होस्टनाव ऍक्सेस नियमाचा प्रत्येक नेटवर्क स्तरावर काय अर्थ असू शकतो
सेवेचे नाव DNS, ब्राउझर, प्रॉक्सी किंवा फायरवॉल स्तरावर लागू करता येते. तुम्ही नियंत्रित करू इच्छिता ती ओळख पाहणारा स्तर निवडा.
तीनजण एकाच गोष्टीची एकाच शब्दांत मागणी करतात: एका सेवेच्या नावावरील प्रवेश अडवणे. एकाचा अर्थ ब्राउझरने साइट उघडू नये असा आहे, दुसऱ्याचा अर्थ डेस्कटॉप व्हॉइस क्लायंटने त्याच्या सर्व्हरपर्यंत पोहोचू नये असा, आणि तिसऱ्याचा अर्थ कंत्राटदारांच्या गटाने एखादे विशिष्ट अंतर्गत अॅप्लिकेशन वापरू नये असा. वाक्य तंतोतंत सारखे आहे, आणि अंमलबजावणीच्या पद्धतींमध्ये जवळपास काहीही साम्य नाही.
स्तर तो प्रत्यक्षात पाहू शकतो त्या ओळखकर्त्यावरून निवडा, आणि नंतर तो व्यापणाऱ्या क्लायंटवरून. तुम्हाला आधीच माहीत असलेल्या फायरवॉल कमांडपासून सुरुवात करणे हाच तो मार्ग आहे ज्यामुळे नियम शेवटी काहीच अडवत नाहीत, किंवा खूप जास्त अडवतात.
नाव अशी ओळख नाही जी प्रत्येक स्तर तपासू शकतो
Netfilter आणि तत्सम पॅकेट फिल्टर पत्ते, प्रोटोकॉल आणि पोर्ट पाहतात. ते होस्टनावे पाहत नाहीत, आणि पॅकेट त्यांच्यापर्यंत पोहोचते तोपर्यंत नाव आधीच सोडवलेले असते. पत्त्याविरुद्ध लिहिलेला नियम त्या पत्त्याबद्दलचा नियम असतो, वापरकर्त्याने तिथपर्यंत पोहोचण्यासाठी कोणतेही नाव टाइप केले असले तरी.
DNS धोरण मार्गात आधी बसते आणि क्वेरी पाहते, जी त्यानंतरच्या कनेक्शनपेक्षा वेगळी वस्तू आहे. ते नियंत्रित रिझोल्व्हर परत करतो त्या उत्तरांचे नियंत्रण करते, आधीच उघड्या असलेल्या कनेक्शनचे नाही, आणि त्या रिझोल्व्हरला बायपास करण्यासाठी संरचित क्लायंटचेही नाही. सोडवलेला पत्ता धोरणाच्या आढाव्यापासून पुढील विनंतीपर्यंत बदलू शकतो, म्हणून DNS उत्तर टिकाऊ अधिकृतता विधान नाही.
वरचे स्तर अधिक संदर्भ पाहतात आणि कमी क्लायंट व्यापतात. ही देवघेवच संपूर्ण विषय आहे, आणि तक्त्याची कोणतीही एक ओळ कधीही बरोबर उत्तर का नसते हे ते स्पष्ट करते. तुमचे धोरण प्रत्यक्षात ज्या ओळखकर्त्याबद्दल आहे ती पाहणारी ओळ निवडा. मग ती ओळ सूचित करते ते व्याप्ती स्वीकारा.
प्रत्येक स्तर काय ओळखू शकतो
तक्ता मधल्या स्तंभापासून बाहेरच्या दिशेने वाचा: स्तर पाहू शकतो तो ओळखकर्ता तो प्रामाणिकपणे कोणते धोरण लागू करू शकतो हे ठरवतो.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
स्तर धोरणात तेव्हाच येतो जेव्हा तो पाहतो तो ओळखकर्ता तुम्ही नियंत्रित करत असलेल्या ओळखकर्त्याशी जुळतो. एका स्तरावर लिहिलेला नियम दुसऱ्या स्तरावर काय संरक्षित करतो हे पुन्हा न ठरवता क्वचितच जातो हेही तक्ता स्पष्ट करते.
जिथे स्पष्ट नियम अपयशी होतो
पत्त्याचा नियम तुमच्या नियंत्रणातील समर्पित पत्ता असलेल्या सेवेसाठी अगदी बरोबर आहे, आणि ते मालकी धोरणात लिहिली पाहिजे. सामायिक सामग्री वितरण पत्त्यामागील कोणत्याही गोष्टीसाठी तो अगदी चुकीचा आहे, जिथे तोच नियम असंबंधित सेवांना स्पर्श करतो आणि ताजे केलेले DNS उत्तर नियमाला होस्टनाव अधिकृततेत बदलत नाही.
व्यवस्थापित ब्राउझर धोरण प्रत बनवलेल्या पत्त्यांच्या यादीपेक्षा वेब निर्बंध अधिक थेटपणे व्यक्त करते, पण ते व्यवस्थापन प्रणाली नियंत्रित करते त्या ब्राउझर आणि प्रोफाइलवर लागू होते.
तो ब्राउझर नियम दुसऱ्या होस्टकडे UDP पाठवणाऱ्या व्हॉइस क्लायंटबद्दल काहीही करत नाही, आणि त्याचे नमुने ते उत्पादन ठरवते, दुसरीकडून घेतलेल्या वाइल्डकार्ड परंपरा नाही. CONNECT प्रॉक्सीही बोगद्यातील विनंतीसाठी होस्ट आणि पोर्ट घेते, आणि एन्क्रिप्टेड सत्राच्या आतला मार्ग वाचू शकत नाही. नियम प्रोटोकॉल जे उघड करतो त्याभोवती रचा. मग तो काय उघडे ठेवतो ते लिहा, कारण तीच पोकळी पुढील विनंतीचा स्रोत असेल.
कमांडवरून नाही, क्लायंटवरून निवडा
धोरणाने कोणते क्लायंट व्यापले पाहिजेत आणि कोणते सुटू शकतात हे विचारा. व्यवस्थापित ब्राउझर धोरण व्यवस्थापन प्रणाली जिथपर्यंत पोहोचते ते व्यापते आणि ब्राउझरच्या सीमेवर थांबते. रिझोल्व्हर धोरण तुमचा रिझोल्व्हर वापरणारी प्रत्येक गोष्ट व्यापते, जो अधिक विस्तृत संच आहे, आणि जे तसे करत नाहीत त्यांच्यासाठी ते खुलेपणाने अपयशी होते.
तुम्ही चालवता त्या सेवेसाठी अॅप्लिकेशनमधील अधिकृतता कोणत्याही नेटवर्क सीमेपेक्षा बळकट आहे, कारण ती मार्गानुसार नाही तर खात्यानुसार जाते. VPN मार्ग म्हणजे फक्त पोहोचक्षमता आणि त्यापुढे काही नाही: सेवेकडे पॅकेट पाठवू शकणे म्हणजे तिचा वापर करण्याची परवानगी नाही. जिथे महत्त्वाचा ओळखकर्ता वापरकर्ता किंवा चॅनेल परवानगी आहे, तिथे ती लागू करा आणि नेटवर्क नियमाला दुसरा स्तर माना.
नियम संसाधनाच्या दृष्टीने लिहा
संरक्षणीय धोरण संसाधन, ओळखी, व्याप्तीतील अॅप्लिकेशन्स आणि त्यांना वाहणाऱ्या मार्गाची नावे घेते, वापरातील दोन्ही पत्ता कुटुंबांसह. नियम आडवा येऊन ज्या सामायिक पायाभूत सुविधांवर परिणाम करेल त्यांचे काय होईल हेही ते सांगते.
ती शब्दरचना नंतर कोणी तपासू शकेल असा निर्णय निर्माण करते. आजच्या सोडवलेल्या पत्त्याने न्याय्य ठरवलेला नियम पत्ता पहिल्यांदा बदलल्यावर घटना निर्माण करतो, आणि अडवणूक कधी बरोबर का होती हे कोणीही समजावून सांगू शकणार नाही.