Как да документирате изключение от блокировката на VPN, така че да може да бъде премахнато
Изключение, което никой не може да опише, е постоянно. Запишете трафика, който то разрешава, изискването, поведението при отказ и компонента, който го премахва.
Заобикалянията, чиято цел е изчезнала заедно с автора им, са тези, които надживяват полезността си, а политиките за блокиране ги събират по-бързо от всеки друг вид конфигурация. Изключение, записано като „разреши локалната мрежа“, е правило, което никой не може да защити и никой не може да изведе от употреба, защото изискването зад него е заминало с човека, който го е добавил. Такива политики се провалят, защото носят освобождавания, чиято причина се е изпарила, докато рискът е останал. Моментът да напишете обхвата, поведението при отказ и стъпката за премахване е моментът, в който добавяте изключението, докато някой още помни защо.
Това е решение какво трябва да съдържа бележката, а не шаблон за попълване. Четирите полета по-долу са тези, които решават дали рецензентът може да премахне правилото година по-късно без среща. Всяко от тях съществува, защото липсата му има предвидима цена.
Защо недокументирано заобикаляне никога не се извежда от употреба
Заобикаляне без описание не може да бъде тествано и следователно не може да бъде безопасно премахнато. То оцелява при всяко ревю, защото изтриването изглежда рисковано, а запазването — безобидно, и всяко ревю, което го подминава, прави следващото също толкова лесно за подминаване. Цената е невидима, докато одит не попита защо частен диапазон е освободен, и тогава отговорът е свиване на рамене.
Записът трябва да е достатъчно кратък, за да го напишат хората наистина в прозореца за промени. Един ред за трафика, един за изискването, на което служи.
Как да запишем обхвата като трафик
Избройте приложението или диапазона на дестинацията, участващите семейства адреси, услугата и порта и мрежовия контекст, в който се прилага правилото, след което назовете одобряващия и точната настройка на клиента или платформата, която го носи. „Принтер“ е намерение; „TCP 631 до 192.168.1.50, само домашна мрежа“ е обхват, който някой може да провери. Ако отговорът на „къде живее това“ е „някъде в MDM профила“, записът не е завършен. Път до файл, име на профил или ключ в регистъра е по-добре от описание къде би могла да бъде настройката.
Когато платформата поддържа правила за отделни приложения, предпочитайте ги пред диапазоните от адреси, защото разрешаването на едно приложение да заобикаля тунела е по-тясно от освобождаването на цяла частна подмрежа и оцелява при преместването на устройството на нов адрес. Ръководството за VpnService на Android описва този модел за отделни приложения; настолните клиенти изразяват същата идея чрез собствените си настройки на профила. Освобождаванията по адрес са резервният вариант, когато платформата не предлага нищо по-тясно, затова се нуждаят от по-остър ред за обхват.
Четири вида изключения, четири риска при премахване
Изключенията не са една категория и премахването им носи различни последствия. Споделянето на един ред между два вида е начинът, по който извеждането на принтер от употреба извежда и способността за свързване.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Дръжте изключенията за bootstrap, портал, устройство и приложение на отделни редове, дори когато на практика се припокриват. Освобождаването на частен диапазон тихо дава достъп на всеки съсед в тази подмрежа, вместо на единственото устройство, което сте искали да достигнете, и това е разликата между обхват, който можете да защитите, и такъв, на който само се надявате.
Какво прави заобикалянето, когато тунелът падне
Задайте три въпроса и запишете отговорите, защото те решават дали блокировката е истинска. Остава ли изключението използваемо, когато тунелът падне: за captive portal трябва, иначе никой никога не може да влезе, докато за частен ресурс обикновено не трябва, иначе политиката е декоративна. Прилага ли се във всяка мрежа или само в предвидената среда, тъй като правило, ограничено до домашната подмрежа, се държи много различно в публична мрежа, която случайно използва същия диапазон. Всеки отговор променя и правилото, и бележката, затова въпрос, оставен без отговор, е решение, което някой друг ще вземе погрешно по-късно.
Третият въпрос е какво се случва, когато дестинацията смени адреса си, където освобождаванията по домейн и по адрес се разминават. Правилата по домейн зависят от това кога се извършва резолюцията и как клиентът прилага резултата, затова могат тихо да спрат да съвпадат след промяна, която изглежда несвързана, и отказът изглежда като счупен VPN, а не като остаряло освобождаване.
Тествайте, тествайте отново и напишете стъпката за премахване
Напишете един безобиден тест за разрешения път и един близък отказан случай: страницата на принтера се зарежда, а файловото споделяне в същата подмрежа — не. Тази двойка доказва, че изключението е тясно, и тя е двойката, която рецензентът може да повтори, без да разбира първоначалната заявка. След това задайте тригерите за повторно тестване, защото изключение, което никога не се тества отново, се отдалечава от изискването, за което е написано, и отклонението остава невидимо, докато нещо не се счупи.
Накрая запишете как да премахнете правилото чрез компонента, който го притежава, и дръжте тайните извън бележката. Описването на услуга и маршрут никога не изисква частен ключ, парола или нечия история на сърфиране, а кратък поддържан списък е по-добър от временно правило, което е надживяло човека, който го е написал.