Split-tunneldamine versus ettevõtte poliitika: milline reegel võidab

Ühe rakenduse märkimine split-tunneli kliendis tundub kohaliku eelistusena, kuid hallatud seadmes on see pigem poliitika muutmine. Erand viib liikluse heakskiidetud teelt kõrvale, mis võib olla sama tee, mida mööda käivad hallatav DNS, filtreerimine ja teenuse tuvastatav lähteaadress. Klient ei käitu valesti, kui see teie muudatuse tagasi pöörab; juurutus teeb oma tööd.

Enne kui märkeruudu üle vaidlete, tehke kindlaks, millist omadust poliitika kaitsta tahab.

Reegli taga olev omadus

Mõned juurutused suunavad kõik, et kogu liiklus läbiks heakskiidetud lüüsi. Teistele loeb nimede lahendamine ja nad hoiavad päringud ettevõtte resoluuteril, mitte kohaliku võrgu omal. Kolmandad vajavad püsivat lähteaadressi, et siseetendused saaksid otsustada, kas üldse vastata.

Neljas rühm kehtestab lõpp-punkti seisundi: ketta krüpteerimise olek, paikade tase, agendi tervis. Tunneli jagamine seda ei muuda, samas kui möödaviik, mis väldib agendi enda liiklust, võib muuta.

Need on neli erinevat nõuet ja igaüht rikub erinev erand. Lugege nõuet enne muudatuse pakkumist, sest selle kirjutaja oskab kohe öelda, milline kehtib. Muudatus, mis rahuldab vale nõude, ei osta midagi.

Kaks väidet tasub varakult kõrvale jätta. Täistunnel ei anna administraatoritele iga lihtteksti lehekülge, sest nähtavuse otsustavad rakenduste krüpteerimine ja lõpp-punkti kontrollid. Ka split-tunneldamine ei ole üldiselt ebaturvaline, sest hallatav DNS, rakendusepõhised poliitikad ja lõpp-punkti agendid võivad kehtida sõltumata marsruudist.

Tehke kontrollid järjekorras

Allolev järjekord kitsendab erandi väikseima asjani, mis tegelikult ebaõnnestus. Peatuge esimese kontrolli juures, mis ei pea, sest hilisem parandus ei korva varasemat lünka.

Küsige, milline liiklus jätab nüüd heakskiidetud lüüsi vahele, seejärel kinnitage, et nimede lahendamine jõuab endiselt ettevõtte resoluuterini. Kontrollige, kas kõnealune rakendus austab hädaseiskajat või kulutas ebaõnnestunud katse otseteel. Seejärel vaadake jagatud teenuseid: dokumendivaatur või värskendusmaakler võib erandi kanda kaugemale, kui märkeruut vihjab. Lõpuks märkige, kas poliitika rakendub uuesti ühendamisel, sest see käitumine otsustab, kas mõni kohalik muudatus jääb püsima.

Iga vastus on fakt ja eranditaotlusele on vaja fakte. Vaielus selle üle, kas VPN on tüütu, ei ole üks neist. Kirjutage vastused üles enne vestluse algust.

Taotlege kitsast erandit

Teatage rakendus, sihtkoht ja ebaõnnestunud toiming selles järjekorras. Taotlust jätta üks värskendaja otsele on võimalik üle vaadata; taotlust tunnelist mööda minna kogu brauseri jaoks ei ole.

Kirjeldage, mida olete juba proovinud ja mida logid näitasid, ning adresseerige see profiili omavale meeskonnale, mitte sellele, kes kliendituge vastab. Hallatud seadmes saab profiili omanik tavaliselt luua toetatud erandi, mis jääb värskendustest alles, kohalik marsruudimuudatus seda ei suuda.

Kui vastus on ei, käsitlege seda disainiotsusena, mitte takistusena, millest mööda minna. Järgmine ülevaatus on koht selle uuesti avamiseks, ebaõnnestunud toiming dokumenteeritud ja äripõhjus lisatud. Sellest mööda minnes riskite rohkem, kui erand kunagi väärt oli.

Tehke erand kestvaks

Pärast heakskiidetud muudatust kinnitage osad, mis varem töötasid, mitte ainult see osa, mis oli katki. Sisenimed peaksid endiselt lahenema ettevõtte resoluuteri kaudu, privaatsed ressursid vastama ja varem ebaõnnestunud ülesanne nüüd lõpule jõudma.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Esimene käsk tõestab, et resoluuter vastab endiselt sisemisele sufiksile, ja teine, et päring jõuab praeguselt marsruudilt siseetenduseni. Käivitage need uuesti pärast ühenduse taastamist, sest poliitika tõuge võib vaikselt tagasi võtta muudatuse, mis testi ajal stabiilne tundus. Kaks rida väljundit, mis pileti juurde salvestatakse, sulgevad ringi. Ilma nendeta toetub erand kellegi mälestusele lehest, mis üks kord laadus.

Kirjutage erand, selle eesmärk ja hõlmatud komponendid üles samasse kohta kui juurutamise märkmed. Dokumenteerimata erand muutub järgmise kvartali vahejuhtumiks ja dokumenteeritud erand tõendiks, et disain talub tegelikku töökoormust.