VPN эрсдэлийн тайлан үл хайхрагдсан уу? Шийдвэрийг бичээрэй, оноог биш

Ноцтой байдлын зэрэглэлээр төгсдөг эрсдэлийн тэмдэглэл менежерт шийдвэр өгдөг боловч ямар ч арга хэмжээ өгдөггүй. Тиймээс тэдний олонх нь «баярлалаа, тэмдэглэлээ» гээд өөр юугүй буцаж ирдэг. Баталсан тэмдэглэлүүд нэг хэлбэрийг хуваалцдаг: нэг нарийн шалгаж болох мэдэгдэл, үнэ бүхий хоёр нэрлэсэн сонголт, тодорхой огноо хүртэл хариулах ёстой нэг хүн. Доорх бүхэн таны мэддэг зүйлийг хэтрүүлэхгүйгээр энэ хэлбэрийг бий болгох тухай юм.

Оноо хэн ч асуугаагүй асуултад хариулдаг

Магадлалыг нөлөөгөөр үржүүлэх арифметик илрүүлэлтүүдийг бие биенийхээ эсрэг эрэмбэлдэг тоо гаргадаг. Энэ нь захиралд юунд гарын үсэг зурахаа хэлдэггүй бөгөөд гарцын тухай шийдвэрийн оронд үржүүлэгчийн талаар маргаан дууддаг. Би хоёр аравтын оронтой өртлийн тоо бүхэл хуралдааныг залгиж, харин жинхэнэ асуулт — энэ улиралд шинэчлэлийг санхүүжүүлэх эсэх — асуугдахгүй үлдсэнийг харсан.

Энэ салбарт цөөн жинхэнэ шийдвэр бий. Шинэчлэлийг санхүүжүүлэх, зарласан огноо хүртэл хязгаарлагдмал өртлийг хүлээн зөвшөөрөх, эсвэл үйлчилгээнд хүрч чадах хүрээг багасгах. Тус бүр өөр хариуцлагатай хүн, өөр зардалтай бөгөөд тэдгээрийн аль нь ч «эрсдэлийг 40 хувиар бууруул» биш.

Ноцтой байдлын инфляци асуудлыг улам дордуулдаг. Илрүүлэлт бүр чухал болоход зэрэглэл ялгахаа болиод уншигч үлдсэн цорын ганц дохио руу буцдаг, өөрөөр хэлбэл хэн хамгийн чанга гомдоллосон руу. Хувилбар дэмжлэгээс гарсан, энэ нь дэмжлэгээс гарснаас хойш хоёр дахь улирал, ажилтнуудын тодорхой бүлэг үүнээс хамааралтай гэж хэлсэн тэмдэглэл улаан тэмдгээс хамаагүй илүү үйлчлэх боломжтой.

Тодорхойгүй байдал нь нөгөө бүтэлгүйтэл. «VPN аюулгүй бус» гэдгийг шийдэх боломжгүй, учир нь аль байршил, аль хувилбар эсвэл хэн юунд хүрч чадахыг хэлдэггүй. Уншигчийн шалгаж чадах өгүүлбэр нь ашигтай тайлангийн хамгийн бага нэгж.

Хэн нэгэн шалгаж чадах хүртэл мэдэгдлийг багасга

Мэдэгдлийг санал бодолд бус, нийтэлсэн хязгаарт бэхэл. Нийлүүлэгчийн дэмжлэгээс гарсан байх, шаардлагатай баталгаажуулалтын алхам дутуу байх, эсвэл үүнийг харах ёсгүй сүлжээний сегментээс хүрч болох байх — бүгд ард нь тесттэй мэдэгдэл юм. Эхнийх нь хувьд тест нь гарц дээрх гурван команд:

openvpn --version | head -n 1
dpkg-query -W -f='${Version}\n' openvpn
openssl x509 -in /etc/openvpn/server.crt -noout -enddate

Хувилбарын мөр, багцын асуулга ихэвчлэн таардаг, таарахгүй үед та тусдаа тайланд хүртэх хоёр дахь асуудлыг олсон байна. Гэрчилгээний дуусах огноо нь клиентүүд холбогдож чадахгүй болох хүртэл хүмүүс шалгахаа мартдаг талбар бөгөөд энэ нь хувилбарын мөртэй нэг нотолгооны хавсралтад хамаарна.

Гаралт бүр хаанаас ирсэн, хэзээ авсан зүйлийг тэмдэглэ. «Гарц gw1, мягмар гарагт цуглуулсан» гэсэн тэмдэглэлийг скептик дахин ажиллуулж болно; сонирхолтой мөр хүртэл тайрсан дэлгэцийн зургийг ажиллуулж чадахгүй. Файл таны машиныг орхихоос өмнө түлхүүр, хувийн хаяг, бүртгэлийн нэрийг устга.

Тэмдэглэлийг нэрлэсэн сонголтуудын хоорондын сонголт хэлбэрээр бич

Шийдвэрийн тэмдэглэл богино, учир нь нэг ажил хийдэг. Энэ бол миний хэрэглэдэг хэлбэр бөгөөд алсын хандалтын хувилбар нь дэмжлэгээс гарсан зохиомол дунд хэмжээний байгууллагад зориулж бөглөсөн:

Ask: approve one of two upgrade paths for remote access before 30 June.
Claim: gw1 runs a release that left vendor support in January.
Evidence: version output and vendor notice, attached, collected 14 March.
Option A: upgrade in place, one maintenance window, staff on the current client build.
Option B: replace the gateway, two windows, client reinstall for 180 staff.
Cost of waiting: no security fixes for a service 180 staff use daily.
Owner: platform team. Decision needed from: IT director, by 28 March.

Мөр бүр өөрийн байр суурийг олдог. Хүсэлт нь нэг өгүүлбэр бөгөөд огноо агуулдаг. Мэдэгдэл шалгаж болно. B сонголт нь A сонголтыг ёслол бус, сонголт болгохын тулд байгаа бөгөөд клиентийг дахин суулгахыг нэрлэдэг, учир нь хүмүүсийн дутуу үнэлдэг зардал нь тэр. Хүлээх зардал нь магадлал бус, үр дагаврыг тодорхойлдог.

Тэмдэглэл хийх ёсгүй зүйл бол таны дэмжиж чадахгүй дүгнэлтийг далд оруулах явдал юм. Зөрчил нотлогдоогүй бол нэг мөрөнд хэлээрэй, учир нь дараа нь хэтрүүлэл олж мэдсэн уншигч таны дараагийн гурван тэмдэглэлийг ч үл тоомсорлох болно.

Эрсдэлийг хүлээн зөвшөөрөхөд юу байх ёстой

Хүлээн зөвшөөрөх нь шийдвэр байхгүй байх биш, мөн чимээгүй байх биш. Хариулт нь хэсэг хугацаанд өртөлттэй амьдрах бол тэмдэглэлд гурван нэмэлт хэрэгтэй: дуусах огноо, хэн нэгэн үнэхээр хийдэг хяналтын алхам, огноо ирэхэд асуултыг дахин нээх нэрлэсэн хүн.

Түр хугацааны хяналтад мөн адил хандалт хэрэгтэй. Үйлчилгээг жижиг бүлэгт хязгаарлах нь хязгаарлалтыг хаа нэгтээ хэрэгжүүлж, хэн нэгэн жагсаалтыг хадгалж байж л өртлийг бууруулна. Шөнийн багц ажлыг чимээгүй зогсоох блок нь хяналт биш, илүү сайн бичиг баримттай осол юм.

Өөрчлөлтийн хариуцлагатай, шийдвэрийн хариуцлагатай хүн өөр хүмүүс бол тэднийг тусгаарла. Платформын баг гүйцэтгэдэг; захирал хүлээн авдаг. Хоёр нэрийг тэмдэглэлд бичих нь хамгийн түгээмэл гацалтыг арилгана: сайн бэлтгэсэн төлөвлөгөө түүнийг хэзээ ч хараагүй хүнийг хүлээх.

Илгээхээс өмнө тэмдэглэлийг байршилтай харьцуулан шалга

Нэгээс олон гарцтай байгууллагуудад мэдэгдэл муу хуучирдаг. Өөр хувилбарын тухай форумын сэдвээс эсвэл өнгөрсөн сард дахин бүтээсэн хостноос хуулсан илрүүлэлтийг хуралдаанд эсэргүүцэх бөгөөд тэмдэглэлийн үлдсэн хэсэг түүнтэй хамт явна. Нотолгоог тэмдэглэлд нэрлэсэн хост бүр дээр дахин ажиллуул:

for h in gw1 gw2; do
  ssh "$h" 'openvpn --version | head -n 1; systemctl is-active openvpn@server'
done

Хэрэв хоёр хост санал нийлэхгүй бол тэмдэглэл одоо холимог паркийн тухай болж, энэ нь өөр бөгөөд ихэвчлэн илүү итгэл үнэмшилтэй илрүүлэлт юм. Хэрэв та трафикт үйлчилдэг гэж бодсон хост дээр үйлчилгээ идэвхгүй бол зогсоод, тэмдэглэл хаа нэгтээ явахаас өмнө бүртгэлийг зас.

Дараа нь гаралтыг хавсаргаж, шийдвэрийн огноог сэдвийн мөрөнд тавьж, хэлэлцэх бүлэгт бус «тийм» гэж чадах хүнд илгээ. Хариулт «одоо биш» гэж ирвэл энэ нь «одоо» болох огноог асууж, тэр огноог тэмдэглэлийн дараагийн хувилбарт бич.