Што може да значи правило за пристап по име на домаќин на секој мрежен слој

Три лица го бараат истото со исти зборови: да се блокира пристапот до едно име на услуга. Едниот мисли дека прелистувачот не треба да ја отвори страницата, вториот дека десктоп гласовниот клиент не треба да стигне до својот сервер, а третиот дека група изведувачи не треба да користи одредена внатрешна апликација. Реченицата е идентична, а механизмите за спроведување речиси и да немаат ништо заедничко.

Изберете го слојот според идентификаторот што тој навистина може да го види, а потоа според клиентите што ги покрива. Започнувањето од команда на огнен ѕид што веќе ја знаете е начинот на кој правилата на крајот не блокираат ништо или блокираат премногу.

Името не е идентитет што секој слој може да го провери

Netfilter и сличните филтри на пакети гледаат адреси, протоколи и порти. Тие не гледаат имиња на домаќини, а кога пакетот ќе ги стигне, името веќе е решено. Правило напишано против адреса е правило за таа адреса, без оглед на тоа кое име го внел корисникот за да стигне до неа.

DNS политиката стои порано на патеката и го гледа барањето, кое е различен објект од врската што следи. Таа управува со одговорите што ги враќа контролиран резолвер, а не со врски што веќе биле отворени, ниту со клиенти конфигурирани да го заобиколат тој резолвер. Решената адреса може да се промени и помеѓу прегледот на политиката и следното барање, затоа DNS одговорот не е трајна изјава за авторизација.

Повисоките слоеви гледаат повеќе контекст и покриваат помалку клиенти. Таа размена е целата тема и објаснува зошто ниту еден ред од табелата никогаш не е точниот одговор. Изберете го редот што го гледа идентификаторот за кој всушност се работи во вашата политика. Потоа прифатете ја покриеноста што ја подразбира тој ред.

Што може да идентификува секој слој

Читајте ја табелата од средната колона нанадвор: идентификаторот што слојот може да го види ја одредува политиката што тој може чесно да ја спроведе.

Слојот припаѓа на политиката само кога идентификаторот што го гледа се совпаѓа со идентификаторот што го управувате. Табелата исто така објаснува зошто правило напишано на еден слој ретко се пренесува на друг без повторно да се одлучи што штити.

Каде пропаѓа очигледното правило

Правилото за адреса е точно точно за услуга со посветена адреса што ја контролирате, и таа сопственост треба да се запише во политиката. Тоа е точно погрешно за сѐ што стои зад заедничка адреса за испорака на содржина, каде истото правило допира неповрзани услуги, а освежен DNS одговор не го претвора правилото во авторизација по име на домаќин.

Политиката на управуван прелистувач изразува веб-ограничување подиректно од копирана листа адреси, но се применува на прелистувачите и профилите што ги управува системот за управување.

Тоа правило за прелистувач не прави ништо за гласовен клиент што испраќа UDP до друг домаќин, а неговите шаблони ги дефинира тој производ, а не конвенции за џокер знаци позајмени од друго место. CONNECT проксито исто така прима домаќин и порта за тунелирано барање и не може да ја прочита патеката внатре во шифрираната сесија. Дизајнирајте го правилото околу тоа што го открива протоколот. Потоа запишете што остава непокриено, бидејќи токму таа празнина е местото од каде ќе дојде следното барање.

Изберете според клиентите, а не според командата

Прашајте кои клиенти политиката мора да ги покрие и кои смее да ги пропушти. Политиката на управуван прелистувач покрива што стигнува системот за управување и запира на границата на прелистувачот. Политиката на резолверот покрива сѐ што го користи вашиот резолвер, што е пошироко множество, и отворено пропаѓа за секој што не го прави тоа.

За услуга што ја управувате, авторизацијата во апликацијата е појака од секоја мрежна граница, бидејќи го следи сметката, а не патеката. VPN рутата е достапност и ништо повеќе: можноста да испратите пакет до услуга не е дозвола да ја користите. Онаму каде важниот идентификатор е корисник или дозвола за канал, спроведете го таму и третирајте го мрежното правило како втор слој.

Напишете го правилото во термини на ресурсот

Одбранлива политика го именува ресурсот, идентитетите, апликациите во опфатот и патеката што ги носи, вклучувајќи ги двете семејства на адреси во употреба. Таа исто така наведува што се случува со заедничката инфраструктура што правилото случајно ќе ја допре.

Таа формулација создава одлука што некој подоцна може да ја ревидира. Правило оправдано со денешната решена адреса создава инцидент при првата промена на адресата и никој нема да може да објасни зошто блокирањето некогаш било точно.