Čo môže pravidlo prístupu podľa názvu hostiteľa znamenať na každej sieťovej vrstve
Názov služby možno vynútiť na úrovni DNS, prehliadača, proxy alebo firewallu. Vyberte vrstvu, ktorá vidí identitu, ktorú chcete spravovať.
Traja ľudia žiadajú to isté rovnakými slovami: zablokovať prístup k jednému názvu služby. Jeden tým myslí, že prehliadač nesmie otvoriť web, druhý, že desktopový hlasový klient nesmie dosiahnuť svoj server, a tretí, že skupina dodávateľov nesmie používať určitú internú aplikáciu. Veta je totožná a mechanizmy presadenia nemajú takmer nič spoločné.
Vrstvu vyberajte podľa identifikátora, ktorý skutočne vidí, a potom podľa klientov, ktoré pokrýva. Začínať príkazom firewallu, ktorý už poznáte, je cesta, ako pravidlá nakoniec neblokujú nič alebo blokujú priveľa.
Názov nie je identita, ktorú by mohla overiť každá vrstva
Netfilter a podobné paketové filtre vidia adresy, protokoly a porty. Nevidia názvy hostiteľov a kým k nim paket dorazí, názov už bol preložený. Pravidlo napísané proti adrese je pravidlom o tejto adrese, bez ohľadu na to, aký názov používateľ zadal, aby sa k nej dostal.
Politika DNS stojí na ceste skôr a vidí požiadavku, ktorá je iným objektom než nasledujúce spojenie. Riadia sa ňou odpovede, ktoré vracia kontrolovaný prekladač, nie už otvorené spojenia a nie klienti nastavení tak, aby tento prekladač obchádzali. Preložená adresa sa môže zmeniť aj medzi revíziou politiky a ďalšou požiadavkou, preto odpoveď DNS nie je trvalým vyhlásením o autorizácii.
Vyššie vrstvy vidia viac kontextu a pokrývajú menej klientov. Táto výmena je celá téma a vysvetľuje, prečo žiadny jednotlivý riadok tabuľky nie je nikdy správnou odpoveďou. Vyberte riadok, ktorý vidí identifikátor, o ktorý vaša politika skutočne ide. Potom prijmite pokrytie, ktoré tento riadok implikuje.
Čo môže každá vrstva identifikovať
Čítajte tabuľku od stredného stĺpca smerom von: identifikátor, ktorý vrstva vidí, určuje politiku, ktorú môže poctivo presadiť.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Vrstva patrí do politiky len vtedy, keď identifikátor, ktorý vidí, zodpovedá identifikátoru, ktorý spravujete. Tabuľka tiež vysvetľuje, prečo sa pravidlo napísané na jednej vrstve zriedka prenáša na inú bez nového rozhodnutia, čo chráni.
Kde zjavné pravidlo zlyháva
Pravidlo adresy je presne správne pre službu s vyhradenou adresou, ktorú ovládate, a toto vlastníctvo by sa malo zapísať do politiky. Je presne nesprávne pre čokoľvek za zdieľanou adresou na doručovanie obsahu, kde sa to isté pravidlo dotýka nesúvisiacich služieb a obnovená odpoveď DNS nezmení pravidlo na autorizáciu podľa názvu hostiteľa.
Politika spravovaného prehliadača vyjadruje webové obmedzenie priamejšie než kopírovaný zoznam adries, ale platí pre prehliadače a profily, ktoré spravuje systém správy.
Toto pravidlo prehliadača nič nerobí s hlasovým klientom, ktorý posiela UDP na iného hostiteľa, a jeho vzory definuje tento produkt, nie konvencie zástupných znakov požičané odinakiaľ. Proxy CONNECT tiež dostáva hostiteľa a port pre tunelovanú požiadavku a nedokáže prečítať cestu vnútri šifrovanej relácie. Navrhnite pravidlo okolo toho, čo protokol odhaľuje. Potom zapíšte, čo necháva nepokryté, lebo práve tá medzera je zdrojom ďalšej požiadavky.
Vyberajte podľa klientov, nie podľa príkazu
Spýtajte sa, ktorých klientov musí politika pokryť a ktoré môže vynechať. Politika spravovaného prehliadača pokrýva to, kam sa systém správy dostane, a zastavuje sa na hranici prehliadača. Politika prekladača pokrýva všetko, čo používa váš prekladač, čo je širšia množina, a zlyháva otvorene pre každého, kto to nerobí.
Pre službu, ktorú prevádzkujete, je autorizácia v aplikácii silnejšia než akákoľvek sieťová hranica, pretože sleduje účet, nie cestu. Trasa VPN je dosiahnuteľnosť a nič viac: schopnosť poslať paket službe nie je povolením ju používať. Kde je dôležitým identifikátorom používateľ alebo oprávnenie kanála, presaďte ho tam a sieťové pravidlo berte ako druhú vrstvu.
Napíšte pravidlo v pojmoch zdroja
Obhájiteľná politika pomenúva zdroj, identity, aplikácie v rozsahu a cestu, ktorá ich nesie, vrátane oboch rodín adries v použití. Tiež uvádza, čo sa stane so zdieľanou infraštruktúrou, ktorú pravidlo mimochodom zasiahne.
Táto formulácia vytvára rozhodnutie, ktoré môže niekto neskôr auditovať. Pravidlo odôvodnené dnešnou preloženou adresou vytvorí incident pri prvej zmene adresy a nikto nebude schopný vysvetliť, prečo bolo blokovanie vôbec správne.