Hoe dokumintearje jo in útsûndering op de VPN-ôfsluting sadat dy fuorthelle wurde kin
In útsûndering dy’t nimmen beskriuwe kin, is permanint. Registrearje it ferkear dat it talit, de eask, it gedrach by fouten en it ûnderdiel dat it fuorthellet.
Omweiïngs wêrfan it doel mei har auteur fuortgien is, binne dejingen dy’t har nut oerlibje, en ôfslutingsbelied sammelt se rapper as hokker oarsoartige konfiguraasje ek. In útsûndering skreaun as “lokaal netwurk tastean” is in regel dy’t nimmen ferdigenje kin en nimmen ôfskaffe kin, om’t de eask derachter fuortgien is mei de persoan dy’t it tafoege. Sok belied mislearret troch frijstellings te dragen wêrfan’t de reden ferdampe is wylst it risiko bleau. It momint om de omfang, it gedrach by fouten en de fuorthelstap te skriuwen is it momint dat jo de útsûndering tafoegje, wylst immen noch wit wêrom.
Dit is in beslút oer wat de notysje befetsje moat, net in yn te foljen sjabloan. De fjouwer fjilden hjirûnder binne dejingen dy’t beslute oft in resinsint de regel in jier letter sûnder gearkomste fuorthelje kin. Elk bestiet om’t it ûntbrekken derfan in foarsisbere kosten hat.
Wêrom in net-dokumintearre omweiïng nea ôfskaft wurdt
In omweiïng sûnder beskriuwing kin net test wurde en dêrom net feilich fuorthelle wurde. It oerlibbet elke beoardieling om’t fuortheljen riskant liket wylst behâlden harmless liket, en elke beoardieling dy’t der oerhinne giet makket de folgjende ek makliker om der oerhinne te gean. De kosten binne ûnsichtber oant in audit freget wêrom’t in privee berik frijsteld is, en dan is it antwurd in skouderophalen.
It record moat koart genôch wêze dat minsken it echt skriuwe yn it feroaringsfinster. Ien rigel foar it ferkear, ien foar de eask dy’t it tsjinnet.
De omfang as ferkear skriuwe
Lis de applikaasje of it bestimmingsberik, de belutsen adresfamyljes, de tsjinst en poarte, en de netwurk-kontekst wêryn’t de regel jildt op, neam dan de goedkarmer en de krekte klant- of platfoarmynstelling dy’t it draacht. “Printer” is in bedoeling; “TCP 631 nei 192.168.1.50, allinnich thúsnetwurk” is in omfang dy’t immen ferifiearje kin. As it antwurd op “wêr wennet dit” “earne yn it MDM-profil” is, is it record net klear. In bestandspaad, in profylnamme of in registerkaai is better as in beskriuwing fan wêr’t de ynstelling wêze kin.
Wêr’t it platfoarm regels per applikaasje stipet, foarkom se boppe adresberikken, om’t it tastean fan ien applikaasje om de tunnel te omgean smeller is as it frijstellen fan in hiel privee subnet en it oerlibbet it ferpleatsen fan it apparaat nei in nij adres. De VpnService-gids fan Android beskriuwt dat model per applikaasje; de desktopklanten uterje itselde idee fia har eigen profylynstellingen. Frijstellings op basis fan adressen binne de efterfalopsje as it platfoarm neat smellers biedt, en dêrom hawwe se in skerpere omfangsrigel nedich.
Fjouwer soarten útsûnderings, fjouwer risiko’s by fuortheljen
Útsûnderings binne net ien kategory, en it fuortheljen derfan hat ferskate gefolgen. Ien rigel diele tusken twa soarten is hoe’t it ôfskaffen fan in printer ek it fermogen om te ferbinen ôfskaf.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Hâld bootstrap-, portal-, apparaat- en applikaasje-útsûnderings op aparte rigels, sels as se yn ’e praktyk oerlaapje. In frijstelling fan in privee berik jout stilwei tagong oan elke buorman yn dat subnet ynstee fan it iene apparaat dat jo berikke woenen, en dat is it ferskil tusken in omfang dy’t jo ferdigenje kinne en ien dêr’t jo mar op hoopje.
Wat de omweiïng docht as de tunnel falt
Stel trije fragen en skriuw de antwurden op, want se beslute oft de ôfsluting echt is. Bliuwt de útsûndering brûkber as de tunnel falt: foar in captive portal moat it, oars kin nimmen ea oanmelde, wylst it foar in privee boarne meastentiids net moat, oars is it belied dekoratyf. Jildt it op elk netwurk of allinnich yn ’e bedoelde omjouwing, om’t in regel dy’t ta it thús-subnet beheind is hiel oars gedraacht op in iepenbier netwurk dat tafallich itselde berik brûkt. Elk antwurd feroaret sawol de regel as de notysje, dus in fraach sûnder antwurd is in beslút dat immen oars letter ferkeard nimt.
De tredde fraach is wat der bart as it bestimming syn adres feroaret, wêr’t frijstellings op basis fan domein en op basis fan adres útinoar rinne. Regels op basis fan domein hingje ôf fan wannear’t de resolúsje bart en hoe’t de klant it resultaat tapast, sadat se stilwei ophâlde kinne mei oerienkommen nei in feroaring dy’t net besibbe liket, en de flater liket op in stikken VPN ynstee fan in ferâldere frijstelling.
Test, test opnij, en skriuw de fuorthelstap
Skriuw ien harmless test foar it tastiene paad en ien tichtby lizzend wegere gefal: de printerside laadt en de bestanddieling op itselde subnet net. Dat pear bewiist dat de útsûndering smel is, en it is it pear dat in resinsint werhelje kin sûnder it oarspronklike fersyk te begripen. Stel dêrnei de triggers foar opnij testen yn, om’t in útsûndering dy’t nea opnij test wurdt fan ’e eask dêr’t se foar skreaun is ôfdriuwt, en de ôfdriuwing bliuwt ûnsichtber oant der wat brekt.
Registrearje ta slot hoe’t de regel fuorthelle wurdt fia it ûnderdiel dat him besit, en hâld geheimen bûten de notysje. It beskriuwen fan in tsjinst en in rûte freget nea om in privee kaai, in wachtwurd of immen syn browshistoarje, en in koarte ûnderholden list is better as in tydlike regel dy’t de persoan dy’t him skreau oerlibbe.