Si të dokumentoni një përjashtim nga bllokimi i VPN-së që të mund të hiqet
Një përjashtim që askush nuk mund ta përshkruajë është i përhershëm. Regjistro trafikun që lejon, kërkesën, sjelljen në rast dështimi dhe komponentin që e heq.
Anashkalimet, qëllimi i të cilave iku bashkë me autorin e tyre, janë ato që mbijetojnë dobishmërinë e tyre, dhe politikat e bllokimit i mbledhin më shpejt se çdo lloj tjetër konfigurimi. Një përjashtim i shkruar si «lejo rrjetin lokal» është një rregull që askush nuk mund ta mbrojë dhe askush nuk mund ta tërheqë, sepse kërkesa pas tij iku bashkë me personin që e shtoi. Politika të tilla dështojnë sepse mbartin përjashtime arsyeja e të cilave u avullua ndërsa rreziku mbeti. Momenti për të shkruar shtrirjen, sjelljen në rast dështimi dhe hapin e heqjes është momenti kur shton përjashtimin, sa kohë dikush ende mban mend pse.
Ky është një vendim për atë që shënimi duhet të përmbajë, jo një model për t’u plotësuar. Katër fushat më poshtë janë ato që vendosin nëse një rishikues mund ta heqë rregullin një vit më vonë pa një mbledhje. Secila ekziston sepse mungesa e saj ka një kosto të parashikueshme.
Pse një anashkalim i padokumentuar nuk tërhiqet kurrë
Një anashkalim pa përshkrim nuk mund të testohet dhe për këtë arsye nuk mund të hiqet në mënyrë të sigurt. Ai i mbijeton çdo rishikimi sepse fshirja duket e rrezikshme ndërsa mbajtja duket e padëmshme, dhe çdo rishikim që e kalon pa e parë e bën edhe atë pasardhësin më të lehtë për t’u kaluar pa e parë. Kostoja është e padukshme derisa një auditim të pyesë pse një interval privat është i përjashtuar, dhe atëherë përgjigjja është një ngritje shpatullash.
Regjistri duhet të jetë mjaft i shkurtër që njerëzit ta shkruajnë vërtet në dritaren e ndryshimit. Një rresht për trafikun, një për kërkesën që shërben.
Shkrimi i shtrirjes si trafik
Rendit aplikacionin ose intervalin e destinacionit, familjet e adresave të përfshira, shërbimin dhe portën, dhe kontekstin e rrjetit në të cilin zbatohet rregulli, pastaj emërto miratuesin dhe cilësimin e saktë të klientit ose të platformës që e mban. «Printer» është një qëllim; «TCP 631 në 192.168.1.50, vetëm rrjeti i shtëpisë» është një shtrirje që dikush mund ta verifikojë. Nëse përgjigjja ndaj «ku jeton kjo» është «diku në profilin MDM», regjistri nuk është i përfunduar. Një shteg skedari, një emër profili ose një çelës regjistri është më i mirë se një përshkrim se ku mund të jetë cilësimi.
Aty ku platforma mbështet rregulla për çdo aplikacion, preferoji ato ndaj intervaleve të adresave, sepse lejimi i një aplikacioni të anashkalojë tunelin është më i ngushtë se përjashtimi i një nënrrjeti privat të tërë dhe mbijeton kur pajisja zhvendoset në një adresë të re. Udhëzuesi i VpnService të Android përshkruan atë model për çdo aplikacion; klientët e desktopit shprehin të njëjtën ide përmes cilësimeve të tyre të profilit. Përjashtimet e bazuara në adresa janë zgjidhja rezervë kur platforma nuk ofron asgjë më të ngushtë, prandaj atyre u duhet një rresht shtrirjeje më i mprehtë.
Katër lloje përjashtimesh, katër rreziqe heqjeje
Përjashtimet nuk janë një kategori, dhe heqja e tyre mbart pasoja të ndryshme. Ndarja e një rreshti të vetëm midis dy llojeve është mënyra se si tërheqja e një printeri tërheq edhe aftësinë për t’u lidhur.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Mbaji përjashtimet e bootstrap, portalit, pajisjes dhe aplikacionit në rreshta të veçantë edhe kur në praktikë mbivendosen. Përjashtimi i një intervali privat u jep në heshtje akses çdo fqinji në atë nënrrjet, jo pajisjes së vetme që doje të arrje, dhe ky është ndryshimi midis një shtrirjeje që mund ta mbash dhe një tjetre që thjesht shpreson.
Çfarë bën anashkalimi kur tuneli bie
Bëj tre pyetje dhe shkruaji përgjigjet, sepse ato vendosin nëse bllokimi është i vërtetë. A mbetet përjashtimi i përdorshëm kur tuneli bie: për një captive portal duhet, përndryshe askush nuk mund të hyjë kurrë, ndërsa për një burim privat zakonisht nuk duhet, përndryshe politika është dekorative. A zbatohet në çdo rrjet apo vetëm në mjedisin e synuar, pasi një rregull i kufizuar në nënrrjetin e shtëpisë sillet krejt ndryshe në një rrjet publik që rastësisht përdor të njëjtin interval. Çdo përgjigje ndryshon si rregullin ashtu edhe shënimin, prandaj një pyetje e lënë pa përgjigje është një vendim që dikush tjetër do ta marrë gabimisht më vonë.
Pyetja e tretë është çfarë ndodh kur destinacioni ndryshon adresën e tij, ku përjashtimet e bazuara në domen dhe në adresë ndahen. Rregullat e bazuara në domen varen nga koha kur bëhet zgjidhja dhe nga mënyra se si klienti e zbaton rezultatin, kështu që mund të ndalojnë në heshtje së përputhuri pas një ndryshimi që duket i palidhur, dhe dështimi duket si një VPN e prishur dhe jo si një përjashtim i vjetëruar.
Testo, ritesto dhe shkruaj hapin e heqjes
Shkruaj një test të padëmshëm për rrugën e lejuar dhe një rast të refuzuar pranë: faqja e printerit ngarkohet dhe ndarja e skedarëve në të njëjtin nënrrjet nuk ngarkohet. Ai çift dëshmon se përjashtimi është i ngushtë, dhe është çifti që një rishikues mund ta përsërisë pa e kuptuar kërkesën origjinale. Pastaj vendos nxitësit e ritestimit, sepse një përjashtim që nuk ritestohet kurrë largohet nga kërkesa për të cilën u shkrua, dhe largimi mbetet i padukshëm derisa diçka të prishet.
Së fundi, regjistro si të hiqet rregulli përmes komponentit që e zotëron, dhe mbaji sekretet jashtë shënimit. Përshkrimi i një shërbimi dhe i një rruge nuk kërkon kurrë një çelës privat, një fjalëkalim ose historikun e shfletimit të dikujt, dhe një listë e shkurtër e mirëmbajtur mund të jetë më e mirë se një rregull i përkohshëm që i mbijetoi personit që e shkroi.