Kaj lahko pomeni pravilo dostopa po imenu gostitelja na vsakem omrežnem sloju
Ime storitve je mogoče uveljaviti na ravni DNS, brskalnika, posrednika ali požarnega zidu. Izberite sloj, ki vidi identiteto, ki jo želite upravljati.
Trije ljudje zahtevajo isto z istimi besedami: blokirati dostop do enega imena storitve. Eden misli, da brskalnik ne sme odpreti spletnega mesta, drugi, da namizni glasovni odjemalec ne sme doseči svojega strežnika, tretji pa, da skupina izvajalcev ne sme uporabljati določene interne aplikacije. Stavek je enak, mehanizmi izvrševanja pa nimajo skoraj nič skupnega.
Sloj izberite po identifikatorju, ki ga resnično vidi, nato po odjemalcih, ki jih pokriva. Začetek z ukazom požarnega zidu, ki ga že poznate, je pot, po kateri pravila na koncu ne blokirajo ničesar ali blokirajo preveč.
Ime ni identiteta, ki bi jo lahko preveril vsak sloj
Netfilter in podobni paketni filtri vidijo naslove, protokole in vrata. Ne vidijo imen gostiteljev, in ko paket pride do njih, je ime že razrešeno. Pravilo, napisano proti naslovu, je pravilo o tem naslovu, ne glede na to, katero ime je uporabnik vnesel, da bi ga dosegel.
Politika DNS stoji prej na poti in vidi poizvedbo, ki je drug objekt kot povezava, ki sledi. Upravlja odgovore, ki jih vrne nadzorovani razreševalnik, ne povezav, ki so bile že odprte, in ne odjemalcev, nastavljenih tako, da se temu razreševalniku izognejo. Razrešen naslov se lahko spremeni tudi med pregledom politike in naslednjo zahtevo, zato odgovor DNS ni trajna izjava o avtorizaciji.
Višji sloji vidijo več konteksta in pokrivajo manj odjemalcev. Ta izmenjava je cela tema in pojasnjuje, zakaj nobena posamezna vrstica tabele ni nikoli pravi odgovor. Izberite vrstico, ki vidi identifikator, za katerega gre v vaši politiki v resnici. Nato sprejmite pokritost, ki jo ta vrstica pomeni.
Kaj lahko prepozna vsak sloj
Tabelo berite od srednjega stolpca navzven: identifikator, ki ga sloj vidi, določa politiko, ki jo lahko pošteno izvaja.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Sloj pripada politiki le, ko se identifikator, ki ga vidi, ujema z identifikatorjem, ki ga upravljate. Tabela tudi pojasnjuje, zakaj se pravilo, napisano na enem sloju, redko prenese na drugega, ne da bi znova odločili, kaj varuje.
Kjer očitno pravilo odpove
Pravilo naslova je povsem pravilno za storitev z namenskim naslovom, ki ga nadzorujete, in to lastništvo je treba zapisati v politiko. Povsem napačno je za vse za skupnim naslovom za dostavo vsebine, kjer isto pravilo zadeva nepovezane storitve in osvežen odgovor DNS ne spremeni pravila v avtorizacijo po imenu gostitelja.
Politika upravljanega brskalnika izraža spletno omejitev neposredneje kot kopiran seznam naslovov, vendar velja za brskalnike in profile, ki jih upravlja sistem upravljanja.
To pravilo brskalnika ne naredi ničesar za glasovnega odjemalca, ki pošilja UDP na drugega gostitelja, njegove vzorce pa določa ta izdelek, ne od drugod izposojene konvencije nadomestnih znakov. Posrednik CONNECT prav tako prejme gostitelja in vrata za tunelirano zahtevo in ne more prebrati poti znotraj šifrirane seje. Zasnujte pravilo okoli tega, kar razkrije protokol. Nato zapišite, kaj pušča nepokrito, ker prav ta vrzel je vir naslednje zahteve.
Izberite po odjemalcih, ne po ukazu
Vprašajte, katere odjemalce mora politika pokriti in katere lahko zgreši. Politika upravljanega brskalnika pokrije, kar doseže sistem upravljanja, in se ustavi na meji brskalnika. Politika razreševalnika pokrije vse, kar uporablja vaš razreševalnik, kar je širša množica, in odprto odpove za vsakogar, ki tega ne počne.
Za storitev, ki jo upravljate, je avtorizacija v aplikaciji močnejša od katere koli omrežne meje, ker sledi računu in ne poti. Pot VPN je dosegljivost in nič več: zmožnost poslati paket storitvi ni dovoljenje za njeno uporabo. Kjer je pomembni identifikator uporabnik ali dovoljenje kanala, ga uveljavite tam, omrežno pravilo pa obravnavajte kot drugi sloj.
Pravilo napišite v izrazih vira
Obranljiva politika poimenuje vir, identitete, aplikacije v obsegu in pot, ki jih nosi, vključno z obema družinama naslovov v uporabi. Navaja tudi, kaj se zgodi s skupno infrastrukturo, ki jo bo pravilo mimogrede prizadelo.
Ta formulacija ustvari odločitev, ki jo lahko nekdo pozneje revidira. Pravilo, utemeljeno z današnjim razrešenim naslovom, ustvari incident ob prvi spremembi naslova, in nihče ne bo mogel pojasniti, zakaj je bila blokada kdaj pravilna.