Hoe om ’n uitsondering op die VPN-toesluiting te dokumenteer sodat dit verwyder kan word
’n Uitsondering wat niemand kan beskryf nie, is permanent. Teken die verkeer aan wat dit toelaat, die vereiste, die foutgedrag en die komponent wat dit verwyder.
Omseilroetes waarvan die doel saam met hul outeur verdwyn het, is dié wat hul nut oorleef, en toesluitbeleide versamel hulle vinniger as enige ander soort konfigurasie. ’n Uitsondering wat as “laat plaaslike netwerk toe” geskryf is, is ’n reël wat niemand kan verdedig en niemand kan aftree nie, want die vereiste daar agter het saam met die persoon wat dit bygevoeg het, vertrek. Sulke beleide misluk deur vrystellings te dra waarvan die rede verdamp het terwyl die risiko gebly het. Die oomblik om die omvang, die foutgedrag en die verwyderingstap te skryf, is die oomblik wanneer jy die uitsondering byvoeg, terwyl iemand nog onthou waarom.
Dit is ’n besluit oor wat die nota moet bevat, nie ’n sjabloon om in te vul nie. Die vier velde hieronder is dié wat besluit of ’n resensent die reël ’n jaar later sonder ’n vergadering kan verwyder. Elkeen bestaan omdat die afwesigheid daarvan ’n voorspelbare koste het.
Waarom ’n ongedokumenteerde omseilroete nooit afgetree word nie
’n Omseilroete sonder ’n beskrywing kan nie getoets word nie en kan dus nie veilig verwyder word nie. Dit oorleef elke resensie omdat verwydering riskant lyk terwyl behoud onskadelik lyk, en elke resensie wat dit verbygaan, maak die volgende een ook makliker om te verbygaan. Die koste is onsigbaar totdat ’n oudit vra waarom ’n private reeks vrygestel is, en teen daardie tyd is die antwoord ’n skouerophaling.
Die rekord moet kort genoeg wees dat mense dit werklik in die veranderingsvenster skryf. Een reël vir die verkeer, een vir die vereiste wat dit dien.
Om die omvang as verkeer te skryf
Lys die toepassing of bestemmingsreeks, die betrokke adresfamilies, die diens en poort, en die netwerkkonteks waarin die reël geld, en noem dan die goedkeurder en die presiese kliënt- of platforminstelling wat dit dra. “Drukker” is ’n bedoeling; “TCP 631 na 192.168.1.50, slegs tuisnetwerk” is ’n omvang wat iemand kan verifieer. As die antwoord op “waar woon dit” “iewers in die MDM-profiel” is, is die rekord nie klaar nie. ’n Lêerpad, ’n profielnaam of ’n registerleutel is beter as ’n beskrywing van waar die instelling moontlik kan wees.
Waar die platform per-toepassing-reëls ondersteun, verkies dit bo adresreekse, want om een toepassing toe te laat om die tonnel te omseil is smaller as om ’n hele private subnet vry te stel, en dit oorleef die toestel se verskuiwing na ’n nuwe adres. Android se VpnService-gids beskryf daardie per-toepassing-model; die lessenaarkliënte druk dieselfde idee deur hul eie profielinstellings uit. Adresgebaseerde vrystellings is die terugval wanneer die platform niks smaller bied nie, en daarom het hulle ’n skerper omvanglyn nodig.
Vier soorte uitsonderings, vier verwyderingsrisiko’s
Uitsonderings is nie een kategorie nie, en hul verwydering het verskillende gevolge. Om ’n enkele reël tussen twee soorte te deel, is hoe die aftree van ’n drukker ook die vermoë om te koppel aftree.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Hou bootstrap-, portaal-, toestel- en toepassingsuitsonderings op aparte reëls, selfs wanneer hulle in die praktyk oorvleuel. ’n Private-reeks-vrystelling verleen stilweg aan elke buur op daardie subnet eerder as aan die enkele toestel wat jy wou bereik, en dit is die verskil tussen ’n omvang wat jy kan verdedig en een waaroor jy net hoop.
Wat die omseilroete doen wanneer die tonnel val
Vra drie vrae en skryf die antwoorde neer, want hulle besluit of die toesluiting eg is. Bly die uitsondering bruikbaar wanneer die tonnel val: vir ’n captive portal moet dit, anders kan niemand ooit aanmeld nie, terwyl dit vir ’n private hulpbron gewoonlik nie moet nie, anders is die beleid dekoratief. Geld dit op elke netwerk of net in die beoogde omgewing, aangesien ’n reël wat op die tuis-subnet toegespits is, heel anders optree op ’n openbare netwerk wat toevallig dieselfde reeks gebruik. Elke antwoord verander beide die reël en die nota, so ’n vraag wat onbeantwoord gelaat word, is ’n besluit wat iemand anders later verkeerd sal maak.
Die derde vraag is wat gebeur wanneer die bestemming sy adres verander, waar domeingebaseerde en adresgebaseerde vrystellings uiteenloop. Domeingebaseerde reëls hang daarvan af wanneer resolusie plaasvind en hoe die kliënt die resultaat toepas, so hulle kan stilweg ophou pas ná ’n verandering wat onverwant lyk, en die fout lyk soos ’n stukkende VPN eerder as ’n verouderde vrystelling.
Toets, hertoets en skryf die verwyderingstap
Skryf een onskadelike toets vir die toegelate pad en een nabygeleë geweierde geval: die drukkerbladsy laai en die lêerdeling op dieselfde subnet nie. Daardie paar bewys die uitsondering is smal, en dit is die paar wat ’n resensent kan herhaal sonder om die oorspronklike versoek te verstaan. Stel dan die hertoets-triggers, want ’n uitsondering wat nooit hertoets word nie, dryf weg van die vereiste waarvoor dit geskryf is, en die wegdrywing bly onsigbaar totdat iets breek.
Teken laastens aan hoe om die reël te verwyder deur die komponent wat dit besit, en hou geheime uit die nota. Om ’n diens en ’n roete te beskryf vereis nooit ’n private sleutel, ’n wagwoord of iemand se navigasiegeskiedenis nie, en ’n kort bygehoue lys is beter as ’n tydelike reël wat die persoon wat dit geskryf het, oorleef het.