Ako zdokumentovať výnimku z uzamknutia VPN, aby sa dala odstrániť
Výnimka, ktorú nikto nedokáže opísať, je trvalá. Zaznamenajte prevádzku, ktorú povoľuje, požiadavku, správanie pri zlyhaní a komponent, ktorý ju odstraňuje.
Obchádzania, ktorých účel odišiel spolu s ich autorom, sú tie, ktoré prežívajú svoju užitočnosť, a politiky uzamknutia ich zhromažďujú rýchlejšie než akýkoľvek iný druh konfigurácie. Výnimka napísaná ako „povoliť lokálnu sieť“ je pravidlo, ktoré nikto nedokáže obhájiť a nikto nedokáže vyradiť, pretože požiadavka za ním odišla s človekom, ktorý ju pridal. Takéto politiky zlyhávajú tým, že nesú výnimky, ktorých dôvod sa vyparil, kým riziko zostalo. Okamih, keď treba napísať rozsah, správanie pri zlyhaní a krok odstránenia, je okamih, keď výnimku pridávate, kým si niekto ešte pamätá prečo.
Toto je rozhodnutie o tom, čo musí poznámka obsahovať, nie šablóna na vyplnenie. Štyri polia nižšie sú tie, ktoré rozhodujú, či recenzent môže pravidlo o rok neskôr odstrániť bez stretnutia. Každé z nich existuje preto, lebo jeho absencia má predvídateľnú cenu.
Prečo sa nedokumentované obchádzanie nikdy nevyradí
Obchádzanie bez popisu nemožno otestovať, a preto ho nemožno bezpečne odstrániť. Prežíva každú kontrolu, pretože vymazanie vyzerá riskantne, kým ponechanie neškodne, a každá kontrola, ktorá ho preskočí, robí aj tú nasledujúcu ľahšie preskočiteľnou. Cena je neviditeľná, kým audit nezačne zisťovať, prečo je súkromný rozsah vyňatý, a vtedy je odpoveďou pokrčenie ramien.
Záznam musí byť dosť krátky, aby ho ľudia skutočne napísali v okne zmien. Jeden riadok pre prevádzku, jeden pre požiadavku, ktorej slúži.
Ako zapísať rozsah ako prevádzku
Vymenujte aplikáciu alebo cieľový rozsah, zúčastnené rodiny adries, službu a port a sieťový kontext, v ktorom pravidlo platí, potom uveďte schvaľovateľa a presné nastavenie klienta alebo platformy, ktoré ho nesie. „Tlačiareň“ je zámer; „TCP 631 na 192.168.1.50, iba domáca sieť“ je rozsah, ktorý niekto dokáže overiť. Ak je odpoveď na „kde to žije“ „niekde v profile MDM“, záznam nie je hotový. Cesta k súboru, názov profilu alebo kľúč registra je lepší než opis toho, kde by nastavenie mohlo byť.
Kde platforma podporuje pravidlá pre jednotlivé aplikácie, dajte im prednosť pred rozsahmi adries, pretože povoliť jednej aplikácii obísť tunel je užšie než vyňať celú súkromnú podsieti a prežije aj presun zariadenia na novú adresu. Príručka VpnService pre Android opisuje tento model pre jednotlivé aplikácie; desktopoví klienti vyjadrujú tú istú myšlienku vlastným nastavením profilu. Výnimky založené na adresách sú záložnou možnosťou, keď platforma neponúka nič užšie, a preto potrebujú ostrejší riadok rozsahu.
Štyri druhy výnimiek, štyri riziká odstránenia
Výnimky nie sú jedna kategória a ich odstránenie nesie rôzne dôsledky. Zdieľanie jedného riadka medzi dvoma druhmi je spôsob, akým vyradenie tlačiarne vyradí aj schopnosť pripojiť sa.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Udržujte výnimky pre bootstrap, portál, zariadenie a aplikáciu na samostatných riadkoch, aj keď sa v praxi prekrývajú. Výnimka pre súkromný rozsah ticho udeľuje prístup každému susedovi v tej podsieti namiesto jedinému zariadeniu, ktoré ste chceli dosiahnuť, a to je rozdiel medzi rozsahom, ktorý dokážete obhájiť, a tým, v ktorý len dúfate.
Čo obchádzanie robí, keď tunel spadne
Položte tri otázky a zapíšte odpovede, pretože rozhodujú o tom, či je uzamknutie skutočné. Zostáva výnimka použiteľná, keď tunel spadne: pri captive portáli musí, inak sa nikto nikdy neprihlási, kým pri súkromnom zdroji zvyčajne nesmie, inak je politika dekoratívna. Platí v každej sieti alebo len v zamýšľanom prostredí, keďže pravidlo obmedzené na domácu podsieti sa správa veľmi odlišne vo verejnej sieti, ktorá náhodou používa rovnaký rozsah. Každá odpoveď mení pravidlo aj poznámku, takže otázka ponechaná bez odpovede je rozhodnutie, ktoré za vás niekto iný neskôr urobí nesprávne.
Tretia otázka je, čo sa stane, keď cieľ zmení svoju adresu, kde sa výnimky založené na doméne a na adrese rozchádzajú. Pravidlá založené na doméne závisia od toho, kedy prebehne preklad, a od toho, ako klient výsledok použije, takže môžu ticho prestať zodpovedať po zmene, ktorá vyzerá nesúvislo, a zlyhanie vyzerá ako pokazený VPN, nie ako zastaraná výnimka.
Testujte, testujte znova a napíšte krok odstránenia
Napíšte jeden neškodný test pre povolenú cestu a jeden blízky zamietnutý prípad: stránka tlačiarne sa načíta a zdieľanie súborov v tej istej podsieti nie. Táto dvojica dokazuje, že výnimka je úzka, a je to dvojica, ktorú recenzent môže zopakovať bez pochopenia pôvodnej požiadavky. Potom nastavte spúšťače opakovaného testu, pretože výnimka, ktorá sa nikdy znova netestuje, sa vzďaľuje od požiadavky, pre ktorú bola napísaná, a toto vzďaľovanie zostáva neviditeľné, kým sa niečo nepokazí.
Nakoniec zaznamenajte, ako pravidlo odstrániť prostredníctvom komponentu, ktorý ho vlastní, a držte tajomstvá mimo poznámky. Opis služby a trasy nikdy nevyžaduje súkromný kľúč, heslo ani niečiu históriu prehliadania, a krátky udržiavaný zoznam je lepší než dočasné pravidlo, ktoré prežilo človeka, ktorý ho napísal.