Kako dokumentovati izuzetak od VPN zaključavanja tako da se može ukloniti

Zaobilaznice čija je svrha otišla sa svojim autorom su one koje nadžive svoju korisnost, a politike zaključavanja ih skupljaju brže od bilo koje druge vrste konfiguracije. Izuzetak napisan kao „dozvoli lokalnu mrežu“ je pravilo koje niko ne može braniti i niko ne može ukinuti, jer je zahtjev iza njega otišao sa osobom koja ga je dodala. Takve politike propadaju jer nose izuzeća čiji je razlog ispario dok je rizik ostao. Trenutak da napišete obim, ponašanje pri kvaru i korak uklanjanja je trenutak kada dodajete izuzetak, dok se neko još sjeća zašto.

Ovo je odluka o tome šta bilješka mora sadržavati, a ne šablon za popunjavanje. Četiri polja ispod su ona koja odlučuju da li recenzent može ukloniti pravilo godinu kasnije bez sastanka. Svako postoji jer njegovo odsustvo ima predvidljivu cijenu.

Zašto nedokumentovana zaobilaznica nikada ne bude ukinuta

Zaobilaznica bez opisa ne može se testirati i stoga se ne može sigurno ukloniti. Preživljava svaki pregled jer brisanje izgleda rizično, a zadržavanje bezopasno, i svaki pregled koji je preskoči čini i sljedeći lakšim za preskakanje. Trošak je nevidljiv dok revizija ne pita zašto je privatni opseg izuzet, a tada je odgovor slijeganje ramenima.

Zapis mora biti dovoljno kratak da ga ljudi zaista napišu u prozoru za promjene. Jedan red za saobraćaj, jedan za zahtjev kojem služi.

Pisanje obima kao saobraćaja

Navedite aplikaciju ili odredišni opseg, uključene porodice adresa, servis i port, te mrežni kontekst u kojem pravilo važi, zatim navedite odobravaoca i tačnu postavku klijenta ili platforme koja ga nosi. „Štampač“ je namjera; „TCP 631 do 192.168.1.50, samo kućna mreža“ je obim koji neko može provjeriti. Ako je odgovor na „gdje ovo živi“ „negdje u MDM profilu“, zapis nije završen. Putanja datoteke, naziv profila ili ključ registra bolji je od opisa gdje bi postavka mogla biti.

Tamo gdje platforma podržava pravila po aplikaciji, dajte im prednost u odnosu na opsege adresa, jer dopuštanje jednoj aplikaciji da zaobiđe tunel uže je od izuzimanja cijele privatne podmreže i preživljava premještanje uređaja na novu adresu. Android vodič za VpnService opisuje taj model po aplikaciji; desktop klijenti izražavaju istu ideju kroz vlastite postavke profila. Izuzeća zasnovana na adresama rezervna su opcija kada platforma ne nudi ništa uže, zbog čega im je potreban oštriji red obima.

Četiri vrste izuzetaka, četiri rizika uklanjanja

Izuzetak nije jedna kategorija, a njihovo uklanjanje nosi različite posljedice. Dijeljenje jednog reda između dvije vrste je način na koji ukidanje štampača ukida i mogućnost povezivanja.

Držite izuzetke za bootstrap, portal, uređaj i aplikaciju na odvojenim redovima čak i kada se u praksi preklapaju. Izuzeće privatnog opsega tiho daje pristup svakom susjedu na toj podmreži umjesto jedinom uređaju koji ste namjeravali dosegnuti, i to je razlika između obima koji možete braniti i onog u koji se samo nadate.

Šta zaobilaznica radi kada tunel padne

Postavite tri pitanja i zapišite odgovore, jer oni odlučuju da li je zaključavanje stvarno. Ostaje li izuzetak upotrebljiv kada tunel padne: za captive portal mora, inače se niko nikada ne može prijaviti, dok za privatni resurs obično ne smije, inače je politika dekorativna. Primjenjuje li se na svakoj mreži ili samo u predviđenom okruženju, jer pravilo ograničeno na kućnu podmrežu ponaša se sasvim drugačije na javnoj mreži koja slučajno koristi isti opseg. Svaki odgovor mijenja i pravilo i bilješku, pa je pitanje ostavljeno bez odgovora odluka koju će neko drugi kasnije donijeti pogrešno.

Treće pitanje je šta se dešava kada odredište promijeni svoju adresu, gdje se izuzeća zasnovana na domenu i na adresi razilaze. Pravila zasnovana na domenu zavise od toga kada se odvija razrješavanje i kako klijent primjenjuje rezultat, pa mogu tiho prestati da se poklapaju nakon promjene koja izgleda nepovezano, a kvar izgleda kao pokvaren VPN, a ne kao zastarjelo izuzeće.

Testirajte, ponovo testirajte i napišite korak uklanjanja

Napišite jedan bezopasan test za dozvoljenu putanju i jedan obližnji odbijeni slučaj: stranica štampača se učitava, a dijeljenje datoteka na istoj podmreži ne. Taj par dokazuje da je izuzetak uzak, i to je par koji recenzent može ponoviti bez razumijevanja prvobitnog zahtjeva. Zatim postavite okidače za ponovno testiranje, jer izuzetak koji se nikada ne testira ponovo udaljava se od zahtjeva za koji je napisan, a to udaljavanje ostaje nevidljivo dok se nešto ne pokvari.

Na kraju, zabilježite kako ukloniti pravilo kroz komponentu koja ga posjeduje, i držite tajne izvan bilješke. Opisivanje servisa i rute nikada ne zahtijeva privatni ključ, lozinku ili nečiju historiju pregledanja, a kratka održavana lista bolja je od privremenog pravila koje je nadživjelo osobu koja ga je napisala.