Wat eng Hostnumm-Zougriffsregel op all Netzwierkschicht bedeide kann
En Déngschtnumm kann op DNS-, Browser-, Proxy- oder Firewall-Niveau duerchgesat ginn. Wielt d’Schicht, déi d’Identitéit gesäit, déi Dir wëllt regéieren.
Dräi Leit frot datselwecht mat deene selwechte Wierder: den Zougrëff op een Déngschtnumm blockéieren. Ee mengt, e Browser soll d’Säit net opmaachen, een anere mengt, en Desktop-Stëmmclient soll säi Server net erreechen, an den drëtten mengt, eng Grupp vun Entreprenueren soll eng bestëmmt intern Applikatioun net benotzen. De Saz ass identesch, an d’Duerchsetzungsmechanismen hunn bal näischt gemeinsam.
Wielt d’Schicht no der Identifikatioun, déi se tatsächlech ka gesinn, an duerno no de Clienten, déi se deckt. Mat enger Firewallkommando unzefänken, déi Dir schonn kennt, ass de Wee, wéi Regelen am Endeffekt näischt blockéieren oder ze vill blockéieren.
En Numm ass keng Identitéit, déi all Schicht ka kontrolléieren
Netfilter an ähnlech Paketfiltere gesinn Adressen, Protokoller a Porten. Si gesinn keng Hostnimm, an wann e Paket si erreecht, ass den Numm schonn opgeléist. Eng Regel géint eng Adress ass eng Regel iwwer déi Adress, egal wéi en Numm en Notzer agetippt huet fir se z’erreechen.
DNS-Politik sëtzt méi fréi um Wee a gesäit d’Ufro, wat en anert Objet ass wéi d’Verbindung, déi duerno kënnt. Si regéiert d’Äntwerten, déi en kontrolléierte Resolver zréckschéckt, net Verbindungen, déi schonn op waren, an och net Clienten, déi konfiguréiert sinn, dee Resolver z’ëmginn. Eng opgeléist Adress ka sech och tëscht der Iwwerpréiwung vun der Politik an der nächster Ufro änneren, dofir ass eng DNS-Äntwert keng duerchhalteg Autorisatiounsausso.
Méi héich Schichte gesinn méi Kontext a decke manner Clienten of. Dee Tausch ass dat ganzt Thema, an et erkläert, firwat keng eenzeg Zeil vun der Tabell jee déi richteg Äntwert ass. Wielt d’Zeil, déi d’Identifikatioun gesäit, ëm déi et an Ärer Politik tatsächlech geet. Akzeptéiert duerno d’Ofdeckung, déi déi Zeil implizéiert.
Wat all Schicht ka feststellen
Liest d’Tabell vun der mëttlerer Kolonn no baussen: d’Identifikatioun, déi eng Schicht ka gesinn, bestëmmt d’Politik, déi se éierlech ka duerchsetzen.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Eng Schicht gehéiert nëmmen dann zur Politik, wann d’Identifikatioun, déi se gesäit, mat der Identifikatioun iwwereneestëmmt, déi Dir regéiert. D’Tabell erkläert och, firwat eng Regel, déi op enger Schicht geschriwwe gouf, sech sälten op eng aner iwwerdréit, ouni nei ze entscheeden, wat se schützt.
Wou déi offensichtlech Regel versot
Eng Adressregel ass genee richteg fir en Déngscht mat enger eegener Adress, déi Dir kontrolléiert, an déi Proprietéit soll an d’Politik geschriwwe ginn. Si ass genee falsch fir alles hannert enger gedeelter Content-Delivery-Adress, wou déiselwecht Regel onverbonne Déngschter beréiert an eng opfrëschten DNS-Äntwert d’Regel net an eng Hostnumm-Autorisatioun ëmwandelt.
Eng Politik fir verwaltete Browser dréckt eng Webbeschränkung méi direkt aus wéi eng kopéiert Adresslëscht, awer si gëllt fir d’Browsere a Profiler, déi d’Verwaltungssystem regéiert.
Déi Browserregel mécht näischt fir en Stëmmclient, deen UDP op en aneren Host schéckt, an hir Muster gi vun deem Produkt definéiert, net vu Wildcard-Konventiounen, déi soss engem geléint sinn. En CONNECT-Proxy kritt och en Host a Port fir eng getunnelte Ufro a kann de Wee bannen an der verschlësselter Sessioun net liesen. Design d’Regel ronderëm dat, wat de Protokoll opdeckt. Schreift duerno op, wat se onbedeckt léisst, well déi Lück ass de Punkt, vun deem déi nächst Ufro kënnt.
Wielt no de Clienten, net no der Kommando
Frot, wéi eng Clienten d’Politik muss ofdecken a wéi eng se däerf verpassen. Eng Politik fir verwaltete Browser deckt dat of, wat d’Verwaltungssystem erreecht, a stoppt un der Browsergrenz. Eng Resolverpolitik deckt alles of, wat Äre Resolver benotzt, dat ass eng méi breet Grupp, an se versot op fir jiddereen, deen et net mécht.
Fir en Déngscht, deen Dir bedreift, ass d’Autorisatioun an der Applikatioun méi staark wéi all Netzwierkgrenz, well se dem Kont an net dem Wee follegt. Eng VPN-Route ass Erreechbarkeet a soss näischt: kënnen e Paket op en Déngscht ze schécken ass keng Erlaabnes, en ze benotzen. Wou d’Identifikatioun, déi zielt, e Notzer oder eng Kanelerlaabnes ass, setzt se do duerch a behandelt d’Netzwierkregel als zweet Schicht.
Schreift d’Regel a Begrëffer vun der Ressource
Eng verdedegbar Politik nennt d’Ressource, d’Identitéiten, d’Applikatiounen am Ëmfang an de Wee, deen se dréit, inklusiv béid Adressfamilljen am Gebrauch. Si seet och, wat mat gedeelter Infrastruktur geschitt, déi d’Regel niewesächlech beréiert.
Déi Formuléierung produzéiert eng Entscheedung, déi een duerno auditëiere kann. Eng Regel, déi mat der haiteger opgeléister Adress gerechtfäerdegt ass, produzéiert en Tëschenfall, déi éischt Kéier wann d’Adress sech ännert, an niemand wäert erkläre kënnen, firwat de Block jeemools richteg war.