Cara mendokumentasikan pengecualian penguncian VPN agar bisa dihapus

Pemblokiran yang tujuannya pergi bersama penulisnya adalah yang bertahan lebih lama dari kegunaannya, dan kebijakan penguncian mengumpulkannya lebih cepat daripada jenis konfigurasi lain. Pengecualian yang ditulis sebagai “izinkan jaringan lokal” adalah aturan yang tidak bisa dipertahankan siapa pun dan tidak bisa dipensiunkan siapa pun, karena kebutuhan di baliknya pergi bersama orang yang menambahkannya. Kebijakan semacam itu gagal karena membawa pengecualian yang alasannya menguap sementara risikonya tetap ada. Saat untuk menulis cakupan, perilaku saat gagal, dan langkah penghapusan adalah saat Anda menambahkan pengecualian, selagi seseorang masih ingat mengapa.

Ini adalah keputusan tentang apa yang harus dimuat catatan, bukan templat untuk diisi. Empat bidang di bawah adalah yang menentukan apakah seorang peninjau dapat menghapus aturan itu setahun kemudian tanpa rapat. Masing-masing ada karena ketiadaannya memiliki biaya yang bisa diperkirakan.

Mengapa pemblokiran yang tidak terdokumentasi tidak pernah dipensiunkan

Pemblokiran tanpa deskripsi tidak dapat diuji dan karena itu tidak dapat dihapus dengan aman. Ia bertahan dari setiap tinjauan karena penghapusan tampak berisiko sementara penyimpanan tampak tidak berbahaya, dan setiap tinjauan yang melewatinya membuat tinjauan berikutnya juga lebih mudah dilewati. Biayanya tidak terlihat sampai audit bertanya mengapa sebuah rentang privat dikecualikan, dan saat itu jawabannya adalah angkat bahu.

Catatan harus cukup singkat agar orang benar-benar menulisnya di jendela perubahan. Satu baris untuk lalu lintas, satu untuk kebutuhan yang dilayaninya.

Menulis cakupan sebagai lalu lintas

Daftarkan aplikasi atau rentang tujuan, keluarga alamat yang terlibat, layanan dan port, serta konteks jaringan tempat aturan itu berlaku, lalu sebutkan penyetuju dan pengaturan klien atau platform persis yang membawanya. “Printer” adalah niat; “TCP 631 ke 192.168.1.50, hanya jaringan rumah” adalah cakupan yang bisa diverifikasi seseorang. Jika jawaban atas “di mana ini tinggal” adalah “di suatu tempat di profil MDM”, catatannya belum selesai. Jalur berkas, nama profil, atau kunci registri lebih baik daripada deskripsi tentang di mana pengaturan itu mungkin berada.

Di mana platform mendukung aturan per aplikasi, utamakan itu daripada rentang alamat, karena mengizinkan satu aplikasi melewati terowongan lebih sempit daripada mengecualikan seluruh subnet privat dan ia bertahan saat perangkat pindah ke alamat baru. Panduan VpnService Android menjelaskan model per aplikasi itu; klien desktop menyatakan gagasan yang sama melalui pengaturan profil mereka sendiri. Pengecualian berbasis alamat adalah cadangan ketika platform tidak menawarkan sesuatu yang lebih sempit, itulah sebabnya pengecualian itu memerlukan baris cakupan yang lebih tajam.

Empat jenis pengecualian, empat risiko penghapusan

Pengecualian bukan satu kategori, dan penghapusannya membawa konsekuensi berbeda. Berbagi satu baris antara dua jenis adalah cara memensiunkan printer juga memensiunkan kemampuan untuk terhubung.

Pisahkan pengecualian bootstrap, portal, perangkat, dan aplikasi pada baris terpisah meskipun dalam praktiknya tumpang tindih. Pengecualian rentang privat diam-diam memberi akses ke setiap tetangga di subnet itu alih-alih ke satu perangkat yang ingin Anda capai, dan itulah perbedaan antara cakupan yang bisa Anda pertahankan dan cakupan yang hanya Anda harapkan.

Apa yang dilakukan pemblokiran saat terowongan putus

Ajukan tiga pertanyaan dan tuliskan jawabannya, karena itulah yang menentukan apakah penguncian itu nyata. Apakah pengecualian tetap bisa dipakai saat terowongan putus: untuk captive portal harus, kalau tidak tidak ada yang bisa masuk, sedangkan untuk sumber daya privat biasanya tidak boleh, kalau tidak kebijakannya hanya hiasan. Apakah berlaku di setiap jaringan atau hanya di lingkungan yang dimaksud, karena aturan yang dibatasi ke subnet rumah berperilaku sangat berbeda di jaringan publik yang kebetulan memakai rentang yang sama. Setiap jawaban mengubah aturan dan catatan sekaligus, jadi pertanyaan yang dibiarkan tanpa jawaban adalah keputusan yang nanti akan diambil salah oleh orang lain.

Pertanyaan ketiga adalah apa yang terjadi ketika tujuan mengubah alamatnya, tempat pengecualian berbasis domain dan berbasis alamat menyimpang. Aturan berbasis domain bergantung pada kapan resolusi terjadi dan bagaimana klien menerapkan hasilnya, sehingga bisa diam-diam berhenti cocok setelah perubahan yang tampak tidak terkait, dan kegagalannya tampak seperti VPN rusak, bukan pengecualian yang kedaluwarsa.

Uji, uji ulang, dan tulis langkah penghapusan

Tulis satu uji tidak berbahaya untuk jalur yang diizinkan dan satu kasus ditolak di dekatnya: halaman printer termuat dan berbagi berkas di subnet yang sama tidak. Pasangan itu membuktikan pengecualiannya sempit, dan itulah pasangan yang bisa diulang peninjau tanpa memahami permintaan aslinya. Lalu tetapkan pemicu uji ulang, karena pengecualian yang tidak pernah diuji ulang menjauh dari kebutuhan yang menjadi alasan penulisannya, dan penyimpangan itu tetap tak terlihat sampai ada yang rusak.

Terakhir, catat cara menghapus aturan melalui komponen yang memilikinya, dan jaga rahasia tetap di luar catatan. Menjelaskan sebuah layanan dan rute tidak pernah memerlukan kunci privat, kata sandi, atau riwayat penjelajahan siapa pun, dan daftar pendek yang terpelihara lebih baik daripada aturan sementara yang bertahan lebih lama dari orang yang menulisnya.