Split tunneling versus kebijakan perusahaan: aturan mana yang menang

Mencentang satu aplikasi di klien split-tunnel terasa seperti preferensi lokal, dan pada perangkat terkelola itu lebih dekat ke perubahan kebijakan. Pengecualian memindahkan lalu lintas dari jalur yang disetujui, yang mungkin jalur sama yang membawa DNS terkelola, penyaringan, dan alamat sumber yang dikenali layanan. Klien tidak berperilaku salah ketika membatalkan suntingan Anda; penerapan menjalankan tugasnya.

Sebelum berdebat soal kotak centang, tentukan properti mana yang ada untuk dilindungi kebijakan.

Properti di balik aturan

Beberapa penerapan merutekan semuanya agar seluruh lalu lintas melewati gateway yang disetujui. Yang lain peduli pada resolusi nama dan menahan kueri di resolver korporat, bukan resolver jaringan lokal. Yang lain lagi membutuhkan alamat sumber yang stabil agar layanan internal dapat memutuskan apakah akan menjawab.

Kelompok keempat menegakkan postur endpoint: status enkripsi disk, tingkat patch, kesehatan agen. Membagi tunnel tidak mengubahnya, sedangkan bypass yang menghindari lalu lintas agen itu sendiri bisa.

Itu empat persyaratan berbeda, dan masing-masing dilanggar oleh pengecualian yang berbeda. Baca persyaratannya sebelum mengusulkan perubahan, karena penulisnya bisa langsung memberi tahu mana yang berlaku. Perubahan yang memenuhi yang salah tidak membeli apa pun.

Dua klaim layak dibuang lebih awal. Tunnel penuh tidak memberi administrator setiap halaman teks biasa, karena enkripsi aplikasi dan kontrol endpoint menentukan apa yang terlihat. Split tunneling juga tidak universal tidak aman, karena DNS terkelola, kebijakan per aplikasi, dan agen endpoint dapat berlaku terlepas dari rutenya.

Jalankan pemeriksaan secara berurutan

Urutan di bawah mempersempit pengecualian ke hal terkecil yang benar-benar gagal. Berhenti pada pemeriksaan pertama yang tidak berlaku, karena perbaikan kemudian tidak dapat menutupi celah sebelumnya.

Tanyakan lalu lintas mana yang kini melewatkan gateway yang disetujui, lalu pastikan resolusi nama masih mencapai resolver korporat. Periksa apakah aplikasi terkait menghormati kill switch, atau apakah ia menghabiskan percobaan yang gagal pada rute langsung. Lalu lihat layanan bersama: penampil dokumen atau perantara pembaruan dapat membawa pengecualian lebih jauh daripada yang disiratkan kotak centang. Terakhir, catat apakah kebijakan diterapkan ulang saat tersambung kembali, karena perilaku itu menentukan apakah perubahan lokal bertahan.

Setiap jawaban adalah fakta, dan fakta itulah yang dibutuhkan permintaan pengecualian. Perdebatan tentang apakah VPN menjengkelkan bukan salah satunya. Tuliskan jawabannya sebelum percakapan dimulai.

Minta pengecualian yang sempit

Laporkan aplikasi, tujuan, dan operasi yang gagal, dalam urutan itu. Permintaan untuk mempertahankan satu pengupdate di jalur langsung dapat ditinjau; permintaan untuk melewati tunnel bagi seluruh peramban tidak.

Jelaskan apa yang sudah Anda coba dan apa yang ditunjukkan log, dan tujukan kepada tim yang memiliki profil, bukan kepada siapa pun yang menjawab meja bantuan. Pada perangkat terkelola, pemilik profil biasanya dapat membuat pengecualian yang didukung yang bertahan dari pembaruan, sedangkan penyuntingan rute lokal tidak bisa.

Jika jawabannya tidak, perlakukan itu sebagai keputusan desain dan bukan sebagai rintangan untuk diakali. Tinjauan berikutnya adalah tempat untuk membukanya kembali, dengan operasi yang gagal didokumentasikan dan alasan bisnis dilampirkan. Mengakalinya lebih berisiko daripada nilai pengecualian itu sendiri.

Buat pengecualian itu bertahan

Setelah perubahan disetujui, pastikan bagian yang sebelumnya berfungsi, bukan hanya bagian yang rusak. Nama internal harus tetap terurai melalui resolver korporat, sumber daya privat harus tetap menjawab, dan tugas yang sebelumnya gagal kini harus selesai.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Perintah pertama membuktikan resolver masih menjawab untuk sufiks internal, dan yang kedua membuktikan permintaan mencapai layanan internal dari rute saat ini. Jalankan lagi setelah tersambung kembali, karena dorongan kebijakan dapat diam-diam membatalkan perubahan yang tampak stabil selama pengujian. Dua baris keluaran yang disimpan bersama tiket menutup lingkarannya. Tanpanya, pengecualian bergantung pada ingatan seseorang tentang halaman yang pernah termuat sekali.

Catat pengecualian, tujuannya, dan komponen yang dicakupnya di tempat yang sama dengan catatan penerapan. Pengecualian yang tidak terdokumentasi menjadi insiden kuartal berikutnya, dan yang terdokumentasi menjadi bukti bahwa desainnya menanggung beban kerja nyata.