Як дакументаваць выключэнне з блакіроўкі VPN, каб яго можна было выдаліць
Выключэнне, якое ніхто не можа апісаць, застаецца назаўсёды. Запішыце трафік, які яно дазваляе, патрабаванне, паводзіны пры збоі і кампанент, які яго выдаляе.
Абыходы, мэта якіх сышла разам з іх аўтарам, — гэта тыя, што перажываюць сваю карысць, і палітыкі блакіроўкі збіраюць іх хутчэй, чым любы іншы від канфігурацыі. Выключэнне, запісанае як «дазволіць лакальную сетку», — гэта правіла, якое ніхто не можа абараніць і ніхто не можа вывесці з эксплуатацыі, бо патрабаванне за ім сышло разам з чалавекам, які яго дадаў. Такія палітыкі церпяць няўдачу, бо нясуць вызваленні, прычына якіх выпарылася, а рызыка засталася. Найлепшы момант запісаць абсяг, паводзіны пры збоі і крок выдалення — гэта момант, калі вы дадаяце выключэнне, пакуль нехта яшчэ памятае навошта.
Гэта рашэнне пра тое, што павінна змяшчаць нататка, а не шаблон для запаўнення. Чатыры палі ніжэй — тыя, што вырашаюць, ці зможа рэцэнзент выдаліць правіла праз год без нарады. Кожнае з іх існуе таму, што яго адсутнасць мае прадказальны кошт.
Чаму недакументаваны абыход ніколі не выводзяць з эксплуатацыі
Абыход без апісання нельга пратэставаць, а значыць, нельга бяспечна выдаліць. Ён перажывае кожны агляд, бо выдаленне выглядае рызыкоўным, а захаванне — бясшкодным, і кожны агляд, які прапускае яго, робіць наступны таксама прасцейшым для пропуску. Кошт нябачны, пакуль аўдыт не спытае, чаму прыватны дыяпазон вызвалены, і тады адказам будзе пацісканне плячыма.
Запіс павінен быць дастаткова кароткім, каб людзі сапраўды пісалі яго ў акне змен. Адзін радок для трафіку, адзін — для патрабавання, якому ён служыць.
Як запісаць абсяг як трафік
Пералічыце праграму або дыяпазон прызначэння, задзейнічаныя сем’і адрасоў, сэрвіс і порт, а таксама сеткавы кантэкст, у якім дзейнічае правіла, затым назвіце зацвярджальніка і дакладную наладу кліента або платформы, якая яго нясе. «Прынтар» — гэта намер; «TCP 631 да 192.168.1.50, толькі хатняя сетка» — гэта абсяг, які хтосьці можа праверыць. Калі адказ на пытанне «дзе гэта жыве» — «дзесьці ў профілі MDM», запіс не скончаны. Шлях да файла, назва профілю або ключ рэестра лепш за апісанне таго, дзе налада магла б быць.
Там, дзе платформа падтрымлівае правілы для асобных праграм, аддавайце ім перавагу перад дыяпазонамі адрасоў, бо дазвол адной праграме абыходзіць тунель вузейшы за вызваленне цэлай прыватнай падсеткі, і ён перажывае пераезд прылады на новы адрас. Кіраўніцтва па VpnService у Android апісвае гэтую мадэль для асобных праграм; настольныя кліенты выяўляюць тую ж ідэю праз уласныя налады профілю. Вызваленні на аснове адрасоў — гэта запасны варыянт, калі платформа не прапануе нічога вузейшага, таму ім патрэбен больш дакладны радок абсягу.
Чатыры віды выключэнняў, чатыры рызыкі выдалення
Выключэнні — не адна катэгорыя, і іх выдаленне нясе розныя наступствы. Агульны радок для двух відаў — гэта тое, як вывад з эксплуатацыі прынтара таксама выводзіць здольнасць падключыцца.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Трымайце выключэнні для bootstrap, партала, прылады і праграмы ў асобных радках, нават калі яны на практыцы перакрываюцца. Вызваленне прыватнага дыяпазону моўчкі дае доступ кожнаму суседу ў гэтай падсетцы, а не адзінай прыладзе, да якой вы мелі намер дабрацца, і гэта розніца паміж абсягам, які вы можаце абараніць, і тым, на які вы толькі спадзяецеся.
Што робіць абыход, калі тунель падае
Задайце тры пытанні і запішыце адказы, бо яны вырашаюць, ці блакіроўка сапраўдная. Ці застаецца выключэнне прыдатным, калі тунель падае: для captive portal — мусіць, інакш ніхто ніколі не ўвойдзе, а для прыватнага рэсурсу — звычайна не павінна, інакш палітыка дэкаратыўная. Ці дзейнічае яно ў кожнай сетцы ці толькі ў прызначаным асяроддзі, бо правіла, абмежаванае хатняй падсеткай, паводзіць сябе зусім інакш у публічнай сетцы, якая выпадкова выкарыстоўвае той жа дыяпазон. Кожны адказ змяняе і правіла, і нататку, таму пытанне, пакінутае без адказу, — гэта рашэнне, якое хтосьці іншы пазней прыме няправільна.
Трэцяе пытанне — што адбываецца, калі прызначэнне змяняе свой адрас, дзе разыходзяцца вызваленні на аснове даменаў і на аснове адрасоў. Правілы на аснове даменаў залежаць ад таго, калі адбываецца развязанне, і ад таго, як кліент прымяняе вынік, таму яны могуць моўчкі перастаць супадаць пасля змены, якая выглядае непавязанай, і збой выглядае як зламаны VPN, а не як састарэлае вызваленне.
Тэстуйце, ператэстоўвайце і запішыце крок выдалення
Напішыце адзін бясшкодны тэст для дазволенага шляху і адзін блізкі адмоўны выпадак: старонка прынтара адкрываецца, а агульны доступ да файлаў у той жа падсетцы — не. Гэтая пара даказвае, што выключэнне вузкае, і менавіта яе рэцэнзент можа паўтарыць, не разумеючы першапачатковага запыту. Затым задайце трыгеры ператэставання, бо выключэнне, якое ніколі не ператэстоўваюць, адыходзіць ад патрабавання, для якога было напісана, і гэтае адхіленне застаецца нябачным, пакуль нешта не зламаецца.
Нарэшце, запішыце, як выдаліць правіла праз кампанент, які ім валодае, і трымайце сакрэты па-за нататкай. Апісанне сэрвісу і маршруту ніколі не патрабуе прыватнага ключа, пароля або чыёйсьці гісторыі прагляду, а кароткі падтрымліваемы спіс лепш за часовае правіла, якое перажыло чалавека, што яго напісала.