VPN құлыптауының ерекшелігін кейін жоюға болатындай етіп қалай құжаттау керек
Ешкім сипаттай алмайтын ерекшелік мәңгілік. Ол рұқсат ететін трафикті, талапты, ақау кезіндегі мінез-құлықты және оны жоятын құрамдасты тіркеңіз.
Мақсаты авторымен бірге кеткен айналып өтулер өз пайдалылығынан ұзақ өмір сүретіндер, ал құлыптау саясаттары оларды кез келген басқа конфигурация түрінен жылдамырақ жинайды. «Жергілікті желіге рұқсат бер» деп жазылған ерекшелік — ешкім қорғай алмайтын және ешкім қолданыстан шығара алмайтын ереже, өйткені оның артындағы талап оны қосқан адаммен бірге кеткен. Мұндай саясаттар себебі буланып кеткен, ал тәуекелі қалған жеңілдіктерді алып жүргендіктен сәтсіздікке ұшырайды. Аумақты, ақау кезіндегі мінез-құлықты және жою қадамын жазуға тиісті сәт — ерекшелікті қосқан сәт, әлі біреу неге екенін есте сақтап тұрғанда.
Бұл жазбада не болуы керектігі туралы шешім, толтырылатын үлгі емес. Төмендегі төрт өріс бір жылдан кейін шолушы ережені жиналыссыз жоя алатынын анықтайды. Олардың әрқайсысы болмаған жағдайда болжамды шығын болатындықтан бар.
Неге құжатталмаған айналып өту ешқашан қолданыстан шығарылмайды
Сипаттамасы жоқ айналып өтуді сынау мүмкін емес, сондықтан оны қауіпсіз жою мүмкін емес. Ол әрбір шолудан аман қалады, өйткені жою қауіпті, ал сақтау зиянсыз көрінеді, және оны айналып өтетін әрбір шолу келесісін де айналып өтуді жеңілдетеді. Шығын тексеру жеке ауқымның неге жеңілдік алғанын сұрағанша көрінбейді, ал сол кезде жауап иық қису болады.
Жазба өзгеріс терезесінде адамдар оны шынымен жазатындай қысқа болуы керек. Трафик үшін бір жол, ол қызмет ететін талап үшін бір жол.
Аумақты трафик ретінде жазу
Қолданбаны немесе межелі ауқымды, қатысатын мекенжай отбасыларын, қызмет пен портты және ереже қолданылатын желілік контексті тізіп шығыңыз, содан кейін бекітушіні және оны алып жүретін дәл клиент немесе платформа параметрін атаңыз. «Принтер» — ниет; «TCP 631-ден 192.168.1.50-ге, тек үй желісі» — біреу тексере алатын аумақ. Егер «бұл қайда тұрады» деген сұраққа жауап «MDM профилінің бір жерінде» болса, жазба аяқталмаған. Файл жолы, профиль атауы немесе тіркеу кілті параметр қайда болуы мүмкін деген сипаттамадан артық.
Платформа қолданба бойынша ережелерді қолдайтын жерде оларды мекенжай ауқымдарынан артық көріңіз, өйткені бір қолданбаға туннельді айналып өтуге рұқсат беру бүкіл жеке ішкі желіні жеңілдетуден тар және құрылғы жаңа мекенжайға көшкенде де сақталады. Android-тің VpnService нұсқаулығы сол қолданба бойынша модельді сипаттайды; жұмыс үстелі клиенттері сол идеяны өз профиль параметрлері арқылы білдіреді. Мекенжайға негізделген жеңілдіктер платформа одан тарырақ нәрсе ұсынбаған кездегі қосалқы нұсқа, сондықтан оларға неғұрлым дәл аумақ жолы қажет.
Ерекшеліктің төрт түрі, жоюдың төрт тәуекелі
Ерекшеліктер бір санат емес, оларды жою түрлі салдар әкеледі. Екі түр арасында бір жолды бөлісу — принтерді қолданыстан шығару қосылу мүмкіндігін де шығаратын жол.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Bootstrap, портал, құрылғы және қолданба ерекшеліктерін іс жүзінде қабаттасса да бөлек жолдарда ұстаңыз. Жеке ауқым жеңілдігі сол ішкі желідегі әрбір көршіге қол жеткізуді береді, сіз жетуге ниеттенген жалғыз құрылғыға емес, және бұл қорғауға болатын аумақ пен тек үміттенетін аумақ арасындағы айырмашылық.
Туннель құлағанда айналып өту не істейді
Үш сұрақ қойып, жауаптарын жазыңыз, өйткені олар құлыптаудың шынайы екенін анықтайды. Туннель құлағанда ерекшелік қолданыла бере ме: captive portal үшін беруі керек, әйтпесе ешкім ешқашан кіре алмайды, ал жеке ресурс үшін әдетте бермеуі керек, әйтпесе саясат сәндік болады. Ол барлық желіде ме, әлде тек көзделген ортада ма, өйткені үй ішкі желісіне шектелген ереже кездейсоқ сол ауқымды пайдаланатын қоғамдық желіде мүлдем басқаша әрекет етеді. Әрбір жауап ережені де, жазбаны да өзгертеді, сондықтан жауапсыз қалған сұрақ — кейін басқа біреу қате қабылдайтын шешім.
Үшінші сұрақ — межелі өз мекенжайын өзгерткенде не болады, мұнда доменге негізделген және мекенжайға негізделген жеңілдіктер ажырайды. Доменге негізделген ережелер шешім қашан орындалатынына және клиент нәтижені қалай қолданатынына байланысты, сондықтан байланыссыз көрінетін өзгерістен кейін үнсіз сәйкестенуді тоқтатуы мүмкін, ал ақау ескірген жеңілдік емес, сынған VPN сияқты көрінеді.
Сынаңыз, қайта сынаңыз және жою қадамын жазыңыз
Рұқсат етілген жол үшін бір зиянсыз сынақ және жақын жердегі бір қабылданбаған жағдай жазыңыз: принтер беті жүктеледі, ал сол ішкі желідегі файл алмасу жүктелмейді. Сол жұп ерекшеліктің тар екенін дәлелдейді және шолушы бастапқы сұранысты түсінбей-ақ қайталай алатын жұп. Содан кейін қайта сынау триггерлерін орнатыңыз, өйткені ешқашан қайта сыналмаған ерекшелік жазылған талаптан алыстайды, және бұл алыстау бірдеңе сынғанша көрінбейді.
Соңында, ережені оған иелік ететін құрамдас арқылы қалай жою керектігін тіркеңіз және құпияларды жазбадан тыс ұстаңыз. Қызмет пен маршрутты сипаттау ешқашан жеке кілтті, құпия сөзді немесе біреудің шолу тарихын талап етпейді, ал қысқа күтілетін тізім оны жазған адамнан ұзақ өмір сүрген уақытша ережеден артық.