Раздельный туннель против политики компании: какое правило победит

Отметка одного приложения в клиенте раздельного туннеля ощущается как локальное предпочтение, а на управляемом устройстве это ближе к изменению политики. Исключение уводит трафик с одобренного пути, который может быть тем же путём, по которому идут управляемый DNS, фильтрация и адрес источника, распознаваемый сервисом. Клиент не ведёт себя неправильно, когда откатывает вашу правку; развёртывание делает свою работу.

Прежде чем спорить о флажке, выясните, какое свойство политика призвана защищать.

Свойство за правилом

Одни развёртывания маршрутизируют всё, чтобы весь трафик проходил через одобренный шлюз. Другим важно разрешение имён, и они держат запросы на корпоративном резолвере, а не на локальном. Третьим нужен стабильный адрес источника, чтобы внутренние сервисы могли решить, отвечать ли вообще.

Четвёртая группа требует состояния конечной точки: статус шифрования диска, уровень обновлений, работоспособность агента. Разделение туннеля этого не меняет, а обход, избегающий собственного трафика агента, может.

Это четыре разных требования, и каждое нарушается своим исключением. Прочитайте требование до предложения изменения, потому что автор сразу скажет, какое действует. Изменение, удовлетворяющее не тому, ничего не даёт.

Два утверждения стоит отбросить сразу. Полный туннель не даёт администраторам каждую страницу в открытом виде, потому что видимость определяют шифрование приложений и контроль конечных точек. Раздельный туннель тоже не является универсально небезопасным, потому что управляемый DNS, политики для отдельных приложений и агенты конечных точек могут действовать независимо от маршрута.

Выполняйте проверки по порядку

Приведённая последовательность сужает исключение до мельчайшего, что действительно не сработало. Остановитесь на первой проверке, которая не выполняется, потому что позднее исправление не компенсирует ранний пробел.

Спросите, какой трафик теперь минует одобренный шлюз, затем подтвердите, что разрешение имён по-прежнему доходит до корпоративного резолвера. Проверьте, уважает ли соответствующее приложение аварийный выключатель или потратило ли неудачную попытку на прямом маршруте. Затем посмотрите на общие сервисы: просмотрщик документов или посредник обновлений может унести исключение дальше, чем предполагает флажок. Наконец отметьте, применяется ли политика заново при переподключении, потому что это поведение решает, выживет ли какое-либо локальное изменение.

Каждый ответ — факт, а запросу исключения нужны именно факты. Спор о том, раздражает ли VPN, к ним не относится. Запишите ответы до начала разговора.

Попросите узкое исключение

Сообщите приложение, назначение и операцию, которая не удалась, именно в этом порядке. Запрос оставить один обновлятор на прямом пути можно рассмотреть; запрос обойти туннель для всего браузера — нет.

Опишите, что уже пробовали и что показали журналы, и адресуйте это команде, владеющей профилем, а не тому, кто отвечает в службе поддержки. На управляемом устройстве владелец профиля обычно может создать поддерживаемое исключение, которое переживает обновления, а локальная правка маршрута — нет.

Если ответ нет, считайте это решением о дизайне, а не препятствием, которое надо обойти. Следующий пересмотр — место, чтобы открыть вопрос снова, с документированной неудачной операцией и приложенной деловой причиной. Обход рискует большим, чем исключение когда-либо стоило.

Сделайте исключение жизнеспособным

После одобренного изменения подтвердите те части, что работали раньше, а не только сломанную. Внутренние имена должны по-прежнему разрешаться через корпоративный резолвер, частные ресурсы — отвечать, а ранее неудачная задача — теперь завершаться.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Первая команда доказывает, что резолвер всё ещё отвечает на внутренний суффикс, а вторая — что запрос достигает внутреннего сервиса с текущего маршрута. Запустите их снова после переподключения, потому что рассылка политики может тихо отменить изменение, казавшееся стабильным во время теста. Две строки вывода, сохранённые с заявкой, замыкают цикл. Без них исключение опирается на чью-то память о странице, загрузившейся один раз.

Запишите исключение, его цель и охватываемые компоненты там же, где заметки о развёртывании. Незадокументированное исключение становится инцидентом следующего квартала, а задокументированное — доказательством, что дизайн выдерживает реальную нагрузку.