрыс, және бұл меншік саясатқа жазылуы керек. Ортақ контент жеткізу мекенжайының артындағы кез келген нәрсе үшін ол дәл қате, онда сол ереже байланысы жоқ қызметтерге қатысады және жаңартылған DNS жауабы ережені хост атының авторизациясына айналдырмайды.
Басқарылатын браузер саясаты веб шектеулерді көшірілген мекенжай тізіміне қарағанда тікелейрек білдіреді, бірақ ол басқару жүйесі басқаратын браузерлер мен профильдерге қолданылады.
Бұл браузер ережесі басқа хостқа UDP жіберетін дауыс клиентіне ештеңе істемейді, ал оның үлгілерін сол өнім айқындайды, өзге жерден алынған wildcard конвенциялары емес. CONNECT проксиі де туннельденген сұраныс үшін хост пен порт алады және шифрланған сессияның ішіндегі жолды оқи алмайды. Ережені хаттама ашатын нәрсенің айналасында жобалаңыз. Содан кейін оның нені жабылмай қалдыратынын жазыңыз, өйткені келесі сұраныс дәл сол олқылықтан келеді.
Пәрмен бойынша емес, клиенттер бойынша таңдаңыз
Саясат қандай клиенттерді қамтуы керек және қайсыларын өткізіп жіберуге болатынын сұраңыз. Басқарылатын браузер саясаты басқару жүйесі жететін нәрсені қамтиды және браузер шекарасында тоқтайды. Шешуші саясаты сіздің шешушіңізді пайдаланатын барлық нәрсені қамтиды, бұл кеңірек жиын, және оны пайдаланбайтындар үшін ашық түрде сәтсіздікке ұшырайды.
Сіз басқаратын қызмет үшін қолданбадағы авторизация кез келген желілік шекарадан күштірек, өйткені ол жолды емес, тіркелгіні ұстанады. VPN бағыты — бұл жетімділік және одан артық емес: қызметке пакет жібере алу оны пайдалануға рұқсат емес. Маңызды идентификатор пайдаланушы немесе арна рұқсаты болса, оны сол жерде орындаңыз және желілік ережені екінші деңгей ретінде қарастырыңыз.
Ережені ресурс тұрғысынан жазыңыз
Қорғауға болатын саясат ресурсты, сәйкестіктерді, ауқымдағы қолданбаларды және оларды тасымалдайтын жолды, соның ішінде пайдаланыстағы екі мекенжай отбасын да атайды. Ол сондай-ақ ереже жанама әсер ететін ортақ инфрақұрылымға не болатынын айтады.
Бұл тұжырым кейінірек біреу аудиттей алатын шешім жасайды. Бүгінгі шешілген мекенжаймен негізделген ереже мекенжай бірінші рет өзгергенде оқиға тудырады, және бұғаттың бір кезде неге дұрыс болғанын ешкім түсіндіре алмайды.