Skirstytas tunelis prieš įmonės politiką: kuri taisyklė laimi

Vienos programos pažymėjimas skirstyto tunelio kliente atrodo kaip vietinė nuostata, o valdomame įrenginyje tai arčiau politikos pakeitimo. Išimtis nukreipia srautą nuo patvirtinto kelio, kuris gali būti tas pats kelias, kuriuo eina valdomas DNS, filtravimas ir šaltinio adresas, kurį atpažįsta paslauga. Klientas nesielgia neteisingai, kai atšaukia jūsų pakeitimą; diegimas atlieka savo darbą.

Prieš ginčydamiesi dėl žymės langelio, išsiaiškinkite, kurią savybę politika skirta apsaugoti.

Savybė už taisyklės

Kai kurie diegimai nukreipia viską, kad visas srautas eitų per patvirtintą šliuzą. Kitiems rūpi vardų skyrimas, ir jie užklausas laiko įmonės resolveryje, o ne vietiniame tinkle. Dar kitiems reikia stabilaus šaltinio adreso, kad vidinės paslaugos galėtų nuspręsti, ar apskritai atsakyti.

Ketvirta grupė primeta galinio taško būseną: disko šifravimo būsena, pataisų lygis, agento sveikata. Tunelio skirstymas to nekeičia, o apėjimas, kuris vengia paties agento srauto, gali.

Tai keturi skirtingi reikalavimai, ir kiekvieną pažeidžia kita išimtis. Perskaitykite reikalavimą prieš siūlydami pakeitimą, nes jį parašęs žmogus gali iš karto pasakyti, kuris galioja. Pakeitimas, kuris patenkina netinkamą, nieko neperka.

Dviejų teiginių verta atsisakyti anksti. Visiškas tuneliavimas neduoda administratoriams kiekvieno atviro teksto puslapio, nes matomumą lemia programų šifravimas ir galinių taškų kontrolė. Skirstytas tunelis taip pat nėra visuotinai nesaugus, nes valdomas DNS, kiekvienos programos politika ir galinių taškų agentai gali galioti nepriklausomai nuo maršruto.

Atlikite patikras eilės tvarka

Toliau pateikta seka susiaurina išimtį iki mažiausio dalyko, kuris tikrai nepavyko. Sustokite ties pirmąja netenkinama patikra, nes vėlesnė pataisa negali kompensuoti ankstesnio trūkumo.

Paklauskite, kuris srautas dabar praleidžia patvirtintą šliuzą, tada patvirtinkite, kad vardų skyrimas vis dar pasiekia įmonės resolverį. Patikrinkite, ar atitinkama programa gerbia avarinį jungiklį, ar nepavykusį bandymą išleido tiesioginiame kelyje. Tada pažiūrėkite bendras paslaugas: dokumentų peržiūros programa ar atnaujinimų tarpininkas gali išimtį nunešti toliau, nei rodo žymės langelis. Galiausiai pažymėkite, ar politika vėl taikoma prisijungus iš naujo, nes šis elgesys lemia, ar bet koks vietinis pakeitimas išliks.

Kiekvienas atsakymas yra faktas, o išimties prašymui reikia faktų. Ginčas, ar VPN erzina, nėra vienas iš jų. Užrašykite atsakymus prieš prasidedant pokalbiui.

Paprašykite siauros išimties

Praneškite programą, paskirties vietą ir nepavykusią operaciją šia tvarka. Prašymą palikti vieną atnaujintuvą tiesioginiame kelyje galima apsvarstyti; prašymo apeiti tunelį visai naršyklei – ne.

Aprašykite, ką jau bandėte ir ką parodė žurnalai, ir adresuokite tai profilio savininkų komandai, o ne tam, kas atsako pagalbos tarnyboje. Valdomame įrenginyje profilio savininkas paprastai gali sukurti palaikomą išimtį, kuri išgyvena atnaujinimus, o vietinis maršruto keitimas to negali.

Jei atsakymas ne, traktuokite tai kaip dizaino sprendimą, o ne kaip kliūtį apeiti. Kitas peržiūros etapas yra vieta tai vėl atidaryti, su dokumentuota nepavykusia operacija ir pridėta verslo priežastimi. Apeiti tai rizikuoja daugiau, nei išimtis kada nors buvo verta.

Padarykite išimtį gyvybingą

Po patvirtinto pakeitimo patvirtinkite dalis, kurios veikė anksčiau, o ne tik tą dalį, kuri buvo sugedusi. Vidinius vardus vis dar reikia išspręsti per įmonės resolverį, privatūs ištekliai turi atsakyti, o anksčiau nepavykusi užduotis dabar turi būti baigta.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Pirmoji komanda įrodo, kad resolveris vis dar atsako į vidinį priesagą, o antroji – kad užklausa iš dabartinio maršruto pasiekia vidinę paslaugą. Paleiskite jas dar kartą po prisijungimo iš naujo, nes politikos stūmimas gali tyliai atšaukti pakeitimą, kuris testo metu atrodė stabilus. Dvi išvesties eilutės, išsaugotos su bilietu, uždaro ciklą. Be jų išimtis remiasi kažkieno atsiminimu apie puslapį, kuris buvo įkeltas kartą.

Užrašykite išimtį, jos paskirtį ir apimamus komponentus toje pačioje vietoje kaip diegimo pastabos. Nedokumentuota išimtis tampa kito ketvirčio incidentu, o dokumentuota – įrodymu, kad dizainas atlaiko realų darbo krūvį.