Раздзяленне тунэлю супраць палітыкі кампаніі: якое правіла перамагае

Адзначыць адну праграму ў кліенце з раздзяленнем тунэлю выглядае як лакальная перавага, а на кіраванай прыладзе гэта бліжэй да змены палітыкі. Выключэнне ссоўвае трафік з ухваленага шляху, які можа быць тым самым шляхам, што нясе кіраваны DNS, фільтраванне і адрас крыніцы, які пазнае служба. Кліент не паводзіць сябе няправільна, калі адкочвае вашу праўку; разгортванне робіць сваю справу.

Перш чым спрачацца пра сцяжок, высветліце, якую ўласцівасць палітыка павінна абараняць.

Уласцівасць за правілам

Некаторыя разгортванні накіроўваюць усё, каб увесь трафік праходзіў праз ухвалены шлюз. Іншыя клапоцяцца пра разрозненне імёнаў і трымаюць запыты на карпаратыўным рэзалверы, а не на рэзалверы лакальнай сеткі. Яшчэ іншыя патрабуюць стабільнага адраса крыніцы, каб унутраныя службы маглі вырашыць, ці адказваць увогуле.

Чацвёртая група забяспечвае стан канчатковага пункта: статус шыфравання дыска, узровень абнаўленняў, здароўе агента. Раздзяленне тунэлю гэтага не змяняе, а абыход, які пазбягае ўласнага трафіку агента, можа змяніць.

Гэта чатыры розныя патрабаванні, і кожнае парушаецца розным выключэннем. Прачытайце патрабаванне перад прапановай змены, бо той, хто яго напісаў, адразу скажа, якое дзейнічае. Змена, якая задавальняе не тое патрабаванне, нічога не дае.

Дзве думкі варта адкінуць адразу. Поўнае тунэляванне не дае адміністратарам кожную старонку ў адкрытым тэксце, бо бачнасць вызначаюць шыфраванне праграм і кантроль канчатковых пунктаў. Раздзяленне тунэлю таксама не з'яўляецца ўніверсальна небяспечным, бо кіраваны DNS, палітыкі для асобных праграм і агенты канчатковых пунктаў могуць дзейнічаць незалежна ад маршруту.

Выканайце праверкі па парадку

Паслядоўнасць ніжэй звужвае выключэнне да найменшага, што сапраўды не спрацавала. Спыніцеся на першай праверцы, якая не выконваецца, бо пазнейшае выпраўленне не кампенсуе ранейшую прагавіну.

Спытайце, які трафік цяпер мінае ўхвалены шлюз, потым пацвердзіце, што разрозненне імёнаў усё яшчэ дасягае карпаратыўнага рэзалвера. Праверце, ці паважае адпаведная праграма аварыйны выключальнік і ці не страціла яна няўдалую спробу на прамым маршруце. Пасля паглядзіце на агульныя службы: праглядальнік дакументаў або брокер абнаўленняў можа панесці выключэнне далей, чым мяркуе сцяжок. Нарэшце адзначце, ці ўжываецца палітыка паўторна пры перападключэнні, бо гэта вырашае, ці выжыве любая лакальная змена.

Кожны адказ — гэта факт, а запыту на выключэнне патрэбны менавіта факты. Спрэчка пра тое, ці раздражняе VPN, не з іх. Запішыце адказы да пачатку размовы.

Папрасіце вузкае выключэнне

Паведаміце праграму, пункт прызначэння і аперацыю, якая не спрацавала, менавіта ў такім парадку. Запыт пакінуць адзін абнаўляльнік на прамым шляху можна разгледзець; запыт абыйсці тунэль для ўсяго браўзера — не.

Апішыце, што вы ўжо спрабавалі і што паказалі журналы, і адрасуйце гэта камандзе, якая валодае профілем, а не таму, хто адказвае на службе падтрымкі. На кіраванай прыладзе ўладальнік профілю звычайна можа стварыць падтрыманае выключэнне, якое перажывае абнаўленні, а лакальная праўка маршруту — не.

Калі адказ не, успрымайце гэта як рашэнне пра дызайн, а не як перашкоду, якую трэба абыходзіць. Наступны разгляд — месца, каб адкрыць пытанне зноў, з дакументаванай няўдалай аперацыяй і прыкладзенай бізнес-прычынай. Абыход рызыкуе больш, чым выключэнне калі-небудзь каштавала.

Зрабіце выключэнне жыццяздольным

Пасля ўхваленай змены пацвердзіце тыя часткі, што працавалі раней, а не толькі тую, што была зламаная. Унутраныя імёны павінны па-ранейшаму разрознівацца праз карпаратыўны рэзалвер, прыватныя рэсурсы — адказваць, а ранейшая няўдалая задача — цяпер завяршыцца.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Першая каманда даказвае, што рэзалвер усё яшчэ адказвае на ўнутраную прыстаўку, а другая — што запыт дасягае ўнутранай службы з бягучага маршруту. Запусціце іх зноў пасля перападключэння, бо штуршок палітыкі можа ціха адмяніць змену, якая выглядала стабільнай падчас тэсту. Дзве радкі вываду, захаваныя з заяўкай, замыкаюць цыкл. Без іх выключэнне абапіраецца на чыюсьці памяць пра старонку, што загрузілася аднойчы.

Запішыце выключэнне, яго мэту і ахопленыя кампаненты ў тым жа месцы, што і нататкі пра разгортванне. Незадакументаванае выключэнне становіцца здарэннем наступнага квартала, а задокументаванае — доказам, што дызайн вытрымлівае рэальную нагрузку.