Поделен тунел наспроти корпоративна политика: кое правило победува

Означување на една апликација во клиент со поделен тунел изгледа како локална претпочита, а на управуван уред е поблиску до промена на политиката. Исклучокот го пренасочува сообраќајот од одобрениот пат, кој може да е истиот пат по кој одат управуваниот DNS, филтрирањето и изворната адреса што ја препознава услугата. Клиентот не се однесува погрешно кога ја враќа вашата измена; распоредувањето ја врши својата работа.

Пред да се расправате за полето, утврдете кое својство политиката постои за да го заштити.

Својството зад правилото

Некои распоредувања насочуваат сѐ за целиот сообраќај да помине низ одобрена порта. Другите држат до разрешувањето имиња и прашањата ги чуваат на корпоративниот резолвер, а не на локалниот. Трети бараат стабилна изворна адреса за внатрешните услуги да можат да одлучат дали воопшто да одговорат.

Четвртата група го наметнува статусот на крајната точка: состојба на шифрирањето на дискот, ниво на закрпи, здравје на агентот. Поделбата на тунелот тоа не го менува, додека заобиколувањето што го избегнува сопствениот сообраќај на агентот може.

Тоа се четири различни барања и секое го крши различен исклучок. Прочитајте го барањето пред да ја предложите промената, бидејќи оној што го напишал веднаш ќе ви каже кое важи. Промена што го задоволува погрешното не купува ништо.

Две тврдења вреди рано да се отфрлат. Целосното тунелирање не им дава на администраторите секоја страница во чист текст, бидејќи видливоста ја одредуваат шифрирањето на апликациите и контролата на крајните точки. Ни поделениот тунел не е универзално небезбеден, бидејќи управуваниот DNS, политиките по апликација и агентите на крајните точки можат да важат независно од рутата.

Извршете ги проверките по ред

Следната низа го стеснува исклучокот до најмалото нешто што навистина не успеало. Запрете на првата проверка што не важи, бидејќи подоцнежна поправка не може да надомести претходен недостаток.

Прашајте кој сообраќај сега ја пропушта одобрената порта, потоа потврдете дека разрешувањето имиња сѐ уште стигнува до корпоративниот резолвер. Проверете дали соодветната апликација го почитува прекинувачот за итни случаи или дали неуспешниот обид го потрошила на директен пат. Потоа погледнете ги заедничките услуги: прегледувач на документи или посредник за ажурирања може да го однесе исклучокот подалеку отколку што сугерира полето. На крајот забележете дали политиката повторно се применува при повторно поврзување, бидејќи тоа однесување одлучува дали некоја локална промена ќе преживее.

Секој одговор е факт, а на барањето за исклучок му требаат факти. Расправата за тоа дали VPN-от е досаден не е еден од нив. Запишете ги одговорите пред разговорот да започне.

Побарајте тесен исклучок

Пријавете ја апликацијата, дестинацијата и операцијата што не успеа, по тој ред. Барање еден ажурирач да остане на директниот пат може да се разгледа; барање да се заобиколи тунелот за целиот прелистувач не може.

Опишете што веќе сте пробале и што покажаа дневниците, и упатете го до тимот што го поседува профилот, а не до оној што одговара на помошната служба. На управуван уред сопственикот на профилот обично може да создаде поддржан исклучок што преживува ажурирања, додека локална измена на рутата не може.

Ако одговорот е не, третирајте го како дизајнерска одлука, а не како пречка што треба да се заобиколи. Следниот преглед е местото да се отвори повторно, со документирана неуспешна операција и приложена деловна причина. Заобиколувањето ризикува повеќе отколку што исклучокот некогаш вредел.

Направете го исклучокот одржлив

По одобрена промена, потврдете ги деловите што работеле претходно, не само делот што бил расипан. Внатрешните имиња треба сѐ уште да се разрешуваат преку корпоративниот резолвер, приватните ресурси да одговараат, а претходно неуспешната задача сега да заврши.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Првата команда докажува дека резолверот сѐ уште одговара за внатрешен суфикс, а втората дека барањето стигнува до внатрешната услуга од тековната рута. Извршете ги повторно по повторно поврзување, бидејќи испраќањето политика може тивко да откаже промена што изгледаше стабилна за време на тестот. Две линии излез зачувани со тикетот ја затвораат јамката. Без нив исклучокот почива на нечие сеќавање на страница што се вчитала еднаш.

Запишете го исклучокот, неговата цел и компонентите што ги покрива на истото место каде што се белешките за распоредување. Недокументираниот исклучок станува инцидент на следното тримесечие, а документираниот станува доказ дека дизајнот поднесува реален работен товар.