Шта правило приступа према имену хоста може значити на сваком мрежном слоју
Име услуге може се наметнути на нивоу DNS-а, прегледача, проксија или заштитног зида. Изаберите слој који види идентитет којим желите да управљате.
Три особе траже исту ствар истим речима: блокирати приступ једном имену услуге. Једна мисли да прегледач не сме да отвори страницу, друга да десктоп гласовни клијент не сме да дође до свог сервера, а трећа да група извођача не сме да користи одређену интерну апликацију. Реченица је идентична, а механизми спровођења готово да немају ништа заједничко.
Изаберите слој према идентификатору који заиста види, а затим према клијентима које покрива. Почињање од наредбе заштитног зида коју већ познајете јесте начин на који правила на крају не блокирају ништа или блокирају превише.
Име није идентитет који сваки слој може да провери
Netfilter и слични филтери пакета виде адресе, протоколе и портове. Не виде имена хостова, а док пакет дође до њих, име је већ разрешено. Правило написано према адреси јесте правило о тој адреси, без обзира на то које је име корисник уписао да би дошао до ње.
DNS политика стоји раније на путу и види упит, који је другачији објекат од везе која следи. Она управља одговорима које враћа контролисани резолвер, а не везама које су већ биле отворене, нити клијентима подешеним да заобиђу тај резолвер. Разрешена адреса може се променити и између прегледа политике и следећег захтева, због чега DNS одговор није трајна изјава о ауторизацији.
Виши слојеви виде више контекста и покривају мање клијената. Та размена је цела тема и објашњава зашто ниједан ред табеле никада није прави одговор. Изаберите ред који види идентификатор на који се ваша политика заправо односи. Затим прихватите покривеност коју тај ред подразумева.
Шта сваки слој може да идентификује
Читајте табелу од средње колоне према ван: идентификатор који слој види одређује политику коју може поштено да спроведе.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Слој припада политици само када се идентификатор који види поклапа са идентификатором којим управљате. Табела такође објашњава зашто се правило написано на једном слоју ретко преноси на други, а да се поново не одлучи шта штити.
Где очигледно правило пада
Правило адресе потпуно је исправно за услугу с наменском адресом коју контролишете, и то власништво треба уписати у политику. Потпуно је погрешно за све иза заједничке адресе за доставу садржаја, где исто правило дира неповезане услуге, а освежен DNS одговор не претвара правило у ауторизацију по имену хоста.
Политика управљаног прегледача изражава веб ограничење директније од копиране листе адреса, али примењује се на прегледаче и профиле којима управља систем за управљање.
То правило прегледача не чини ништа у вези с гласовним клијентом који шаље UDP на други хост, а његове шаблоне дефинише тај производ, а не конвенције џокер знакова позајмљене однекуд другде. CONNECT прокси такође прима хост и порт за тунелирани захтев и не може да прочита путању унутар шифроване сесије. Дизајнирајте правило око онога што протокол открива. Затим запишите шта оставља непокривено, јер тај јаз је место одакле ће доћи следећи захтев.
Бирајте према клијентима, а не према наредби
Питајте које клијенте политика мора да покрије и које сме да пропусти. Политика управљаног прегледача покрива оно до чега систем за управљање достигне и зауставља се на граници прегледача. Политика резолвера покрива све што користи ваш резолвер, што је шири скуп, и пропада отворено за свакога ко то не чини.
За услугу коју водите, ауторизација у апликацији је јача од било које мрежне границе, јер следи налог, а не путању. VPN рута је доступност и ништа више: могућност да пошаљете пакет услузи није дозвола да је користите. Где је идентификатор који је важан корисник или дозвола канала, спроведите је тамо и третирајте мрежно правило као други слој.
Напишите правило у терминима ресурса
Одбранљива политика именује ресурс, идентитете, апликације у обухвату и путању која их носи, укључујући обе адресне фамилије у употреби. Такође наводи шта се дешава са заједничком инфраструктуром коју ће правило успутно дотаћи.
Та формулација ствара одлуку коју неко касније може да ревидира. Правило оправдано данашњом разрешеном адресом ствара инцидент при првој промени адресе, и нико неће моћи да објасни зашто је блокирање икада било исправно.