Rozdělování tunelu versus firemní politika: které pravidlo vyhraje

Zaškrtnutí jedné aplikace v klientu s rozděleným tunelem vypadá jako místní preference, na spravovaném zařízení je však blíž změně politiky. Výjimka odklání provoz ze schválené cesty, která může být stejnou cestou, po níž jdou spravovaný DNS, filtrování a zdrojová adresa, kterou služba rozpoznává. Klient se nechová špatně, když vaši úpravu vrátí; nasazení dělá svou práci.

Než se začnete hádat o zaškrtávací políčko, zjistěte, kterou vlastnost má politika chránit.

Vlastnost za pravidlem

Některá nasazení směrují vše, aby veškerý provoz prošel schválenou branou. Jiným záleží na překladu názvů a drží dotazy na firemním překladači místo na tom místní sítě. Další potřebují stabilní zdrojovou adresu, aby se interní služby mohly rozhodnout, zda vůbec odpoví.

Čtvrtá skupina prosazuje stav koncového bodu: stav šifrování disku, úroveň záplat, zdraví agenta. Rozdělení tunelu to nemění, zatímco obchvat, který se vyhýbá vlastnímu provozu agenta, může.

To jsou čtyři různé požadavky a každý porušuje jiná výjimka. Přečtěte si požadavek, než změnu navrhnete, protože ten, kdo jej napsal, vám hned řekne, který platí. Změna, která splní ten špatný, nic nepřinese.

Dvě tvrzení stojí za to brzy zavrhnout. Plné tunelování nedává správcům každou stránku v otevřeném textu, protože o viditelnosti rozhoduje šifrování aplikací a kontroly koncových bodů. Rozdělení tunelu také není všeobecně nebezpečné, protože spravovaný DNS, zásady pro jednotlivé aplikace a agenti koncových bodů mohou platit bez ohledu na trasu.

Proveďte kontroly v pořadí

Následující sled zužuje výjimku na nejmenší věc, která skutečně selhala. Zastavte se u první kontroly, která neplatí, protože pozdější oprava nemůže nahradit dřívější mezeru.

Zeptejte se, který provoz nyní míjí schválenou bránu, a poté potvrďte, že překlad názvů stále dosahuje firemního překladače. Zkontrolujte, zda dotčená aplikace respektuje nouzový vypínač, nebo zda neúspěšný pokus strávila na přímé trase. Pak se podívejte na sdílené služby: prohlížeč dokumentů nebo zprostředkovatel aktualizací může výjimku odnést dál, než políčko naznačuje. Nakonec poznamenejte, zda se politika při opětovném připojení znovu uplatní, protože toto chování rozhoduje, zda místní změna přežije.

Každá odpověď je fakt a žádost o výjimku potřebuje fakta. Hádka o tom, zda VPN obtěžuje, mezi ně nepatří. Napište odpovědi, než rozhovor začne.

Požádejte o úzkou výjimku

Uveďte aplikaci, cíl a operaci, která selhala, v tomto pořadí. Žádost ponechat jeden aktualizátor na přímé cestě lze posoudit; žádost obejít tunel pro celý prohlížeč nikoli.

Popište, co jste už zkusili a co ukázaly protokoly, a adresujte to týmu, který vlastní profil, ne člověku, který odpovídá na helpdesku. Na spravovaném zařízení obvykle vlastník profilu může vytvořit podporovanou výjimku, která přežije aktualizace, zatímco místní úprava trasy to nedokáže.

Pokud je odpověď ne, berte to jako rozhodnutí o návrhu, ne jako překážku, kterou je třeba obejít. Další revize je místem, kde to znovu otevřít, se zdokumentovanou neúspěšnou operací a přiloženým obchodním důvodem. Obcházení riskuje víc, než výjimka kdy stála.

Učiňte výjimku životaschopnou

Po schválené změně potvrďte části, které fungovaly dřív, ne jen část, která byla rozbitá. Interní názvy by se měly stále překládat přes firemní překladač, soukromé zdroje by měly odpovídat a dříve neúspěšný úkol by nyní měl doběhnout.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

První příkaz dokazuje, že překladač stále odpovídá na interní příponu, a druhý, že požadavek dosáhne interní služby z aktuální trasy. Spusťte je znovu po opětovném připojení, protože doručení politiky může tiše zrušit změnu, která během testu vypadala stabilně. Dva řádky výstupu uložené u tiketu uzavírají smyčku. Bez nich výjimka stojí na něčí vzpomínce na stránku, která se jednou načetla.

Zaznamenejte výjimku, její účel a komponenty, které pokrývá, na stejné místo jako poznámky k nasazení. Nedokumentovaná výjimka se stane incidentem příštího čtvrtletí a dokumentovaná se stane důkazem, že návrh zvládá reálnou zátěž.