Com documentar una excepció del bloqueig de VPN perquè es pugui eliminar

Els desviaments la finalitat dels quals va marxar amb el seu autor són els que sobreviuen a la seva utilitat, i les polítiques de bloqueig els acumulen més de pressa que qualsevol altre tipus de configuració. Una excepció escrita com «permet la xarxa local» és una regla que ningú no pot defensar ni ningú no pot retirar, perquè el requisit que hi ha al darrere va marxar amb la persona que la va afegir. Aquestes polítiques fallen perquè arrosseguen exempcions la raó de les quals s’ha evaporat mentre el risc s’hi ha quedat. El moment d’escriure l’abast, el comportament en cas de fallada i el pas d’eliminació és el moment en què afegeixes l’excepció, mentre algú encara recorda per què.

Això és una decisió sobre què ha de contenir la nota, no una plantilla per omplir. Els quatre camps de sota són els que decideixen si un revisor pot eliminar la regla un any després sense una reunió. Cadascun existeix perquè la seva absència té un cost previsible.

Per què un desviament no documentat no es retira mai

Un desviament sense descripció no es pot provar i, per tant, no es pot eliminar amb seguretat. Sobrevviu a cada revisió perquè esborrar sembla arriscat mentre que conservar sembla inofensiu, i cada revisió que el passa per alt fa que la següent també sigui més fàcil de passar per alt. El cost és invisible fins que una auditoria pregunta per què un rang privat està exempt, i llavors la resposta és una encongida d’espatlles.

El registre ha de ser prou curt perquè la gent l’escrigui de debò dins la finestra de canvi. Una línia per al trànsit, una per al requisit que serveix.

Escriure l’abast com a trànsit

Enumera l’aplicació o el rang de destinació, les famílies d’adreces implicades, el servei i el port, i el context de xarxa en què s’aplica la regla, i després indica l’aprovador i la configuració exacta del client o de la plataforma que la porta. «Impressora» és una intenció; «TCP 631 a 192.168.1.50, només xarxa domèstica» és un abast que algú pot verificar. Si la resposta a «on viu això» és «en algun lloc del perfil MDM», el registre no està acabat. Un camí de fitxer, un nom de perfil o una clau de registre és millor que una descripció d’on podria ser la configuració.

Quan la plataforma admet regles per aplicació, prefereix-les als rangs d’adreces, perquè permetre que una aplicació desviï el túnel és més estret que eximir tota una subxarxa privada i sobreviu al fet que el dispositiu es mogui a una adreça nova. La guia de VpnService d’Android descriu aquest model per aplicació; els clients d’escriptori expressen la mateixa idea amb la seva pròpia configuració de perfil. Les exempcions basades en adreces són el recurs quan la plataforma no ofereix res més estret, i per això necessiten una línia d’abast més precisa.

Quatre tipus d’excepció, quatre riscos d’eliminació

Les excepcions no són una sola categoria, i eliminar-les comporta conseqüències diferents. Compartir una sola línia entre dos tipus és com retirar una impressora també retira la capacitat de connectar-se.

Mantén les excepcions d’arrencada, portal, dispositiu i aplicació en línies separades encara que a la pràctica se superposin. Una exempció de rang privat concedeix en silenci accés a cada veí d’aquella subxarxa en lloc del dispositiu únic que volies assolir, i aquesta és la diferència entre un abast que pots defensar i un altre en què només confies.

Què fa el desviament quan cau el túnel

Fes tres preguntes i escriu les respostes, perquè decideixen si el bloqueig és real. L’excepció continua sent utilitzable quan cau el túnel: per a un portal captiu ha de ser-ho, o ningú no podrà iniciar sessió mai, mentre que per a un recurs privat normalment no ho ha de ser, o la política és decorativa. S’aplica a totes les xarxes o només a l’entorn previst, ja que una regla limitada a la subxarxa domèstica es comporta molt diferent en una xarxa pública que casualment fa servir el mateix rang. Cada resposta canvia tant la regla com la nota, de manera que una pregunta sense respondre és una decisió que algú altre prendrà malament més endavant.

La tercera pregunta és què passa quan la destinació canvia la seva adreça, on les exempcions basades en domini i en adreça divergeixen. Les regles basades en domini depenen de quan es fa la resolució i de com el client aplica el resultat, així que poden deixar de coincidir en silenci després d’un canvi que sembla no relacionat, i la fallada sembla un VPN espatllat més que una exempció obsoleta.

Prova, torna a provar i escriu el pas d’eliminació

Escriu una prova inofensiva per al camí permès i un cas denegat proper: la pàgina de la impressora carrega i el recurs compartit de fitxers a la mateixa subxarxa no. Aquesta parella demostra que l’excepció és estreta, i és la parella que un revisor pot repetir sense entendre la sol·licitud original. Després fixa els disparadors de reintent, perquè una excepció que no es torna a provar mai es desvia del requisit per al qual es va escriure, i el desviament queda invisible fins que alguna cosa es trenca.

Finalment, registra com eliminar la regla a través del component que la posseeix, i mantén els secrets fora de la nota. Descriure un servei i una ruta no requereix mai una clau privada, una contrasenya ni l’historial de navegació de ningú, i una llista curta mantinguda és millor que una regla temporal que ha sobreviscut a la persona que la va escriure.