Хост атына негизделген кирүү эрежеси ар бир тармак катмарында эмнени билдириши мүмкүн
Кызматтын атын DNS, браузер, прокси же тармактык калканы деңгээлинде колдонсо болот. Башкарууну каалаган инсандыкты көргөн катмарды тандаңыз.
Үч адам бир нерсени бирдей сөздөр менен сурашат: бир кызматтын атына кирүүнү блоктоо. Бирөө браузер сайтты ачпашы керек дегенди билдирет, экинчиси жумуш үстөлүндөгү үн кардары өз серверине жетпеши керек дегенди, ал эми үчүнчүсү мердигерлердин тобу белгилүү бир ички колдонмону колдонбошу керек дегенди билдирет. Сүйлөм бирдей, ал эми аткаруу механизмдеринин дээрлик эч нерсеси жалпы эмес.
Катмарды ал чындыгында көрө алган идентификатор боюнча, андан кийин ал камтыган кардарлар боюнча тандаңыз. Өзүңүз билген тармактык калкан буйругунан баштоо — эрежелердин акырында эч нерсени блоктобой калышынын же өтө көп блоктошунун жолу.
Ат — ар бир катмар текшере алган инсандык эмес
Netfilter жана ушуга окшош пакет чыпкалоочулар дарегилерди, протоколдорду жана портторду көрүшөт. Алар хост аттарын көрүшпөйт, ал эми пакет аларга жеткенде ат мурун эле чечилген. Дарекке каршы жазылган эреже — ошол дарек жөнүндөгү эреже, колдонуучу ага жетүү үчүн кандай ат тергенинен карабастан.
DNS саясаты жолдо эртерек турат жана суроону көрөт, ал кийинки туташуудан башка объект. Ал көзөмөлдөнгөн чечүүчү кайтарган жоопторду башкарат, мурун ачылган туташууларды эмес, ошол чечүүчүнү айланып өтүүгө конфигурацияланган кардарларды да эмес. Чечилген дарек саясатты карап чыгуу менен кийинки суроонун ортосунда да өзгөрүшү мүмкүн, ошондуктан DNS жообу — узакка созулган авторизация билдирүүсү эмес.
Жогорку катмарлар көбүрөөк контекстти көрүшөт жана азыраак кардарды камтыйт. Бул алмашуу — бүт тема, жана таблицанын эч бир сабы эч качан туура жооп болбой турганын түшүндүрөт. Саясатыңыз чындыгында кайсы идентификатор жөнүндө болсо, ошону көргөн сапты тандаңыз. Андан кийин ошол сап билдирген камтууну кабыл алыңыз.
Ар бир катмар эмнени аныктай алат
Таблицаны ортоңку мамычадан сыртка карай окуңуз: катмар көрө алган идентификатор анын ак ниет менен аткара алган саясатын аныктайт.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Катмар саясатка ал көргөн идентификатор сиз башкарган идентификаторго дал келгенде гана кирет. Таблица ошондой эле бир катмарда жазылган эреженин эмнени коргой турганын кайра чечпей экинчи катмарга сейрек өтөөрүн түшүндүрөт.
Ачык эреже ийгиликсиз болгон жер
Дарек эрежеси сиз көзөмөлдөгөн өзүнчө дареги бар кызмат үчүн так туура, жана бул ээлик саясатка жазылышы керек. Жалпы контент жеткирүү дарегинин артындагы бардык нерсе үчүн ал так туура эмес, анда ошол эреже байланышы жок кызматтарга тийет жана жаңыртылган DNS жообу эрежени хост атынын авторизациясына айландырбайт.
Башкарылуучу браузер саясаты веб чектөөнү көчүрүлгөн дарек тизмесине караганда түзүрөөк билдирет, бирок ал башкаруу системасы башкарган браузерлер менен профилдерге гана колдонулат.
Ошол браузер эрежеси башка хостко UDP жиберген үн кардарына эч нерсе кылбайт, ал эми анын үлгүлөрүн ошол продукт аныктайт, башка жерден алынган wildcard конвенциялары эмес. CONNECT проксиси да туннелденген суроо үчүн хост менен портту алат жана шифрленген сессиянын ичиндеги жолду окуй албайт. Эрежени протокол ачып берген нерсенин айланасында долбоорлоңуз. Андан кийин ал эмнени жабылбай калтырарын жазыңыз, анткени кийинки суроо дал ошол боштуктан келет.
Буйрук боюнча эмес, кардарлар боюнча тандаңыз
Саясат кайсы кардарларды камтышы керек жана кайсыларын өткөрүп жибериши мүмкүн экенин сураңыз. Башкарылуучу браузер саясаты башкаруу системасы жеткен нерсени камтыйт жана браузердин чегинде токтойт. Чечүүчү саясаты сиздин чечүүчүңүздү колдонгон бардык нерсени камтыйт, бул кененирээк топтом, жана аны колдонбогондор үчүн ал ачык түрдө ийгиликсиз болот.
Сиз башкарган кызмат үчүн колдонмодогу авторизация кайсы тармактык чектен да күчтүүрөөк, анткени ал жолду эмес, эсепти ээрчийт. VPN маршруту — жеткиликтүүлүк жана андан ашык эмес: кызматка пакет жибере алуу аны колдонууга уруксат эмес. Маанилүү идентификатор колдонуучу же канал уруксаты болсо, аны ошол жерде аткарыңыз жана тармактык эрежени экинчи катмар катары караңыз.
Эрежени ресурстун терминдеринде жазыңыз
Коргой ала турган саясат ресурсту, инсандыктарды, камтуудагы колдонмолорду жана аларды алып жүргөн жолду, анын ичинде колдонуудагы эки дарек үй-бүлөсүн атайт. Ал ошондой эле эреже кокустан таасир этүүчү жалпы инфраструктурага эмне болорун айтат.
Бул туюнтма кийинчерээк бирөө текшерэ ала турган чечимди жаратат. Бүгүнкү чечилген дарек менен негизделген эреже дарек биринчи жолу өзгөргөндө окуя жаратат, жана блоктоо бир кезде эмне үчүн туура болгонун эч ким түшүндүрө албайт.