איך לתעד חריגה מנעילת VPN כך שניתן יהיה להסיר אותה

עקיפות שתכליתן הלכה עם מחברן הן אלה ששורדות את התועלת שלהן, ומדיניות נעילה אוספת אותן מהר יותר מכל סוג תצורה אחר. חריגה שנכתבה כ״אפשר רשת מקומית״ היא כלל שאיש אינו יכול להגן עליו ואיש אינו יכול לפרוש ממנו, מפני שהדרישה שמאחוריו הלכה עם האדם שהוסיף אותו. מדיניות כזו נכשלת משום שהיא נושאת פטורים שסיבתם התאדתה והסיכון נשאר. הרגע לכתוב את ההיקף, את התנהגות הכשל ואת שלב ההסרה הוא הרגע שבו מוסיפים את החריגה, כל עוד מישהו עדיין זוכר מדוע.

זו החלטה על מה שהפתק חייב להכיל, לא תבנית למילוי. ארבעת השדות שלמטה הם אלה שקובעים אם סוקר יוכל להסיר את הכלל שנה לאחר מכן בלי פגישה. כל אחד מהם קיים מפני שהיעדרו עולה מחיר צפוי.

למה עקיפה לא מתועדת לעולם אינה נפרשת

עקיפה בלי תיאור אינה ניתנת לבדיקה ולכן אינה ניתנת להסרה בטוחה. היא שורדת כל סקירה מפני שמחיקה נראית מסוכנת בעוד שהשארה נראית בלתי מזיקה, וכל סקירה שמדלגת עליה הופכת את הבאה לקלה יותר לדילוג גם כן. המחיר בלתי נראה עד שביקורת שואלת למה טווח פרטי פטור, ואז התשובה היא משיכת כתפיים.

הרשומה חייבת להיות קצרה מספיק כדי שאנשים באמת ייכתבו אותה בחלון השינוי. שורה אחת לתעבורה, שורה אחת לדרישה שהיא משרתת.

לכתוב את ההיקף כתעבורה

פרטו את היישום או טווח היעד, את משפחות הכתובות המעורבות, את השירות והפורט, ואת הקשר הרשת שבו הכלל חל, ואז ציינו את המאשר ואת הגדרת הלקוח או הפלטפורמה המדויקת שנושאת אותו. ״מדפסת״ היא כוונה; ״TCP 631 אל 192.168.1.50, רשת ביתית בלבד״ הוא היקף שמישהו יכול לאמת. אם התשובה ל״איפה זה גר״ היא ״איפשהו בפרופיל ה-MDM״, הרשומה אינה שלמה. נתיב קובץ, שם פרופיל או מפתח רישום עדיפים על תיאור של היכן ההגדרה עשויה להיות.

כאשר הפלטפורמה תומכת בכללים לפי יישום, העדיפו אותם על פני טווחי כתובות, מפני שלאפשר ליישום אחד לעקוף את המנהרה צר יותר מלפטור תת-רשת פרטית שלמה, והוא שורד מעבר של המכשיר לכתובת חדשה. המדריך של VpnService ב-Android מתאר את המודל הזה לפי יישום; לקוחות שולחן העבודה מבטאים את אותו רעיון דרך הגדרות הפרופיל שלהם. פטורים מבוססי כתובות הם החלופה כאשר הפלטפורמה אינה מציעה דבר צר יותר, ולכן הם זקוקים לשורת היקף חדה יותר.

ארבעה סוגי חריגה, ארבעה סיכוני הסרה

חריגות אינן קטגוריה אחת, והסרתן נושאת השלכות שונות. שיתוף שורה אחת בין שני סוגים הוא הדרך שבה פרישה ממדפסת פורשת גם מהיכולת להתחבר.

החזיקו חריגות bootstrap, פורטל, מכשיר ויישום בשורות נפרדות גם כשהן חופפות בפועל. פטור של טווח פרטי מעניק בשקט גישה לכל שכן בתת-הרשת ההיא במקום למכשיר האחד שרציתם להגיע אליו, וזה ההבדל בין היקף שאפשר להגן עליו לבין היקף שמקווים שיחזיק.

מה העקיפה עושה כשהמנהרה נופלת

שאלו שלוש שאלות וכתבו את התשובות, מפני שהן קובעות אם הנעילה אמיתית. האם החריגה נשארת שמישה כשהמנהרה נופלת: בפורטל שבי היא חייבת, אחרת איש לא יוכל אי פעם להיכנס, ואילו במשאב פרטי היא בדרך כלל לא צריכה, אחרת המדיניות דקורטיבית. האם היא חלה בכל רשת או רק בסביבה המיועדת, שכן כלל שמוגבל לתת-הרשת הביתית מתנהג אחרת לגמרי ברשת ציבורית שבמקרה משתמשת באותו טווח. כל תשובה משנה גם את הכלל וגם את הפתק, ולכן שאלה שנשארת בלי תשובה היא החלטה שמישהו אחר יקבל אחר כך בטעות.

השאלה השלישית היא מה קורה כשהיעד מחליף את כתובתו, שם פטורים מבוססי דומיין ומבוססי כתובת מתפצלים. כללים מבוססי דומיין תלויים במועד שבו מתרחשת הפתרון ובאופן שבו הלקוח מיישם את התוצאה, ולכן הם יכולים בשקט להפסיק להתאים אחרי שינוי שנראה לא קשור, והכשל נראה כמו VPN שבור ולא כמו פטור מיושן.

בדקו, בדקו שוב, וכתבו את שלב ההסרה

כתבו בדיקה בלתי מזיקה אחת לנתיב המותר ומקרה נדחה סמוך: עמוד המדפסת נטען ושיתוף הקבצים באותה תת-רשת לא. הצמד הזה מוכיח שהחריגה צרה, והוא הצמד שסוקר יכול לחזור עליו בלי להבין את הבקשה המקורית. אחר כך קבעו את הטריגרים לבדיקה חוזרת, מפני שחריגה שלעולם אינה נבדקת מחדש מתרחקת מהדרישה שלשמה נכתבה, וההתרחקות נשארת בלתי נראית עד שמשהו נשבר.

לבסוף, תעדו כיצד להסיר את הכלל דרך הרכיב שמחזיק בו, והרחיקו סודות מהפתק. תיאור שירות ומסלול לעולם אינו דורש מפתח פרטי, סיסמה או היסטוריית גלישה של מישהו, ורשימה קצרה ומתוחזקת עדיפה על כלל זמני שהאריך ימים יותר מהאדם שכתב אותו.