Како документовати изузетак од ВПН закључавања тако да се може уклонити
Изузетак који нико не може да опише је трајан. Забележите саобраћај који дозвољава, захтев, понашање при квару и компоненту која га уклања.
Заобилажења чија је сврха отишла са својим аутором су она која надживе своју корисност, а политике закључавања их скупљају брже од било које друге врсте конфигурације. Изузетак написан као „дозволи локалну мрежу“ је правило које нико не може да брани и нико не може да укине, јер је захтев иза њега отишао са особом која га је додала. Такве политике пропадају јер носе изузећа чији је разлог испарио док је ризик остао. Тренутак да напишете обим, понашање при квару и корак уклањања је тренутак када додајете изузетак, док се неко још сећа зашто.
Ово је одлука о томе шта белешка мора да садржи, а не образац за попуњавање. Четири поља испод су она која одлучују да ли рецензент може да уклони правило годину дана касније без састанка. Свако постоји јер његово одсуство има предвидиву цену.
Зашто се недокументовано заобилажење никада не укида
Заобилажење без описа не може да се тестира и зато не може безбедно да се уклони. Оно преживљава сваки преглед јер брисање изгледа ризично, а задржавање безопасно, и сваки преглед који га прескочи чини и следећи лакшим за прескакање. Цена је невидљива док ревизија не пита зашто је приватни опсег изузет, а тада је одговор слегање раменима.
Запис мора да буде довољно кратак да га људи заиста напишу у прозору за промене. Један ред за саобраћај, један за захтев коме служи.
Писање обима као саобраћаја
Наведите апликацију или одредишни опсег, укључене породице адреса, услугу и порт, као и мрежни контекст у коме правило важи, затим наведите одобраваоца и тачну поставку клијента или платформе која га носи. „Штампач“ је намера; „TCP 631 до 192.168.1.50, само кућна мрежа“ је обим који неко може да провери. Ако је одговор на „где ово живи“ „негде у MDM профилу“, запис није завршен. Путања датотеке, назив профила или кључ регистра бољи је од описа где би поставка могла да буде.
Тамо где платформа подржава правила по апликацији, дајте им предност у односу на опсеге адреса, јер допуштање једној апликацији да заобиђе тунел уже је од изузимања целе приватне подмреже и преживљава премештање уређаја на нову адресу. Водич за VpnService на Android-у описује тај модел по апликацији; десктоп клијенти изражавају исту идеју кроз сопствене поставке профила. Изузећа заснована на адресама резервна су опција када платформа не нуди ништа уже, због чега им је потребан оштрији ред обима.
Четири врсте изузетака, четири ризика уклањања
Изузеци нису једна категорија, а њихово уклањање носи различите последице. Дељење једног реда између две врсте је начин на који укидање штампача укида и могућност повезивања.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Држите изузетке за bootstrap, портал, уређај и апликацију на одвојеним редовима чак и када се у пракси преклапају. Изузеће приватног опсега тихо даје приступ сваком суседу на тој подмрежи уместо једином уређају који сте намеравали да достигнете, и то је разлика између обима који можете да браните и оног у који се само надате.
Шта заобилажење ради када тунел падне
Поставите три питања и запишите одговоре, јер они одлучују да ли је закључавање стварно. Остаје ли изузетак употребљив када тунел падне: за captive portal мора, иначе нико никада не може да се пријави, док за приватни ресурс обично не сме, иначе је политика декоративна. Примењује ли се на свакој мрежи или само у предвиђеном окружењу, јер правило ограничено на кућну подмрежу понаша се сасвим другачије на јавној мрежи која случајно користи исти опсег. Сваки одговор мења и правило и белешку, па је питање остављено без одговора одлука коју ће неко други касније донети погрешно.
Треће питање је шта се дешава када одредиште промени своју адресу, где се изузећа заснована на домену и на адреси разилазе. Правила заснована на домену зависе од тога када се одвија разрешавање и како клијент примењује резултат, па могу тихо да престану да се поклапају након промене која изгледа неповезано, а квар изгледа као покварен VPN, а не као застарело изузеће.
Тестирајте, поново тестирајте и напишите корак уклањања
Напишите један безопасан тест за дозвољену путању и један оближњи одбијени случај: страница штампача се учитава, а дељење датотека на истој подмрежи не. Тај пар доказује да је изузетак узак, и то је пар који рецензент може да понови без разумевања првобитног захтева. Затим поставите окидаче за поновно тестирање, јер изузетак који се никада не тестира поново удаљава се од захтева за који је написан, а то удаљавање остаје невидљиво док се нешто не поквари.
На крају, забележите како да уклоните правило кроз компоненту која га поседује, и држите тајне изван белешке. Описивање услуге и руте никада не захтева приватни кључ, лозинку или нечију историју прегледања, а кратка одржавана листа боља је од привременог правила које је надживело особу која га је написала.