Ana makine adına dayalı erişim kuralı her ağ katmanında ne anlama gelebilir
Bir hizmet adı DNS, tarayıcı, vekil sunucu veya güvenlik duvarı düzeyinde uygulanabilir. Yönetmek istediğiniz kimliği gören katmanı seçin.
Üç kişi aynı şeyi aynı sözcüklerle istiyor: bir hizmet adına erişimi engellemek. Biri tarayıcının siteyi açmaması gerektiğini, bir diğeri masaüstü ses istemcisinin kendi sunucusuna ulaşmaması gerektiğini, üçüncüsü ise bir yüklenici grubunun belirli bir iç uygulamayı kullanmaması gerektiğini kastediyor. Cümle aynı, yaptırım mekanizmalarının ise neredeyse hiçbir ortak yanı yok.
Katmanı gerçekten görebildiği tanımlayıcıya göre, ardından kapsadığı istemcilere göre seçin. Zaten bildiğiniz bir güvenlik duvarı komutuyla başlamak, kuralların sonunda hiçbir şeyi engellememesinin ya da çok fazlasını engellemesinin yoludur.
Ad, her katmanın doğrulayabileceği bir kimlik değildir
Netfilter ve benzeri paket filtreleri adresleri, protokolleri ve bağlantı noktalarını görür. Ana makine adlarını görmezler ve bir paket onlara ulaştığında ad zaten çözülmüştür. Bir adrese karşı yazılan kural, kullanıcı ona ulaşmak için hangi adı yazmış olursa olsun, o adresle ilgili bir kuraldır.
DNS ilkesi yolda daha erken yer alır ve sorguyu görür; bu, ardından gelen bağlantıdan farklı bir nesnedir. Denetlenen bir çözümleyicinin döndürdüğü yanıtları yönetir, zaten açık olan bağlantıları değil, o çözümleyiciyi atlayacak şekilde yapılandırılmış istemcileri de değil. Çözülen bir adres, ilke incelemesi ile sonraki istek arasında da değişebilir, bu yüzden bir DNS yanıtı kalıcı bir yetkilendirme beyanı değildir.
Üst katmanlar daha fazla bağlam görür ve daha az istemciyi kapsar. Bu değiş tokuş konunun tamamıdır ve tablonun hiçbir satırının asla doğru yanıt olmamasını açıklar. İlkenizin gerçekten hangi tanımlayıcıyla ilgili olduğunu gören satırı seçin. Sonra o satırın ima ettiği kapsamı kabul edin.
Her katman neyi tanımlayabilir
Tabloyu orta sütundan dışa doğru okuyun: bir katmanın görebildiği tanımlayıcı, dürüstçe uygulayabileceği ilkeyi belirler.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Bir katman ilkeye yalnızca gördüğü tanımlayıcı yönettiğiniz tanımlayıcıyla eşleştiğinde girer. Tablo ayrıca bir katmanda yazılan kuralın neyi koruduğuna yeniden karar vermeden başka bir katmana neden nadiren geçtiğini açıklar.
Bariz kuralın başarısız olduğu yer
Adres kuralı, denetlediğiniz özel bir adrese sahip bir hizmet için tam olarak doğrudur ve bu sahiplik ilkeye yazılmalıdır. Paylaşılan içerik dağıtım adresinin arkasındaki her şey için tam olarak yanlıştır; orada aynı kural ilgisiz hizmetlere dokunur ve yenilenmiş bir DNS yanıtı kuralı ana makine adı yetkilendirmesine dönüştürmez.
Yönetilen tarayıcı ilkesi bir web kısıtlamasını kopyalanmış bir adres listesinden daha doğrudan ifade eder, ancak yönetim sisteminin yönettiği tarayıcılar ve profiller için geçerlidir.
O tarayıcı kuralı, başka bir ana makineye UDP gönderen bir ses istemcisi için hiçbir şey yapmaz ve desenleri başka yerden ödünç alınan joker karakter kurallarıyla değil, o ürün tarafından tanımlanır. CONNECT vekili de tünellenmiş bir istek için ana makine ve bağlantı noktası alır ve şifreli oturumun içindeki yolu okuyamaz. Kuralı protokolün açığa çıkardığı şeyin etrafında tasarlayın. Sonra neyi kapsam dışında bıraktığını yazın, çünkü sonraki isteğin kaynağı tam olarak o boşluktur.
Komuta göre değil, istemcilere göre seçin
İlkenin hangi istemcileri kapsaması gerektiğini ve hangilerini kaçırabileceğini sorun. Yönetilen tarayıcı ilkesi yönetim sisteminin ulaştığını kapsar ve tarayıcı sınırında durur. Çözümleyici ilkesi çözümleyicinizi kullanan her şeyi kapsar, bu daha geniş bir kümedir ve bunu yapmayanlar için açık biçimde başarısız olur.
İşlettiğiniz bir hizmet için uygulamadaki yetkilendirme herhangi bir ağ sınırından daha güçlüdür, çünkü yolu değil hesabı izler. Bir VPN yolu erişilebilirliktir ve fazlası değildir: bir hizmete paket gönderebilmek onu kullanma izni değildir. Önemli tanımlayıcının bir kullanıcı ya da kanal izni olduğu yerde bunu orada uygulayın ve ağ kuralını ikinci katman olarak ele alın.
Kuralı kaynak açısından yazın
Savunulabilir bir ilke kaynağı, kimlikleri, kapsamdaki uygulamaları ve bunları taşıyan yolu, kullanımdaki her iki adres ailesiyle birlikte adlandırır. Ayrıca kuralın dolaylı olarak etkileyeceği paylaşılan altyapıya ne olacağını belirtir.
Bu ifade, birinin daha sonra denetleyebileceği bir karar üretir. Bugünün çözülmüş adresiyle gerekçelendirilen bir kural, adres ilk kez değiştiğinde bir olay üretir ve kimse engellemenin bir zamanlar neden doğru olduğunu açıklayamaz.