Razdeljen tunel proti politiki podjetja: katero pravilo zmaga

Označevanje ene aplikacije v odjemalcu razdeljenega tunela se zdi lokalna preferenca, na upravljani napravi pa je bližje spremembi politike. Izjema premakne promet z odobrene poti, ki je lahko ista pot, po kateri gresta upravljani DNS, filtriranje in izvorni naslov, ki ga storitev prepozna. Odjemalec se ne obnaša napačno, ko razveljavi vašo spremembo; uvajanje opravlja svoje delo.

Preden se prepirate o potrditvenem polju, ugotovite, katero lastnost naj bi politika zaščitila.

Lastnost za pravilom

Nekatere uvedbe usmerjajo vse, da ves promet preide skozi odobren prehod. Drugim je pomembno razreševanje imen in poizvedbe zadržujejo na korporativnem razreševalniku namesto na lokalnem. Tretji potrebujejo stabilen izvorni naslov, da se lahko notranje storitve odločijo, ali sploh odgovoriti.

Četrta skupina vsiljuje stanje končne točke: stanje šifriranja diska, raven popravkov, zdravje agenta. Delitev tunela tega ne spremeni, medtem ko obhod, ki se izogiba lastnemu prometu agenta, lahko.

To so štiri različne zahteve in vsako krši druga izjema. Preberite zahtevo, preden predlagate spremembo, ker vam bo avtor takoj povedal, katera velja. Sprememba, ki zadovolji napačno, ne kupi ničesar.

Dve trditvi velja zavreči zgodaj. Polni tunel administratorjem ne daje vsake strani v čistem besedilu, ker o vidnosti odločata šifriranje aplikacij in nadzor končnih točk. Tudi razdeljeni tunel ni univerzalno nevaren, ker lahko upravljani DNS, pravilniki za posamezne aplikacije in agenti končnih točk veljajo ne glede na pot.

Izvedite preverjanja po vrsti

Spodnje zaporedje zoži izjemo na najmanjšo stvar, ki je res ni uspela. Ustavite se pri prvem preverjanju, ki ne velja, ker poznejši popravek ne more nadomestiti prejšnje vrzeli.

Vprašajte, kateri promet zdaj zgreši odobren prehod, nato potrdite, da razreševanje imen še vedno doseže korporativni razreševalnik. Preverite, ali zadevna aplikacija spoštuje stikalo za izklop ali je neuspešni poskus porabila na neposredni poti. Nato poglejte skupne storitve: pregledovalnik dokumentov ali posrednik za posodobitve lahko izjemo odnese dlje, kot nakazuje polje. Nazadnje zabeležite, ali se politika ob ponovni povezavi znova uporabi, ker to vedenje odloči, ali bo kakšna lokalna sprememba preživela.

Vsak odgovor je dejstvo in zahteva za izjemo potrebuje dejstva. Razprava o tem, ali je VPN nadležen, ni eno od njih. Zapišite odgovore, preden se pogovor začne.

Zaprosite za ozko izjemo

Prijavite aplikacijo, cilj in neuspešno operacijo v tem vrstnem redu. Zahtevo, da en posodabljalnik ostane na neposredni poti, je mogoče pregledati; zahteve, da se tunel obide za celoten brskalnik, ni.

Opišite, kaj ste že poskusili in kaj so pokazali dnevniki, ter to naslovite na ekipo, ki ima profil, ne na tistega, ki odgovarja na pomoči. Na upravljani napravi lahko lastnik profila običajno ustvari podprto izjemo, ki preživi posodobitve, medtem ko lokalna sprememba poti tega ne more.

Če je odgovor ne, to obravnavajte kot odločitev o zasnovi in ne kot oviro, ki bi jo obšli. Naslednji pregled je kraj, da jo znova odprete, z dokumentirano neuspešno operacijo in priloženim poslovnim razlogom. Obhod tvega več, kot je izjema kdaj bila vredna.

Naredite izjemo vzdržno

Po odobreni spremembi potrdite dele, ki so delovali prej, ne le tistega, ki je bil pokvarjen. Notranja imena se morajo še vedno razreševati prek korporativnega razreševalnika, zasebni viri morajo odgovarjati, prej neuspešna naloga pa se mora zdaj zaključiti.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Prvi ukaz dokaže, da razreševalnik še vedno odgovarja na notranjo pripono, drugi pa, da zahteva doseže notranjo storitev s trenutne poti. Zaženite ju znova po ponovni povezavi, ker lahko potiskanje politike tiho razveljavi spremembo, ki je med preizkusom delovala stabilno. Dve vrstici izhoda, shranjeni s prijavo, skleneta krog. Brez njiju izjema sloni na tem, kar se kdo spomni strani, ki se je naložila enkrat.

Zabeležite izjemo, njen namen in komponente, ki jih pokriva, na isto mesto kot opombe o uvajanju. Nedokumentirana izjema postane incident naslednjega četrtletja, dokumentirana pa postane dokaz, da zasnova prenese resnično delovno obremenitev.