Výjimky VPN pro jednotlivé aplikace se rozbijí, když data načítá sdílená služba

Vyloučíte jednu aplikaci z VPN a stahování, které potřebovala, stále selhává, nebo hůř, začne fungovat a něco nesouvisejícího se zastaví. Viditelné okno nemusí být proces, který otevírá každé spojení: aplikace může práci předat pomocníkovi, službě pro přenos na pozadí nebo úplně jinému balíčku. Pravidlo pro jednotlivou aplikaci proto potřebuje skutečný model identity platformy, ne známý název spouštěcího souboru. Kontroly níže začínají pozorováním a vracejí se k tomu, kdo požadavek skutečně odeslal.

V těchto tikketech se obvykle pokazí dvě věci najednou: vyloučí se špatná komponenta a výjimka se potom nikdy nezúží.

Najděte proces, ne okno

Zreprodukujte neúspěšnou operaci a identifikujte proces nebo balíček, který spojení vlastní, zatímco probíhá. Ve Windows je to jiná otázka než to, které okno má fokus, protože přenos na pozadí může zprostředkovat služba běžící pod vlastní identitou. V Linuxu a macOS se stejné rozdělení objevuje jako pomocné procesy a systémové démony.

Zapište tři podrobnosti: identitu spustitelného souboru nebo balíčku, cíl, se kterým komunikoval, a okamžik v pracovním postupu, kdy k tomu došlo. Stahování, které selže na začátku, je často načtením metadat jinou komponentou než stahování, které selže v polovině. Samotný tento rozdíl obvykle stačí k výběru správné identity, než se pravidla dotknete. Pokud se identita ukáže jako služba, a ne aplikace, tento jediný fakt mění celé pravidlo, proto ho nejprve zjistěte.

Pokud proces nemůžete pozorovat, protože operace je příliš krátká, zopakujte ji s větším objemem dat nebo pomalejším cílem. Cílem je jedno opakovatelné pozorování, ne teorie o tom, který pomocník je zapojen.

Berte DNS jako vlastní cestu

Systémové překládání názvů nemusí vyloučenou aplikaci vůbec následovat, a proto vyloučený prohlížeč může stále selhat u soukromého názvu hostitele, i když jeho provoz správně zůstává mimo tunel. Prohlížeč byl vyloučen; překladač ne.

Zkontrolujte, co platforma dělá s DNS, když platí pravidlo pro jednotlivou aplikaci, a zkontrolujte to odděleně od požadavku HTTP. Pokud je překladač sdílená služba, obsluhuje každou aplikaci v zařízení, takže výjimka, o které uvažujete, má mnohem širší publikum než ta, kterou jste testovali.

Zaznamenejte, který překladač odpověděl a přes které rozhraní. Toto jediné pozorování řeší velkou část zpráv „aplikace je vyloučena, ale název se nepřekládá“, proto je uchovejte u tiketu.

Nerozšiřujte sdíleného pomocníka

Sdílená služba vykonává práci pro několik aplikací, takže její vyloučení kvůli opravě jednoho pracovního postupu mění i nesouvisející provoz. Background Intelligent Transfer Service ve Windows je dobrým příkladem tohoto tvaru: je to infrastruktura, kterou může používat mnoho aplikací, a její identita není identitou aplikace, která přenos vyžádala.

Před přidáním této výjimky zkontrolujte model pravidel, který klient podporuje, a požadavky organizace. Zeptejte se, co dalšího komponentu používá, a zda pravidlo, které se chystáte napsat, lze vyjádřit vůči cílům místo vůči sdílenému procesu.

Pokud požadavek nelze vůbec vyjádřit jako hranici aplikace, politika založená na cílech nebo jiný schválený návrh může být srozumitelnější a bezpečnější než rostoucí seznam výjimek pro pomocníky.

Testujte celý pracovní postup, ne selhávající krok

Po podporované změně spusťte zamýšlený úkol s novým požadavkem od začátku do konce. Potom spusťte jiný pracovní postup, který sdílenou komponentu používá, protože právě tam se široké obcházení projeví. Oprava, která spraví první a tiše rozbije druhý, není oprava. Uchovejte oba výsledky v tiketu a druhý pracovní postup výslovně pojmenujte, aby jej recenzent mohl zopakovat.

Udržujte test malý a opakovatelný: stejný cíl, stejný účet, stejné podmínky. Pokud druhý pracovní postup není zdokumentovaný, zeptejte se jeho vlastníka, na čem závisí, než rozhodnete, že změna je bezpečná.

Nechte důvod, ne seznam jmen

Zdokumentujte komponentu, pracovní postup, kterému slouží, a důvod vyloučení. Seznam jmen pomocníků bez připojeného účelu se během dvou vydání stane neudržovatelným a další inženýr při úklidu odstraní špatnou položku.

Jeden řádek na výjimku stačí: co bez ní selže, kdo ten pracovní postup vlastní a kdy byl naposledy ověřen. Tato tři pole mění záhadný seznam na politiku, kterou někdo dokáže obhájit.