Xi tista’ tfisser regola ta’ aċċess bl-isem tal-host f’kull saff tan-netwerk
L-isem ta’ servizz jista’ jiġi infurzat fil-livell tad-DNS, tal-browser, tal-proxy jew tal-firewall. Agħżel is-saff li jara l-identità li trid tiggverna.
Tliet persuni jitolbu l-istess ħaġa bl-istess kliem: jimblokka l-aċċess għal isem wieħed ta’ servizz. Wieħed ifisser li browser m’għandux jiftaħ is-sit, ieħor ifisser li klijent tal-vuċi tad-desktop m’għandux jilħaq is-server tiegħu, u t-tielet ifisser li grupp ta’ kuntratturi m’għandux juża applikazzjoni interna partikolari. Is-sentenza hija identika, u l-mekkaniżmi ta’ infurzar kważi xejn m’għandhom qosor komuni.
Agħżel is-saff skont l-identifikatur li jista’ tassew jara, imbagħad skont il-klijenti li jkopri. Li tibda minn kmand tal-firewall li diġà taf huwa kif ir-regoli fl-aħħar ma jimblukkaw xejn, jew jimblukkaw wisq.
Isem mhuwiex identità li kull saff jista’ jiċċekkja
Netfilter u filtri tal-pakketti simili jaraw indirizzi, protokolli u portijiet. Ma jarawx ismijiet tal-host, u meta pakkett jilħaqhom l-isem ikun diġà ġie riżolt. Regola miktuba kontra indirizz hija regola dwar dak l-indirizz, ikun liema isem ikun ittajpja utent biex jilħaqha.
Il-politika tad-DNS tinsab eqreb fil-bidu tat-triq u tara l-mistoqsija, li hija oġġett differenti mill-konnessjoni li ssegwi. Hija tiggverna t-tweġibiet li jirritorna riżolver ikkontrollat, mhux konnessjonijiet li kienu diġà miftuħa, u lanqas klijenti kkonfigurati biex jevitaw dak ir-riżolver. Indirizz riżolt jista’ wkoll jinbidel bejn ir-reviżjoni tal-politika u t-talba li jmiss, u għalhekk tweġiba tad-DNS mhijiex dikjarazzjoni ta’ awtorizzazzjoni dejjiema.
Saffi ogħla jaraw aktar kuntest u jkopru inqas klijenti. Dan l-iskambju huwa s-suġġett kollu, u jispjega għaliex l-ebda ringiela waħda tat-tabella qatt mhi t-tweġiba t-tajba. Agħżel ir-ringiela li tara l-identifikatur li l-politika tiegħek tassew hija dwaru. Imbagħad aċċetta l-kopertura li timplika dik ir-ringiela.
Xi jista’ jidentifika kull saff
Aqra t-tabella mill-kolonna tan-nofs ’il barra: l-identifikatur li saff jista’ jara jiddetta l-politika li jista’ jinforza b’mod onest.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Saff jappartjeni lill-politika biss meta l-identifikatur li jara jaqbel mal-identifikatur li tkun qed tiggverna. It-tabella tispjega wkoll għaliex regola miktuba f’saff wieħed rari tgħaddi għal ieħor mingħajr ma jerġa’ jiġi deċiż x’tipproteġi.
Fejn tfalli r-regola ovvja
Regola tal-indirizz hija eżattament tajba għal servizz b’indirizz dedikat li tikkontrolla, u dak is-sjieda għandu jinkiteb fil-politika. Hija eżattament ħażina għal kull ħaġa wara indirizz kondiviż tat-twassil tal-kontenut, fejn l-istess regola tmiss servizzi mhux relatati u tweġiba tad-DNS imġedda ma tibdilx ir-regola f’awtorizzazzjoni tal-isem tal-host.
Politika tal-browser ġestit tesprimi restrizzjoni tal-web b’mod aktar dirett minn lista ta’ indirizzi kkopjata, imma tapplika għall-browsers u l-profilijiet li tiggverna s-sistema tal-ġestjoni.
Dik ir-regola tal-browser ma tagħmel xejn għal klijent tal-vuċi li jibgħat UDP lejn host ieħor, u l-mudelli tagħha huma definiti minn dak il-prodott, mhux minn konvenzjonijiet tal-wildcard mislufa minn x’imkien ieħor. Proxy CONNECT bl-istess mod jirċievi host u port għal talba tunnelata, u ma jistax jaqra t-triq ġewwa s-sessjoni kriptata. Iddisinja r-regola madwar dak li jikxef il-protokoll. Imbagħad ikteb xi jħalli mhux kopert, għax dak il-vojt huwa minn fejn ġejja t-talba li jmiss.
Agħżel skont il-klijenti, mhux skont il-kmand
Staqsi liema klijenti l-politika trid tkopri u liema tista’ taqbeż. Politika tal-browser ġestit tkopri dak li tasal għalih is-sistema tal-ġestjoni u tieqaf fil-fruntiera tal-browser. Politika tar-riżolver tkopri kull ma juża r-riżolver tiegħek, li huwa sett usa’, u tfalli miftuħa għal kull min ma jagħmilx hekk.
Għal servizz li topera, l-awtorizzazzjoni fl-applikazzjoni hija aktar b’saħħitha minn kull fruntiera tan-netwerk, għax issegwi l-kont u mhux it-triq. Rotta VPN hija aċċessibilità u xejn aktar: li tkun tista’ tibgħat pakkett lil servizz mhijiex permess biex tużah. Fejn l-identifikatur li jgħodd huwa utent jew permess tal-kanal, infurzah hemmhekk u ttratta r-regola tan-netwerk bħala t-tieni saff.
Ikteb ir-regola f’termini tar-riżorsa
Politika difendibbli ssemmi r-riżorsa, l-identitajiet, l-applikazzjonijiet fil-ambitu u t-triq li ġġorrhom, inklużi ż-żewġ familji ta’ indirizzi li jintużaw. Hija tiddikjara wkoll x’jiġri mill-infrastruttura kondiviża li r-regola se taffettwa b’mod inċidentali.
Dik il-frażi tipproduċi deċiżjoni li xi ħadd jista’ jivverifika aktar tard. Regola ġġustifikata bl-indirizz riżolt tal-lum tipproduċi inċident l-ewwel darba li l-indirizz jinbidel, u ħadd ma jkun jista’ jispjega għaliex il-blokk kien qatt korrett.