Cara mendokumenkan pengecualian kunci VPN supaya ia boleh dialih keluar

Lencongan yang tujuannya pergi bersama penulisnya ialah yang hidup lebih lama daripada kegunaannya, dan dasar kunci mengumpulnya lebih pantas daripada apa-apa jenis konfigurasi lain. Pengecualian yang ditulis sebagai “benarkan rangkaian setempat” ialah peraturan yang tiada siapa dapat mempertahankan dan tiada siapa dapat menamatkan perkhidmatannya, kerana keperluan di belakangnya pergi bersama orang yang menambahnya. Dasar sebegitu gagal kerana membawa pengecualian yang alasannya telah mengewap sementara risikonya kekal. Saat untuk menulis skop, tingkah laku semasa kegagalan dan langkah pengalihan keluar ialah saat anda menambah pengecualian itu, selagi seseorang masih ingat mengapa.

Ini ialah keputusan tentang apa yang nota mesti mengandungi, bukan templat untuk diisi. Empat medan di bawah ialah yang menentukan sama ada penyemak boleh mengalih keluar peraturan itu setahun kemudian tanpa mesyuarat. Setiap satu wujud kerana ketiadaannya mempunyai kos yang boleh dijangka.

Mengapa lencongan tidak didokumenkan tidak pernah ditamatkan perkhidmatannya

Lencongan tanpa keterangan tidak boleh diuji dan oleh itu tidak boleh dialih keluar dengan selamat. Ia bertahan setiap semakan kerana pemadaman kelihatan berisiko manakala penyimpanan kelihatan tidak berbahaya, dan setiap semakan yang melangkaunya menjadikan semakan seterusnya juga lebih mudah dilangkau. Kosnya tidak kelihatan sehingga audit bertanya mengapa julat peribadi dikecualikan, dan pada masa itu jawapannya ialah angkat bahu.

Rekod mesti cukup pendek supaya orang benar-benar menulisnya dalam tetingkap perubahan. Satu baris untuk trafik, satu untuk keperluan yang dilayaninya.

Menulis skop sebagai trafik

Senaraikan aplikasi atau julat destinasi, keluarga alamat yang terlibat, perkhidmatan dan port, serta konteks rangkaian tempat peraturan itu terpakai, kemudian namakan penyetuju dan tetapan klien atau platform yang tepat yang membawanya. “Pencetak” ialah niat; “TCP 631 ke 192.168.1.50, rangkaian rumah sahaja” ialah skop yang boleh disahkan seseorang. Jika jawapan kepada “di mana ini tinggal” ialah “di suatu tempat dalam profil MDM”, rekod itu belum selesai. Laluan fail, nama profil atau kunci registri lebih baik daripada keterangan tentang di mana tetapan itu mungkin berada.

Di mana platform menyokong peraturan setiap aplikasi, utamakan ia berbanding julat alamat, kerana membenarkan satu aplikasi memintas terowong adalah lebih sempit daripada mengecualikan seluruh subrangkaian peribadi dan ia bertahan apabila peranti berpindah ke alamat baharu. Panduan VpnService Android menerangkan model setiap aplikasi itu; klien desktop menyatakan idea yang sama melalui tetapan profil mereka sendiri. Pengecualian berasaskan alamat ialah sandaran apabila platform tidak menawarkan apa-apa yang lebih sempit, sebab itulah ia memerlukan baris skop yang lebih tajam.

Empat jenis pengecualian, empat risiko pengalihan keluar

Pengecualian bukan satu kategori, dan pengalihan keluarnya membawa akibat yang berbeza. Berkongsi satu baris antara dua jenis ialah cara menamatkan perkhidmatan pencetak juga menamatkan keupayaan untuk menyambung.

Kekalkan pengecualian bootstrap, portal, peranti dan aplikasi pada baris berasingan walaupun ia bertindih dalam amalan. Pengecualian julat peribadi secara senyap memberi akses kepada setiap jiran pada subrangkaian itu dan bukan kepada satu peranti yang anda mahu capai, dan itulah perbezaan antara skop yang boleh anda pertahankan dan skop yang anda hanya harapkan.

Apa yang lencongan lakukan apabila terowong tumbang

Tanya tiga soalan dan tulis jawapannya, kerana itulah yang menentukan sama ada kunci itu benar. Adakah pengecualian kekal boleh digunakan apabila terowong tumbang: bagi portal captive ia mesti, jika tidak tiada siapa boleh log masuk, manakala bagi sumber peribadi ia biasanya tidak patut, jika tidak dasarnya hiasan. Adakah ia terpakai pada setiap rangkaian atau hanya dalam persekitaran yang dimaksudkan, kerana peraturan yang terhad kepada subrangkaian rumah berkelakuan sangat berbeza pada rangkaian awam yang kebetulan menggunakan julat yang sama. Setiap jawapan mengubah peraturan dan nota sekali gus, jadi soalan yang dibiarkan tanpa jawapan ialah keputusan yang orang lain akan ambil salah kemudian.

Soalan ketiga ialah apa yang berlaku apabila destinasi menukar alamatnya, di mana pengecualian berasaskan domain dan berasaskan alamat menyimpang. Peraturan berasaskan domain bergantung pada bila resolusi berlaku dan bagaimana klien menggunakan hasilnya, jadi ia boleh secara senyap berhenti sepadan selepas perubahan yang kelihatan tidak berkaitan, dan kegagalan itu kelihatan seperti VPN rosak dan bukan pengecualian lapuk.

Uji, uji semula, dan tulis langkah pengalihan keluar

Tulis satu ujian tidak berbahaya untuk laluan yang dibenarkan dan satu kes ditolak berhampiran: halaman pencetak dimuatkan dan perkongsian fail pada subrangkaian yang sama tidak. Pasangan itu membuktikan pengecualian itu sempit, dan itulah pasangan yang boleh diulang oleh penyemak tanpa memahami permintaan asal. Kemudian tetapkan pencetus ujian semula, kerana pengecualian yang tidak pernah diuji semula menjauh daripada keperluan yang menjadi sebab ia ditulis, dan penjauhan itu kekal tidak kelihatan sehingga sesuatu rosak.

Akhir sekali, catat cara mengalih keluar peraturan melalui komponen yang memilikinya, dan jauhkan rahsia daripada nota. Menerangkan perkhidmatan dan laluan tidak pernah memerlukan kunci peribadi, kata laluan atau sejarah pelayaran sesiapa, dan senarai pendek yang dijaga lebih baik daripada peraturan sementara yang hidup lebih lama daripada orang yang menulisnya.