Kaip dokumentuoti VPN užrakinimo išimtį taip, kad ją būtų galima pašalinti
Išimtis, kurios niekas negali apibūdinti, yra nuolatinė. Užrašykite srautą, kurį ji leidžia, reikalavimą, elgseną gedimo metu ir komponentą, kuris ją pašalina.
Apėjimai, kurių tikslas išėjo kartu su jų autoriumi, yra tie, kurie pergyvena savo naudingumą, o užrakinimo politikos surenka juos greičiau nei bet kuri kita konfigūracijos rūšis. Išimtis, parašyta kaip „leisti vietinį tinklą“, yra taisyklė, kurios niekas negali apginti ir niekas negali išimti iš eksploatacijos, nes už jos esantis reikalavimas išėjo kartu su žmogumi, kuris ją pridėjo. Tokios politikos žlunga todėl, kad neša išimtis, kurių priežastis išgaravo, o rizika liko. Rašyti apimtį, elgseną gedimo metu ir pašalinimo žingsnį reikia tuo metu, kai pridedate išimtį, kol kas nors dar prisimena kodėl.
Tai sprendimas, ką pastaba turi turėti, o ne šablonas, kurį reikia užpildyti. Keturi laukai žemiau yra tie, kurie nusprendžia, ar recenzentas po metų galės pašalinti taisyklę be susirinkimo. Kiekvienas jų egzistuoja todėl, kad jo nebuvimas turi nuspėjamą kainą.
Kodėl nedokumentuotas apėjimas niekada neišimamas iš eksploatacijos
Apėjimo be aprašymo negalima išbandyti, todėl negalima saugiai pašalinti. Jis išgyvena kiekvieną peržiūrą, nes šalinimas atrodo rizikingas, o palikimas – nekenksmingas, ir kiekviena peržiūra, kuri jį praleidžia, padaro ir kitą lengviau praleidžiamą. Kaina nematoma tol, kol auditas paklausia, kodėl privatus diapazonas yra išimtas, ir tada atsakymas yra pečių gūžtelėjimas.
Įrašas turi būti pakankamai trumpas, kad žmonės jį tikrai parašytų pakeitimo lange. Viena eilutė srautui, viena – reikalavimui, kuriam jis tarnauja.
Apimties rašymas kaip srautas
Išvardykite programą arba paskirties diapazoną, susijusias adresų šeimas, paslaugą ir prievadą bei tinklo kontekstą, kuriame galioja taisyklė, tada nurodykite tvirtintoją ir tikslią kliento ar platformos nuostatą, kuri ją neša. „Spausdintuvas“ yra ketinimas; „TCP 631 į 192.168.1.50, tik namų tinklas“ yra apimtis, kurią kas nors gali patikrinti. Jei atsakymas į „kur tai gyvena“ yra „kažkur MDM profilyje“, įrašas nebaigtas. Failo kelias, profilio pavadinimas arba registro raktas yra geriau nei aprašymas, kur nuostata galėtų būti.
Kai platforma palaiko taisykles pagal programą, teikite joms pirmenybę prieš adresų diapazonus, nes leisti vienai programai apeiti tunelį yra siauriau nei atleisti visą privatų potinklį, ir tai išlieka įrenginiui persikėlus į naują adresą. „Android“ VpnService vadovas aprašo tą modelį pagal programą; darbalaukio klientai tą pačią idėją išreiškia savo profilio nuostatomis. Adresais pagrįstos išimtys yra atsarginis variantas, kai platforma nesiūlo nieko siauresnio, todėl joms reikia tikslesnės apimties eilutės.
Keturi išimčių tipai, keturios pašalinimo rizikos
Išimtys nėra viena kategorija, o jų pašalinimas turi skirtingas pasekmes. Dalintis viena eilute tarp dviejų tipų yra būdas, kuriuo spausdintuvo išėmimas iš eksploatacijos išima ir galimybę prisijungti.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Laikykite bootstrap, portalo, įrenginio ir programos išimtis atskirose eilutėse, net kai praktiškai jos persidengia. Privataus diapazono išimtis tyliai suteikia prieigą kiekvienam kaimynui tame potinklyje, o ne vieninteliam įrenginiui, kurį norėjote pasiekti, ir tai yra skirtumas tarp apimties, kurią galite apginti, ir tos, kuria tik tikiatės.
Ką apėjimas daro, kai tunelis nukrenta
Užduokite tris klausimus ir užrašykite atsakymus, nes jie nusprendžia, ar užrakinimas tikras. Ar išimtis lieka naudojama, kai tunelis nukrenta: captive portalui turi, kitaip niekas niekada negalės prisijungti, o privačiam ištekliui paprastai neturi, kitaip politika dekoratyvi. Ar ji taikoma kiekviename tinkle, ar tik numatytoje aplinkoje, nes namų potinkliu apribota taisyklė elgiasi visai kitaip viešame tinkle, kuris atsitiktinai naudoja tą patį diapazoną. Kiekvienas atsakymas keičia ir taisyklę, ir pastabą, todėl neatsakytas klausimas yra sprendimas, kurį vėliau kas nors kitas priims neteisingai.
Trečias klausimas – kas nutinka kai paskirties vieta pakeičia savo adresą, kur domenais ir adresais pagrįstos išimtys išsiskiria. Domenais pagrįstos taisyklės priklauso nuo to, kada įvyksta sprendimas, ir nuo to, kaip klientas pritaiko rezultatą, todėl jos gali tyliai nustoti sutapti po pokyčio, kuris atrodo nesusijęs, ir gedimas atrodo kaip sulūžęs VPN, o ne kaip pasenusi išimtis.
Išbandykite, išbandykite dar kartą ir parašykite pašalinimo žingsnį
Parašykite vieną nekenksmingą testą leidžiamam keliui ir vieną netoliese esantį atmestą atvejį: spausdintuvo puslapis įkeliamas, o failų bendrinimas tame pačiame potinklyje – ne. Ta pora įrodo, kad išimtis siaura, ir tai pora, kurią recenzentas gali pakartoti nesuprasdamas pirminio prašymo. Tada nustatykite pakartotinio testavimo trigerius, nes niekada pakartotinai neišbandyta išimtis tolsta nuo reikalavimo, kuriam buvo parašyta, ir tas tolstamumas lieka nematomas, kol kažkas nesugenda.
Galiausiai užrašykite, kaip pašalinti taisyklę per komponentą, kuris ją valdo, ir laikykite paslaptis už pastabos ribų. Paslaugos ir maršruto aprašymas niekada nereikalauja privataus rakto, slaptažodžio ar kieno nors naršymo istorijos, o trumpas prižiūrimas sąrašas yra geresnis už laikiną taisyklę, kuri pergyveno ją parašiusį žmogų.