Hoe je een uitzondering op de VPN-vergrendeling documenteert zodat die kan worden verwijderd

Omleidingen waarvan het doel met hun auteur is vertrokken, zijn degenen die hun nut overleven, en vergrendelingsbeleid verzamelt ze sneller dan welke andere vorm van configuratie dan ook. Een uitzondering die als „lokaal netwerk toestaan“ is geschreven, is een regel die niemand kan verdedigen en niemand kan uitfaseren, omdat de eis erachter is vertrokken met de persoon die haar toevoegde. Zulke beleidsregels falen doordat ze vrijstellingen dragen waarvan de reden verdampte terwijl het risico bleef. Het moment om het bereik, het gedrag bij falen en de verwijderstap te schrijven is het moment waarop je de uitzondering toevoegt, zolang iemand zich nog herinnert waarom.

Dit is een beslissing over wat de notitie moet bevatten, geen in te vullen sjabloon. De vier velden hieronder zijn degene die bepalen of een beoordelaar de regel een jaar later zonder vergadering kan verwijderen. Elk ervan bestaat omdat het ontbreken ervan voorspelbare kosten heeft.

Waarom een ongedocumenteerde omleiding nooit wordt uitgefaseerd

Een omleiding zonder beschrijving kan niet worden getest en daarom niet veilig worden verwijderd. Ze overleeft elke beoordeling omdat verwijderen riskant lijkt terwijl behouden onschadelijk lijkt, en elke beoordeling die eroverheen gaat maakt de volgende ook makkelijker om overheen te gaan. De kosten zijn onzichtbaar tot een audit vraagt waarom een privébereik is vrijgesteld, en dan is het antwoord een schouderophalen.

De registratie moet kort genoeg zijn dat mensen haar echt in het wijzigingsvenster schrijven. Eén regel voor het verkeer, één voor de eis die het dient.

Het bereik als verkeer schrijven

Noem de toepassing of het bestemmingsbereik, de betrokken adresfamilies, de dienst en de poort, en de netwerkcontext waarin de regel geldt, en noem dan de goedkeurder en de exacte client- of platforminstelling die haar draagt. „Printer“ is een bedoeling; „TCP 631 naar 192.168.1.50, alleen thuisnetwerk“ is een bereik dat iemand kan verifiëren. Als het antwoord op „waar woont dit“ „ergens in het MDM-profiel“ is, is de registratie niet af. Een bestandspad, een profielnaam of een registersleutel is beter dan een beschrijving van waar de instelling zou kunnen zijn.

Waar het platform regels per toepassing ondersteunt, geef die de voorkeur boven adresbereiken, want één toepassing laten omleiden is smaller dan een heel privésubnet vrijstellen en het overleeft het verhuizen van het apparaat naar een nieuw adres. De VpnService-gids van Android beschrijft dat model per toepassing; desktopclients drukken hetzelfde idee uit via hun eigen profielinstellingen. Op adressen gebaseerde vrijstellingen zijn de terugvaloptie wanneer het platform niets smallers biedt, en daarom hebben ze een scherpere bereikregel nodig.

Vier soorten uitzonderingen, vier verwijderrisico’s

Uitzonderingen zijn niet één categorie, en het verwijderen ervan heeft verschillende gevolgen. Eén regel delen tussen twee soorten is hoe het uitfaseren van een printer ook het vermogen om te verbinden uitfaseert.

Houd uitzonderingen voor bootstrap, portaal, apparaat en toepassing op aparte regels, ook wanneer ze in de praktijk overlappen. Een vrijstelling voor een privébereik geeft stilzwijgend toegang aan elke buur in dat subnet in plaats van aan het ene apparaat dat je wilde bereiken, en dat is het verschil tussen een bereik dat je kunt verdedigen en een waarop je alleen hoopt.

Wat de omleiding doet als de tunnel wegvalt

Stel drie vragen en schrijf de antwoorden op, want die bepalen of de vergrendeling echt is. Blijft de uitzondering bruikbaar als de tunnel wegvalt: voor een captive portal moet het, anders kan niemand ooit inloggen, terwijl het voor een privébron meestal niet mag, anders is het beleid decoratief. Geldt ze op elk netwerk of alleen in de bedoelde omgeving, aangezien een regel die tot het thuisnetwerk is beperkt zich heel anders gedraagt op een openbaar netwerk dat toevallig hetzelfde bereik gebruikt. Elk antwoord verandert zowel de regel als de notitie, dus een onbeantwoorde vraag is een beslissing die iemand anders later verkeerd neemt.

De derde vraag is wat er gebeurt wanneer de bestemming haar adres wijzigt, waar op domein en op adres gebaseerde vrijstellingen uiteenlopen. Regels op basis van domein hangen af van wanneer de resolutie plaatsvindt en hoe de client het resultaat toepast, dus ze kunnen stilzwijgend ophouden te matchen na een wijziging die er niets mee te maken lijkt te hebben, en de storing lijkt op een kapotte VPN in plaats van een verouderde vrijstelling.

Test, test opnieuw en schrijf de verwijderstap

Schrijf één onschadelijke test voor het toegestane pad en één nabijgelegen geweigerd geval: de printerpagina laadt en de bestandsdeling op hetzelfde subnet niet. Dat paar bewijst dat de uitzondering smal is, en het is het paar dat een beoordelaar kan herhalen zonder het oorspronkelijke verzoek te begrijpen. Stel daarna de triggers voor hertesten in, want een uitzondering die nooit opnieuw wordt getest, drijft weg van de eis waarvoor ze is geschreven, en die afwijking blijft onzichtbaar tot er iets kapotgaat.

Registreer ten slotte hoe de regel wordt verwijderd via het onderdeel dat haar bezit, en houd geheimen buiten de notitie. Een dienst en een route beschrijven vereist nooit een privésleutel, een wachtwoord of iemands browsegeschiedenis, en een korte onderhouden lijst is beter dan een tijdelijke regel die de persoon die haar schreef heeft overleefd.