Разделяне на тунела срещу фирмена политика: кое правило надделява

Отмятането на едно приложение в клиент за разделен тунел изглежда като локално предпочитание, а на управлявано устройство е по-близо до промяна в политиката. Изключението измества трафика от одобрения път, който може да е същият път, по който минават управляваният DNS, филтрирането и адресът на източника, който услугата разпознава. Клиентът не се държи неправилно, когато отменя редакцията ви; внедряването си върши работата.

Преди да спорите за квадратчето, изяснете кое свойство съществува политиката, за да защити.

Свойството зад правилото

Някои внедрявания насочват всичко, така че целият трафик да минава през одобрен шлюз. Други държат на разделянето на имена и запазват заявките на корпоративния резолвер, а не на този на локалната мрежа. Трети се нуждаят от стабилен адрес на източника, за да могат вътрешните услуги да решат дали да отговарят изобщо.

Четвърта група налага състояние на крайната точка: статус на шифроването на диска, ниво на кръпките, здраве на агента. Разделянето на тунела не променя това, докато заобикаляне, което избягва собствения трафик на агента, може.

Това са четири различни изисквания и всяко се нарушава от различно изключение. Прочетете изискването, преди да предложите промяната, защото човекът, който го е писал, веднага ще ви каже кое важи. Промяна, която удовлетворява грешното, не купува нищо.

Две твърдения заслужават ранно отхвърляне. Пълното тунелиране не дава на администраторите всяка страница в открит текст, защото шифроването на приложенията и контролът на крайните точки решават какво е видимо. Разделянето на тунела също не е универсално опасно, защото управляваният DNS, политиките за отделни приложения и агентите на крайните точки могат да важат независимо от маршрута.

Изпълнете проверките по ред

Последователността по-долу стеснява изключението до най-малкото нещо, което наистина се е провалило. Спрете на първата проверка, която не издържа, защото по-късна поправка не може да компенсира по-ранна липса.

Попитайте кой трафик сега пропуска одобрения шлюз, после потвърдете, че разделянето на имена все още достига корпоративния резолвер. Проверете дали въпросното приложение зачита прекъсвач, или дали е изразходвало неуспешния опит по директен маршрут. След това погледнете споделените услуги: програма за преглед на документи или брокер за актуализации може да пренесе изключението по-далеч, отколкото квадратчето подсказва. Накрая отбележете дали политиката се прилага отново при повторно свързване, защото това поведение решава дали локална промяна ще оцелее.

Всеки отговор е факт, а на искането за изключение са нужни факти. Спорът дали VPN дразни не е един от тях. Запишете отговорите, преди разговорът да започне.

Поискайте тясно изключение

Докладвайте приложението, дестинацията и операцията, която се е провалила, в този ред. Искане да остане една програма за актуализации по директния път е прегледимо; искане да се заобиколи тунелът за целия браузър не е.

Опишете какво вече сте опитвали и какво показаха журналите, и адресирайте го до екипа, който притежава профила, а не до този, който отговаря на бюрото за помощ. На управлявано устройство собственикът на профила обикновено може да създаде поддържано изключение, което оцелява при актуализации, докато локална промяна на маршрут не може.

Ако отговорът е не, приемете го като решение за дизайна, а не като препятствие за заобикаляне. Следващият преглед е мястото да го отворите отново, с документирана неуспешна операция и приложена бизнес причина. Заобикалянето рискува повече, отколкото изключението някога е струвало.

Направете изключението оцеляващо

След одобрена промяна потвърдете частите, които са работили преди, а не само частта, която е била счупена. Вътрешните имена трябва да се разделят през корпоративния резолвер, частните ресурси да отговарят, а предишната неуспешна задача да завърши сега.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Първата команда доказва, че резолверът още отговаря за вътрешен суфикс, а втората — че заявка достига вътрешната услуга от текущия маршрут. Изпълнете ги отново след повторно свързване, защото изпращането на политика може тихо да отмени промяна, изглеждала стабилна по време на теста. Два реда изход, запазени със заявката, затварят цикъла. Без тях изключението почива върху нечий спомен за страница, заредила се веднъж.

Запишете изключението, целта му и компонентите, които покрива, на същото място като бележките за внедряване. Недокументираното изключение става инцидентът на следващото тримесечие, а документираното — доказателство, че дизайнът понася реален товар.