Rozdelený tunel verzus firemná politika: ktoré pravidlo vyhrá

Zaškrtnutie jednej aplikácie v klientovi s rozdeleným tunelom vyzerá ako miestna preferencia, no na spravovanom zariadení je bližšie zmene politiky. Výnimka odkláňa prevádzku zo schválenej cesty, ktorá môže byť tou istou cestou, po ktorej idú spravovaný DNS, filtrovanie a zdrojová adresa, ktorú služba rozpoznáva. Klient sa nespráva zle, keď vašu úpravu vráti; nasadenie si robí svoju prácu.

Skôr než sa začnete hádať o zaškrtávacom políčku, zistite, ktorú vlastnosť má politika chrániť.

Vlastnosť za pravidlom

Niektoré nasadenia smerujú všetko tak, aby všetka prevádzka prešla schválenou bránou. Iným záleží na preklade názvov a držia dopyty na firemnom prekladači namiesto toho miestneho. Ďalšie potrebujú stabilnú zdrojovú adresu, aby sa interné služby mohli rozhodnúť, či vôbec odpovedať.

Štvrtá skupina presadzuje stav koncového bodu: stav šifrovania disku, úroveň záplat, zdravie agenta. Rozdelenie tunela to nemení, kým obchvat, ktorý sa vyhýba vlastnej prevádzke agenta, môže.

To sú štyri rôzne požiadavky a každú porušuje iná výnimka. Prečítajte si požiadavku pred návrhom zmeny, pretože ten, kto ju napísal, vám hneď povie, ktorá platí. Zmena, ktorá uspokojí nesprávnu, nič neprinesie.

Dve tvrdenia stojí za to zavrhnúť zavčasu. Plný tunel nedáva správcom každú stránku v otvorenom texte, pretože viditeľnosť určuje šifrovanie aplikácií a kontroly koncových bodov. Ani rozdelený tunel nie je všeobecne nebezpečný, pretože spravovaný DNS, zásady pre jednotlivé aplikácie a agenti koncových bodov môžu platiť bez ohľadu na trasu.

Vykonajte kontroly v poradí

Nasledujúca postupnosť zužuje výnimku na najmenšiu vec, ktorá skutočne zlyhala. Zastavte sa pri prvej kontrole, ktorá neplatí, pretože neskoršia oprava nenahradí skoršiu medzeru.

Opýtajte sa, ktorá prevádzka teraz obchádza schválenú bránu, potom potvrďte, že preklad názvov stále dosahuje firemný prekladač. Skontrolujte, či príslušná aplikácia rešpektuje núdzový vypínač, alebo či neúspešný pokus strávila na priamej trase. Potom sa pozrite na zdieľané služby: prehliadač dokumentov alebo sprostredkovateľ aktualizácií môže výnimku odniesť ďalej, než políčko naznačuje. Nakoniec poznamenajte, či sa politika pri opätovnom pripojení znova uplatní, pretože toto správanie rozhoduje, či miestna zmena prežije.

Každá odpoveď je fakt a žiadosť o výnimku potrebuje fakty. Hádka o tom, či VPN obťažuje, medzi ne nepatrí. Napíšte odpovede, skôr než sa rozhovor začne.

Požiadajte o úzku výnimku

Uveďte aplikáciu, cieľ a operáciu, ktorá zlyhala, v tomto poradí. Žiadosť ponechať jeden aktualizátor na priamej ceste sa dá posúdiť; žiadosť obísť tunel pre celý prehliadač nie.

Opíšte, čo ste už skúsili a čo ukázali protokoly, a adresujte to tímu, ktorý vlastní profil, nie človeku na helpdesku. Na spravovanom zariadení zvyčajne vlastník profilu môže vytvoriť podporovanú výnimku, ktorá prežije aktualizácie, kým miestna úprava trasy to nedokáže.

Ak je odpoveď nie, berte to ako rozhodnutie o dizajne, nie ako prekážku, ktorú treba obísť. Ďalšia revízia je miesto, kde to znova otvoriť, so zdokumentovanou neúspešnou operáciou a priloženým obchodným dôvodom. Obchádzanie riskuje viac, než výnimka kedy stála.

Urobte výnimku životaschopnou

Po schválenej zmene potvrďte časti, ktoré fungovali predtým, nie len tú, ktorá bola pokazená. Interné názvy by sa mali stále prekladať cez firemný prekladač, súkromné zdroje by mali odpovedať a predtým neúspešná úloha by teraz mala dobehnúť.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Prvý príkaz dokazuje, že prekladač stále odpovedá na internú príponu, a druhý, že požiadavka dosiahne internú službu z aktuálnej trasy. Spustite ich znova po opätovnom pripojení, pretože doručenie politiky môže ticho zrušiť zmenu, ktorá počas testu vyzerala stabilne. Dva riadky výstupu uložené pri tikete uzatvárajú slučku. Bez nich výnimka stojí na niekoho spomienke na stránku, ktorá sa raz načítala.

Zaznamenajte výnimku, jej účel a komponenty, ktoré pokrýva, na to isté miesto ako poznámky k nasadeniu. Nedokumentovaná výnimka sa stane incidentom budúceho štvrťroka a dokumentovaná sa stane dôkazom, že dizajn zvláda reálnu záťaž.