Kako dokumentirati izuzetak od VPN zaključavanja tako da se može ukloniti

Zaobilaznice čija je svrha otišla sa svojim autorom one su koje nadžive svoju korisnost, a politike zaključavanja skupljaju ih brže od bilo koje druge vrste konfiguracije. Izuzetak napisan kao „dopusti lokalnu mrežu“ pravilo je koje nitko ne može braniti i nitko ne može ukinuti, jer je zahtjev iza njega otišao s osobom koja ga je dodala. Takve politike propadaju jer nose izuzeća čiji je razlog ispario dok je rizik ostao. Trenutak za pisanje opsega, ponašanja pri kvaru i koraka uklanjanja jest trenutak kada dodajete izuzetak, dok se netko još sjeća zašto.

Ovo je odluka o tome što bilješka mora sadržavati, a ne predložak za popunjavanje. Četiri polja ispod su ona koja odlučuju može li recenzent ukloniti pravilo godinu kasnije bez sastanka. Svako postoji jer njegova odsutnost ima predvidljivu cijenu.

Zašto nedokumentirana zaobilaznica nikada ne bude ukinuta

Zaobilaznica bez opisa ne može se testirati i stoga se ne može sigurno ukloniti. Preživljava svaki pregled jer brisanje izgleda rizično, a zadržavanje bezopasno, i svaki pregled koji je preskoči čini i sljedeći lakšim za preskakanje. Trošak je nevidljiv dok revizija ne pita zašto je privatni raspon izuzet, a tada je odgovor slijeganje ramenima.

Zapis mora biti dovoljno kratak da ga ljudi doista napišu u prozoru za promjene. Jedan redak za promet, jedan za zahtjev kojemu služi.

Pisanje opsega kao prometa

Navedite aplikaciju ili odredišni raspon, uključene obitelji adresa, uslugu i port te mrežni kontekst u kojem pravilo vrijedi, zatim navedite odobravatelja i točnu postavku klijenta ili platforme koja ga nosi. „Pisač“ je namjera; „TCP 631 do 192.168.1.50, samo kućna mreža“ opseg je koji netko može provjeriti. Ako je odgovor na „gdje ovo živi“ „negdje u MDM profilu“, zapis nije dovršen. Putanja datoteke, naziv profila ili ključ registra bolji je od opisa gdje bi postavka mogla biti.

Tamo gdje platforma podržava pravila po aplikaciji, dajte im prednost pred rasponima adresa, jer dopuštanje jednoj aplikaciji da zaobiđe tunel uže je od izuzimanja cijele privatne podmreže i preživljava premještanje uređaja na novu adresu. Androidov vodič za VpnService opisuje taj model po aplikaciji; desktop klijenti izražavaju istu ideju kroz vlastite postavke profila. Izuzeća zasnovana na adresama rezervna su opcija kada platforma ne nudi ništa uže, zbog čega im je potreban oštriji redak opsega.

Četiri vrste izuzetaka, četiri rizika uklanjanja

Izuzeci nisu jedna kategorija i njihovo uklanjanje nosi različite posljedice. Dijeljenje jednog retka između dviju vrsta način je na koji ukidanje pisača ukida i mogućnost povezivanja.

Držite izuzetke za bootstrap, portal, uređaj i aplikaciju na odvojenim retcima čak i kada se u praksi preklapaju. Izuzeće privatnog raspona tiho daje pristup svakom susjedu na toj podmreži umjesto jedinom uređaju koji ste namjeravali dosegnuti, i to je razlika između opsega koji možete braniti i onoga u koji se samo nadate.

Što zaobilaznica radi kada tunel padne

Postavite tri pitanja i zapišite odgovore, jer oni odlučuju je li zaključavanje stvarno. Ostaje li izuzetak upotrebljiv kada tunel padne: za captive portal mora, inače se nitko nikada ne može prijaviti, dok za privatni resurs obično ne smije, inače je politika dekorativna. Primjenjuje li se na svakoj mreži ili samo u predviđenom okruženju, jer pravilo ograničeno na kućnu podmrežu ponaša se posve drugačije na javnoj mreži koja slučajno koristi isti raspon. Svaki odgovor mijenja i pravilo i bilješku, pa je pitanje ostavljeno bez odgovora odluka koju će netko drugi kasnije donijeti pogrešno.

Treće pitanje je što se događa kada odredište promijeni svoju adresu, gdje se izuzeća zasnovana na domeni i na adresi razilaze. Pravila zasnovana na domeni zavise od toga kada se odvija razrješavanje i kako klijent primjenjuje rezultat, pa mogu tiho prestati podudarati se nakon promjene koja izgleda nepovezano, a kvar izgleda kao pokvaren VPN, a ne kao zastarjelo izuzeće.

Testirajte, ponovno testirajte i napišite korak uklanjanja

Napišite jedan bezopasan test za dopuštenu putanju i jedan obližnji odbijeni slučaj: stranica pisača se učita, a dijeljenje datoteka na istoj podmreži ne. Taj par dokazuje da je izuzetak uzak, i to je par koji recenzent može ponoviti bez razumijevanja prvotnog zahtjeva. Zatim postavite okidače za ponovno testiranje, jer izuzetak koji se nikada ne testira ponovno udaljava se od zahtjeva za koji je napisan, a to udaljavanje ostaje nevidljivo dok se nešto ne pokvari.

Naposljetku, zabilježite kako ukloniti pravilo kroz komponentu koja ga posjeduje, i držite tajne izvan bilješke. Opisivanje usluge i rute nikada ne zahtijeva privatni ključ, lozinku ili nečiju povijest pregledavanja, a kratak održavan popis bolji je od privremenog pravila koje je nadživjelo osobu koja ga je napisala.