Подељени тунел наспрам корпоративне политике: које правило побеђује

Означавање једне апликације у клијенту подељеног тунела изгледа као локална преференција, а на управљаном уређају је ближе промени политике. Изузетак помера саобраћај са одобреног пута, који може бити исти пут којим иду управљани DNS, филтрирање и изворна адреса коју услуга препознаје. Клијент се не понаша погрешно када поништи вашу измену; распоређивање ради свој посао.

Пре него што се посвађате око поља за потврду, утврдите које својство политика штити.

Својство иза правила

Нека распоређивања усмеравају све тако да сав саобраћај прође кроз одобрени пролаз. Другима је важно разрешавање имена и упите држе на корпоративном резолверу, а не на локалном. Трећима треба стабилна изворна адреса да би унутрашње услуге могле да одлуче да ли уопште да одговоре.

Четврта група намеће стање крајње тачке: статус шифровања диска, ниво закрпа, здравље агента. Дељење тунела то не мења, док заобилажење које избегава сопствени саобраћај агента може.

То су четири различита захтева и сваки крши друга изнимка. Прочитајте захтев пре него што предложите измену, јер ће вам аутор одмах рећи која важи. Измена која задовољава погрешан не купује ништа.

Две тврдње вреди рано одбацити. Пун тунел не даје администраторима сваку страницу у чистом тексту, јер видљивост одређују шифровање апликација и контрола крајњих тачака. Ни подељени тунел није универзално небезбедан, јер управљани DNS, политике по апликацији и агенти крајњих тачака могу да важе независно од руте.

Извршите провере по реду

Следећи низ сужава изузетак на најмању ствар која је заиста отказала. Зауставите се на првој провери која не важи, јер каснија поправка не може да надокнади ранији недостатак.

Питајте који саобраћај сада промашује одобрени пролаз, затим потврдите да разрешавање имена још стиже до корпоративног резолвера. Проверите да ли дотична апликација поштује прекидач за нужду или је неуспели покушај потрошила на директној рути. Затим погледајте заједничке услуге: прегледач докумената или посредник за ажурирања може да однесе изузетак даље него што поље сугерише. На крају забележите да ли се политика поново примењује при поновном повезивању, јер то понашање одлучује да ли ће нека локална измена преживети.

Сваки одговор је чињеница, а захтеву за изузетак су потребне чињенице. Расправа о томе да ли VPN смета није једна од њих. Запишите одговоре пре него што разговор почне.

Затражите уско изузеће

Пријавите апликацију, одредиште и радњу која је отказала, тим редом. Захтев да један ажурирач остане на директном путу може се размотрити; захтев да се тунел обиђе за цео прегледач не може.

Опишите шта сте већ покушали и шта су показали дневници, и упутите то тиму који поседује профил, а не ономе ко одговара на корисничкој подршци. На управљаном уређају власник профила обично може да створи подржан изузетак који преживљава ажурирања, док локална измена руте не може.

Ако је одговор не, третирајте то као одлуку о дизајну, а не као препреку коју треба обићи. Следећи преглед је место да се то поново отвори, са документованом неуспелом радњом и приложеним пословним разлогом. Заобилажење ризикује више него што је изузетак икада вредео.

Учините изузетак одрживим

После одобрене измене, потврдите делове који су раније радили, не само део који је био покварен. Интерна имена треба и даље да се разрешавају преко корпоративног резолвера, приватни ресурси да одговарају, а раније неуспели задатак сада да се заврши.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Прва команда доказује да резолвер још одговара на интерни суфикс, а друга да захтев стиже до интерне услуге са тренутне руте. Покрените их поново након поновног повезивања, јер слање политике може тихо да поништи измену која је током теста изгледала стабилно. Два реда излаза сачувана уз тикет затварају круг. Без њих изузетак почива на нечијем сећању на страницу која се једном учитала.

Забележите изузетак, његову сврху и компоненте које покрива на истом месту као и белешке о распоређивању. Недокументовани изузетак постаје инцидент следећег квартала, а документовани постаје доказ да дизајн подноси стварни радни терет.