Διαχωρισμός σήραγγας έναντι εταιρικής πολιτικής: ποιος κανόνας επικρατεί

Το τσεκάρισμα μιας εφαρμογής σε έναν πελάτη διαχωρισμού σήραγγας μοιάζει με τοπική προτίμηση, και σε μια διαχειριζόμενη συσκευή είναι πιο κοντά σε αλλαγή πολιτικής. Η εξαίρεση μετακινεί την κίνηση εκτός της εγκεκριμένης διαδρομής, που μπορεί να είναι η ίδια διαδρομή που μεταφέρει το διαχειριζόμενο DNS, το φιλτράρισμα και τη διεύθυνση προέλευσης που αναγνωρίζει μια υπηρεσία. Ο πελάτης δεν συμπεριφέρεται λάθος όταν αναιρεί την αλλαγή σας, η ανάπτυξη κάνει τη δουλειά της.

Πριν διαφωνήσετε για το πλαίσιο ελέγχου, βρείτε ποια ιδιότητα υπάρχει η πολιτική για να προστατεύσει.

Η ιδιότητα πίσω από τον κανόνα

Ορισμένες αναπτύξεις δρομολογούν τα πάντα ώστε όλη η κίνηση να περνά από μια εγκεκριμένη πύλη. Άλλες νοιάζονται για την επίλυση ονομάτων και κρατούν τα ερωτήματα στον εταιρικό resolver αντί για αυτόν του τοπικού δικτύου. Άλλες χρειάζονται σταθερή διεύθυνση προέλευσης ώστε οι εσωτερικές υπηρεσίες να μπορούν να αποφασίσουν αν θα απαντήσουν καθόλου.

Μια τέταρτη ομάδα επιβάλλει τη στάση του τελικού σημείου: κατάσταση κρυπτογράφησης δίσκου, επίπεδο ενημερώσεων, υγεία του agent. Ο διαχωρισμός της σήραγγας δεν το αλλάζει, ενώ μια παράκαμψη που αποφεύγει την κίνηση του ίδιου του agent μπορεί.

Αυτές είναι τέσσερις διαφορετικές απαιτήσεις και καθεμία παραβιάζεται από διαφορετική εξαίρεση. Διαβάστε την απαίτηση πριν προτείνετε την αλλαγή, γιατί όποιος τη συνέταξε μπορεί να σας πει αμέσως ποια ισχύει. Μια αλλαγή που ικανοποιεί τη λάθος δεν αγοράζει τίποτα.

Δύο ισχυρισμοί αξίζει να απορριφθούν νωρίς. Η πλήρης σήραγγα δεν δίνει στους διαχειριστές κάθε σελίδα σε απλό κείμενο, γιατί η κρυπτογράφηση εφαρμογών και οι έλεγχοι τελικών σημείων καθορίζουν τι φαίνεται. Ο διαχωρισμός σήραγγας δεν είναι ούτε καθολικά ανασφαλής, γιατί το διαχειριζόμενο DNS, οι πολιτικές ανά εφαρμογή και οι agents τελικών σημείων μπορούν να ισχύουν ανεξάρτητα από τη διαδρομή.

Εκτελέστε τους ελέγχους με σειρά

Η παρακάτω ακολουθία περιορίζει μια εξαίρεση στο μικρότερο πράγμα που πράγματι απέτυχε. Σταματήστε στον πρώτο έλεγχο που δεν ισχύει, γιατί μια μεταγενέστερη διόρθωση δεν μπορεί να αναπληρώσει ένα προγενέστερο κενό.

Ρωτήστε ποια κίνηση χάνει τώρα την εγκεκριμένη πύλη και μετά επιβεβαιώστε ότι η επίλυση ονομάτων φτάνει ακόμα στον εταιρικό resolver. Ελέγξτε αν η εν λόγω εφαρμογή σέβεται διακόπτη ασφαλείας ή αν ξόδεψε την αποτυχημένη προσπάθεια σε άμεση διαδρομή. Μετά κοιτάξτε τις κοινόχρηστες υπηρεσίες: ένας προβολέας εγγράφων ή ένας μεσολαβητής ενημερώσεων μπορεί να μεταφέρει την εξαίρεση πιο μακριά από ό,τι υπονοεί το πλαίσιο ελέγχου. Τέλος, σημειώστε αν η πολιτική εφαρμόζεται ξανά κατά την επανασύνδεση, γιατί αυτή η συμπεριφορά καθορίζει αν επιβιώνει οποιαδήποτε τοπική αλλαγή.

Κάθε απάντηση είναι γεγονός, και τα γεγονότα είναι αυτό που χρειάζεται ένα αίτημα εξαίρεσης. Μια συζήτηση για το αν το VPN ενοχλεί δεν είναι ένα από αυτά. Γράψτε τις απαντήσεις πριν αρχίσει η συνομιλία.

Ζητήστε μια στενή εξαίρεση

Αναφέρετε την εφαρμογή, τον προορισμό και τη λειτουργία που απέτυχε, με αυτή τη σειρά. Ένα αίτημα να μείνει ένας ενημερωτής στην άμεση διαδρομή είναι αξιολογήσιμο, ένα αίτημα να παρακαμφθεί η σήραγγα για ολόκληρο τον περιηγητή δεν είναι.

Περιγράψτε τι έχετε ήδη δοκιμάσει και τι έδειξαν τα αρχεία καταγραφής, και απευθύνετέ το στην ομάδα που κατέχει το προφίλ αντί σε όποιον απαντά στην υπηρεσία υποστήριξης. Σε μια διαχειριζόμενη συσκευή ο κάτοχος του προφίλ συνήθως μπορεί να δημιουργήσει μια υποστηριζόμενη εξαίρεση που επιβιώνει από ενημερώσεις, ενώ μια τοπική αλλαγή διαδρομής δεν μπορεί.

Αν η απάντηση είναι όχι, αντιμετωπίστε το ως απόφαση σχεδιασμού και όχι ως εμπόδιο προς παράκαμψη. Η επόμενη αναθεώρηση είναι το μέρος για να το ανοίξετε ξανά, με την αποτυχημένη λειτουργία τεκμηριωμένη και τον επιχειρηματικό λόγο συνημμένο. Το να το παρακάμπτετε ρισκάρει περισσότερα από όσα άξιζε ποτέ η εξαίρεση.

Κάντε την εξαίρεση βιώσιμη

Μετά από μια εγκεκριμένη αλλαγή, επιβεβαιώστε τα μέρη που δούλευαν πριν, όχι μόνο το μέρος που ήταν σπασμένο. Τα εσωτερικά ονόματα πρέπει να επιλύονται ακόμα μέσω του εταιρικού resolver, οι ιδιωτικοί πόροι να απαντούν, και η προηγουμένως αποτυχημένη εργασία να ολοκληρώνεται τώρα.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Η πρώτη εντολή αποδεικνύει ότι ο resolver απαντά ακόμα για ένα εσωτερικό επίθημα, και η δεύτερη ότι ένα αίτημα φτάνει στην εσωτερική υπηρεσία από την τρέχουσα διαδρομή. Εκτελέστε τις ξανά μετά από επανασύνδεση, γιατί μια ώθηση πολιτικής μπορεί να ακυρώσει σιωπηλά μια αλλαγή που φαινόταν σταθερή στη δοκιμή. Δύο γραμμές εξόδου αποθηκευμένες με το δελτίο κλείνουν τον κύκλο. Χωρίς αυτές, η εξαίρεση στηρίζεται στη μνήμη κάποιου για μια σελίδα που φόρτωσε μία φορά.

Καταγράψτε την εξαίρεση, τον σκοπό της και τα στοιχεία που καλύπτει στο ίδιο μέρος με τις σημειώσεις ανάπτυξης. Μια ατεκμηρίωτη εξαίρεση γίνεται το περιστατικό του επόμενου τριμήνου, και μια τεκμηριωμένη γίνεται απόδειξη ότι ο σχεδιασμός αντέχει πραγματικό φόρτο εργασίας.