Jak udokumentować wyjątek od blokady VPN, aby można go było usunąć
Wyjątek, którego nikt nie potrafi opisać, jest trwały. Zapisz ruch, który dopuszcza, wymóg, zachowanie przy awarii i komponent, który go usuwa.
Obejścia, których cel odszedł wraz z ich autorem, to te, które przeżywają swoją użyteczność, a polityki blokad zbierają je szybciej niż jakikolwiek inny rodzaj konfiguracji. Wyjątek zapisany jako „zezwól na sieć lokalną” to reguła, której nikt nie potrafi obronić i nikt nie potrafi wycofać, ponieważ wymóg za nim odszedł wraz z osobą, która go dodała. Takie polityki zawodzą, ponieważ noszą wyłączenia, których powód wyparował, a ryzyko zostało. Moment na zapisanie zakresu, zachowania przy awarii i kroku usunięcia to moment, w którym dodajesz wyjątek, dopóki ktoś jeszcze pamięta dlaczego.
To decyzja o tym, co musi zawierać notatka, a nie szablon do wypełnienia. Cztery pola poniżej to te, które decydują, czy recenzent rok później może usunąć regułę bez spotkania. Każde z nich istnieje, ponieważ jego brak ma przewidywalny koszt.
Dlaczego nieudokumentowane obejście nigdy nie zostaje wycofane
Obejścia bez opisu nie można przetestować i dlatego nie można go bezpiecznie usunąć. Przeżywa każdy przegląd, ponieważ usunięcie wygląda ryzykownie, a zachowanie nieszkodliwie, i każdy przegląd, który je pomija, czyni następny również łatwiejszym do pominięcia. Koszt jest niewidoczny, dopóki audyt nie zapyta, dlaczego prywatny zakres jest wyłączony, a wtedy odpowiedzią jest wzruszenie ramion.
Zapis musi być wystarczająco krótki, aby ludzie naprawdę go zapisali w oknie zmian. Jedna linia dla ruchu, jedna dla wymogu, któremu służy.
Zapisywanie zakresu jako ruchu
Wymień aplikację lub zakres docelowy, zaangażowane rodziny adresów, usługę i port oraz kontekst sieciowy, w którym obowiązuje reguła, a następnie wskaż zatwierdzającego i dokładne ustawienie klienta lub platformy, które ją przenosi. „Drukarka” to intencja; „TCP 631 do 192.168.1.50, tylko sieć domowa” to zakres, który ktoś może zweryfikować. Jeśli odpowiedź na „gdzie to mieszka” brzmi „gdzieś w profilu MDM”, zapis nie jest gotowy. Ścieżka pliku, nazwa profilu lub klucz rejestru są lepsze niż opis, gdzie ustawienie mogłoby być.
Gdzie platforma obsługuje reguły dla poszczególnych aplikacji, przedkładaj je nad zakresy adresów, ponieważ zezwolenie jednej aplikacji na obejście tunelu jest węższe niż wyłączenie całej prywatnej podsieci i przeżywa przeniesienie urządzenia na nowy adres. Przewodnik Androida po VpnService opisuje ten model dla poszczególnych aplikacji; klienci desktopowi wyrażają tę samą ideę przez własne ustawienia profilu. Wyłączenia oparte na adresach są rozwiązaniem zapasowym, gdy platforma nie oferuje niczego węższego, dlatego potrzebują ostrzejszej linii zakresu.
Cztery rodzaje wyjątków, cztery ryzyka usunięcia
Wyjątki nie są jedną kategorią, a ich usunięcie niesie różne konsekwencje. Dzielenie jednej linii między dwa rodzaje to sposób, w jaki wycofanie drukarki wycofuje także zdolność do łączenia się.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Trzymaj wyjątki bootstrapu, portalu, urządzenia i aplikacji w osobnych liniach, nawet gdy w praktyce się pokrywają. Wyłączenie zakresu prywatnego po cichu daje dostęp każdemu sąsiadowi w tej podsieci, a nie jednemu urządzeniu, do którego chciałeś dotrzeć, i to jest różnica między zakresem, którego możesz bronić, a takim, na który tylko liczysz.
Co robi obejście, gdy tunel pada
Zadaj trzy pytania i zapisz odpowiedzi, ponieważ decydują, czy blokada jest prawdziwa. Czy wyjątek pozostaje użyteczny, gdy tunel pada: dla captive portalu musi, inaczej nikt nigdy się nie zaloguje, natomiast dla prywatnego zasobu zwykle nie powinien, inaczej polityka jest dekoracyjna. Czy obowiązuje w każdej sieci, czy tylko w zamierzonym środowisku, ponieważ reguła ograniczona do podsieci domowej zachowuje się zupełnie inaczej w sieci publicznej, która przypadkiem używa tego samego zakresu. Każda odpowiedź zmienia zarówno regułę, jak i notatkę, więc pytanie pozostawione bez odpowiedzi to decyzja, którą ktoś inny później podejmie błędnie.
Trzecie pytanie brzmi, co się dzieje, gdy cel zmienia swój adres, gdzie wyłączenia oparte na domenie i na adresie się rozchodzą. Reguły oparte na domenie zależą od tego, kiedy następuje rozwiązywanie nazw i jak klient stosuje wynik, więc mogą po cichu przestać pasować po zmianie, która wygląda na niezwiązaną, a awaria wygląda jak zepsuty VPN, a nie jak przestarzałe wyłączenie.
Testuj, testuj ponownie i zapisz krok usunięcia
Napisz jeden nieszkodliwy test dla dozwolonej ścieżki i jeden bliski przypadek odrzucony: strona drukarki się ładuje, a udostępnianie plików w tej samej podsieci nie. Ta para dowodzi, że wyjątek jest wąski, i to jest para, którą recenzent może powtórzyć bez rozumienia pierwotnego żądania. Następnie ustaw wyzwalacze ponownego testu, ponieważ wyjątek, który nigdy nie jest testowany ponownie, oddala się od wymogu, dla którego został napisany, a to oddalenie pozostaje niewidoczne, dopóki coś się nie zepsuje.
Na koniec zapisz, jak usunąć regułę przez komponent, który ją posiada, i trzymaj sekrety poza notatką. Opisanie usługi i trasy nigdy nie wymaga klucza prywatnego, hasła ani czyjejś historii przeglądania, a krótka utrzymywana lista bije tymczasową regułę, która przeżyła osobę, która ją napisała.