Хост нэрийн хандалтын дүрэм сүлжээний давхарга бүрт юу гэсэн утгатай байж болох вэ
Үйлчилгээний нэрийг DNS, хөтөч, прокси эсвэл галт ханын түвшинд хэрэгжүүлж болно. Та удирдахыг хүсэж буй таних тэмдгийг хардаг давхаргыг сонгоно уу.
Гурван хүн нэг зүйлийг ижил үгээр хүсч байна: нэг үйлчилгээний нэр рүү хандахыг хаах. Нэг нь хөтөч сайтыг нээхгүй байх ёстой гэсэн, нөгөө нь ширээний дуут клиент өөрийн серверт хүрэхгүй байх ёстой гэсэн, гурав дахь нь гэрээлэгчдийн бүлэг тодорхой дотоод програмыг ашиглахгүй байх ёстой гэсэн утгатай. Өгүүлбэр ижил боловч хэрэгжүүлэх механизмууд бараг юу ч нийтлэггүй.
Давхаргыг түүний үнэхээр харж чадах таних тэмдгээр, дараа нь түүний хамарч буй клиентүүдээр сонгоно уу. Өөрт тань мэдэгдэх галт ханын тушаалаас эхлэх нь дүрмүүд эцэстээ юу ч хаахгүй эсвэл хэт их хаах зам юм.
Нэр бол давхарга бүр шалгаж чадах таних тэмдэг биш
Netfilter болон үүнтэй төстэй пакет шүүлтүүрүүд хаяг, протокол, портыг хардаг. Тэд хост нэрийг хардаггүй бөгөөд пакет тэдэнд хүрэх үед нэр аль хэдийн шийдэгдсэн байдаг. Хаягийн эсрэг бичсэн дүрэм нь хэрэглэгч түүнд хүрэхийн тулд ямар ч нэр бичсэн бай, тухайн хаягийн тухай дүрэм юм.
DNS бодлого замд эрт байрлаж, асуулгыг хардаг бөгөөд энэ нь дараах холболтоос өөр объект юм. Энэ нь хянагдах шийдэгчийн буцаах хариултыг удирддаг бөгөөд аль хэдийн нээлттэй байсан холболтыг ч, тухайн шийдэгчийг тойрч гарахаар тохируулсан клиентүүдийг ч биш. Шийдэгдсэн хаяг нь бодлогын хяналт ба дараагийн хүсэлтийн хооронд ч өөрчлөгдөж болох тул DNS хариулт нь урт хугацааны зөвшөөрлийн мэдэгдэл биш юм.
Өндөр давхаргууд илүү их контекст харж, цөөн клиентийг хамардаг. Энэ солилцоо бол бүхэл сэдэв бөгөөд хүснэгтийн ямар ч мөр хэзээ ч зөв хариулт болдоггүйн шалтгааныг тайлбарладаг. Таны бодлого үнэхээр ямар таних тэмдгийн тухай бол түүнийг хардаг мөрийг сонгоно уу. Дараа нь тэр мөр илэрхийлж буй хамрах хүрээг хүлээн зөвшөөрөөрэй.
Давхарга бүр юуг таньж чадах вэ
Хүснэгтийг дунд баганаас гадагш уншина уу: давхаргын харж чадах таних тэмдэг нь түүний шударгаар хэрэгжүүлж чадах бодлогыг тодорхойлно.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Давхарга нь өөрийн харж буй таних тэмдэг таны удирдаж буй таних тэмдэгтэй таарах үед л бодлогод хамаарна. Хүснэгт нь мөн нэг давхаргад бичсэн дүрэм юуг хамгаалдагийг дахин шийдэхгүйгээр нөгөө давхаргад шилжих нь ховор гэдгийг тайлбарладаг.
Илэрхий дүрэм бүтэлгүйтдэг газар
Хаягийн дүрэм нь таны хянаж буй тусгай хаягтай үйлчилгээнд яг тохирно, тэр өмчлөлийг бодлогод бичих ёстой. Хуваалцсан агуулга түгээх хаягийн ард байгаа бүхний хувьд энэ нь яг буруу бөгөөд тэнд ижил дүрэм хамааралгүй үйлчилгээг хүрч, шинэчлэгдсэн DNS хариулт дүрмийг хост нэрийн зөвшөөрөл болгохгүй.
Удирдлагатай хөтчийн бодлого нь хуулсан хаягийн жагсаалтаас илүү шууд вэб хязгаарлалтыг илэрхийлдэг боловч удирдлагын системийн удирддаг хөтөч, профайлуудад л хамаарна.
Тэр хөтчийн дүрэм өөр хост руу UDP илгээдэг дуут клиентийн талаар юу ч хийдэггүй бөгөөд түүний хэв маягийг тэр бүтээгдэхүүн тодорхойлдог, өөр газраас зээлсэн орлуулагч тэмдэгтийн уламжлал биш. CONNECT прокси нь туннельдсэн хүсэлтэд зориулж хост, портыг хүлээн авдаг бөгөөд шифрлэгдсэн сессийн доторх замыг уншиж чадахгүй. Дүрмийг протоколын илчилж буй зүйлийн эргэн тойронд зохион байгуул. Дараа нь юуг халхгүй үлдээж буйгаа бич, учир нь тэр цоорхой нь дараагийн хүсэлтийн эх сурвалж юм.
Тушаалаар биш, клиентүүдээр сонгоно уу
Бодлого ямар клиентүүдийг хамах ёстой, алийг нь алдаж болохыг асуу. Удирдлагатай хөтчийн бодлого нь удирдлагын систем хүрдэг зүйлийг хамарч, хөтчийн хил дээр зогсдог. Шийдэгчийн бодлого нь таны шийдэгчийг ашигладаг бүхнийг хамардаг бөгөөд энэ нь илүү өргөн олонлог бөгөөд ашигладаггүй хүмүүст нээлттэйгээр бүтэлгүйтдэг.
Таны ажиллуулж буй үйлчилгээний хувьд програмын доторх зөвшөөрөл нь ямар ч сүлжээний хилээс илүү хүчтэй, учир нь энэ нь замыг биш, бүртгэлийг дагадаг. VPN зам нь зөвхөн хүртээмж бөгөөд үүнээс өөр зүйл биш: үйлчилгээ рүү пакет илгээж чадах нь түүнийг ашиглах зөвшөөрөл биш. Чухал таних тэмдэг нь хэрэглэгч эсвэл сувгийн зөвшөөрөл бол түүнийг тэнд хэрэгжүүлж, сүлжээний дүрмийг хоёр дахь давхарга гэж үзээрэй.
Дүрмийг нөөцийн утгаар бичнэ үү
Хамгаалагдахуйц бодлого нь нөөц, таних тэмдэг, хамрах хүрээний програмууд болон тэдгээрийг зөөвөрлөх замыг, хэрэглэж буй хоёр хаягийн бүлгийг оролцуулан нэрлэдэг. Мөн дүрэм санамсаргүйгээр нөлөөлөх хуваалцсан дэд бүтэц юу болохыг тэмдэглэдэг.
Тэр найруулга нь хожим хэн нэгэн аудит хийж болох шийдвэрийг бий болгодог. Өнөөдрийн шийдэгдсэн хаягаар үндэслэсэн дүрэм хаяг анх өөрчлөгдөхөд тохиолдол үүсгэдэг бөгөөд хаалт хэзээ нэгэн цагт яагаад зөв байсныг хэн ч тайлбарлаж чадахгүй.