Ano ang maaaring ibig sabihin ng tuntunin sa pag-access ayon sa hostname sa bawat antas ng network
Ang pangalan ng serbisyo ay maaaring ipatupad sa antas ng DNS, browser, proxy o firewall. Piliin ang antas na nakakakita ng pagkakakilanlang nais mong pamahalaan.
Tatlong tao ang humihingi ng parehong bagay sa parehong salita: harangin ang pag-access sa isang pangalan ng serbisyo. Ang isa ay nangangahulugang hindi dapat buksan ng browser ang site, ang isa pa ay hindi dapat maabot ng desktop voice client ang server nito, at ang pangatlo ay hindi dapat gumamit ang isang grupo ng kontraktor ng isang partikular na panloob na aplikasyon. Magkapareho ang pangungusap, at halos walang pagkakatulad ang mga mekanismo ng pagpapatupad.
Piliin ang antas ayon sa identifier na talagang nakikita nito, at pagkatapos ay ayon sa mga client na sakop nito. Ang pagsisimula sa utos ng firewall na alam mo na ang siyang paraan kung paano nauuwi ang mga tuntunin sa walang hinaharangan, o sobrang hinaharangan.
Ang pangalan ay hindi pagkakakilanlang kayang tiyakin ng bawat antas
Nakikita ng Netfilter at mga katulad na filter ng packet ang mga address, protocol at port. Hindi nila nakikita ang mga hostname, at pagdating ng packet sa kanila ay naresolba na ang pangalan. Ang tuntuning nakasulat laban sa isang address ay tuntunin tungkol sa address na iyon, anuman ang pangalang itinaip ng user para maabot ito.
Ang patakaran sa DNS ay nasa mas maagang bahagi ng landas at nakikita ang query, na ibang bagay kaysa sa koneksiyong sumusunod. Pinamamahalaan nito ang mga sagot na ibinabalik ng kontroladong resolver, hindi ang mga koneksiyong bukas na, at hindi ang mga client na iniayos upang lampasan ang resolver na iyon. Ang naresolbang address ay maaari ring magbago sa pagitan ng pagsusuri ng patakaran at ng susunod na kahilingan, kaya ang sagot ng DNS ay hindi matibay na pahayag ng awtorisasyon.
Nakikita ng matataas na antas ang mas maraming konteksto at sinasaklaw ang mas kaunting client. Ang pagpapalit na iyon ang buong paksa, at ipinapaliwanag nito kung bakit walang isang hanay ng talahanayan ang kailanman tamang sagot. Piliin ang hanay na nakakakita ng identifier na talagang pinag-uusapan ng iyong patakaran. Pagkatapos ay tanggapin ang saklaw na ipinahihiwatig ng hanay na iyon.
Ano ang kayang kilalanin ng bawat antas
Basahin ang talahanayan mula sa gitnang hanay pakanluran: ang identifier na nakikita ng isang antas ang nagtatakda ng patakarang matapat nitong maipapatupad.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Ang isang antas ay kabilang sa patakaran lamang kapag ang identifier na nakikita nito ay tumutugma sa identifier na pinamamahalaan mo. Ipinapaliwanag din ng talahanayan kung bakit ang tuntuning nakasulat sa isang antas ay bihirang lumipat sa iba nang hindi muling nagpapasya kung ano ang pinoprotektahan nito.
Kung saan nabibigo ang halatang tuntunin
Ang tuntunin sa address ay eksaktong tama para sa serbisyong may nakalaang address na kontrolado mo, at ang pagmamay-ari ay dapat nakasulat sa patakaran. Ito ay eksaktong mali para sa anumang nasa likod ng pinagsasaluhang address ng paghahatid ng nilalaman, kung saan ang parehong tuntunin ay humahawak sa mga serbisyong walang kaugnayan at ang na-refresh na sagot ng DNS ay hindi ginagawang awtorisasyon ng hostname ang tuntunin.
Ang patakaran ng pinamamahalaang browser ay nagpapahayag ng paghihigpit sa web nang mas direkta kaysa sa kinopyang listahan ng address, ngunit nalalapat lamang ito sa mga browser at profile na pinamamahalaan ng sistema ng pamamahala.
Walang ginagawa ang tuntuning iyon ng browser sa isang voice client na nagpapadala ng UDP sa ibang host, at ang mga pattern nito ay tinutukoy ng produktong iyon, hindi ng mga kombensiyon ng wildcard na hiram mula sa ibang lugar. Ang proxy ng CONNECT ay tumatanggap din ng host at port para sa kahilingang naka-tunnel, at hindi nito mabasa ang landas sa loob ng naka-encrypt na sesyon. Idisenyo ang tuntunin ayon sa ibinubunyag ng protocol. Pagkatapos ay isulat kung ano ang iniiwang hindi sakop, dahil ang puwang na iyon ang pinagmumulan ng susunod na kahilingan.
Pumili ayon sa mga client, hindi ayon sa utos
Itanong kung aling mga client ang dapat saklawin ng patakaran at alin ang maaaring palampasin. Ang patakaran ng pinamamahalaang browser ay sumasaklaw sa naaabot ng sistema ng pamamahala at humihinto sa hangganan ng browser. Ang patakaran ng resolver ay sumasaklaw sa lahat ng gumagamit ng iyong resolver, na mas malawak na hanay, at nabibigo ito nang bukas para sa sinumang hindi gumagawa nito.
Para sa serbisyong pinapatakbo mo, ang awtorisasyon sa aplikasyon ay mas matibay kaysa sa anumang hangganan ng network, dahil sinusundan nito ang account at hindi ang landas. Ang ruta ng VPN ay maabot at wala nang iba pa: ang makapagpadala ng packet sa isang serbisyo ay hindi pahintulot na gamitin ito. Kung saan ang mahalagang identifier ay isang user o pahintulot ng channel, ipatupad ito roon at ituring ang tuntunin ng network bilang ikalawang antas.
Isulat ang tuntunin sa mga tuntunin ng resource
Ang maipagtatanggol na patakaran ay nagpapangalan sa resource, sa mga pagkakakilanlan, sa mga aplikasyong saklaw at sa landas na nagdadala sa kanila, kabilang ang parehong pamilya ng address na ginagamit. Isinasaad din nito kung ano ang mangyayari sa pinagsasaluhang imprastruktura na hindi sinasadyang maaapektuhan ng tuntunin.
Ang pananalitang iyon ay lumilikha ng pasyang maaaring suriin ng iba sa hinaharap. Ang tuntuning nabibigyang katwiran ng naresolbang address ngayon ay lumilikha ng insidente sa unang pagbabago ng address, at walang makapagpapaliwanag kung bakit ang pagharang ay naging tama noon.