Xost nomiga asoslangan kirish qoidasi har bir tarmoq qatlamida nimani anglatishi mumkin
Xizmat nomini DNS, brauzer, proksi yoki tarmoq devori darajasida qo‘llash mumkin. Boshqarmoqchi bo‘lgan identifikatsiyani ko‘radigan qatlamni tanlang.
Uch kishi bir xil so‘zlar bilan bir xil narsani so‘raydi: bitta xizmat nomiga kirishni bloklash. Biri brauzer saytni ochmasligini, boshqasi ish stolidagi ovozli mijoz o‘z serveriga yetib bormasligini, uchinchisi esa pudratchilar guruhi muayyan ichki ilovadan foydalanmasligini nazarda tutadi. Gap bir xil, amalga oshirish mexanizmlarining esa deyarli hech qanday umumiyligi yo‘q.
Qatlamni u haqiqatan ko‘ra oladigan identifikatorga qarab, so‘ngra qamrab oladigan mijozlarga qarab tanlang. Siz allaqachon biladigan tarmoq devori buyrug‘idan boshlash qoidalar oxir-oqibat hech narsani bloklamasligi yoki juda ko‘p bloklashi yo‘lidir.
Nom har bir qatlam tekshira oladigan identifikatsiya emas
Netfilter va shunga o‘xshash paket filtrlari manzillar, protokollar va portlarni ko‘radi. Ular xost nomlarini ko‘rmaydi va paket ularga yetib borganda nom allaqachon hal qilingan bo‘ladi. Manzilga qarshi yozilgan qoida o‘sha manzil haqidagi qoida, foydalanuvchi unga yetish uchun qanday nom yozganidan qat’i nazar.
DNS siyosati yo‘lda ertaroq turadi va so‘rovni ko‘radi, bu keyingi ulanishdan boshqa obyekt. U boshqariladigan hal qiluvchi qaytaradigan javoblarni boshqaradi, allaqachon ochilgan ulanishlarni emas, o‘sha hal qiluvchini chetlab o‘tishga sozlangan mijozlarni ham emas. Hal qilingan manzil siyosat ko‘rigi va keyingi so‘rov orasida ham o‘zgarishi mumkin, shu sababli DNS javobi uzoq muddatli ruxsat bayonoti emas.
Yuqori qatlamlar ko‘proq kontekst ko‘radi va kamroq mijozni qamrab oladi. Bu almashinuv butun mavzu bo‘lib, jadvalning hech bir satri hech qachon to‘g‘ri javob bo‘lmasligini tushuntiradi. Siyosatingiz aslida qaysi identifikator haqida bo‘lsa, o‘shani ko‘radigan satrni tanlang. So‘ngra o‘sha satr nazarda tutgan qamrovni qabul qiling.
Har bir qatlam nimani aniqlay oladi
Jadvalni o‘rta ustundan tashqariga qarab o‘qing: qatlam ko‘ra oladigan identifikator u halol amalga oshira oladigan siyosatni belgilaydi.
| Layer | Identifier it sees | What it cannot see |
|---|---|---|
| Packet filter | address, protocol, port | the name, or which other services share that address |
| DNS policy | the queried name and the answer handed back | connections made by clients that ignore the resolver |
| Managed browser | supported URL patterns on managed profiles | non-browser clients, or unmanaged devices |
| CONNECT proxy | host and port for tunnelled requests | the path inside an encrypted request |
Qatlam siyosatga faqat u ko‘radigan identifikator siz boshqaradigan identifikatorga mos kelganda kiradi. Jadval shuningdek bir qatlamda yozilgan qoidaning nimani himoya qilishini qayta hal qilmasdan boshqasiga kamdan-kam o‘tishini tushuntiradi.
Aniq qoida muvaffaqiyatsiz bo‘ladigan joy
Manzil qoidasi siz nazorat qiladigan alohida manzilga ega xizmat uchun aynan to‘g‘ri, va bu egalik siyosatga yozilishi kerak. Umumiy kontent yetkazib berish manzili orqasidagi hamma narsa uchun u aynan noto‘g‘ri, u yerda o‘sha qoida bog‘liq bo‘lmagan xizmatlarga tegadi va yangilangan DNS javobi qoidani xost nomi ruxsatiga aylantirmaydi.
Boshqariladigan brauzer siyosati veb-cheklovni ko‘chirilgan manzillar ro‘yxatidan ko‘ra to‘g‘ridan-to‘g‘ri ifodalaydi, lekin boshqaruv tizimi boshqaradigan brauzerlar va profillarga nisbatan qo‘llaniladi.
Bu brauzer qoidasi boshqa xostga UDP yuboradigan ovozli mijoz haqida hech narsa qilmaydi, uning shablonlarini o‘sha mahsulot belgilaydi, boshqa joydan olingan joker-belgi an’analari emas. CONNECT proksisi ham tunnel qilingan so‘rov uchun xost va portni oladi va shifrlangan sessiya ichidagi yo‘lni o‘qiy olmaydi. Qoidani protokol oshkor qiladigan narsa atrofida loyihalang. So‘ngra u nimani qamrovsiz qoldirishini yozing, chunki aynan o‘sha bo‘shliq keyingi so‘rovning manbai bo‘ladi.
Buyruq bo‘yicha emas, mijozlar bo‘yicha tanlang
Siyosat qaysi mijozlarni qamrab olishi va qaysilarini o‘tkazib yuborishi mumkinligini so‘rang. Boshqariladigan brauzer siyosati boshqaruv tizimi yetadigan narsani qamrab oladi va brauzer chegarasida to‘xtaydi. Hal qiluvchi siyosati sizning hal qiluvchingizdan foydalanadigan hamma narsani qamrab oladi, bu kengroq to‘plam, va buni qilmaydiganlar uchun u ochiq tarzda muvaffaqiyatsiz bo‘ladi.
Siz boshqaradigan xizmat uchun ilovadagi ruxsat har qanday tarmoq chegarasidan kuchliroq, chunki u yo‘lni emas, hisobni kuzatadi. VPN yo‘nalishi bu yetib borish imkoniyati va boshqa hech narsa emas: xizmatga paket yubora olish undan foydalanish ruxsati emas. Muhim identifikator foydalanuvchi yoki kanal ruxsati bo‘lsa, uni o‘sha yerda amalga oshiring va tarmoq qoidasini ikkinchi qatlam deb biling.
Qoidani resurs nuqtai nazaridan yozing
Himoya qilinadigan siyosat resurs, identifikatsiyalar, qamrovdagi ilovalar va ularni tashuvchi yo‘lni, foydalanilayotgan ikkala manzil oilasini ham qo‘shgan holda nomlaydi. Shuningdek qoida tasodifan ta’sir qiladigan umumiy infratuzilmaga nima bo‘lishini aytadi.
Bu ifoda keyinchalik kimdir audit qila oladigan qaror yaratadi. Bugungi hal qilingan manzil bilan asoslangan qoida manzil birinchi marta o‘zgarganda hodisa yaratadi va bloklashning bir vaqtlar nima uchun to‘g‘ri bo‘lganini hech kim tushuntira olmaydi.