Çfarë mund të nënkuptojë një rregull aksesi sipas emrit të hostit në çdo shtresë rrjeti
Emri i një shërbimi mund të zbatohet në nivel DNS, shfletuesi, përfaqësuesi ose muri të zjarrit. Zgjidhni shtresën që sheh identitetin që doni të qeverisni.
Tre njerëz kërkojnë të njëjtën gjë me të njëjtat fjalë: bllokimin e aksesit në një emër shërbimi. Njëri nënkupton që një shfletues nuk duhet ta hapë faqen, tjetri që një klient zanor desktopi nuk duhet të arrijë serverin e tij, dhe i treti që një grup kontraktorësh nuk duhet të përdorë një aplikacion të caktuar të brendshëm. Fjalia është identike, dhe mekanizmat e zbatimit nuk kanë pothuajse asgjë të përbashkët.
Zgjidhni shtresën sipas identifikuesit që ai sheh vërtet, dhe më pas sipas klientëve që mbulon. Fillimi nga një komandë muri zjarri që e njihni tashmë është mënyra se si rregullat përfundojnë duke mos bllokuar asgjë, ose duke bllokuar shumë.
Emri nuk është identitet që çdo shtresë mund ta verifikojë
Netfilter dhe filtra paketash të ngjashëm shohin adresa, protokolle dhe porta. Ata nuk shohin emra hostesh, dhe kur një paketë u arrin atyre emri tashmë është zgjidhur. Një rregull i shkruar kundër një adrese është rregull për atë adresë, cilindo emër që një përdorues shtypi për ta arritur.
Politika e DNS qëndron më herët në rrugë dhe sheh pyetjen, e cila është objekt tjetër nga lidhja që vijon. Ajo qeveris përgjigjet që kthen një zgjidhës i kontrolluar, jo lidhjet që ishin tashmë të hapura, dhe jo klientët e konfiguruar për të anashkaluar atë zgjidhës. Një adresë e zgjidhur mund të ndryshojë edhe midis rishikimit të politikës dhe kërkesës tjetër, prandaj përgjigja e DNS nuk është deklaratë e qëndrueshme autorizimi.
Shtresat më të larta shohin më shumë kontekst dhe mbulojnë më pak klientë. Ky shkëmbim është e gjithë tema, dhe shpjegon përse asnjë rresht i vetëm i tabelës nuk është kurrë përgjigja e saktë. Zgjidhni rreshtin që sheh identifikuesin për të cilin bëhet fjalë në politikën tuaj. Pastaj pranoni mbulimin që ai rresht nënkupton.
Çfarë mund të identifikojë çdo shtresë
Lexojeni tabelën nga kolona e mesme nga jashtë: identifikuesi që një shtresë mund të shohë dikton politikën që ajo mund të zbatojë me ndershmëri.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Një shtresë i përket politikës vetëm kur identifikuesi që sheh përputhet me identifikuesin që qeverisni. Tabela shpjegon gjithashtu përse një rregull i shkruar në një shtresë rrallë kalon në një tjetër pa vendosur përsëri çfarë mbron.
Ku dështon rregulli i dukshëm
Rregulli i adresës është saktësisht i saktë për një shërbim me adresë të përkushtuar që ju kontrolloni, dhe ajo pronësi duhet të shkruhet në politikë. Është saktësisht i gabuar për çdo gjë pas një adrese të përbashkët shpërndarjeje përmbajtjeje, ku i njëjti rregull prek shërbime të palidhura dhe një përgjigje DNS e rifreskuar nuk e kthen rregullin në autorizim sipas emrit të hostit.
Politika e shfletuesit të menaxhuar e shpreh një kufizim web më drejtpërdrejt sesa një listë adresash e kopjuar, por zbatohet për shfletuesit dhe profilet që qeveris sistemi i menaxhimit.
Ai rregull shfletuesi nuk bën asgjë për një klient zanor që dërgon UDP te një host tjetër, dhe modelet e tij përcaktohen nga ai produkt, jo nga konvencione wildcard të huazuara diku tjetër. Një përfaqësues CONNECT gjithashtu merr host dhe portë për një kërkesë të tunelizuar, dhe nuk mund të lexojë shtegun brenda sesionit të kriptuar. Dizajnoni rregullin rreth asaj që zbulon protokolli. Pastaj shkruani çfarë lë pa mbuluar, sepse pikërisht ajo boshllëk është burimi i kërkesës së ardhshme.
Zgjidhni sipas klientëve, jo sipas komandës
Pyetni cilët klientë duhet të mbulojë politika dhe cilët mund të humbasë. Politika e shfletuesit të menaxhuar mbulon atë që arrin sistemi i menaxhimit dhe ndalon në kufirin e shfletuesit. Politika e zgjidhësit mbulon çdo gjë që përdor zgjidhësin tuaj, që është një grup më i gjerë, dhe dështon hapur për këdo që nuk e bën.
Për një shërbim që ju operoni, autorizimi në aplikacion është më i fortë se çdo kufi rrjeti, sepse ndjek llogarinë dhe jo shtegun. Një rrugë VPN është arritshmëri dhe asgjë më shumë: të mundësh të dërgosh një paketë te një shërbim nuk është leje për ta përdorur. Kur identifikuesi që ka rëndësi është një përdorues ose një leje kanali, zbatojeni atje dhe trajtojeni rregullin e rrjetit si shtresë të dytë.
Shkruani rregullin në terma të burimit
Një politikë e mbrojtshme emërton burimin, identitetet, aplikacionet në fushë dhe shtegun që i transporton, duke përfshirë të dyja familjet e adresave në përdorim. Ajo deklaron gjithashtu çfarë ndodh me infrastrukturën e përbashkët që rregulli do të prekë rastësisht.
Ky formulim prodhon një vendim që dikush mund ta auditojë më vonë. Një rregull i justifikuar nga adresa e zgjidhur e sotme prodhon një incident herën e parë që adresa ndryshon, dhe askush nuk do të mund të shpjegojë përse bllokimi ishte ndonjëherë i saktë.