Como documentar unha excepción do bloqueo de VPN para que se poida eliminar
Unha excepción que ninguén sabe describir é permanente. Rexistra o tráfico que permite, o requisito, o comportamento ante fallos e o compoñente que a elimina.
Os desvíos cuxo propósito marchou co seu autor son os que sobreviven á súa utilidade, e as políticas de bloqueo acumúlanos máis rápido que calquera outro tipo de configuración. Unha excepción escrita como «permitir a rede local» é unha regra que ninguén pode defender e ninguén pode retirar, porque o requisito que a sustenta marchou coa persoa que a engadiu. Esas políticas fallan porque arrastran exencións cuxa razón se evaporou mentres o risco quedou. O momento de escribir o alcance, o comportamento ante fallos e o paso de eliminación é o momento en que engades a excepción, mentres alguén aínda recorda por que.
Isto é unha decisión sobre o que debe conter a nota, non un modelo que encher. Os catro campos de abaixo son os que deciden se un revisor pode eliminar a regra un ano despois sen unha reunión. Cada un existe porque a súa ausencia ten un custo previsible.
Por que un desvío sen documentar nunca se retira
Un desvío sen descrición non se pode probar e, polo tanto, non se pode eliminar con seguridade. Sobrevive a cada revisión porque borrar parece arriscado mentres que conservar parece inofensivo, e cada revisión que o pasa por alto fai que a seguinte tamén sexa máis fácil de pasar por alto. O custo é invisible ata que unha auditoría pregunta por que un rango privado está exento, e daquela a resposta é un encollemento de ombros.
O rexistro ten que ser o bastante curto para que a xente o escriba de verdade na xanela de cambio. Unha liña para o tráfico, unha para o requisito ao que serve.
Escribir o alcance como tráfico
Enumera a aplicación ou o rango de destino, as familias de enderezos implicadas, o servizo e o porto, e o contexto de rede no que se aplica a regra; despois nomea o aprobador e a configuración exacta do cliente ou da plataforma que a soporta. «Impresora» é unha intención; «TCP 631 a 192.168.1.50, só rede doméstica» é un alcance que alguén pode verificar. Se a resposta a «onde vive isto» é «nalgún lugar do perfil MDM», o rexistro non está rematado. Unha ruta de ficheiro, un nome de perfil ou unha clave de rexistro vale máis que unha descrición de onde podería estar a configuración.
Onde a plataforma admite regras por aplicación, prefire esas aos rangos de enderezos, porque permitir que unha aplicación se salte o túnel é máis estreito que eximir toda unha subrede privada e sobrevive a que o dispositivo se mova a un enderezo novo. A guía de VpnService de Android describe ese modelo por aplicación; os clientes de escritorio expresan a mesma idea mediante os seus propios axustes de perfil. As exencións baseadas en enderezos son o recurso cando a plataforma non ofrece nada máis estreito, e por iso necesitan unha liña de alcance máis precisa.
Catro tipos de excepción, catro riscos de eliminación
As excepcións non son unha soa categoría, e eliminalas ten consecuencias distintas. Compartir unha soa liña entre dous tipos é a forma en que retirar unha impresora tamén retira a capacidade de conectarse.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Mantén as excepcións de arranque, portal, dispositivo e aplicación en liñas separadas aínda que na práctica se solapen. Unha exención de rango privado concede en silencio acceso a cada veciño desa subrede en lugar do único dispositivo que querías alcanzar, e esa é a diferenza entre un alcance que podes defender e outro no que só confías.
Que fai o desvío cando cae o túnel
Fai tres preguntas e escribe as respostas, porque deciden se o bloqueo é real. A excepción segue sendo utilizábel cando cae o túnel: nun portal cativo debe selo, ou ninguén poderá iniciar sesión nunca, mentres que nun recurso privado normalmente non debe selo, ou a política é decorativa. Aplícase en todas as redes ou só na contorna prevista, xa que unha regra limitada á subrede doméstica compórtase moi distinto nunha rede pública que casualmente usa o mesmo rango. Cada resposta cambia tanto a regra como a nota, así que unha pregunta sen responder é unha decisión que outra persoa tomará mal máis adiante.
A terceira pregunta é que ocorre cando o destino cambia o seu enderezo, onde as exencións baseadas en dominio e en enderezo diverxen. As regras baseadas en dominio dependen de cando se produce a resolución e de como o cliente aplica o resultado, así que poden deixar de coincidir en silencio tras un cambio que parece non relacionado, e o fallo parece un VPN roto máis que unha exención obsoleta.
Proba, volve probar e escribe o paso de eliminación
Escribe unha proba inofensiva para a ruta permitida e un caso denegado próximo: a páxina da impresora carga e o recurso compartido de ficheiros na mesma subrede non. Ese par demostra que a excepción é estreita, e é o par que un revisor pode repetir sen entender a solicitude orixinal. Despois fixa os disparadores de nova proba, porque unha excepción que nunca se volve probar afástase do requisito para o que se escribiu, e ese afastamento permanece invisible ata que algo se rompe.
Por último, rexistra como eliminar a regra mediante o compoñente que a posúe, e mantén os segredos fóra da nota. Describir un servizo e unha ruta nunca require unha clave privada, un contrasinal nin o historial de navegación de ninguén, e unha lista breve e mantida supera a unha regra temporal que sobreviviu á persoa que a escribiu.