Splitta tunnel mot bedriftspolicy: kva regel vinn

Å krysse av for éin app i ein splitta tunnelklient kjennest som ein lokal preferanse, og på ei administrert eining er det nærare ei policyendring. Unntaket flyttar trafikk bort frå den godkjende vegen, som kan vere den same vegen som ber administrert DNS, filtrering og kjeldeadressa ei teneste kjenner att. Klienten oppfører seg ikkje feil når han rullar tilbake endringa di; utrullinga gjer jobben sin.

Før du kranglar om avkrysningsboksen, finn ut kva eigenskap policyen finst for å verne.

Eigenskapen bak regelen

Nokre utrullingar ruter alt slik at all trafikk går gjennom ein godkjend gateway. Andre bryr seg om namneoppslag og held spørjingane på bedrifta sin resolver i staden for den lokale netverket. Andre igjen treng ei stabil kjeldeadresse slik at interne tenester kan avgjere om dei skal svare i det heile.

Ei fjerde gruppe handhevar tilstanden til endepunktet: status for diskløyndom, patchnivå, helsa til agenten. Å dele tunnelen endrar ikkje det, medan ein omveg som unngår agenten sin eigen trafikk kan.

Det er fire ulike krav, og kvart vert brote av eit ulikt unntak. Les kravet før du føreslår endringa, for den som skreiv det kan straks seie kva som gjeld. Ei endring som oppfyller det gale kjøper ingenting.

To påstandar er verd å forkaste tidleg. Full tunnel gir ikkje administratorar kvar klartekstside, for applikasjonsløyndom og endepunktkontrollar avgjer kva som er synleg. Splitta tunnel er heller ikkje universelt utrygt, for administrert DNS, policyar per app og endepunktagentar kan gjelde uansett rute.

Køyr kontrollane i rekkjefølgje

Rekkjefølgja nedanfor snevrar eit unntak inn til det minste som faktisk feila. Stopp ved den første kontrollen som ikkje held, for ei seinare retting kan ikkje vega opp for eit tidlegare hol.

Spør kva trafikk som no misser den godkjende gatewayen, og stadfest deretter at namneoppslag framleis når bedrifta sin resolver. Sjekk om den aktuelle appen respekterer ein kill switch, eller om han brukte det mislukka forsøket på ein direkte rute. Sjå så på delte tenester: ein dokumentvising eller oppdateringsmeklar kan bere unntaket lenger enn avkrysningsboksen antydar. Noter til slutt om policyen vert brukt på nytt ved gjenoppkopling, for den åtferda avgjer om ei lokal endring overlever.

Kvart svar er eit faktum, og fakta er det ein unntaksførespurnad treng. Ein diskusjon om VPN er irriterande er ikkje eitt av dei. Skriv ned svara før samtalen byrjar.

Be om eit snevert unntak

Rapporter appen, destinasjonen og operasjonen som feila, i den rekkjefølgja. Ein førespurnad om å halde éin oppdaterar på den direkte vegen kan vurderast; ein førespurnad om å omgå tunnelen for heile nettlesaren kan ikkje.

Skildre kva du alt har prøvd og kva loggane viste, og rett det til teamet som eig profilen i staden for den som svarar på brukarstøtta. På ei administrert eining kan profileigaren vanlegvis opprette eit støtta unntak som overlever oppdateringar, medan ei lokal ruteendring ikkje kan.

Viss svaret er nei, handsam det som ei designavgjerd og ikkje som ei hindring å omgå. Neste gjennomgang er staden for å opne det igjen, med den mislukka operasjonen dokumentert og forretningsårsaka vedlagd. Å omgå det risikerer meir enn unntaket nokon gong var verd.

Gjer unntaket levekraftig

Etter ei godkjend endring, stadfest delane som fungerte før, ikkje berre delen som var øydelagd. Interne namn skal framleis løysast via bedrifta sin resolver, private ressursar skal framleis svare, og oppgåva som tidlegare feila skal no fullførast.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Den første kommandoen beviser at resolveren framleis svarar for eit internt suffiks, og den andre at ein førespurnad når den interne tenesta frå gjeldande rute. Køyr dei igjen etter gjenoppkopling, for eit policyskyv kan stille angre ei endring som såg stabil ut under testen. To linjer med utdata lagra med saka lukkar sirkelen. Utan dei kviler unntaket på nokon sitt minne om ei side som lasta éin gong.

Noter unntaket, føremålet og komponentane det dekkjer same stad som utrullingsnotata. Eit udokumentert unntak vert neste kvartals hending, og eit dokumentert vert prov på at designen toler ei reell arbeidsbelastning.