Cum documentezi o excepție de la blocarea VPN ca să poată fi eliminată
O excepție pe care nimeni nu o poate descrie este permanentă. Notează traficul pe care îl permite, cerința, comportamentul la defecțiune și componenta care o elimină.
Ocolirile al căror scop a plecat împreună cu autorul lor sunt cele care supraviețuiesc utilității, iar politicile de blocare le adună mai repede decât orice alt tip de configurare. O excepție scrisă ca „permite rețeaua locală” este o regulă pe care nimeni nu o poate apăra și nimeni nu o poate retrage, pentru că cerința din spatele ei a plecat împreună cu persoana care a adăugat-o. Astfel de politici eșuează pentru că duc excepții al căror motiv s-a evaporat în timp ce riscul a rămas. Momentul pentru a scrie domeniul, comportamentul la defecțiune și pasul de eliminare este momentul în care adaugi excepția, cât timp cineva își mai amintește de ce.
Aceasta este o decizie despre ce trebuie să conțină nota, nu un șablon de completat. Cele patru câmpuri de mai jos sunt cele care decid dacă un recenzent poate elimina regula un an mai târziu fără o ședință. Fiecare există pentru că absența lui are un cost previzibil.
De ce o ocolire nedocumentată nu este niciodată retrasă
O ocolire fără descriere nu poate fi testată și, prin urmare, nu poate fi eliminată în siguranță. Supraviețuiește fiecărei revizuiri pentru că ștergerea pare riscantă în timp ce păstrarea pare inofensivă, iar fiecare revizuire care o trece cu vederea face și următoarea mai ușor de trecut cu vederea. Costul este invizibil până când un audit întreabă de ce un interval privat este exceptat, iar atunci răspunsul este un ridicat din umeri.
Înregistrarea trebuie să fie suficient de scurtă încât oamenii să o scrie efectiv în fereastra de modificare. O linie pentru trafic, una pentru cerința pe care o servește.
Scrierea domeniului ca trafic
Enumeră aplicația sau intervalul de destinație, familiile de adrese implicate, serviciul și portul, și contextul de rețea în care se aplică regula, apoi numește aprobatorul și setarea exactă a clientului sau a platformei care o poartă. „Imprimantă” este o intenție; „TCP 631 către 192.168.1.50, doar rețeaua de acasă” este un domeniu pe care cineva îl poate verifica. Dacă răspunsul la „unde locuiește asta” este „undeva în profilul MDM”, înregistrarea nu este terminată. O cale de fișier, un nume de profil sau o cheie de registru valorează mai mult decât o descriere a locului unde ar putea fi setarea.
Acolo unde platforma acceptă reguli pe aplicație, preferă-le intervalelor de adrese, pentru că a permite unei aplicații să ocolească tunelul este mai îngust decât a excepta o întreagă subrețea privată și supraviețuiește mutării dispozitivului la o adresă nouă. Ghidul VpnService al Android descrie acel model pe aplicație; clienții desktop exprimă aceeași idee prin propriile setări de profil. Excepțiile bazate pe adrese sunt soluția de rezervă atunci când platforma nu oferă nimic mai îngust, motiv pentru care au nevoie de o linie de domeniu mai precisă.
Patru tipuri de excepție, patru riscuri de eliminare
Excepțiile nu sunt o singură categorie, iar eliminarea lor are consecințe diferite. A împărți o singură linie între două tipuri este modul în care retragerea unei imprimante retrage și capacitatea de a te conecta.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Ține excepțiile de bootstrap, portal, dispozitiv și aplicație pe linii separate chiar și atunci când în practică se suprapun. O excepție de interval privat acordă în tăcere acces fiecărui vecin din acea subrețea în locul singurului dispozitiv pe care voiai să îl atingi, și aceasta este diferența dintre un domeniu pe care îl poți apăra și unul în care doar speri.
Ce face ocolirea când tunelul cade
Pune trei întrebări și scrie răspunsurile, pentru că ele decid dacă blocarea este reală. Excepția rămâne utilizabilă când tunelul cade: pentru un portal captiv trebuie, altfel nimeni nu se va putea conecta vreodată, în timp ce pentru o resursă privată de obicei nu trebuie, altfel politica este decorativă. Se aplică în orice rețea sau doar în mediul prevăzut, deoarece o regulă limitată la subrețeaua de acasă se comportă foarte diferit într-o rețea publică ce folosește din întâmplare același interval. Fiecare răspuns schimbă atât regula, cât și nota, așa că o întrebare lăsată fără răspuns este o decizie pe care altcineva o va lua greșit mai târziu.
A treia întrebare este ce se întâmplă când destinația își schimbă adresa, unde excepțiile bazate pe domeniu și pe adresă se despart. Regulile bazate pe domeniu depind de momentul în care are loc rezolvarea și de modul în care clientul aplică rezultatul, așa că pot înceta în tăcere să se potrivească după o schimbare care pare fără legătură, iar defecțiunea arată ca un VPN stricat, nu ca o excepție învechită.
Testează, retestează și scrie pasul de eliminare
Scrie un test inofensiv pentru calea permisă și un caz refuzat apropiat: pagina imprimantei se încarcă, iar partajarea de fișiere din aceeași subrețea nu. Acea pereche demonstrează că excepția este îngustă și este perechea pe care un recenzent o poate repeta fără să înțeleagă cererea inițială. Apoi setează declanșatoarele de retestare, pentru că o excepție care nu este niciodată retestată se îndepărtează de cerința pentru care a fost scrisă, iar această îndepărtare rămâne invizibilă până când ceva se strică.
În final, notează cum se elimină regula prin componenta care o deține și ține secretele în afara notei. Descrierea unui serviciu și a unei rute nu necesită niciodată o cheie privată, o parolă sau istoricul de navigare al cuiva, iar o listă scurtă întreținută bate o regulă temporară care a supraviețuit persoanei care a scris-o.