Kif tiddokumenta eċċezzjoni għall-illokkjar tal-VPN sabiex tkun tista’ titneħħa
Eċċezzjoni li ħadd ma jista’ jiddeskrivi hija permanenti. Irreġistra t-traffiku li tippermetti, ir-rekwiżit, l-imġiba meta jonqos u l-komponent li jneħħiha.
Il-bypass li l-iskop tagħhom telaq mal-awtur tagħhom huma dawk li jgħixu aktar mill-utilità tagħhom, u l-politiki tal-illokkjar jiġbruhom malajr aktar minn kull tip ieħor ta’ konfigurazzjoni. Eċċezzjoni miktuba bħala “iħalli n-netwerk lokali” hija regola li ħadd ma jista’ jiddefendi u ħadd ma jista’ jirtira, għax ir-rekwiżit warajha telaq mal-persuna li żieditha. Politiki bħal dawn ifallu billi jġorru eżenzjonijiet li r-raġuni tagħhom evaporat waqt li r-riskju baqa’. Il-mument biex tikteb l-ambitu, l-imġiba meta jonqos u l-pass tat-tneħħija huwa l-mument li fih iżżid l-eċċezzjoni, waqt li xi ħadd għadu jiftakar għaliex.
Din hija deċiżjoni dwar x’għandu jkun fih in-nota, mhux mudell biex timla. L-erba’ oqsma hawn taħt huma dawk li jiddeċiedu jekk reviżur jistax ineħħi r-regola sena wara mingħajr laqgħa. Kull wieħed jeżisti għax in-nuqqas tiegħu għandu prezz prevedibbli.
Għaliex bypass mhux dokumentat qatt ma jiġi rtirat
Bypass mingħajr deskrizzjoni ma jistax jiġi ttestjat u għalhekk ma jistax jitneħħa b’mod sikur. Jibqa’ ħaj minn kull reviżjoni għax it-tħassir jidher riskjuż filwaqt li ż-żamma tidher bla ħsara, u kull reviżjoni li tgħaddi minn fuqu tagħmel ukoll lill-ijmiss aktar faċli biex tgħaddi minn fuqu. L-ispiża hija inviżibbli sakemm verifika tistaqsi għaliex firxa privata hija eżentata, u sa dakinhar it-tweġiba hija tgħolli spallejk.
Ir-rekord irid ikun qasir biżżejjed biex in-nies fil-fatt jiktbuh fit-tieqa tal-bidla. Linja waħda għat-traffiku, waħda għar-rekwiżit li jaqdi.
Nikteb l-ambitu bħala traffiku
Elenka l-applikazzjoni jew il-firxa tad-destinazzjoni, il-familji tal-indirizzi involuti, is-servizz u l-port, u l-kuntest tan-netwerk li fih tapplika r-regola, imbagħad semmi l-approvatur u l-issettjar eżatt tal-klijent jew tal-pjattaforma li jġorrha. “Printer” hija intenzjoni; “TCP 631 sa 192.168.1.50, netwerk tad-dar biss” hija ambitu li xi ħadd jista’ jivverifika. Jekk it-tweġiba għal “fejn jgħix dan” hija “x’imkien fil-profil MDM”, ir-rekord mhuwiex lest. Triq tal-fajl, isem tal-profil jew muftieħ tar-reġistru hija aħjar minn deskrizzjoni ta’ fejn jista’ jkun l-issettjar.
Fejn il-pjattaforma tappoġġja regoli għal kull applikazzjoni, ippreferihom mill-firxiet tal-indirizzi, għax li tħalli applikazzjoni waħda tgħaddi mit-tunnel huwa iżjed dejjaq milli teżenta subnet privat sħiħ u jibqa’ ħaj meta l-apparat jiċċaqlaq għal indirizz ġdid. Il-gwida tal-VpnService tal-Android tiddeskrivi dak il-mudell għal kull applikazzjoni; il-klijenti tad-desktop jesprimu l-istess idea permezz tal-issettjar tal-profil tagħhom stess. L-eżenzjonijiet ibbażati fuq l-indirizz huma l-alternattiva meta l-pjattaforma ma toffri xejn idjaq, u għalhekk jeħtieġu linja tal-ambitu aktar preċiża.
Erba’ tipi ta’ eċċezzjoni, erba’ riskji tat-tneħħija
L-eċċezzjonijiet mhumiex kategorija waħda, u t-tneħħija tagħhom iġġorr konsegwenzi differenti. Li taqsam linja waħda bejn żewġ tipi huwa l-mod kif l-irtirar ta’ printer jirtira wkoll il-ħila li tikkonnettja.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Żomm l-eċċezzjonijiet tal-bootstrap, tal-portal, tal-apparat u tal-applikazzjoni fuq linji separati anke meta fil-prattika jikkoinċidu. Eżenzjoni ta’ firxa privata tagħti bil-kwiet aċċess lil kull ġar fuq dik is-subnet u mhux lill-apparat wieħed li ridt tilħaq, u dik hija d-differenza bejn ambitu li tista’ tiddefendi u wieħed li biss tittama fih.
X’jagħmel il-bypass meta l-tunnel jaqa’
Staqsi tliet mistoqsijiet u ikteb it-tweġibiet, għax huma jiddeċiedu jekk l-illokkjar huwiex reali. L-eċċezzjoni tibqa’ użabbli meta l-tunnel jaqa’: għal portal captive trid, inkella ħadd qatt ma jista’ jidħol, filwaqt li għal riżorsa privata normalment m’għandhiex, inkella l-politika hija dekorattiva. Tapplika fuq kull netwerk jew biss fl-ambjent maħsub, għax regola limitata għas-subnet tad-dar iġġib ruħha b’mod differenti ħafna fuq netwerk pubbliku li jkun qed juża l-istess firxa. Kull tweġiba tbiddel kemm ir-regola kif ukoll in-nota, għalhekk mistoqsija li titħalla bla tweġiba hija deċiżjoni li xi ħadd ieħor se jieħu ħażin aktar tard.
It-tielet mistoqsija hija x’jiġri meta d-destinazzjoni tbiddel l-indirizz tagħha, fejn l-eżenzjonijiet ibbażati fuq id-dominju u dawk ibbażati fuq l-indirizz jiddevjew. Ir-regoli bbażati fuq id-dominju jiddependu minn meta sseħħ ir-riżoluzzjoni u kif il-klijent japplika r-riżultat, għalhekk jistgħu bil-kwiet jieqfu jaqblu wara bidla li tidher mhux relatata, u l-falliment jidher bħal VPN miksur u mhux bħal eżenzjoni skaduta.
Ittestja, erġa’ ittestja, u ikteb il-pass tat-tneħħija
Ikteb test wieħed bla ħsara għat-triq permessa u każ wieħed miċħud fil-qrib: il-paġna tal-printer tgħabbi u l-kondiviżjoni tal-fajls fl-istess subnet le. Dak il-par jipprova li l-eċċezzjoni hija dejqa, u huwa l-par li reviżur jista’ jirrepeti mingħajr ma jifhem it-talba oriġinali. Imbagħad issettja t-trigers tat-test mill-ġdid, għax eċċezzjoni li qatt ma terġa’ tiġi ttestjata tbiegħed mir-rekwiżit li għalih inkitebt, u dik it-tbegħid tibqa’ inviżibbli sakemm xi ħaġa tinkiser.
Fl-aħħar, irreġistra kif titneħħa r-regola permezz tal-komponent li jippossjediha, u żomm is-sigrieti barra min-nota. Li tiddeskrivi servizz u rotta qatt ma jeħtieġ muftieħ privat, password jew l-istorja tal-ibbrawżjar ta’ xi ħadd, u lista qasira miżmuma hija aħjar minn regola temporanja li għexet aktar mill-persuna li kitbitha.