Kā dokumentēt VPN bloķēšanas izņēmumu, lai to varētu noņemt
Izņēmums, ko neviens nevar aprakstīt, ir pastāvīgs. Pierakstiet satiksmi, ko tas atļauj, prasību, uzvedību kļūmes gadījumā un komponentu, kas to noņem.
Apvedceļi, kuru mērķis aizgāja kopā ar to autoru, ir tie, kas pārdzīvo savu lietderību, un bloķēšanas politikas tos savāc ātrāk nekā jebkurš cits konfigurācijas veids. Izņēmums, kas rakstīts kā “atļaut vietējo tīklu”, ir noteikums, ko neviens nevar aizstāvēt un neviens nevar izņemt no ekspluatācijas, jo prasība aiz tā aizgāja kopā ar cilvēku, kurš to pievienoja. Šādas politikas cieš neveiksmi, jo nes izņēmumus, kuru iemesls ir iztvaikojis, bet risks palicis. Rakstīt apjomu, uzvedību kļūmes gadījumā un noņemšanas soli jāraksta tajā brīdī, kad pievienojat izņēmumu, kamēr kāds vēl atceras, kāpēc.
Šis ir lēmums par to, kas piezīmē jābūt, nevis veidlapa, kas jāaizpilda. Četri lauki zemāk ir tie, kas nosaka, vai recenzents gadu vēlāk var noņemt noteikumu bez sapulces. Katrs no tiem pastāv tāpēc, ka tā trūkumam ir paredzamas izmaksas.
Kāpēc nedokumentēts apvedceļš nekad netiek izņemts no ekspluatācijas
Apvedceļu bez apraksta nevar pārbaudīt un tāpēc nevar droši noņemt. Tas pārdzīvo katru pārskatu, jo dzēšana izskatās riskanta, bet saglabāšana — nekaitīga, un katrs pārskats, kas to pārlec, padara arī nākamo vieglāk pārlecamu. Izmaksas nav redzamas, līdz audits jautā, kāpēc privāts diapazons ir atbrīvots, un tad atbilde ir plecu raustīšana.
Ierakstam jābūt pietiekami īsam, lai cilvēki to tiešām uzrakstītu izmaiņu logā. Viena rinda satiksmei, viena — prasībai, kurai tas kalpo.
Apjoma rakstīšana kā satiksme
Uzskaitiet lietojumprogrammu vai galamērķa diapazonu, iesaistītās adrešu saimes, pakalpojumu un portu, kā arī tīkla kontekstu, kurā noteikums darbojas, pēc tam nosauciet apstiprinātāju un precīzo klienta vai platformas iestatījumu, kas to nes. “Printeris” ir nodoms; “TCP 631 uz 192.168.1.50, tikai mājas tīkls” ir apjoms, ko kāds var pārbaudīt. Ja atbilde uz “kur tas dzīvo” ir “kaut kur MDM profilā”, ieraksts nav pabeigts. Faila ceļš, profila nosaukums vai reģistra atslēga ir labāka par aprakstu, kur iestatījums varētu būt.
Kur platforma atbalsta noteikumus pēc lietojumprogrammas, dodiet priekšroku tiem, nevis adrešu diapazoniem, jo atļaut vienai lietojumprogrammai apiet tuneli ir šaurāk nekā atbrīvot visu privāto apakštīklu, un tas pārdzīvo ierīces pārvietošanos uz jaunu adresi. Android VpnService rokasgrāmata apraksta šo modeli pēc lietojumprogrammas; galddatoru klienti izsaka to pašu ideju ar saviem profila iestatījumiem. Uz adresēm balstīti izņēmumi ir rezerves variants, kad platforma nepiedāvā neko šaurāku, tāpēc tiem nepieciešama asāka apjoma rinda.
Četri izņēmumu veidi, četri noņemšanas riski
Izņēmumi nav viena kategorija, un to noņemšana nes dažādas sekas. Vienas rindas dalīšana starp diviem veidiem ir veids, kā printera izņemšana no ekspluatācijas izņem arī spēju pieslēgties.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Turiet bootstrap, portāla, ierīces un lietojumprogrammas izņēmumus atsevišķās rindās, pat ja praksē tie pārklājas. Privāta diapazona izņēmums klusi piešķir piekļuvi katram kaimiņam šajā apakštīklā, nevis vienīgajai ierīcei, kuru gribējāt sasniegt, un tā ir atšķirība starp apjomu, ko varat aizstāvēt, un to, uz ko tikai cerat.
Ko apvedceļš dara, kad tunelis nokrīt
Uzdodiet trīs jautājumus un pierakstiet atbildes, jo tās nosaka, vai bloķēšana ir īsta. Vai izņēmums paliek lietojams, kad tunelis nokrīt: captive portālam ir jāpaliek, citādi neviens nekad nevarēs pieteikties, savukārt privātam resursam parasti nevajadzētu, citādi politika ir dekoratīva. Vai tas attiecas uz visiem tīkliem vai tikai paredzētajā vidē, jo noteikums, kas ierobežots ar mājas apakštīklu, uzvedas pavisam citādi publiskā tīklā, kas nejauši izmanto to pašu diapazonu. Katra atbilde maina gan noteikumu, gan piezīmi, tāpēc neatbildēts jautājums ir lēmums, ko vēlāk kāds cits pieņems nepareizi.
Trešais jautājums ir, kas notiek kad galamērķis maina savu adresi, kur domēnos un adresēs balstīti izņēmumi atšķiras. Uz domēniem balstīti noteikumi ir atkarīgi no tā, kad notiek izšķiršana, un no tā, kā klients piemēro rezultātu, tāpēc tie var klusi pārstāt sakrist pēc izmaiņām, kas izskatās nesaistītas, un kļūme izskatās kā salūzis VPN, nevis kā novecojis izņēmums.
Pārbaudiet, pārbaudiet vēlreiz un pierakstiet noņemšanas soli
Uzrakstiet vienu nekaitīgu testu atļautajam ceļam un vienu tuvēju noraidītu gadījumu: printera lapa ielādējas, bet failu koplietošana tajā pašā apakštīklā ne. Šis pāris pierāda, ka izņēmums ir šaurs, un tas ir pāris, ko recenzents var atkārtot, nesaprotot sākotnējo pieprasījumu. Pēc tam iestatiet atkārtotas pārbaudes trigerus, jo izņēmums, kas nekad netiek pārbaudīts atkārtoti, attālinās no prasības, kurai tas tika rakstīts, un šī attālināšanās paliek neredzama, līdz kaut kas salūzt.
Visbeidzot, pierakstiet, kā noņemt noteikumu caur komponentu, kuram tas pieder, un turiet noslēpumus ārpus piezīmes. Pakalpojuma un maršruta aprakstīšana nekad neprasa privātu atslēgu, paroli vai kāda pārlūkošanas vēsturi, un īss uzturēts saraksts ir labāks par pagaidu noteikumu, kas pārdzīvoja to rakstījušo cilvēku.