Kako dokumentirati izjemo od zaklepa VPN, da jo bo mogoče odstraniti
Izjema, ki je nihče ne zna opisati, je trajna. Zapišite promet, ki ga dovoljuje, zahtevo, vedenje ob napaki in komponento, ki jo odstrani.
Obvozi, katerih namen je odšel skupaj z njihovim avtorjem, so tisti, ki preživijo svojo uporabnost, in politike zaklepa jih zbirajo hitreje kot katera koli druga vrsta konfiguracije. Izjema, zapisana kot »dovoli lokalno omrežje«, je pravilo, ki ga nihče ne more braniti in nihče ne more umakniti, ker je zahteva za njo odšla skupaj z osebo, ki jo je dodala. Takšne politike propadejo, ker nosijo izjeme, katerih razlog je izhlapel, medtem ko je tveganje ostalo. Trenutek za zapis obsega, vedenja ob napaki in koraka odstranitve je trenutek, ko dodate izjemo, dokler se nekdo še spominja zakaj.
To je odločitev o tem, kaj mora zapis vsebovati, ne predloga za izpolnjevanje. Štiri polja spodaj so tista, ki odločajo, ali lahko pregledovalec pravilo leto pozneje odstrani brez sestanka. Vsako od njih obstaja, ker ima njegova odsotnost predvidljivo ceno.
Zakaj nedokumentiran obvoz nikoli ni umaknjen
Obvoza brez opisa ni mogoče preizkusiti in ga zato ni mogoče varno odstraniti. Preživi vsak pregled, ker je brisanje videti tvegano, medtem ko je ohranjanje videti neškodljivo, in vsak pregled, ki ga preskoči, naredi tudi naslednjega lažje preskočljivega. Cena je nevidna, dokler revizija ne vpraša, zakaj je zasebni obseg izvzet, in takrat je odgovor skomig z rameni.
Zapis mora biti dovolj kratek, da ga ljudje resnično napišejo v oknu sprememb. Ena vrstica za promet, ena za zahtevo, ki ji služi.
Zapis obsega kot prometa
Naštejte aplikacijo ali ciljni obseg, vključene družine naslovov, storitev in vrata ter omrežni kontekst, v katerem velja pravilo, nato navedite odobritelja in natančno nastavitev odjemalca ali platforme, ki jo nosi. »Tiskalnik« je namera; »TCP 631 na 192.168.1.50, samo domače omrežje« je obseg, ki ga nekdo lahko preveri. Če je odgovor na »kje to živi« »nekje v profilu MDM«, zapis ni dokončan. Pot do datoteke, ime profila ali ključ registra je boljši od opisa, kje bi nastavitev lahko bila.
Kjer platforma podpira pravila za posamezno aplikacijo, dajte jim prednost pred obsegi naslovov, ker je dovoljenje eni aplikaciji, da obide tunel, ožje od izvzetja celotnega zasebnega podomrežja in preživi premik naprave na nov naslov. Androidov vodnik za VpnService opisuje ta model za posamezno aplikacijo; namizni odjemalci izražajo isto idejo z lastnimi nastavitvami profila. Izvzetja na podlagi naslovov so rezervna možnost, ko platforma ne ponuja nič ožjega, zato potrebujejo ostrejšo vrstico obsega.
Štiri vrste izjem, štiri tveganja odstranitve
Izjeme niso ena kategorija in njihova odstranitev prinaša različne posledice. Deljenje ene vrstice med dvema vrstama je način, kako umik tiskalnika umakne tudi zmožnost povezovanja.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Imejte izjeme za bootstrap, portal, napravo in aplikacijo v ločenih vrsticah, tudi ko se v praksi prekrivajo. Izvzetje zasebnega obsega tiho daje dostop vsakemu sosedu v tem podomrežju namesto edini napravi, ki ste jo hoteli doseči, in to je razlika med obsegom, ki ga lahko branite, in tistim, na katerega le upate.
Kaj obvoz naredi, ko tunel pade
Postavite tri vprašanja in zapišite odgovore, ker odločajo, ali je zaklep resničen. Ali izjema ostane uporabna, ko tunel pade: pri captive portalu mora, sicer se nihče nikoli ne more prijaviti, medtem ko pri zasebnem viru običajno ne sme, sicer je politika dekorativna. Ali velja v vsakem omrežju ali le v predvidenem okolju, saj se pravilo, omejeno na domače podomrežje, v javnem omrežju, ki slučajno uporablja isti obseg, obnaša povsem drugače. Vsak odgovor spremeni pravilo in zapis, zato je vprašanje, ki ostane brez odgovora, odločitev, ki jo bo nekdo drug pozneje sprejel napačno.
Tretje vprašanje je, kaj se zgodi, ko cilj spremeni svoj naslov, kjer se izvzetja na podlagi domene in naslova razhajajo. Pravila na podlagi domene so odvisna od tega, kdaj poteka razreševanje, in od tega, kako odjemalec uporabi rezultat, zato lahko tiho prenehajo ustrezati po spremembi, ki je videti nepovezana, in napaka je videti kot pokvarjen VPN, ne kot zastarelo izvzetje.
Preizkusite, znova preizkusite in napišite korak odstranitve
Napišite en neškodljiv preizkus za dovoljeno pot in en bližnji zavrnjen primer: stran tiskalnika se naloži, skupna raba datotek v istem podomrežju pa ne. Ta par dokazuje, da je izjema ozka, in to je par, ki ga pregledovalec lahko ponovi, ne da bi razumel prvotno zahtevo. Nato nastavite sprožilce ponovnega preizkusa, ker izjema, ki ni nikoli znova preizkušena, se odmika od zahteve, za katero je bila napisana, in to odmikanje ostane nevidno, dokler se nekaj ne pokvari.
Nazadnje zapišite, kako pravilo odstraniti prek komponente, ki ga ima v lasti, in hranite skrivnosti zunaj zapisa. Opisovanje storitve in poti nikoli ne zahteva zasebnega ključa, gesla ali čigave zgodovine brskanja, in kratek vzdrževan seznam je boljši od začasnega pravila, ki je preživelo osebo, ki ga je napisala.