Wie man eine Ausnahme von der VPN-Sperre dokumentiert, damit sie sich entfernen lässt

Umgehungen, deren Zweck mit ihrem Urheber gegangen ist, sind diejenigen, die ihren Nutzen überleben, und Sperrrichtlinien sammeln sie schneller ein als jede andere Art von Konfiguration. Eine Ausnahme, die als „lokales Netzwerk zulassen“ geschrieben ist, ist eine Regel, die niemand verteidigen und niemand außer Betrieb nehmen kann, weil die Anforderung dahinter mit der Person gegangen ist, die sie hinzugefügt hat. Solche Richtlinien scheitern daran, dass sie Ausnahmen tragen, deren Grund verdampft ist, während das Risiko blieb. Der Moment, den Geltungsbereich, das Fehlerverhalten und den Entfernungsschritt zu schreiben, ist der Moment, in dem Sie die Ausnahme hinzufügen, solange sich noch jemand an das Warum erinnert.

Dies ist eine Entscheidung darüber, was die Notiz enthalten muss, keine Vorlage zum Ausfüllen. Die vier Felder unten entscheiden, ob eine prüfende Person die Regel ein Jahr später ohne Besprechung entfernen kann. Jedes von ihnen existiert, weil sein Fehlen vorhersehbare Kosten hat.

Warum eine undokumentierte Umgehung nie außer Betrieb genommen wird

Eine Umgehung ohne Beschreibung lässt sich nicht testen und daher nicht sicher entfernen. Sie überlebt jede Überprüfung, weil Löschen riskant wirkt, während Behalten harmlos wirkt, und jede Überprüfung, die sie übergeht, macht die nächste ebenfalls leichter zu übergehen. Die Kosten bleiben unsichtbar, bis ein Audit fragt, warum ein privater Bereich ausgenommen ist, und dann ist die Antwort ein Schulterzucken.

Der Eintrag muss kurz genug sein, dass ihn Leute tatsächlich im Änderungsfenster schreiben. Eine Zeile für den Datenverkehr, eine für die Anforderung, der er dient.

Den Geltungsbereich als Datenverkehr schreiben

Listen Sie die Anwendung oder den Zielbereich, die beteiligten Adressfamilien, den Dienst und den Port sowie den Netzwerkkontext auf, in dem die Regel gilt, und nennen Sie dann die genehmigende Stelle und die genaue Client- oder Plattform-Einstellung, die sie trägt. „Drucker“ ist eine Absicht; „TCP 631 an 192.168.1.50, nur Heimnetzwerk“ ist ein Geltungsbereich, den jemand überprüfen kann. Wenn die Antwort auf „wo lebt das“ lautet „irgendwo im MDM-Profil“, ist der Eintrag nicht fertig. Ein Dateipfad, ein Profilname oder ein Registrierungsschlüssel ist besser als eine Beschreibung, wo die Einstellung sein könnte.

Wo die Plattform Regeln pro Anwendung unterstützt, ziehen Sie diese Adressbereichen vor, denn einer Anwendung zu erlauben, den Tunnel zu umgehen, ist enger, als ein ganzes privates Subnetz auszunehmen, und es übersteht den Wechsel des Geräts auf eine neue Adresse. Androids VpnService-Leitfaden beschreibt dieses Modell pro Anwendung; die Desktop-Clients drücken dieselbe Idee über ihre eigenen Profileinstellungen aus. Adressbasierte Ausnahmen sind der Rückfall, wenn die Plattform nichts Engeres bietet, weshalb sie eine schärfere Geltungsbereichszeile brauchen.

Vier Arten von Ausnahmen, vier Entfernungsrisiken

Ausnahmen sind keine einzige Kategorie, und ihre Entfernung hat unterschiedliche Folgen. Eine einzige Zeile zwischen zwei Arten zu teilen, ist der Weg, auf dem das Außerbetriebnehmen eines Druckers auch die Fähigkeit zur Verbindung außer Betrieb nimmt.

Halten Sie Bootstrap-, Portal-, Geräte- und Anwendungsausnahmen auf getrennten Zeilen, auch wenn sie sich in der Praxis überschneiden. Eine Ausnahme für einen privaten Bereich gewährt stillschweigend jedem Nachbarn in diesem Subnetz Zugang statt dem einen Gerät, das Sie erreichen wollten, und das ist der Unterschied zwischen einem Geltungsbereich, den Sie verteidigen können, und einem, auf den Sie nur hoffen.

Was die Umgehung tut, wenn der Tunnel ausfällt

Stellen Sie drei Fragen und schreiben Sie die Antworten auf, denn sie entscheiden, ob die Sperre echt ist. Bleibt die Ausnahme nutzbar, wenn der Tunnel ausfällt: Bei einem Captive Portal muss sie es, sonst kann sich nie jemand anmelden, während sie es bei einer privaten Ressource normalerweise nicht darf, sonst ist die Richtlinie dekorativ. Gilt sie in jedem Netzwerk oder nur in der vorgesehenen Umgebung, da sich eine auf das Heim-Subnetz beschränkte Regel in einem öffentlichen Netzwerk, das zufällig denselben Bereich nutzt, ganz anders verhält. Jede Antwort ändert sowohl die Regel als auch die Notiz, eine unbeantwortete Frage ist also eine Entscheidung, die jemand anderes später falsch trifft.

Die dritte Frage ist, was passiert, wenn das Ziel seine Adresse ändert, wo domänenbasierte und adressbasierte Ausnahmen auseinanderlaufen. Domänenbasierte Regeln hängen davon ab, wann die Auflösung stattfindet und wie der Client das Ergebnis anwendet, daher können sie nach einer scheinbar unzusammenhängenden Änderung stillschweigend aufhören zu passen, und der Fehler sieht wie ein kaputtes VPN aus statt wie eine veraltete Ausnahme.

Testen, erneut testen und den Entfernungsschritt schreiben

Schreiben Sie einen harmlosen Test für den erlaubten Weg und einen nahen abgelehnten Fall: Die Druckerseite lädt und die Dateifreigabe im selben Subnetz nicht. Dieses Paar beweist, dass die Ausnahme eng ist, und es ist das Paar, das eine prüfende Person wiederholen kann, ohne die ursprüngliche Anfrage zu verstehen. Legen Sie dann die Auslöser für erneutes Testen fest, denn eine Ausnahme, die nie erneut getestet wird, entfernt sich von der Anforderung, für die sie geschrieben wurde, und die Abweichung bleibt unsichtbar, bis etwas kaputtgeht.

Halten Sie schließlich fest, wie die Regel über die Komponente entfernt wird, die sie besitzt, und halten Sie Geheimnisse aus der Notiz heraus. Einen Dienst und eine Route zu beschreiben erfordert nie einen privaten Schlüssel, ein Passwort oder jemandes Browserverlauf, und eine kurze gepflegte Liste ist besser als eine vorübergehende Regel, die die Person überlebt hat, die sie schrieb.