Ինչպես փաստաթղթավորել VPN արգելափակման բացառությունն այնպես, որ այն հնարավոր լինի հեռացնել
Բացառությունը, որը ոչ ոք չի կարող նկարագրել, մշտական է։ Գրանցեք այն թրաֆիկը, որը նա թույլ է տալիս, պահանջը, խափանման վարքը և այն բաղադրիչը, որը հեռացնում է այն։
Այն շրջանցումները, որոնց նպատակը գնացել է իրենց հեղինակի հետ, նրանք են, որ ապրում են իրենց օգտակարությունից ավելի երկար, և արգելափակման քաղաքականությունները հավաքում են դրանք ավելի արագ, քան ցանկացած այլ տեսակի կարգավորում։ «Թույլատրել տեղական ցանցը» ձևով գրված բացառությունը կանոն է, որը ոչ ոք չի կարող պաշտպանել և ոչ ոք չի կարող դուրս բերել շահագործումից, որովհետև դրա հետևում եղած պահանջը գնացել է այն ավելացրած մարդու հետ։ Նման քաղաքականությունները ձախողվում են՝ կրելով բացառություններ, որոնց պատճառը գոլորշիացել է, մինչ ռիսկը մնացել է։ Ծավալը, խափանման վարքը և հեռացման քայլը գրելու պահը հենց այն պահն է, երբ ավելացնում եք բացառությունը, քանի դեռ ինչ-որ մեկը դեռ հիշում է ինչու։
Սա որոշում է այն մասին, թե ինչ պետք է պարունակի նշումը, ոչ թե լրացնելու ձևանմուշ։ Ստորև բերված չորս դաշտերն են, որոնք որոշում են՝ արդյոք գրախոսը մեկ տարի անց կարող է հեռացնել կանոնը առանց հանդիպման։ Դրանցից յուրաքանչյուրը գոյություն ունի, որովհետև դրա բացակայությունն ունի կանխատեսելի արժեք։
Ինչու չփաստաթղթավորված շրջանցումը երբեք դուրս չի բերվում շահագործումից
Նկարագրություն չունեցող շրջանցումը հնարավոր չէ փորձարկել և հետևաբար հնարավոր չէ ապահով հեռացնել։ Այն վերապրում է յուրաքանչյուր վերանայում, որովհետև ջնջումը ռիսկային է թվում, մինչ պահպանումը՝ անվնաս, և յուրաքանչյուր վերանայում, որը շրջանցում է այն, հաջորդին նույնպես ավելի հեշտ է դարձնում շրջանցել։ Ծախսն անտեսանելի է, մինչև աուդիտը հարցնի, թե ինչու է մասնավոր տիրույթը բացառված, և այդ ժամանակ պատասխանը ուսերը թոթվելն է։
Գրառումը պետք է այնքան կարճ լինի, որ մարդիկ այն իսկապես գրեն փոփոխության պատուհանում։ Մեկ տող թրաֆիկի համար, մեկը՝ այն պահանջի, որին այն ծառայում է։
Ծավալը որպես թրաֆիկ գրելը
Թվարկեք հավելվածը կամ նպատակակետ տիրույթը, ներգրավված հասցեների ընտանիքները, ծառայությունը և պորտը, և ցանցային համատեքստը, որտեղ գործում է կանոնը, ապա նշեք հաստատողին և այն կրող ճշգրիտ հաճախորդի կամ հարթակի կարգավորումը։ «Տպիչը» մտադրություն է. «TCP 631 դեպի 192.168.1.50, միայն տնային ցանց» ծավալ է, որը ինչ-որ մեկը կարող է ստուգել։ Եթե «որտեղ է ապրում սա» հարցի պատասխանը «ինչ-որ տեղ MDM պրոֆիլում» է, գրառումը ավարտված չէ։ Ֆայլի ուղին, պրոֆիլի անունը կամ ռեեստրի բանալին ավելի լավն է, քան նկարագրությունը, թե որտեղ կարող է լինել կարգավորումը։
Այնտեղ, որտեղ հարթակը աջակցում է հավելվածով պայմանավորված կանոններին, նախապատվությունը տվեք դրանց հասցեների տիրույթների փոխարեն, որովհետև մեկ հավելվածի թույլ տալը շրջանցել թունելը ավելի նեղ է, քան ամբողջ մասնավոր ենթացանցը բացառելը, և այն վերապրում է սարքի տեղափոխումը նոր հասցե։ Android-ի VpnService ուղեցույցը նկարագրում է այդ հավելվածով պայմանավորված մոդելը. աշխատասեղանի հաճախորդներն արտահայտում են նույն գաղափարը իրենց պրոֆիլի կարգավորումների միջոցով։ Հասցեի վրա հիմնված բացառությունները պահուստային տարբերակն են, երբ հարթակը ոչինչ ավելի նեղ չի առաջարկում, այդ իսկ պատճառով դրանք ավելի սուր ծավալի տողի կարիք ունեն։
Բացառության չորս տեսակ, հեռացման չորս ռիսկ
Բացառությունները մեկ կատեգորիա չեն, և դրանց հեռացումը տարբեր հետևանքներ է բերում։ Մեկ տողը երկու տեսակի միջև կիսելը հենց այն ձևն է, որով տպիչի դուրսբերումը դուրս է բերում նաև միանալու ունակությունը։
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Bootstrap-, պորտալ-, սարք- և հավելված-բացառությունները պահեք առանձին տողերում, նույնիսկ երբ գործնականում դրանք համընկնում են։ Մասնավոր տիրույթի բացառությունը լուռ հասանելիություն է տալիս այդ ենթացանցի յուրաքանչյուր հարևանին, այլ ոչ թե այն մեկ սարքին, որին ուզում էիք հասնել, և դա է տարբերությունը պաշտպանելի ծավալի և միայն հուսացած ծավալի միջև։
Ինչ է անում շրջանցումը, երբ թունելը ընկնում է
Տվեք երեք հարց և գրեք պատասխանները, որովհետև դրանք որոշում են՝ արդյոք արգելափակումը իրական է։ Արդյոք բացառությունը մնում է օգտագործելի, երբ թունելը ընկնում է. captive portal-ի համար պետք է, այլապես ոչ ոք երբեք չի կարող մուտք գործել, մինչ մասնավոր ռեսուրսի համար սովորաբար չպետք է, այլապես քաղաքականությունը դեկորատիվ է։ Արդյոք այն գործում է ամեն ցանցում, թե միայն նախատեսված միջավայրում, քանի որ տնային ենթացանցով սահմանափակված կանոնը բոլորովին այլ կերպ է վարվում հանրային ցանցում, որը պատահաբար օգտագործում է նույն տիրույթը։ Յուրաքանչյուր պատասխան փոխում է և՛ կանոնը, և՛ նշումը, ուստի անպատասխան թողնված հարցը որոշում է, որը հետագայում ուրիշը սխալ կկայացնի։
Երրորդ հարցն այն է, թե ինչ է տեղի ունենում երբ նպատակակետը փոխում է իր հասցեն, որտեղ տիրույթային և հասցեային բացառությունները տարանջատվում են։ Տիրույթային կանոնները կախված են նրանից, թե երբ է տեղի ունենում լուծումը և ինչպես է հաճախորդը կիրառում արդյունքը, ուստի դրանք կարող են լուռ դադարել համապատասխանել անկապ թվացող փոփոխությունից հետո, և խափանումը կարծես կոտրված VPN լինի, այլ ոչ թե հնացած բացառություն։
Փորձարկեք, նորից փորձարկեք և գրեք հեռացման քայլը
Գրեք մեկ անվնաս փորձարկում թույլատրված ուղու համար և մեկ մոտակա մերժված դեպք. տպիչի էջը բեռնվում է, իսկ նույն ենթացանցի ֆայլերի համօգտագործումը՝ ոչ։ Այդ զույգն ապացուցում է, որ բացառությունը նեղ է, և հենց այդ զույգն է, որ գրախոսը կարող է կրկնել առանց սկզբնական հարցումը հասկանալու։ Այնուհետև սահմանեք վերստուգման գործարկիչները, որովհետև երբեք նորից չփորձարկվող բացառությունը հեռանում է այն պահանջից, որի համար գրվել է, և այդ հեռացումը անտեսանելի է մնում, մինչև ինչ-որ բան կոտրվի։
Վերջապես, գրանցեք, թե ինչպես հեռացնել կանոնը այն տիրապետող բաղադրիչի միջոցով, և գաղտնիքները պահեք նշումից դուրս։ Ծառայության և երթուղու նկարագրությունը երբեք չի պահանջում մասնավոր բանալի, գաղտնաբառ կամ ինչ-որ մեկի զննարկման պատմություն, և կարճ պահպանվող ցանկը ավելի լավն է, քան ժամանակավոր կանոնը, որն ապրել է այն գրած մարդուց ավելի երկար։