Jak zdokumentovat výjimku z uzamčení VPN tak, aby ji bylo možné odstranit
Výjimka, kterou nikdo nedokáže popsat, je trvalá. Zaznamenejte provoz, který povoluje, požadavek, chování při selhání a komponentu, která ji odstraňuje.
Obejití, jejichž účel odešel spolu s jejich autorem, jsou ta, která přežívají svou užitečnost, a politiky uzamčení je shromažďují rychleji než jakýkoli jiný druh konfigurace. Výjimka napsaná jako „povolit místní síť“ je pravidlo, které nikdo nedokáže obhájit a nikdo nedokáže vyřadit, protože požadavek za ním odešel s člověkem, který ji přidal. Takové politiky selhávají tím, že nesou výjimky, jejichž důvod se vypařil, zatímco riziko zůstalo. Okamžik, kdy napsat rozsah, chování při selhání a krok odstranění, je okamžik, kdy výjimku přidáváte, dokud si někdo ještě pamatuje proč.
Toto je rozhodnutí o tom, co musí poznámka obsahovat, ne šablona k vyplnění. Čtyři pole níže jsou ta, která rozhodují, zda recenzent může pravidlo o rok později odstranit bez schůzky. Každé z nich existuje proto, že jeho absence má předvídatelnou cenu.
Proč se nedokumentované obejití nikdy nevyřadí
Obejití bez popisu nelze otestovat, a proto je nelze bezpečně odstranit. Přežívá každou revizi, protože smazání vypadá riskantně, zatímco zachování neškodně, a každá revize, která ho přeskočí, dělá i tu následující snazší přeskočit. Cena je neviditelná, dokud audit nezačne zjišťovat, proč je soukromý rozsah vyňat, a pak je odpovědí pokrčení ramen.
Záznam musí být dost krátký, aby ho lidé skutečně napsali v okně změn. Jeden řádek pro provoz, jeden pro požadavek, kterému slouží.
Jak zapsat rozsah jako provoz
Vyjmenujte aplikaci nebo cílový rozsah, zúčastněné rodiny adres, službu a port a síťový kontext, v němž pravidlo platí, poté uveďte schvalovatele a přesné nastavení klienta nebo platformy, které ho nese. „Tiskárna“ je záměr; „TCP 631 na 192.168.1.50, pouze domácí síť“ je rozsah, který někdo dokáže ověřit. Pokud je odpověď na „kde to žije“ „někde v profilu MDM“, záznam není hotový. Cesta k souboru, název profilu nebo klíč registru je lepší než popis toho, kde by nastavení mohlo být.
Kde platforma podporuje pravidla pro jednotlivé aplikace, dejte jim přednost před rozsahy adres, protože povolit jedné aplikaci obejít tunel je užší než vyjmout celou privátní podsíť a přežije to i přesun zařízení na novou adresu. Průvodce VpnService pro Android popisuje tento model pro jednotlivé aplikace; desktopoví klienti vyjadřují stejnou myšlenku vlastním nastavením profilu. Výjimky založené na adresách jsou záložní možností, když platforma nenabízí nic užšího, a proto potřebují ostřejší řádek rozsahu.
Čtyři druhy výjimek, čtyři rizika odstranění
Výjimky nejsou jedna kategorie a jejich odstranění nese různé důsledky. Sdílení jednoho řádku mezi dvěma druhy je způsob, jakým vyřazení tiskárny vyřadí i schopnost připojit se.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Udržujte výjimky pro bootstrap, portál, zařízení a aplikaci na samostatných řádcích, i když se v praxi překrývají. Výjimka pro soukromý rozsah tiše uděluje přístup každému sousedovi v této podsíti místo jedinému zařízení, které jste chtěli dosáhnout, a to je rozdíl mezi rozsahem, který dokážete obhájit, a tím, v který jen doufáte.
Co obejití dělá, když tunel spadne
Položte tři otázky a zapište odpovědi, protože rozhodují o tom, zda je uzamčení skutečné. Zůstává výjimka použitelná, když tunel spadne: u captive portálu musí, jinak se nikdo nikdy nepřihlásí, zatímco u soukromého zdroje obvykle nesmí, jinak je politika dekorativní. Platí v každé síti, nebo jen v zamýšleném prostředí, protože pravidlo omezené na domácí podsíť se chová velmi odlišně ve veřejné síti, která náhodou používá stejný rozsah. Každá odpověď mění pravidlo i poznámku, takže otázka ponechaná bez odpovědi je rozhodnutí, které za vás někdo jiný později udělá špatně.
Třetí otázka je, co se stane, když cíl změní svou adresu, kde se výjimky založené na doméně a na adrese rozcházejí. Pravidla založená na doméně závisí na tom, kdy proběhne překlad, a na tom, jak klient výsledek použije, takže mohou tiše přestat odpovídat po změně, která vypadá nesouvisejícím, a selhání vypadá jako rozbitá VPN, ne jako zastaralá výjimka.
Testujte, znovu testujte a napište krok odstranění
Napište jeden neškodný test pro povolenou cestu a jeden blízký zamítnutý případ: stránka tiskárny se načte a sdílení souborů ve stejné podsíti ne. Tato dvojice dokazuje, že výjimka je úzká, a je to dvojice, kterou recenzent může zopakovat, aniž by rozuměl původnímu požadavku. Poté nastavte spouštěče opakovaného testu, protože výjimka, která se nikdy znovu netestuje, se vzdaluje od požadavku, pro který byla napsána, a toto vzdalování zůstává neviditelné, dokud se něco nerozbije.
Nakonec zaznamenejte, jak pravidlo odstranit prostřednictvím komponenty, která ho vlastní, a držte tajemství mimo poznámku. Popis služby a trasy nikdy nevyžaduje soukromý klíč, heslo ani něčí historii prohlížení, a krátký udržovaný seznam je lepší než dočasné pravidlo, které přežilo člověka, jenž ho napsal.