Apa yang boleh dimaksudkan oleh peraturan akses nama hos pada setiap lapisan rangkaian
Nama perkhidmatan boleh dikuatkuasakan pada peringkat DNS, pelayar, proksi atau tembok api. Pilih lapisan yang melihat identiti yang ingin anda tadbir.
Tiga orang meminta perkara yang sama dengan kata-kata yang sama: sekat akses kepada satu nama perkhidmatan. Seorang bermaksud pelayar tidak boleh membuka laman itu, seorang lagi bermaksud klien suara desktop tidak boleh mencapai pelayannya, dan yang ketiga bermaksud sekumpulan kontraktor tidak boleh menggunakan aplikasi dalaman tertentu. Ayat itu sama, dan mekanisme penguatkuasaan hampir tidak mempunyai persamaan.
Pilih lapisan berdasarkan pengecam yang benar-benar dapat dilihatnya, kemudian berdasarkan klien yang diliputinya. Bermula dengan arahan tembok api yang sudah anda kenali ialah cara peraturan akhirnya tidak menyekat apa-apa, atau menyekat terlalu banyak.
Nama bukan identiti yang boleh diperiksa oleh setiap lapisan
Netfilter dan penapis paket seumpamanya melihat alamat, protokol dan port. Ia tidak melihat nama hos, dan apabila paket sampai kepadanya nama itu sudah diselesaikan. Peraturan yang ditulis terhadap alamat ialah peraturan tentang alamat itu, apa jua nama yang ditaip pengguna untuk mencapainya.
Dasar DNS terletak lebih awal pada laluan dan melihat pertanyaan, yang merupakan objek berbeza daripada sambungan yang menyusul. Ia mentadbir jawapan yang dikembalikan oleh penyelesai terkawal, bukan sambungan yang sudah terbuka, dan bukan klien yang dikonfigurasikan untuk memintas penyelesai itu. Alamat yang telah diselesaikan juga boleh berubah antara semakan dasar dan permintaan seterusnya, sebab itu jawapan DNS bukan pernyataan kebenaran yang tahan lama.
Lapisan yang lebih tinggi melihat lebih banyak konteks dan meliputi lebih sedikit klien. Pertukaran itu ialah keseluruhan topik, dan ia menjelaskan sebab tiada satu baris jadual pun pernah menjadi jawapan yang betul. Pilih baris yang melihat pengecam yang sebenarnya menjadi pokok dasar anda. Kemudian terima liputan yang dibayangkan oleh baris itu.
Apa yang boleh dikenal pasti oleh setiap lapisan
Baca jadual dari lajur tengah ke luar: pengecam yang dapat dilihat oleh sesuatu lapisan menentukan dasar yang boleh dikuatkuasakannya dengan jujur.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Sesuatu lapisan tergolong dalam dasar hanya apabila pengecam yang dilihatnya sepadan dengan pengecam yang anda tadbir. Jadual itu juga menjelaskan sebab peraturan yang ditulis pada satu lapisan jarang berpindah ke lapisan lain tanpa memutuskan semula apa yang dilindunginya.
Di mana peraturan yang jelas gagal
Peraturan alamat tepat sekali untuk perkhidmatan dengan alamat khusus yang anda kawal, dan pemilikan itu wajar ditulis dalam dasar. Ia tepat sekali salah untuk apa-apa di sebalik alamat penghantaran kandungan yang dikongsi, di mana peraturan yang sama menyentuh perkhidmatan yang tidak berkaitan dan jawapan DNS yang diperbaharui tidak menjadikan peraturan itu kebenaran nama hos.
Dasar pelayar terurus menyatakan sekatan web dengan lebih langsung daripada senarai alamat yang disalin, tetapi ia terpakai kepada pelayar dan profil yang ditadbir oleh sistem pengurusan.
Peraturan pelayar itu tidak melakukan apa-apa terhadap klien suara yang menghantar UDP ke hos lain, dan coraknya ditentukan oleh produk itu, bukan oleh konvensyen kad liar yang dipinjam dari tempat lain. Proksi CONNECT juga menerima hos dan port untuk permintaan yang diterowongkan, dan tidak dapat membaca laluan di dalam sesi yang disulitkan. Reka bentuk peraturan itu berdasarkan apa yang didedahkan oleh protokol. Kemudian catat apa yang dibiarkannya tidak dilindungi, kerana jurang itulah tempat permintaan seterusnya akan datang.
Pilih mengikut klien, bukan mengikut arahan
Tanya klien mana yang mesti diliputi oleh dasar dan mana yang boleh terlepas. Dasar pelayar terurus meliputi apa yang dicapai oleh sistem pengurusan dan berhenti pada sempadan pelayar. Dasar penyelesai meliputi semua yang menggunakan penyelesai anda, iaitu set yang lebih luas, dan ia gagal terbuka kepada sesiapa yang tidak berbuat demikian.
Bagi perkhidmatan yang anda kendalikan, kebenaran dalam aplikasi lebih kuat daripada mana-mana sempadan rangkaian, kerana ia mengikut akaun dan bukan laluan. Laluan VPN ialah kebolehcapaian dan tidak lebih: dapat menghantar paket ke sesuatu perkhidmatan bukan kebenaran untuk menggunakannya. Di mana pengecam yang penting ialah pengguna atau kebenaran saluran, kuatkuasakannya di situ dan anggap peraturan rangkaian sebagai lapisan kedua.
Tulis peraturan itu dari segi sumber
Dasar yang boleh dipertahankan menamakan sumber, identiti, aplikasi dalam skop dan laluan yang membawanya, termasuk kedua-dua keluarga alamat yang digunakan. Ia juga menyatakan apa yang berlaku kepada infrastruktur kongsi yang akan terjejas secara sampingan oleh peraturan itu.
Frasa itu menghasilkan keputusan yang boleh diaudit oleh seseorang kemudian. Peraturan yang dijustifikasikan oleh alamat yang diselesaikan hari ini menghasilkan insiden pertama kali alamat itu berubah, dan tiada siapa dapat menjelaskan sebab sekatan itu pernah betul.