Split-tunneling versus bedrijfsbeleid: welke regel wint

Eén app aanvinken in een split-tunnelclient voelt als een lokale voorkeur, en op een beheerd apparaat lijkt het meer op een beleidswijziging. De uitzondering haalt verkeer van het goedgekeurde pad, dat hetzelfde pad kan zijn dat beheerde DNS, filtering en het bronadres vervoert dat een dienst herkent. De client gedraagt zich niet fout wanneer hij je wijziging terugdraait; de uitrol doet zijn werk.

Voordat je over het selectievakje discussieert, zoek uit welke eigenschap het beleid bestaat om te beschermen.

De eigenschap achter de regel

Sommige uitrollen routeren alles zodat al het verkeer via een goedgekeurde gateway gaat. Andere geven om naamresolutie en houden query’s op de bedrijfsresolver in plaats van die van het lokale netwerk. Weer andere hebben een stabiel bronadres nodig zodat interne diensten kunnen beslissen of ze überhaupt antwoorden.

Een vierde groep dwingt de endpointstatus af: schijfversleutelingsstatus, patchniveau, gezondheid van de agent. De tunnel splitsen verandert dat niet, terwijl een omweg die het eigen verkeer van de agent vermijdt dat wel kan.

Dat zijn vier verschillende eisen, en elke wordt door een andere uitzondering gebroken. Lees de eis voordat je de wijziging voorstelt, want wie hem schreef kan je meteen vertellen welke geldt. Een wijziging die de verkeerde vervult, koopt niets.

Twee beweringen kun je beter vroeg verwerpen. Volledige tunneling geeft beheerders niet elke paginatekst, want applicatieversleuteling en endpointcontroles bepalen wat zichtbaar is. Split-tunneling is ook niet universeel onveilig, want beheerde DNS, beleid per app en endpointagents kunnen gelden ongeacht de route.

Voer de controles in volgorde uit

De volgorde hieronder vernauwt een uitzondering tot het kleinste ding dat echt faalde. Stop bij de eerste controle die niet geldt, want een latere oplossing kan een eerder gat niet compenseren.

Vraag welk verkeer nu de goedgekeurde gateway mist, en bevestig dan dat naamresolutie nog steeds de bedrijfsresolver bereikt. Controleer of de betreffende app een kill switch respecteert, of dat die de mislukte poging op een directe route heeft doorgebracht. Kijk daarna naar gedeelde diensten: een documentviewer of updatemakelaar kan de uitzondering verder dragen dan het selectievakje suggereert. Noteer ten slotte of het beleid bij herverbinding opnieuw wordt toegepast, want dat gedrag bepaalt of een lokale wijziging overleeft.

Elk antwoord is een feit, en feiten zijn wat een uitzonderingsverzoek nodig heeft. Een discussie over of de VPN irritant is, is er daar geen van. Schrijf de antwoorden op voordat het gesprek begint.

Vraag om een smalle uitzondering

Rapporteer de applicatie, de bestemming en de bewerking die faalde, in die volgorde. Een verzoek om één updater op het directe pad te houden is beoordeelbaar; een verzoek om de tunnel voor de hele browser te omzeilen niet.

Beschrijf wat je al hebt geprobeerd en wat de logs lieten zien, en richt het aan het team dat het profiel bezit in plaats van aan wie de helpdesk beantwoordt. Op een beheerd apparaat kan de profileigenaar meestal een ondersteunde uitzondering maken die updates overleeft, terwijl een lokale routewijziging dat niet kan.

Als het antwoord nee is, behandel het dan als een ontwerpbeslissing en niet als een obstakel om te omzeilen. De volgende beoordeling is de plek om het opnieuw te openen, met de mislukte bewerking gedocumenteerd en de zakelijke reden bijgevoegd. Er omheen werken riskeert meer dan de uitzondering ooit waard was.

Maak de uitzondering houdbaar

Bevestig na een goedgekeurde wijziging de delen die eerder werkten, niet alleen het deel dat stuk was. Interne namen moeten nog steeds via de bedrijfsresolver worden opgelost, privéresources moeten antwoorden, en de eerder mislukte taak moet nu voltooien.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

De eerste opdracht bewijst dat de resolver nog antwoordt voor een intern achtervoegsel, en de tweede dat een verzoek de interne dienst bereikt vanaf de huidige route. Voer ze opnieuw uit na een herverbinding, want een beleidsduw kan stil ongedaan maken wat tijdens de test stabiel leek. Twee regels uitvoer die bij het ticket worden bewaard, sluiten de cirkel. Zonder die regels rust de uitzondering op iemands herinnering aan een pagina die één keer laadde.

Leg de uitzondering, het doel en de onderdelen die zij dekt vast op dezelfde plek als de uitrolnotities. Een ongedocumenteerde uitzondering wordt het incident van volgend kwartaal, en een gedocumenteerde wordt het bewijs dat het ontwerp een echte werklast aankan.