Kva ein tilgangsregel for vertsnamn kan tyde på kvart nettverkslag
Eit tenestenamn kan handhevast på DNS-, nettlesar-, proxy- eller brannmurnivå. Vel laget som ser identiteten du vil styre.
Tre personar ber om det same med dei same orda: blokkere tilgang til eitt tenestenamn. Den eine meiner at ein nettlesar ikkje skal opne nettstaden, den andre at ein desktop-taleclient ikkje skal nå tenaren sin, og den tredje at ei gruppe entreprenørar ikkje skal bruke ein bestemd intern applikasjon. Setninga er identisk, og handhevingsmekanismane har nesten ingenting til felles.
Vel laget etter identifikatoren det faktisk kan sjå, og deretter etter klientane det dekkjer. Å byrje med ein brannmurkommando du alt kjenner, er korleis reglar endar med å blokkere ingenting, eller blokkere for mykje.
Eit namn er ikkje ein identitet som kvart lag kan kontrollere
Netfilter og liknande pakkefilter ser adresser, protokollar og portar. Dei ser ikkje vertsnamn, og når ein pakke når dei, er namnet alt slått opp. Ein regel skriven mot ei adresse er ein regel om den adressa, kva namn ein brukar enn skreiv for å nå henne.
DNS-policy ligg tidlegare i banen og ser spørjinga, som er eit anna objekt enn tilkoplinga som følgjer. Han styrer svara ein kontrollert resolver returnerer, ikkje tilkoplingar som alt var opne, og ikkje klientar som er sette opp for å omgå den resolveren. Ei oppslått adresse kan òg endre seg mellom policygjennomgangen og den neste førespurnaden, og difor er eit DNS-svar ikkje ei varig autorisasjonsfråsegn.
Høgare lag ser meir kontekst og dekkjer færre klientar. Den byttehandelen er heile emnet, og han forklarer kvifor inga einsleg rad i tabellen nokon gong er det rette svaret. Vel rada som ser identifikatoren policyen din faktisk handlar om. Godta deretter dekninga den rada inneber.
Kva kvart lag kan identifisere
Les tabellen frå den midtre kolonnen og utover: identifikatoren eit lag kan sjå, avgjer policyen det ærleg kan handheve.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Eit lag høyrer berre heime i policyen når identifikatoren det ser, svarar til identifikatoren du styrer. Tabellen forklarer òg kvifor ein regel skriven på eitt lag sjeldan blir overført til eit anna utan å avgjere på nytt kva han vernar.
Der den openberre regelen sviktar
Ein adresseregel er nøyaktig rett for ein teneste med ei dedikert adresse du kontrollerer, og det eigarskapet bør skrivast inn i policyen. Han er nøyaktig feil for alt bak ei delt innhaldsleveringsadresse, der den same regelen rører urelaterte tenester, og eit oppdatert DNS-svar ikkje gjer regelen til vertsnamnautorisasjon.
Ein policy for styrt nettlesar uttrykkjer ei nettavgrensing meir direkte enn ei kopiert adresseliste, men han gjeld for nettlesarane og profila styringssystemet styrer.
Den nettlesarregelen gjer ingenting med ein taleclient som sender UDP til ein annan vert, og mønstra blir definerte av det produktet, ikkje av jokerteiknkonvensjonar lånte frå ein annan stad. Ein CONNECT-proxy mottek òg vert og port for ein tunellert førespurnad, og kan ikkje lese banen inne i den krypterte sesjonen. Utform regelen rundt det protokollen avdekkjer. Skriv deretter ned kva han lèt stå udekt, for det gapet er der den neste førespurnaden kjem frå.
Vel etter klientane, ikkje etter kommandoen
Spør kva klientar policyen må dekkje, og kva han kan oversjå. Ein policy for styrt nettlesar dekkjer det styringssystemet når, og stoppar ved nettlesargrensa. Ein resolverpolicy dekkjer alt som brukar resolveren din, som er eit breiare sett, og han sviktar ope for alle som ikkje gjer det.
For ein teneste du driv, er autorisasjon i applikasjonen sterkare enn noka nettverksgrense, fordi han følgjer kontoen og ikkje banen. Ein VPN-rute er nåbarheit og ingenting meir: å kunne sende ein pakke til ein teneste er ikkje løyve til å bruke han. Der identifikatoren som betyr noko er ein brukar eller eit kanalløyve, handhev han der, og handsam nettverksregelen som eit andre lag.
Skriv regelen i termar av ressursen
Ein forsvarleg policy namngjev ressursen, identitetane, applikasjonane i omfang og banen som ber dei, inkludert begge adressefamiliane i bruk. Han seier òg kva som skjer med delt infrastruktur som regelen vil påverke tilfeldig.
Den formuleringa produserer ei avgjerd nokon kan revidere seinare. Ein regel grunngjeven med den oppslåtte adressa i dag produserer ei hending fyrste gong adressa blir endra, og ingen vil kunne forklare kvifor blokkeringa nokon gong var rett.