VPN кулпулоо өзгөчөлүгүн кийин алып салууга боло тургандай кантип документтештирүү керек
Эч ким сүрөттөй албаган өзгөчөлүк түбөлүк. Ал уруксат берген трафикти, талапты, ката кездеги жүрүм-турумду жана аны алып салган компонентти жазып кой.
Максаты автору менен кеткен айланып өтүүлөр пайдалуулугунан узак жашагандар, ал эми кулпулоо саясаттары аларды башка кандай гана конфигурация түрүнөн тезирээк чогултат. «Жергиликтүү тармакка уруксат бер» деп жазылган өзгөчөлүк — эч ким коргой албаган жана эч ким колдонуудан чыгара албаган эреже, анткени анын артындагы талап аны кошкон адам менен кеткен. Мындай саясаттар себеби бууланып, тобокелдиги калган жеңилдиктерди көтөрүп жүргөндүктөн ийгиликсиз болот. Көлөмдү, ката кездеги жүрүм-турумду жана алып салуу кадамын жазуучу убакыт — өзгөчөлүктү кошкон убакыт, кимдир бирөө эмне үчүн экенин эсине түшүрүп турганда.
Бул жазууда эмне болушу керектиги жөнүндө чечим, толтурулуучу үлгү эмес. Төмөнкү төрт талаа бир жылдан кийин серепчи жыйынсыз эрежени алып сала алабы же жокпу аныктайт. Алардын ар бири жок болгондо болжолдуу чыгым болгондуктан бар.
Эмне үчүн документтелбеген айланып өтүү эч качан колдонуудан чыгарылбайт
Сүрөттөмөсү жок айланып өтүүнү текшерүү мүмкүн эмес, ошондуктан аны коопсуз алып салуу мүмкүн эмес. Ал ар бир кароодон аман калат, анткени өчүрүү тобокелдүү, ал эми сактоо зыянсыз көрүнөт, жана андан өтүп кеткен ар бир кароо кийинкисин да өтүп кетүүнү жеңилдетет. Чыгым текшерүү жеке диапазондун эмне үчүн жеңилдик алганын сураганга чейин көрүнбөйт, ал кезде жооп ийин куушуруу болот.
Жазуу өзгөрүү терезесинде адамдар аны чындап жаза тургандай кыска болушу керек. Трафик үчүн бир сап, ал кызмат кылган талап үчүн бир сап.
Көлөмдү трафик катары жазуу
Колдонмону же багыт диапазонун, катышкан дарек үй-бүлөлөрүн, кызматты жана портту, жана эреже колдонулуучу тармактык контекстти тизмелеп чыгып, анан бекитүүчүнү жана аны алып жүргөн так кардар же платформа жөндөөсүн атаңыз. «Принтер» — ниет; «TCP 631ден 192.168.1.50ге, үй тармагы гана» — бирөө текшере ала турган көлөм. Эгер «бул кайда жашайт» деген суроого жооп «MDM профилинин бир жеринде» болсо, жазуу бүтө элек. Файл жолу, профилдин аты же реестр ачкычы жөндөө кайда болушу мүмкүн деген сүрөттөмөдөн артык.
Платформа колдонмо боюнча эрежелерди колдогон жерде аларды дарек диапазондорунан артык көрүңүз, анткени бир колдонмого туннелди айланып өтүүгө уруксат берүү бүтүндөй жеке ички тармакты жеңилдетүүдөн тар жана түзмөк жаңы дарекке өткөндө да сакталат. Androidдин VpnService колдонмосу ошол колдонмо боюнча моделди сүрөттөйт; иштактагы кардарлар ошол эле идеяны өздөрүнүн профиль жөндөөлөрү аркылуу билдирет. Дарекке негизделген жеңилдиктер платформа андан тарыраак нерсе сунуштабаган учурдагы камдык вариант, ошондуктан аларга такыраак көлөм сабы керек.
Өзгөчөлүктүн төрт түрү, алып салуунун төрт тобокелдиги
Өзгөчөлүктөр бир категория эмес, аларды алып салуу ар кандай кесепеттерди алып келет. Эки түрдүн ортосунда бир сапты бөлүшүү — принтерди колдонуудан чыгаруу туташуу мүмкүнчүлүгүн да чыгарат деген жол.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Bootstrap, портал, түзмөк жана колдонмо өзгөчөлүктөрүн иш жүзүндө кабатташса да өзүнчө саптарда кармаңыз. Жеке диапазондун жеңилдиги ошол ички тармактагы ар бир коңшуга кирүү мүмкүнчүлүгүн берет, сиз жетүүнү көздөгөн жалгыз түзмөккө эмес, жана бул коргой алган көлөм менен үмүт кылган көлөмдүн ортосундагы айырма.
Туннел кулаганда айланып өтүү эмне кылат
Үч суроо берип, жоопторду жазыңыз, анткени алар кулпулоонун чыныгы экенин аныктайт. Туннел кулаганда өзгөчөлүк колдонула береби: captive portal үчүн берүү керек, антпесе эч ким эч качан кире албайт, ал эми жеке ресурс үчүн адатта бербеш керек, антпесе саясат кооздук болуп калат. Ал бардык тармактардабы же көздөлгөн чөйрөдө ганабы, анткени үй ички тармагына чектелген эреже кокусунан ошол эле диапазонду колдонгон коомдук тармакта таптакыр башкача жүрөт. Ар бир жооп эрежени да, жазууну да өзгөртөт, ошондуктан жоопсуз калган суроо — кийин башка бирөө туура эмес кабыл ала турган чечим.
Үчүнчү суроо — багыт өз дарегин өзгөрткөндө эмне болот, мында доменге негизделген жана дарекке негизделген жеңилдиктер ажырайт. Доменге негизделген эрежелер чечим качан аткарылаарына жана кардар жыйынтыкты кантип колдоноруна байланыштуу, ошондуктан байланышсыз көрүнгөн өзгөрүүдөн кийин үнсүз дал келүүнү токтотушу мүмкүн, ал эми ката эскирген жеңилдик эмес, бузулган VPN сыяктуу көрүнөт.
Сынаңыз, кайра сынаңыз жана алып салуу кадамын жазыңыз
Уруксат берилген жол үчүн бир зыянсыз сынак жана жакын жердеги бир четке кагылган учур жазыңыз: принтер бети жүктөлөт, ал эми ошол эле ички тармактагы файл бөлүшүү жүктөлбөйт. Ошол жуп өзгөчөлүктүн тар экенин далилдейт жана серепчи баштапкы суроону түшүнбөстөн кайталай алган жуп. Анан кайра сыноо триггерлерин коюңуз, анткени эч качан кайра сыналбаган өзгөчөлүк жазылган талаптан алыстайт, жана бул алыстоо бир нерсе бузулганга чейин көрүнбөйт.
Акырында, эрежени ага ээлик кылган компонент аркылуу кантип алып салууну жазыңыз жана сырларды жазуудан тышкары кармаңыз. Кызматты жана маршрутту сүрөттөө эч качан жеке ачкычты, сырсөздү же бирөөнүн серептөө тарыхын талап кылбайт, ал эми кыска тейленген тизме аны жазган адамдан узак жашаган убактылуу эрежеден артык.