Ko var nozīmēt piekļuves noteikums pēc resursdatora nosaukuma katrā tīkla slānī
Pakalpojuma nosaukumu var piemērot DNS, pārlūka, starpniekservera vai ugunsmūra līmenī. Izvēlieties slāni, kas redz identitāti, kuru vēlaties pārvaldīt.
Trīs cilvēki lūdz to pašu ar tiem pašiem vārdiem: bloķēt piekļuvi vienam pakalpojuma nosaukumam. Viens domā, ka pārlūkam nevajadzētu atvērt vietni, otrs, ka galddatora balss klientam nevajadzētu sasniegt savu serveri, bet trešais, ka darbuzņēmēju grupai nevajadzētu izmantot konkrētu iekšējo lietojumprogrammu. Teikums ir identisks, un izpildes mehānismiem gandrīz nav nekā kopīga.
Izvēlieties slāni pēc identifikatora, ko tas patiešām spēj redzēt, un pēc tam pēc klientiem, kurus tas aptver. Sākšana ar ugunsmūra komandu, kuru jau pazīstat, ir ceļš, kā noteikumi galu galā neko nebloķē vai bloķē pārāk daudz.
Nosaukums nav identitāte, ko var pārbaudīt katrs slānis
Netfilter un līdzīgi pakešu filtri redz adreses, protokolus un portus. Tie neredz resursdatora nosaukumus, un, kad pakete tos sasniedz, nosaukums jau ir atrisināts. Noteikums, kas rakstīts pret adresi, ir noteikums par šo adresi, neatkarīgi no tā, kādu nosaukumu lietotājs ievadīja, lai to sasniegtu.
DNS politika atrodas agrāk ceļā un redz vaicājumu, kas ir cits objekts nekā tam sekojošais savienojums. Tā pārvalda atbildes, ko atgriež kontrolēts risinātājs, nevis jau atvērtus savienojumus un ne klientus, kas konfigurēti apiet šo risinātāju. Atrisinātā adrese var mainīties arī starp politikas pārskatīšanu un nākamo pieprasījumu, tāpēc DNS atbilde nav ilgstošs autorizācijas paziņojums.
Augstāki slāņi redz vairāk konteksta un aptver mazāk klientu. Šī apmaiņa ir visa tēma, un tā izskaidro, kāpēc neviena tabulas rinda nekad nav pareizā atbilde. Izvēlieties rindu, kas redz identifikatoru, par kuru jūsu politika patiešām ir. Pēc tam pieņemiet pārklājumu, ko šī rinda nozīmē.
Ko katrs slānis var identificēt
Lasiet tabulu no vidējās kolonnas uz āru: identifikators, ko slānis redz, nosaka politiku, ko tas var godprātīgi izpildīt.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Slānis pieder politikai tikai tad, kad tā redzamais identifikators atbilst identifikatoram, kuru pārvaldāt. Tabula arī izskaidro, kāpēc vienā slānī rakstīts noteikums reti tiek pārnests uz citu, no jauna neizlemjot, ko tas aizsargā.
Kur acīmredzamais noteikums cieš neveiksmi
Adreses noteikums ir tieši pareizs pakalpojumam ar īpašu adresi, kuru kontrolējat, un šī īpašumtiesība būtu jāieraksta politikā. Tas ir tieši nepareizs visam, kas atrodas aiz koplietotas satura piegādes adreses, kur tas pats noteikums skar nesaistītus pakalpojumus un atsvaidzināta DNS atbilde nepārvērš noteikumu resursdatora nosaukuma autorizācijā.
Pārvaldīta pārlūka politika izsaka tīmekļa ierobežojumu tiešāk nekā nokopēts adrešu saraksts, taču tā attiecas uz pārlūkiem un profiliem, kurus pārvalda pārvaldības sistēma.
Šis pārlūka noteikums neko nedara balss klientam, kas sūta UDP uz citu resursdatoru, un tā modeļus nosaka šis produkts, nevis citur aizgūtas aizstājējzīmes konvencijas. CONNECT starpniekserveris arī saņem resursdatoru un portu tuneļotam pieprasījumam un nevar nolasīt ceļu šifrētās sesijas iekšienē. Projektējiet noteikumu ap to, ko atklāj protokols. Pēc tam pierakstiet, ko tas atstāj neaptvertu, jo tieši šī plaisa ir nākamā pieprasījuma avots.
Izvēlieties pēc klientiem, nevis pēc komandas
Jautājiet, kurus klientus politikai jāaptver un kurus tā drīkst palaist garām. Pārvaldīta pārlūka politika aptver to, ko sasniedz pārvaldības sistēma, un apstājas pie pārlūka robežas. Risinātāja politika aptver visu, kas izmanto jūsu risinātāju, kas ir plašāka kopa, un tā atklāti cieš neveiksmi tiem, kas to nedara.
Jūsu pārvaldītam pakalpojumam autorizācija lietojumprogrammā ir spēcīgāka par jebkuru tīkla robežu, jo tā seko kontam, nevis ceļam. VPN maršruts ir sasniedzamība un nekas vairāk: iespēja nosūtīt paketi pakalpojumam nav atļauja to izmantot. Kur svarīgais identifikators ir lietotājs vai kanāla atļauja, izpildiet to tur un uzskatiet tīkla noteikumu par otru slāni.
Rakstiet noteikumu resursa izteiksmē
Aizstāvama politika nosauc resursu, identitātes, tvēruma lietojumprogrammas un ceļu, kas tās pārvadā, iekļaujot abas izmantotās adrešu saimes. Tā arī norāda, kas notiks ar koplietoto infrastruktūru, kuru noteikums netieši skars.
Šāds formulējums rada lēmumu, ko kāds vēlāk var revidēt. Noteikums, kas pamatots ar šodienas atrisināto adresi, rada incidentu pirmajā reizē, kad adrese mainās, un neviens nespēs izskaidrot, kāpēc bloķēšana kādreiz bija pareiza.