Splittet tunnel mot bedriftspolicy: hvilken regel vinner

Å krysse av for én app i en splittet tunnel-klient føles som en lokal preferanse, og på en administrert enhet er det nærmere en policyendring. Unntaket flytter trafikk bort fra den godkjente veien, som kan være den samme veien som bærer administrert DNS, filtrering og kildeadressen en tjeneste kjenner igjen. Klienten oppfører seg ikke feil når den ruller tilbake endringen din; utrullingen gjør jobben sin.

Før du krangler om avkrysningsboksen, finn ut hvilken egenskap policyen finnes for å beskytte.

Egenskapen bak regelen

Noen utrullinger ruter alt slik at all trafikk går gjennom en godkjent gateway. Andre bryr seg om navneoppslag og holder spørringene på bedriftens resolver i stedet for den lokale nettverket. Andre igjen trenger en stabil kildeadresse slik at interne tjenester kan avgjøre om de skal svare i det hele tatt.

En fjerde gruppe håndhever endepunktets tilstand: status for diskkryptering, patchnivå, agentens helse. Å dele tunnelen endrer ikke det, mens en omvei som unngår agentens egen trafikk kan.

Det er fire forskjellige krav, og hvert brytes av et forskjellig unntak. Les kravet før du foreslår endringen, for den som skrev det kan straks si hvilket som gjelder. En endring som oppfyller det gale kjøper ingenting.

To påstander er verdt å forkaste tidlig. Full tunnel gir ikke administratorer hver klartekstside, for applikasjonskryptering og endepunktkontroller avgjør hva som er synlig. Splittet tunnel er heller ikke universelt utrygt, for administrert DNS, policyer per app og endepunktagenter kan gjelde uansett rute.

Kjør kontrollene i rekkefølge

Rekkefølgen nedenfor snevrer et unntak inn til det minste som faktisk feilet. Stopp ved den første kontrollen som ikke holder, for en senere rettelse kan ikke veie opp for et tidligere hull.

Spør hvilken trafikk som nå misser den godkjente gatewayen, og bekreft deretter at navneoppslag fortsatt når bedriftens resolver. Sjekk om den aktuelle appen respekterer en kill switch, eller om den brukte det mislykkede forsøket på en direkte rute. Se så på delte tjenester: en dokumentfremviser eller oppdateringsmegler kan bære unntaket lenger enn avkrysningsboksen antyder. Noter til slutt om policyen brukes på nytt ved gjenoppkobling, for den atferden avgjør om en lokal endring overlever.

Hvert svar er et faktum, og fakta er det en unntaksforespørsel trenger. En diskusjon om VPN er irriterende er ikke et av dem. Skriv ned svarene før samtalen begynner.

Be om et snevert unntak

Rapporter appen, destinasjonen og operasjonen som feilet, i den rekkefølgen. En forespørsel om å holde én oppdaterer på den direkte veien kan vurderes; en forespørsel om å omgå tunnelen for hele nettleseren kan ikke.

Beskriv hva du allerede har prøvd og hva loggene viste, og rett det til teamet som eier profilen i stedet for den som svarer på brukerstøtten. På en administrert enhet kan profileieren vanligvis opprette et støttet unntak som overlever oppdateringer, mens en lokal ruteendring ikke kan.

Hvis svaret er nei, behandle det som en designbeslutning og ikke som en hindring å omgå. Neste gjennomgang er stedet for å åpne det igjen, med den mislykkede operasjonen dokumentert og forretningsårsaken vedlagt. Å omgå det risikerer mer enn unntaket noen gang var verdt.

Gjør unntaket levedyktig

Etter en godkjent endring, bekreft delene som fungerte før, ikke bare delen som var ødelagt. Interne navn skal fortsatt løses via bedriftens resolver, private ressurser skal fortsatt svare, og oppgaven som tidligere feilet skal nå fullføres.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Den første kommandoen beviser at resolveren fortsatt svarer for et internt suffiks, og den andre at en forespørsel når den interne tjenesten fra gjeldende rute. Kjør dem igjen etter gjenoppkobling, for et policyskyv kan stille angre en endring som så stabil ut under testen. To linjer med utdata lagret med saken lukker sirkelen. Uten dem hviler unntaket på noens minne om en side som lastet én gang.

Noter unntaket, formålet og komponentene det dekker samme sted som utrullingsnotatene. Et udokumentert unntak blir neste kvartals hendelse, og et dokumentert blir bevis på at designen tåler en reell arbeidsbelastning.