Πώς να τεκμηριώσετε μια εξαίρεση στο κλείδωμα VPN ώστε να μπορεί να αφαιρεθεί

Οι παρακάμψεις των οποίων ο σκοπός έφυγε μαζί με τον δημιουργό τους είναι εκείνες που επιβιώνουν της χρησιμότητάς τους, και οι πολιτικές κλειδώματος τις συγκεντρώνουν ταχύτερα από κάθε άλλο είδος διαμόρφωσης. Μια εξαίρεση γραμμένη ως «να επιτρέπεται το τοπικό δίκτυο» είναι ένας κανόνας που κανείς δεν μπορεί να υπερασπιστεί και κανείς δεν μπορεί να αποσύρει, επειδή η απαίτηση πίσω από αυτήν έφυγε μαζί με το πρόσωπο που την πρόσθεσε. Τέτοιες πολιτικές αποτυγχάνουν επειδή κουβαλούν εξαιρέσεις των οποίων ο λόγος εξατμίστηκε ενώ ο κίνδυνος παρέμεινε. Η στιγμή να γράψετε το εύρος, τη συμπεριφορά αποτυχίας και το βήμα αφαίρεσης είναι η στιγμή που προσθέτετε την εξαίρεση, όσο κάποιος θυμάται ακόμη το γιατί.

Πρόκειται για απόφαση σχετικά με το τι πρέπει να περιέχει η σημείωση, όχι για πρότυπο προς συμπλήρωση. Τα τέσσερα πεδία παρακάτω είναι αυτά που καθορίζουν αν ένας ελεγκτής μπορεί να αφαιρέσει τον κανόνα ένα χρόνο αργότερα χωρίς συνάντηση. Καθένα υπάρχει επειδή η απουσία του έχει προβλέψιμο κόστος.

Γιατί μια ατεκμηρίωτη παράκαμψη δεν αποσύρεται ποτέ

Μια παράκαμψη χωρίς περιγραφή δεν μπορεί να δοκιμαστεί και επομένως δεν μπορεί να αφαιρεθεί με ασφάλεια. Επιβιώνει σε κάθε ανασκόπηση επειδή η διαγραφή φαίνεται ριψοκίνδυνη ενώ η διατήρηση ακίνδυνη, και κάθε ανασκόπηση που την προσπερνά κάνει την επόμενη ευκολότερη να την προσπεράσει επίσης. Το κόστος είναι αόρατο μέχρι ένας έλεγχος να ρωτήσει γιατί ένα ιδιωτικό εύρος εξαιρείται, και τότε η απάντηση είναι ένα σήκωμα των ώμων.

Το αρχείο πρέπει να είναι αρκετά σύντομο ώστε οι άνθρωποι να το γράφουν πράγματι μέσα στο παράθυρο αλλαγών. Μια γραμμή για την κίνηση, μία για την απαίτηση που εξυπηρετεί.

Γράφοντας το εύρος ως κίνηση

Καταγράψτε την εφαρμογή ή το εύρος προορισμού, τις οικογένειες διευθύνσεων που εμπλέκονται, την υπηρεσία και τη θύρα, και το δικτυακό περιβάλλον στο οποίο ισχύει ο κανόνας, και στη συνέχεια ονομάστε τον εγκρίνοντα και την ακριβή ρύθμιση πελάτη ή πλατφόρμας που τη φέρει. «Εκτυπωτής» είναι μια πρόθεση· «TCP 631 προς 192.168.1.50, μόνο οικιακό δίκτυο» είναι ένα εύρος που μπορεί κάποιος να επαληθεύσει. Αν η απάντηση στο «πού ζει αυτό» είναι «κάπου στο προφίλ MDM», το αρχείο δεν έχει τελειώσει. Μια διαδρομή αρχείου, ένα όνομα προφίλ ή ένα κλειδί μητρώου υπερτερεί μιας περιγραφής για το πού μπορεί να βρίσκεται η ρύθμιση.

Όπου η πλατφόρμα υποστηρίζει κανόνες ανά εφαρμογή, προτιμήστε τους από τα εύρη διευθύνσεων, επειδή το να επιτρέπεται σε μία εφαρμογή να παρακάμπτει το τούνελ είναι στενότερο από το να εξαιρείται ολόκληρο ένα ιδιωτικό υποδίκτυο και επιβιώνει όταν η συσκευή μετακινείται σε νέα διεύθυνση. Ο οδηγός VpnService του Android περιγράφει αυτό το μοντέλο ανά εφαρμογή· οι πελάτες υπολογιστή εκφράζουν την ίδια ιδέα μέσα από τις δικές τους ρυθμίσεις προφίλ. Οι εξαιρέσεις με βάση τη διεύθυνση είναι η εφεδρική λύση όταν η πλατφόρμα δεν προσφέρει τίποτα στενότερο, γι’ αυτό χρειάζονται μια πιο ακριβή γραμμή εύρους.

Τέσσερα είδη εξαίρεσης, τέσσερις κίνδυνοι αφαίρεσης

Οι εξαιρέσεις δεν είναι μία κατηγορία, και η αφαίρεσή τους έχει διαφορετικές συνέπειες. Το να μοιράζονται δύο είδη μία γραμμή είναι ο τρόπος με τον οποίο η απόσυρση ενός εκτυπωτή αποσύρει και τη δυνατότητα σύνδεσης.

Κρατήστε τις εξαιρέσεις bootstrap, πύλης, συσκευής και εφαρμογής σε ξεχωριστές γραμμές ακόμη και όταν στην πράξη επικαλύπτονται. Μια εξαίρεση ιδιωτικού εύρους παραχωρεί σιωπηρά σε κάθε γείτονα σε εκείνο το υποδίκτυο αντί στη μία συσκευή που θέλατε να φτάσετε, και αυτή είναι η διαφορά ανάμεσα σε ένα εύρος που μπορείτε να υπερασπιστείτε και σε ένα που απλώς ελπίζετε.

Τι κάνει η παράκαμψη όταν πέσει το τούνελ

Κάντε τρεις ερωτήσεις και γράψτε τις απαντήσεις, επειδή καθορίζουν αν το κλείδωμα είναι πραγματικό. Παραμένει η εξαίρεση χρησιμοποιήσιμη όταν πέσει το τούνελ: για μια captive portal πρέπει, αλλιώς κανείς δεν μπορεί ποτέ να συνδεθεί, ενώ για έναν ιδιωτικό πόρο συνήθως δεν πρέπει, αλλιώς η πολιτική είναι διακοσμητική. Ισχύει σε κάθε δίκτυο ή μόνο στο προβλεπόμενο περιβάλλον, αφού ένας κανόνας περιορισμένος στο οικιακό υποδίκτυο συμπεριφέρεται πολύ διαφορετικά σε ένα δημόσιο δίκτυο που τυχαίνει να χρησιμοποιεί το ίδιο εύρος. Κάθε απάντηση αλλάζει και τον κανόνα και τη σημείωση, οπότε μια ερώτηση που μένει αναπάντητη είναι μια απόφαση που κάποιος άλλος θα πάρει λάθος αργότερα.

Η τρίτη ερώτηση είναι τι συμβαίνει όταν ο προορισμός αλλάζει διεύθυνση, όπου οι εξαιρέσεις με βάση το domain και με βάση τη διεύθυνση αποκλίνουν. Οι κανόνες με βάση το domain εξαρτώνται από το πότε γίνεται η επίλυση και από το πώς ο πελάτης εφαρμόζει το αποτέλεσμα, οπότε μπορούν να πάψουν σιωπηλά να ταιριάζουν μετά από μια αλλαγή που φαίνεται άσχετη, και η αποτυχία μοιάζει με χαλασμένο VPN παρά με ξεπερασμένη εξαίρεση.

Δοκιμάστε, επαναδοκιμάστε και γράψτε το βήμα αφαίρεσης

Γράψτε μία ακίνδυνη δοκιμή για την επιτρεπόμενη διαδρομή και μία κοντινή περίπτωση άρνησης: η σελίδα του εκτυπωτή φορτώνει και ο κοινόχρηστος φάκελος στο ίδιο υποδίκτυο δεν φορτώνει. Αυτό το ζεύγος αποδεικνύει ότι η εξαίρεση είναι στενή, και είναι το ζεύγος που μπορεί να επαναλάβει ένας ελεγκτής χωρίς να κατανοεί το αρχικό αίτημα. Έπειτα ορίστε τα εναύσματα επαναδοκιμής, επειδή μια εξαίρεση που δεν επαναδοκιμάζεται ποτέ απομακρύνεται από την απαίτηση για την οποία γράφτηκε, και η απόκλιση μένει αόρατη μέχρι να χαλάσει κάτι.

Τέλος, καταγράψτε πώς να αφαιρέσετε τον κανόνα μέσω του στοιχείου που τον κατέχει, και κρατήστε τα μυστικά έξω από τη σημείωση. Η περιγραφή μιας υπηρεσίας και μιας διαδρομής δεν απαιτεί ποτέ ιδιωτικό κλειδί, κωδικό πρόσβασης ή ιστορικό περιήγησης κάποιου, και μια σύντομη συντηρημένη λίστα υπερτερεί ενός προσωρινού κανόνα που επέζησε του ανθρώπου που τον έγραψε.