Tunel dzielony kontra polityka firmy: która reguła wygrywa

Zaznaczenie jednej aplikacji w kliencie tunelu dzielonego wygląda jak lokalna preferencja, a na zarządzanym urządzeniu jest bliższe zmianie polityki. Wyjątek odsuwa ruch od zatwierdzonej ścieżki, która może być tą samą ścieżką, którą niosą zarządzany DNS, filtrowanie i adres źródłowy rozpoznawany przez usługę. Klient nie zachowuje się źle, gdy cofa twoją zmianę; wdrożenie robi swoje.

Zanim zaczniesz spierać się o pole wyboru, ustal, którą właściwość polityka ma chronić.

Właściwość stojąca za regułą

Niektóre wdrożenia kierują wszystko tak, by cały ruch przechodził przez zatwierdzoną bramę. Innym zależy na rozwiązywaniu nazw i trzymają zapytania na resolverze firmowym, a nie tym w sieci lokalnej. Jeszcze inne potrzebują stabilnego adresu źródłowego, by usługi wewnętrzne mogły zdecydować, czy w ogóle odpowiadać.

Czwarta grupa wymusza stan punktu końcowego: status szyfrowania dysku, poziom poprawek, kondycję agenta. Dzielenie tunelu tego nie zmienia, natomiast obejście omijające ruch samego agenta może.

To cztery różne wymagania i każde łamie inny wyjątek. Przeczytaj wymaganie, zanim zaproponujesz zmianę, bo autor od razu powie ci, które obowiązuje. Zmiana zaspokajająca niewłaściwe nic nie kupuje.

Dwa twierdzenia warto odrzucić wcześnie. Pełny tunel nie daje administratorom każdej strony w czystym tekście, bo o widoczności decydują szyfrowanie aplikacji i kontrole punktów końcowych. Tunel dzielony też nie jest powszechnie niebezpieczny, bo zarządzany DNS, polityki dla poszczególnych aplikacji i agenci punktów końcowych mogą obowiązywać niezależnie od trasy.

Wykonaj kontrole po kolei

Poniższa kolejność zawęża wyjątek do najmniejszej rzeczy, która naprawdę zawiodła. Zatrzymaj się na pierwszej kontroli, która nie zachodzi, bo późniejsza poprawka nie zrekompensuje wcześniejszej luki.

Zapytaj, który ruch omija teraz zatwierdzoną bramę, a potem potwierdź, że rozwiązywanie nazw nadal dociera do resolvera firmowego. Sprawdź, czy dana aplikacja szanuje wyłącznik awaryjny albo czy nieudaną próbę spędziła na trasie bezpośredniej. Potem spójrz na usługi współdzielone: przeglądarka dokumentów lub broker aktualizacji może ponieść wyjątek dalej, niż sugeruje pole wyboru. Na koniec zanotuj, czy polityka jest stosowana ponownie przy ponownym połączeniu, bo to zachowanie decyduje, czy jakakolwiek lokalna zmiana przetrwa.

Każda odpowiedź jest faktem, a wniosek o wyjątek potrzebuje faktów. Dyskusja o tym, czy VPN irytuje, nie jest jednym z nich. Zapisz odpowiedzi, zanim rozmowa się zacznie.

Poproś o wąski wyjątek

Zgłoś aplikację, cel i nieudaną operację, w tej kolejności. Wniosek o utrzymanie jednego aktualizatora na ścieżce bezpośredniej da się rozpatrzyć; wniosek o ominięcie tunelu dla całej przeglądarki nie.

Opisz, czego już próbowałeś i co pokazały logi, i skieruj to do zespołu, który posiada profil, a nie do osoby odpowiadającej w pomocy technicznej. Na zarządzanym urządzeniu właściciel profilu zwykle może utworzyć obsługiwane wyłączenie, które przetrwa aktualizacje, a lokalna zmiana trasy nie może.

Jeśli odpowiedź brzmi nie, potraktuj to jako decyzję projektową, a nie przeszkodę do obejścia. Następny przegląd to miejsce, by otworzyć to ponownie, z udokumentowaną nieudaną operacją i dołączonym uzasadnieniem biznesowym. Obejście ryzykuje więcej, niż wyjątek kiedykolwiek był wart.

Uczyń wyjątek trwałym

Po zatwierdzonej zmianie potwierdź części, które działały wcześniej, nie tylko tę, która była zepsuta. Nazwy wewnętrzne powinny nadal być rozwiązywane przez resolver firmowy, zasoby prywatne odpowiadać, a wcześniej nieudane zadanie teraz się kończyć.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Pierwsze polecenie dowodzi, że resolver nadal odpowiada na wewnętrzny sufiks, a drugie, że żądanie dociera do usługi wewnętrznej z bieżącej trasy. Uruchom je ponownie po ponownym połączeniu, bo wypchnięcie polityki może po cichu cofnąć zmianę, która podczas testu wyglądała stabilnie. Dwie linie wyjścia zapisane przy zgłoszeniu zamykają pętlę. Bez nich wyjątek opiera się na czyimś wspomnieniu o stronie, która wczytała się raz.

Zapisz wyjątek, jego cel i objęte komponenty w tym samym miejscu co notatki wdrożeniowe. Nieudokumentowany wyjątek staje się incydentem następnego kwartału, a udokumentowany dowodem, że projekt znosi realne obciążenie pracą.