Rakendusepõhised VPN-i erandid katkevad, kui andmeid toob jagatud teenus

Välistate VPN-ist ühe rakenduse ja sellel vajalik allalaadimine ikka ebaõnnestub, või hullem, see hakkab tööle ja midagi mitteseotut lakkab töötamast. Nähtav aken ei ole tingimata protsess, mis iga ühenduse avab: rakendus võib töö üle anda abilisele, taustal töötavale ülekandeteenusele või hoopis teisele paketile. Seetõttu vajab rakendusepõhine reegel platvormi tegelikku identiteedimudelit, mitte tuttavat käivitaja failinime. Alljärgnevad kontrollid algavad vaatlusest ja jõuavad tagasi selle juurde, kes päringu tegelikult tegi.

Nendes piletites läheb tavaliselt korraga valesti kaks asja: välistatakse vale komponent ja erandit ei kitsendata hiljem kunagi.

Leidke protsess, mitte aken

Korrake ebaõnnestunud toimingut ja tuvastage protsess või pakett, millele ühendus kuulub, selle toimumise ajal. Windowsis on see teine küsimus kui see, millisel aknal on fookus, sest taustal toimuvat ülekannet võib vahendada teenus, mis töötab oma identiteedi all. Linuxis ja macOS-is ilmneb sama jaotus abiprotsesside ja süsteemideemonitena.

Pange kirja kolm üksikasja: käivitatava faili või paketi identiteet, sihtkoht, millega see ühendust võttis, ja hetk töövoos, mil see juhtus. Alguses ebaõnnestuv allalaadimine on sageli teise komponendi metaandmete toomine kui poolel teel ebaõnnestuv allalaadimine. Üksnes see erinevus on tavaliselt piisav, et valida õige identiteet enne reegli puudutamist. Kui identiteet osutub rakenduse asemel teenuseks, muudab see üks fakt kogu reeglit, seega tehke see esimesena kindlaks.

Kui te ei saa protsessi jälgida, sest toiming on liiga lühike, korrake seda suurema kasuliku koormaga või aeglasema sihtkohaga. Eesmärk on üks korratav vaatlus, mitte teooria selle kohta, milline abiline on seotud.

Käsitlege DNS-i omaette teekonnana

Süsteemi nimeotsing ei pruugi välistatud rakendust üldse järgida, mistõttu välistatud brauser võib privaatsel hostinimel ikka ebaõnnestuda, kuigi selle liiklus on õigesti tunnelist väljas. Brauser oli välistatud; resolver mitte.

Kontrollige, mida platvorm DNS-iga teeb, kui rakendusepõhine reegel kehtib, ja kontrollige seda HTTP-päringust eraldi. Kui resolver on jagatud teenus, teenindab see seadme igat rakendust, seega on erandil, mida kaalute, palju laiem publik kui testitul.

Kirjutage üles, milline resolver vastas ja millise liidese kaudu. See üks vaatlus lahendab suure osa raportitest „rakendus on välistatud, kuid nimi ei lahene“, seega hoidke seda pileti juures.

Ärge laiendage jagatud abilist

Jagatud teenus teeb tööd mitme rakenduse jaoks, seega selle välistamine ühe töövoo parandamiseks muudab ka mitteseotud liiklust. Windowsi Background Intelligent Transfer Service on selle kuju hea näide: see on taristu, mida paljud rakendused saavad kasutada, ja selle identiteet ei ole ülekannet taotlenud rakenduse identiteet.

Kontrollige kliendi toetatud reeglimudelit ja organisatsiooni nõudeid enne selle erandi lisamist. Küsige, mis veel komponenti kasutab, ja kas reeglit, mida kavatsete kirjutada, saab väljendada sihtkohtade suhtes, mitte jagatud protsessi suhtes.

Kui nõuet ei saa üldse rakenduse piirina väljendada, võib sihtkohapõhine poliitika või muu heaks kiidetud lahendus olla mõistetavam ja turvalisem kui kasvav abiliste erandite loend.

Testige kogu töövoogu, mitte ebaõnnestuvat sammu

Pärast toetatud muudatust käivitage kavandatud ülesanne värske päringuga algusest lõpuni. Seejärel käivitage üks teine töövoog, mis kasutab jagatud komponenti, sest just seal kuulutab end lai möödaviik. Parandus, mis parandab esimese ja rikub vaikselt teise, ei ole parandus. Hoidke mõlemad tulemused piletil ja nimetage teine töövoog selgelt, et ülevaataja saaks seda korrata.

Hoidke test väike ja korratav: sama sihtkoht, sama konto, samad tingimused. Kui teine töövoog ei ole dokumenteeritud, küsige selle omanikult, millest see sõltub, enne kui otsustate, et muudatus on turvaline.

Jätke põhjus, mitte nimede loend

Dokumenteerige komponent, töövoog, mida see teenindab, ja põhjus, miks see välistati. Abiliste nimede loend ilma seotud eesmärgita muutub kahe väljalasketsükli jooksul hooldamatuks ja järgmine insener eemaldab koristamise käigus vale kirje.

Üks rida iga erandi kohta on piisav: mis ilma selleta katkeb, kes seda töövoogu omab ja millal seda viimati kontrolliti. Need kolm välja muudavad salapärase loendi poliitikaks, mida keegi suudab kaitsta.