Az alkalmazásonkénti VPN-kivételek elromlanak, amikor egy megosztott szolgáltatás tölti le az adatokat

Kizár egy alkalmazást a VPN-ből, és a szükséges letöltés továbbra is meghiúsul, vagy ami rosszabb, működni kezd, és valami független dolog leáll. A látható ablak nem feltétlenül az a folyamat, amely minden kapcsolatot megnyit: egy alkalmazás átadhatja a munkát egy segédnek, egy háttérbeli átviteli szolgáltatásnak vagy egy teljesen más csomagnak. Ezért az alkalmazásonkénti szabálynak a platform valódi identitásmodelljére van szüksége, nem egy ismerős indítófájlnévre. Az alábbi ellenőrzések a megfigyelésből indulnak ki, és ahhoz térnek vissza, aki a kérelmet ténylegesen küldte.

Ezekben a jegyekben általában két dolog romlik el egyszerre: a rossz összetevőt zárják ki, és a kivételt utána soha nem szűkítik.

A folyamatot találja meg, ne az ablakot

Reprodukálja a sikertelen műveletet, és azonosítsa azt a folyamatot vagy csomagot, amely a kapcsolatot birtokolja, miközben az megtörténik. Windows alatt ez más kérdés, mint hogy melyik ablak van fókuszban, mert a háttérbeli átvitelt olyan szolgáltatás közvetítheti, amely a saját identitása alatt fut. Linuxon és macOS-en ugyanez a szétválás segédfolyamatokként és rendszerdémonokként jelenik meg.

Írjon le három részletet: a futtatható fájl vagy csomag identitását, a célt, amellyel kapcsolatba lépett, és a munkafolyamatban azt a pillanatot, amikor ez történt. Az elején meghiúsuló letöltés gyakran egy másik összetevő metaadat-lekérése, mint a félúton meghiúsuló letöltés. Ez az egyetlen különbség általában elég a helyes identitás kiválasztásához, mielőtt hozzányúlna a szabályhoz. Ha az identitás nem alkalmazásnak, hanem szolgáltatásnak bizonyul, ez az egyetlen tény az egész szabályt megváltoztatja, ezért először azt állapítsa meg.

Ha nem tudja megfigyelni a folyamatot, mert a művelet túl rövid, ismételje meg nagyobb terheléssel vagy lassabb céllal. A cél egy megismételhető megfigyelés, nem pedig elmélet arról, melyik segéd vesz részt benne.

A DNS-t kezelje saját útvonalként

Előfordulhat, hogy a rendszer névfeloldása egyáltalán nem követi a kizárt alkalmazást, ezért egy kizárt böngésző még mindig meghiúsulhat egy privát gazdagépnéven, miközben a forgalma helyesen a tunelen kívül van. A böngésző ki volt zárva; a feloldó nem.

Ellenőrizze, mit tesz a platform a DNS-sel, amikor alkalmazásonkénti szabály érvényes, és ezt az HTTP-kérésétől elkülönítve ellenőrizze. Ha a feloldó megosztott szolgáltatás, akkor az eszköz minden alkalmazását kiszolgálja, így a mérlegelt kivétel sokkal szélesebb közönséget érint, mint a tesztelt.

Jegyezze fel, melyik feloldó válaszolt és melyik felületen keresztül. Ez az egyetlen megfigyelés a „az alkalmazás ki van zárva, de a név nem oldódik fel” jelentések nagy részét megoldja, ezért tartsa a jegy mellett.

Ne szélesítse a megosztott segédet

Egy megosztott szolgáltatás több alkalmazás számára végez munkát, ezért kizárása egy munkafolyamat javításáért a független forgalmat is megváltoztatja. A Windows Background Intelligent Transfer Service szolgáltatása jó példa erre a formára: olyan infrastruktúra, amelyet sok alkalmazás használhat, és az identitása nem az átvitelt kérő alkalmazás identitása.

Ellenőrizze az ügyfél által támogatott szabálymodellt és a szervezet követelményeit, mielőtt hozzáadja ezt a kivételt. Kérdezze meg, mi más használja az összetevőt, és hogy a hamarosan megírandó szabály kifejezhető-e célokra nézve, nem pedig egy megosztott folyamatra nézve.

Ha a követelmény egyáltalán nem fejezhető ki alkalmazáskorlátként, akkor egy célalapú szabályzat vagy egy másik jóváhagyott kialakítás érthetőbb és biztonságosabb lehet, mint a segédkivételek növekvő listája.

A teljes munkafolyamatot tesztelje, ne a meghiúsuló lépést

Egy támogatott változtatás után futtassa a szándékolt feladatot friss kéréssel az elejétől a végéig. Ezután futtasson egy másik munkafolyamatot, amely a megosztott összetevőt használja, mert ott jelenti be magát egy széles megkerülés. Az a javítás, amely az elsőt rendbe teszi és a másodikat csendben elrontja, nem javítás. Tartsa mindkét eredményt a jegyben, és nevezze meg kifejezetten a második munkafolyamatot, hogy egy bíráló megismételhesse.

Tartsa a tesztet kicsinek és megismételhetőnek: ugyanaz a cél, ugyanaz a fiók, ugyanazok a feltételek. Ha a második munkafolyamat nincs dokumentálva, kérdezze meg a tulajdonosát, mitől függ, mielőtt eldönti, hogy a változtatás biztonságos.

Okot hagyjon, ne névlistát

Dokumentálja az összetevőt, a munkafolyamatot, amelyet kiszolgál, és a kizárás okát. A kapcsolódó cél nélküli segédnevek listája két kiadási cikluson belül kezelhetetlenné válik, és a következő mérnök a tisztítás során a rossz bejegyzést távolítja el.

Kivételenként egy sor elég: mi törik el nélküle, ki birtokolja azt a munkafolyamatot, és mikor ellenőrizték utoljára. Ez a három mező egy rejtélyes listát olyan szabályzattá alakít, amelyet valaki meg tud védeni.