Megosztott alagút kontra vállalati szabályzat: melyik szabály győz

Egy alkalmazás bejelölése egy megosztott alagútú kliensben helyi preferenciának tűnik, felügyelt eszközön viszont közelebb áll egy szabályzatmódosításhoz. A kivétel eltereli a forgalmat a jóváhagyott útról, amely ugyanaz az út lehet, amely a felügyelt DNS-t, a szűrést és azt a forrás-címet viszi, amelyet egy szolgáltatás felismer. A kliens nem viselkedik rosszul, amikor visszaállítja a módosításodat; a telepítés végzi a dolgát.

Mielőtt vitatkozni kezdesz a jelölőnégyzetről, derítsd ki, melyik tulajdonságot védi a szabályzat.

A szabály mögötti tulajdonság

Egyes telepítések mindent átirányítanak, hogy minden forgalom jóváhagyott átjárón menjen át. Másoknak a névfeloldás fontos, és a lekérdezéseket a vállalati feloldón tartják a helyi hálózaté helyett. Megint másoknak stabil forrás-címre van szükségük, hogy a belső szolgáltatások eldönthessék, egyáltalán válaszoljanak-e.

Egy negyedik csoport a végpont állapotát kényszeríti ki: lemeztitkosítás állapota, javítási szint, ügynök állapota. Az alagút megosztása ezt nem változtatja meg, míg az ügynök saját forgalmát elkerülő megkerülés igen.

Ez négy különböző követelmény, és mindegyiket más kivétel töri meg. Olvasd el a követelményt a módosítás javaslata előtt, mert aki írta, azonnal meg tudja mondani, melyik érvényes. A rosszat kielégítő módosítás semmit sem ér.

Két állítást érdemes korán elvetni. A teljes alagút nem ad a rendszergazdáknak minden nyílt szövegű oldalt, mert az alkalmazástól titkosítás és a végpont-ellenőrzések döntik el, mi látható. A megosztott alagút sem egyetemesen nem biztonságos, mert a felügyelt DNS, az alkalmazásonkénti házirendek és a végpontügynökök az útvonaltól függetlenül is érvényesülhetnek.

Hajtsd végre az ellenőrzéseket sorrendben

Az alábbi sorrend a kivételt a legkisebb dologra szűkíti, amely valóban meghiúsult. Az első nem teljesülő ellenőrzésnél állj meg, mert egy későbbi javítás nem pótolhat egy korábbi hiányt.

Kérdezd meg, melyik forgalom kerüli el most a jóváhagyott átjárót, majd erősítsd meg, hogy a névfeloldás még eléri a vállalati feloldót. Ellenőrizd, hogy az érintett alkalmazás tiszteletben tart-e egy vészleállítót, vagy a sikertelen kísérletet közvetlen útvonalon töltötte-e el. Utána nézd meg a megosztott szolgáltatásokat: egy dokumentummegjelenítő vagy frissítésközvetítő tovább viheti a kivételt, mint a jelölőnégyzet sugallja. Végül jegyezd fel, hogy újracsatlakozáskor újra érvényesül-e a szabályzat, mert ez a viselkedés dönti el, túlél-e bármilyen helyi módosítás.

Minden válasz tény, és egy kivételkérésnek tényekre van szüksége. Az a vita, hogy a VPN idegesítő-e, nem tartozik közéjük. Írd le a válaszokat, mielőtt a beszélgetés elkezdődik.

Kérj szűk kivételt

Jelentsd az alkalmazást, a célt és a meghiúsult műveletet ebben a sorrendben. Egy frissítő közvetlen útvonalon tartására irányuló kérés felülvizsgálható; a teljes böngésző alagútjának megkerülésére irányuló kérés nem.

Írd le, mit próbáltál már ki, és mit mutattak a naplók, és a profilt birtokló csapathoz címezd, ne ahhoz, aki az ügyfélszolgálaton válaszol. Felügyelt eszközön a profiltulajdonos általában létrehozhat egy támogatott kivételt, amely túléli a frissítéseket, míg egy helyi útvonal-módosítás nem tud.

Ha a válasz nem, kezeld tervezési döntésként, és ne akadályként, amelyet meg kell kerülni. A következő felülvizsgálat a hely, hogy újranyisd, a meghiúsult művelet dokumentálva és az üzleti indok csatolva. A megkerülése többet kockáztat, mint amennyit a kivétel valaha ért.

Tedd a kivételt fenntarthatóvá

Egy jóváhagyott módosítás után erősítsd meg a korábban működő részeket, ne csak a meghibásodott részt. A belső neveknek továbbra is a vállalati feloldón keresztül kell feloldódniuk, a magánforrásoknak válaszolniuk, és a korábban meghiúsult feladatnak most be kell fejeződnie.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Az első parancs bizonyítja, hogy a feloldó még válaszol egy belső utótagra, a második pedig, hogy egy kérés a jelenlegi útvonalról eléri a belső szolgáltatást. Futtasd őket újra újracsatlakozás után, mert egy szabályzatküldés csendben visszavonhat egy módosítást, amely a teszt alatt stabilnak tűnt. Két kimeneti sor, amelyet a jegyhez mentesz, bezárja a kört. Nélkülük a kivétel valakinek az emlékén nyugszik egy oldalról, amely egyszer betöltődött.

Jegyezd fel a kivételt, célját és a lefedett összetevőket ugyanoda, ahol a telepítési jegyzetek vannak. A dokumentálatlan kivétel a következő negyedév incidensévé válik, a dokumentált pedig bizonyítékká, hogy a kialakítás valódi terhelést bír el.