Comment documenter une exception au verrouillage VPN pour qu’elle puisse être supprimée

Les contournements dont l’objectif est parti avec leur auteur sont ceux qui survivent à leur utilité, et les politiques de verrouillage les collectionnent plus vite que tout autre type de configuration. Une exception écrite comme « autoriser le réseau local » est une règle que personne ne peut défendre et que personne ne peut retirer, parce que l’exigence qui la sous-tend est partie avec la personne qui l’a ajoutée. Ces politiques échouent en portant des exemptions dont la raison s’est évaporée alors que le risque restait. Le moment d’écrire la portée, le comportement en cas de panne et l’étape de suppression est le moment où vous ajoutez l’exception, tant que quelqu’un se souvient encore pourquoi.

Il s’agit d’une décision sur ce que la note doit contenir, pas d’un modèle à remplir. Les quatre champs ci-dessous sont ceux qui déterminent si un relecteur peut supprimer la règle un an plus tard sans réunion. Chacun existe parce que son absence a un coût prévisible.

Pourquoi un contournement non documenté n’est jamais retiré

Un contournement sans description ne peut pas être testé et ne peut donc pas être supprimé en toute sécurité. Il survit à chaque revue parce que la suppression semble risquée tandis que le maintien semble inoffensif, et chaque revue qui le laisse passer rend la suivante plus facile à laisser passer aussi. Le coût est invisible jusqu’à ce qu’un audit demande pourquoi une plage privée est exemptée, et d’ici là la réponse est un haussement d’épaules.

L’enregistrement doit être assez court pour que les gens l’écrivent réellement dans la fenêtre de changement. Une ligne pour le trafic, une pour l’exigence qu’il sert.

Écrire la portée comme du trafic

Énumérez l’application ou la plage de destination, les familles d’adresses concernées, le service et le port, et le contexte réseau dans lequel la règle s’applique, puis nommez l’approbateur et le réglage exact du client ou de la plateforme qui la porte. « Imprimante » est une intention ; « TCP 631 vers 192.168.1.50, réseau domestique uniquement » est une portée que quelqu’un peut vérifier. Si la réponse à « où vit cela » est « quelque part dans le profil MDM », l’enregistrement n’est pas terminé. Un chemin de fichier, un nom de profil ou une clé de registre vaut mieux qu’une description de l’endroit où le réglage pourrait se trouver.

Là où la plateforme prend en charge des règles par application, préférez-les aux plages d’adresses, car autoriser une application à contourner le tunnel est plus étroit que d’exempter tout un sous-réseau privé, et cela survit au déplacement de l’appareil vers une nouvelle adresse. Le guide VpnService d’Android décrit ce modèle par application ; les clients de bureau expriment la même idée via leurs propres réglages de profil. Les exemptions basées sur les adresses sont la solution de repli lorsque la plateforme n’offre rien de plus étroit, et c’est pourquoi elles ont besoin d’une ligne de portée plus précise.

Quatre types d’exception, quatre risques de suppression

Les exceptions ne forment pas une seule catégorie, et leur suppression entraîne des conséquences différentes. Partager une seule ligne entre deux types, c’est ainsi que retirer une imprimante retire aussi la capacité de se connecter.

Gardez les exceptions d’amorçage, de portail, d’appareil et d’application sur des lignes distinctes même lorsqu’elles se chevauchent en pratique. Une exemption de plage privée accorde silencieusement l’accès à chaque voisin de ce sous-réseau plutôt qu’à l’appareil unique que vous vouliez atteindre, et c’est la différence entre une portée que vous pouvez défendre et une dont vous espérez seulement qu’elle tient.

Ce que fait le contournement quand le tunnel tombe

Posez trois questions et écrivez les réponses, car elles décident si le verrouillage est réel. L’exception reste-t-elle utilisable quand le tunnel tombe : pour un portail captif elle doit l’être, sinon personne ne pourra jamais se connecter, alors que pour une ressource privée elle ne doit généralement pas l’être, sinon la politique est décorative. S’applique-t-elle sur tous les réseaux ou seulement dans l’environnement prévu, puisqu’une règle limitée au sous-réseau domestique se comporte très différemment sur un réseau public qui utilise par hasard la même plage. Chaque réponse change à la fois la règle et la note, donc une question laissée sans réponse est une décision que quelqu’un d’autre prendra mal plus tard.

La troisième question est ce qui se passe quand la destination change d’adresse, où les exemptions basées sur le domaine et sur l’adresse divergent. Les règles basées sur le domaine dépendent du moment où la résolution a lieu et de la façon dont le client applique le résultat, si bien qu’elles peuvent cesser de correspondre en silence après un changement qui semble sans rapport, et la panne ressemble à un VPN cassé plutôt qu’à une exemption périmée.

Testez, retestez et écrivez l’étape de suppression

Écrivez un test inoffensif pour le chemin autorisé et un cas refusé proche : la page de l’imprimante se charge et le partage de fichiers sur le même sous-réseau non. Cette paire prouve que l’exception est étroite, et c’est la paire qu’un relecteur peut répéter sans comprendre la demande d’origine. Réglez ensuite les déclencheurs de retest, car une exception jamais retestée s’éloigne de l’exigence pour laquelle elle a été écrite, et cet écart reste invisible jusqu’à ce que quelque chose casse.

Enfin, consignez comment supprimer la règle via le composant qui la possède, et gardez les secrets hors de la note. Décrire un service et une route n’exige jamais de clé privée, de mot de passe ni l’historique de navigation de qui que ce soit, et une courte liste maintenue vaut mieux qu’une règle temporaire qui a survécu à la personne qui l’a écrite.