Comprender La Selección De Políticas Generales Que Implican A Varias Organizaciones

Introducción

En este documento se describen las políticas de varias organizaciones de tipo Umbrella que se tienen en cuenta en determinados escenarios.

Overview

En determinadas situaciones, es posible tener en cuenta las políticas de varias organizaciones generales. Un ejemplo sería un cliente de roaming o un dispositivo móvil para una organización que se conecta a la red de una organización diferente. En este artículo se detalla cómo se elige actualmente la política en este caso y qué cambios pretende realizar Umbrella para mejorar este comportamiento.

Selección de políticas con una única organización

Cuando se envía una consulta DNS a Umbrella, es posible asociar varias identidades a la consulta. Por ejemplo, una consulta de un cliente de roaming (RC) detrás de una red protegida incluiría tanto el ID de dispositivo del RC como la dirección IP de la red. Del mismo modo, una consulta de un dispositivo virtual incluye el ID del sitio, la red interna, el usuario de AD y el grupo de AD.

Normalmente, todas las identidades incluidas en la consulta están asociadas a una única organización. En este caso, la política aplicada utiliza las reglas de precedencia de políticas detalladas en nuestra documentación:

https://docs.umbrella.com/deployment-umbrella/docs/policy-precedence

En pocas palabras, Umbrella asigna a cada política una prioridad en función de su orden en el Panel , siendo la política de nivel superior la que tiene la prioridad más alta. Los solucionadores de Umbrella eligen la política de mayor prioridad que se aplica al menos a una de las identidades presentes en la consulta.

Por ejemplo, la organización A puede tener definidas estas políticas:

mceclip0.png

La directiva del equipo móvil tiene una prioridad de 2, mientras que la directiva de la red tiene una prioridad de 1. Por lo tanto, si una consulta procede de un equipo móvil que está unido a una red externa, se aplicará la directiva 2. Sin embargo, si el equipo móvil se uniera a una de las redes de la organización A, se aplicaría la directiva 1, ya que la directiva de la red tiene una prioridad más alta.

Selección de políticas con varias organizaciones

Esta misma lógica se aplica cuando hay identidades de varias organizaciones incluidas en la consulta. Sin embargo, dado que hay varias organizaciones implicadas, lo que se tiene en cuenta con respecto a la lista de políticas de cada organización es la prioridad relativa de cada política.

Un ejemplo lo explica mejor. Las organizaciones A y B tienen cada una estas políticas definidas en sus respectivos Paneles generales:

mceclip2.png

Un ordenador en roaming de la organización A se une a una red que pertenece a la organización B. La consulta de DNS enviada a Umbrella contiene, por tanto, la ID de dispositivo de la organización A y la dirección IP de la red B.

Utilizando la lógica de una única organización, obtenemos las prioridades de la política de cada identidad. El RC de la Organización A obtiene la política A2, que tiene una prioridad de 2, mientras que la Red de la Organización B obtiene la política B1, que tiene una prioridad de 1. Por lo tanto, se aplica la política de la Red de la Organización B, la política B1.

Elaboración de informes con varias organizaciones

Cuando una consulta contiene identidades de varias organizaciones, la consulta sólo aparece en los informes de la organización cuya directiva se ha seleccionado. Los informes de esa organización SOLO muestran las identidades que pertenecen a esa organización. Una organización NUNCA tiene visibilidad de las otras identidades de la consulta que pertenecen a otras organizaciones.

Implicaciones para el comportamiento actual de selección de políticas

Debido al comportamiento de selección de políticas descrito, es posible que la política de otra organización anule la política de una identidad perteneciente a una organización. Esto incluye todas las características de las políticas, incluidos el bloqueo de contenido y seguridad, las listas de destino, los diseños de páginas de bloqueo y la configuración de registro (teniendo en cuenta las restricciones en los informes), con la excepción de los redireccionamientos de páginas de bloqueo.

Páginas de bloques dedicadas para escenarios que involucran a varias organizaciones

A partir del 16 de julio de 2021, cuando Umbrella resuelve detectar que una consulta contiene identidades de varias organizaciones, redirige cualquier consulta bloqueada a una página de bloqueo dedicada. Esta página de bloqueo informa al usuario de que se ha detectado más de una organización y, por tanto, de que la consulta puede haberse bloqueado debido a la política de otra organización.

Cambios planificados para la selección de políticas que implican a varias organizaciones

Planes generales para cambiar el comportamiento de la selección de políticas cuando hay más de una organización involucrada. Los cambios futuros incluyen:

Comportamiento de selección de políticas

Umbrella modifica el comportamiento de selección de políticas para que se seleccione y aplique la política de mayor prioridad para cada organización. Entonces, si alguna de esas políticas bloquearía la consulta, ésta se bloqueará. Esto permite a todas las organizaciones implicadas garantizar que sus políticas no se están eludiendo. Este comportamiento se puede explicar mejor usando una analogía:

Los padres de Alice dicen que sus reglas individuales son más importantes que las reglas de la casa. A Alice no se le permite comer helado, en cualquier momento y lugar.

Los padres de Bob afirman que las reglas de la casa son más importantes que las reglas individuales. Nunca permiten la pizza en su casa, nunca.

Modelo actual:

Alice va a casa de Bob. Se aplican las normas de la casa de Bob, no las de Alicia. Alice puede comer helado, pero no pizza. Los padres de Bob reciben un informe que dice que alguien comió helado en su casa, pero no dice que se trataba de Alice por su nombre.

Modelo propuesto:

Alice va a casa de Bob. Se aplican las reglas de la casa de Bob y las reglas individuales de Alice. Alice no tiene helado ni pizza. Los padres de Bob reciben un informe que dice que a alguien le negaron la pizza y el helado, pero no dice que se trataba de Alice por su nombre.

Informes para todas las organizaciones implicadas

Cuando se aplica el comportamiento de selección de políticas, Umbrella también garantiza que cualquier consulta que implique identidades de varias organizaciones se incluya en los informes de todas las organizaciones implicadas. Los informes SÓLO incluyen identidades que pertenecen a esa organización: una organización concreta NUNCA ve las identidades de otra organización.