Kuidas dokumenteerida VPN-luku erandit nii, et seda saaks eemaldada
Erand, mida keegi kirjeldada ei oska, on püsiv. Kirjuta üles liiklus, mida see lubab, nõue, rikke käitumine ja komponent, mis selle eemaldab.
Möödahiilimised, mille eesmärk lahkus koos oma autoriga, on need, mis elavad üle oma kasulikkuse, ja lukustuspoliitikad koguvad neid kiiremini kui ükski teine konfiguratsiooniliik. Erand, mis on kirjutatud kujul „luba kohalik võrk“, on reegel, mida keegi ei saa kaitsta ja mida keegi ei saa kasutusest kõrvaldada, sest selle taga olev nõue lahkus koos inimesega, kes selle lisas. Sellised poliitikad ebaõnnestuvad, kandes erandeid, mille põhjus aurustus, samal ajal kui risk jäi. Hetk, mil kirjutada ulatus, rikke käitumine ja eemaldamise samm, on hetk, mil te erandi lisate, kuni keegi veel mäletab, miks.
See on otsus selle kohta, mida märge peab sisaldama, mitte täidetav mall. Neli välja allpool on need, mis otsustavad, kas ülevaataja saab reegli aasta hiljem ilma koosolekuta eemaldada. Igaüks neist on olemas, sest selle puudumisel on prognoositav hind.
Miks dokumenteerimata möödahiilimist kunagi ei kõrvaldata
Kirjelduseta möödahiilimist ei saa testida ja seetõttu ei saa seda ohutult eemaldada. See elab üle iga ülevaatuse, sest kustutamine tundub riskantne, samas kui allesjätmine tundub kahjutu, ja iga ülevaatus, mis sellest mööda läheb, muudab ka järgmise möödamineku lihtsamaks. Hind on nähtamatu, kuni audit küsib, miks privaatne vahemik on vabastatud, ja siis on vastuseks õlgade kehitamine.
Kirje peab olema piisavalt lühike, et inimesed seda muudatuste aknas tõesti kirjutaksid. Üks rida liikluse jaoks, üks nõude jaoks, mida see teenindab.
Ulatusest liiklusena kirjutamine
Loetle rakendus või sihtvahemik, asjassepuutuvad aadressiperekonnad, teenus ja port ning võrgukontekst, milles reegel kehtib, seejärel nimeta kinnitaja ja täpne kliendi- või platvormiseade, mis seda kannab. „Printer“ on kavatsus; „TCP 631 aadressile 192.168.1.50, ainult koduvõrk“ on ulatus, mida keegi saab kontrollida. Kui vastus küsimusele „kus see elab“ on „kusagil MDM-profiilis“, ei ole kirje valmis. Failitee, profiili nimi või registrivõti on parem kui kirjeldus sellest, kus seade võiks olla.
Kui platvorm toetab rakendusepõhiseid reegleid, eelista neid aadressivahemikele, sest ühe rakenduse lubamine tunnelist mööda minna on kitsam kui terve privaatse alavõrgu vabastamine ja see elab üle seadme liikumise uuele aadressile. Androidi VpnService’i juhend kirjeldab seda rakendusepõhist mudelit; töölauakliendid väljendavad sama ideed oma profiiliseadete kaudu. Aadressipõhised erandid on varuvariant, kui platvorm ei paku midagi kitsamat, mistõttu vajavad need teravamat ulatusrida.
Neli erandiliiki, neli eemaldamisriski
Erandid ei ole üks kategooria ja nende eemaldamisel on erinevad tagajärjed. Ühe rea jagamine kahe liigi vahel on viis, kuidas printeri kasutusest kõrvaldamine kõrvaldab ka ühenduse loomise võime.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Hoia bootstrap’i, portaali, seadme ja rakenduse erandid eraldi ridadel isegi siis, kui need praktikas kattuvad. Privaatse vahemiku erand annab vaikselt juurdepääsu igale naabrile selles alavõrgus, mitte ainult sellele ühele seadmele, mida te kavatsesite tabada, ja see on vahe selle vahel, mida saate kaitsta, ja selle vahel, mille peale te ainult loodate.
Mida möödahiilimine teeb, kui tunnel katkeb
Esitage kolm küsimust ja kirjutage vastused üles, sest need otsustavad, kas lukk on tõeline. Kas erand jääb kasutatavaks, kui tunnel katkeb: captive portaali puhul peab, muidu ei saa keegi kunagi sisse logida, samas kui privaatse ressursi puhul tavaliselt ei tohi, muidu on poliitika dekoratiivne. Kas see kehtib igas võrgus või ainult kavandatud keskkonnas, sest koduse alavõrguga piiratud reegel käitub avalikus võrgus, mis juhtumisi kasutab sama vahemikku, hoopis teisiti. Iga vastus muudab nii reeglit kui ka märget, nii et vastuseta jäetud küsimus on otsus, mille keegi teine teeb hiljem valesti.
Kolmas küsimus on, mis juhtub, kui sihtkoht muudab oma aadressi, kus domeenipõhised ja aadressipõhised erandid lahknevad. Domeenipõhised reeglid sõltuvad sellest, millal toimub nime lahendamine, ja sellest, kuidas klient tulemust rakendab, nii et need võivad pärast pealtnäha mitteseotud muudatust vaikselt lakkata sobimast, ja rike näeb välja nagu katkine VPN, mitte nagu aegunud erand.
Testi, testi uuesti ja kirjuta eemaldamise samm
Kirjuta üks kahjutu test lubatud tee jaoks ja üks lähedane keelatud juhtum: printeri leht laeb ja samas alavõrgus olev failijagamine ei lae. See paar tõestab, et erand on kitsas, ja see on paar, mida ülevaataja saab korrata ilma algset taotlust mõistmata. Seejärel määra kordustesti päästikud, sest erand, mida kunagi uuesti ei testita, triivib eemale nõudest, mille jaoks see kirjutati, ja triiv jääb nähtamatuks, kuni midagi katki läheb.
Lõpuks kirjuta üles, kuidas reeglit eemaldada selle omanikust komponendi kaudu, ja hoia saladused märkmest väljas. Teenuse ja marsruudi kirjeldamine ei nõua kunagi privaatvõtit, parooli ega kellegi brauseriajalugu, ja lühike hooldatud nimekiri on parem kui ajutine reegel, mis elas üle selle kirjutanud inimese.