Come documentare un’eccezione al blocco VPN perché possa essere rimossa

Le deroghe il cui scopo se n’è andato con il loro autore sono quelle che sopravvivono alla propria utilità, e le politiche di blocco le collezionano più in fretta di qualsiasi altro tipo di configurazione. Un’eccezione scritta come «consenti la rete locale» è una regola che nessuno può difendere e nessuno può ritirare, perché il requisito che la sostiene è partito con la persona che l’ha aggiunta. Queste politiche falliscono perché portano esenzioni la cui ragione è evaporata mentre il rischio è rimasto. Il momento per scrivere l’ambito, il comportamento in caso di guasto e il passo di rimozione è il momento in cui aggiungi l’eccezione, finché qualcuno ricorda ancora perché.

Questa è una decisione su cosa deve contenere la nota, non un modello da compilare. I quattro campi qui sotto sono quelli che decidono se un revisore può rimuovere la regola un anno dopo senza una riunione. Ognuno esiste perché la sua assenza ha un costo prevedibile.

Perché una deroga non documentata non viene mai ritirata

Una deroga senza descrizione non può essere testata e quindi non può essere rimossa in sicurezza. Sopravvive a ogni revisione perché la cancellazione sembra rischiosa mentre la conservazione sembra innocua, e ogni revisione che la ignora rende anche la successiva più facile da ignorare. Il costo è invisibile finché un audit chiede perché un intervallo privato è esente, e a quel punto la risposta è un’alzata di spalle.

Il registro deve essere abbastanza breve che le persone lo scrivano davvero nella finestra di cambiamento. Una riga per il traffico, una per il requisito che serve.

Scrivere l’ambito come traffico

Elenca l’applicazione o l’intervallo di destinazione, le famiglie di indirizzi coinvolte, il servizio e la porta, e il contesto di rete in cui si applica la regola, poi indica l’approvatore e l’impostazione esatta del client o della piattaforma che la porta. «Stampante» è un’intenzione; «TCP 631 verso 192.168.1.50, solo rete domestica» è un ambito che qualcuno può verificare. Se la risposta a «dove vive questo» è «da qualche parte nel profilo MDM», il registro non è finito. Un percorso di file, un nome di profilo o una chiave di registro vale più di una descrizione di dove potrebbe trovarsi l’impostazione.

Dove la piattaforma supporta regole per applicazione, preferiscile agli intervalli di indirizzi, perché consentire a una sola applicazione di aggirare il tunnel è più stretto che esentare un’intera sottorete privata e sopravvive allo spostamento del dispositivo su un nuovo indirizzo. La guida a VpnService di Android descrive quel modello per applicazione; i client desktop esprimono la stessa idea tramite le proprie impostazioni di profilo. Le esenzioni basate sugli indirizzi sono il ripiego quando la piattaforma non offre nulla di più stretto, ed è per questo che hanno bisogno di una riga di ambito più precisa.

Quattro tipi di eccezione, quattro rischi di rimozione

Le eccezioni non sono un’unica categoria, e rimuoverle comporta conseguenze diverse. Condividere un’unica riga tra due tipi è il modo in cui ritirare una stampante ritira anche la capacità di connettersi.

Tieni le eccezioni di bootstrap, portale, dispositivo e applicazione su righe separate anche quando in pratica si sovrappongono. Un’esenzione di intervallo privato concede silenziosamente l’accesso a ogni vicino su quella sottorete invece che all’unico dispositivo che volevi raggiungere, ed è la differenza tra un ambito che puoi difendere e uno su cui speri soltanto.

Cosa fa la deroga quando il tunnel cade

Poni tre domande e scrivi le risposte, perché decidono se il blocco è reale. L’eccezione resta utilizzabile quando il tunnel cade: per un portale captive deve, altrimenti nessuno potrà mai accedere, mentre per una risorsa privata di solito non deve, altrimenti la politica è decorativa. Si applica su ogni rete o solo nell’ambiente previsto, dato che una regola limitata alla sottorete domestica si comporta in modo molto diverso su una rete pubblica che per caso usa lo stesso intervallo. Ogni risposta cambia sia la regola sia la nota, quindi una domanda lasciata senza risposta è una decisione che qualcun altro prenderà male più avanti.

La terza domanda è cosa succede quando la destinazione cambia indirizzo, dove le esenzioni basate sul dominio e quelle basate sull’indirizzo divergono. Le regole basate sul dominio dipendono da quando avviene la risoluzione e da come il client applica il risultato, quindi possono smettere silenziosamente di corrispondere dopo un cambiamento che sembra non correlato, e il guasto sembra un VPN rotto più che un’esenzione scaduta.

Prova, riprova e scrivi il passo di rimozione

Scrivi un test innocuo per il percorso consentito e un caso negato vicino: la pagina della stampante si carica e la condivisione file sulla stessa sottorete no. Quella coppia dimostra che l’eccezione è stretta, ed è la coppia che un revisore può ripetere senza capire la richiesta originale. Poi imposta i trigger di ritest, perché un’eccezione mai ritestata si allontana dal requisito per cui è stata scritta, e lo scostamento resta invisibile finché qualcosa non si rompe.

Infine, registra come rimuovere la regola attraverso il componente che la possiede, e tieni i segreti fuori dalla nota. Descrivere un servizio e una rotta non richiede mai una chiave privata, una password o la cronologia di navigazione di qualcuno, e un elenco breve e mantenuto batte una regola temporanea che è sopravvissuta alla persona che l’ha scritta.