Så dokumenterar du ett undantag i VPN-låset så att det kan tas bort
Ett undantag som ingen kan beskriva är permanent. Registrera trafiken det tillåter, kravet, beteendet vid fel och komponenten som tar bort det.
Kringgåenden vars syfte försvann med sin författare är de som överlever sin nytta, och låspolicyer samlar dem snabbare än någon annan typ av konfiguration. Ett undantag skrivet som ”tillåt lokalt nätverk” är en regel som ingen kan försvara och ingen kan avveckla, eftersom kravet bakom det försvann med personen som lade till det. Sådana policyer misslyckas genom att bära undantag vars skäl dunstade medan risken blev kvar. Ögonblicket att skriva omfattningen, beteendet vid fel och borttagningssteget är ögonblicket då du lägger till undantaget, medan någon fortfarande minns varför.
Detta är ett beslut om vad anteckningen måste innehålla, inte en mall att fylla i. De fyra fälten nedan är de som avgör om en granskare kan ta bort regeln ett år senare utan ett möte. Var och ett av dem finns eftersom dess frånvaro har en förutsägbar kostnad.
Varför ett odokumenterat kringgående aldrig avvecklas
Ett kringgående utan beskrivning kan inte testas och kan därför inte tas bort säkert. Det överlever varje granskning eftersom radering verkar riskabelt medan bevarande verkar ofarligt, och varje granskning som går förbi det gör nästa också lättare att gå förbi. Kostnaden är osynlig tills en revision frågar varför ett privat intervall är undantaget, och då är svaret en axelryckning.
Posten måste vara kort nog att folk faktiskt skriver den i ändringsfönstret. En rad för trafiken, en för kravet den tjänar.
Att skriva omfattningen som trafik
Lista programmet eller målintervallet, de inblandade adressfamiljerna, tjänsten och porten, och nätverkskontexten där regeln gäller, och namnge sedan godkännaren och den exakta klient- eller plattformsinställningen som bär den. ”Skrivare” är en avsikt; ”TCP 631 till 192.168.1.50, bara hemnätverk” är en omfattning som någon kan verifiera. Om svaret på ”var bor detta” är ”någonstans i MDM-profilen” är posten inte klar. En filsökväg, ett profilnamn eller en registernyckel är bättre än en beskrivning av var inställningen kan finnas.
Där plattformen stöder regler per program, föredra dem framför adressintervall, eftersom det är snävare att tillåta ett program att kringgå tunneln än att undanta ett helt privat subnät, och det överlever att enheten flyttar till en ny adress. Androids VpnService-guide beskriver den modellen per program; skrivbordsklienterna uttrycker samma idé genom sina egna profilinställningar. Adressbaserade undantag är reservvalet när plattformen inte erbjuder något snävare, och därför behöver de en skarpare omfattningsrad.
Fyra typer av undantag, fyra borttagningsrisker
Undantag är inte en kategori, och att ta bort dem har olika konsekvenser. Att dela en enda rad mellan två typer är hur avvecklingen av en skrivare också avvecklar förmågan att ansluta.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Håll undantag för bootstrap, portal, enhet och program på separata rader även när de i praktiken överlappar. Ett undantag för ett privat intervall ger tyst tillgång till varje granne i det subnätet i stället för den enda enhet du ville nå, och det är skillnaden mellan en omfattning du kan försvara och en du bara hoppas på.
Vad kringgåendet gör när tunneln faller
Ställ tre frågor och skriv ned svaren, eftersom de avgör om låset är verkligt. Förblir undantaget användbart när tunneln faller: för en captive portal måste det, annars kan ingen någonsin logga in, medan det för en privat resurs vanligtvis inte får, annars är policyn dekorativ. Gäller det på alla nätverk eller bara i den avsedda miljön, eftersom en regel begränsad till hemnätet beter sig helt annorlunda på ett offentligt nätverk som råkar använda samma intervall. Varje svar ändrar både regeln och anteckningen, så en fråga som lämnas obesvarad är ett beslut som någon annan fattar fel senare.
Den tredje frågan är vad som händer när målet byter adress, där domänbaserade och adressbaserade undantag går isär. Domänbaserade regler beror på när uppslagningen sker och hur klienten tillämpar resultatet, så de kan tyst sluta matcha efter en ändring som verkar orelaterad, och felet ser ut som en trasig VPN snarare än ett föråldrat undantag.
Testa, testa igen och skriv borttagningssteget
Skriv ett ofarligt test för den tillåtna vägen och ett närliggande avvisat fall: skrivarsidan laddas och fildelningen i samma subnät gör det inte. Det paret bevisar att undantaget är snävt, och det är paret en granskare kan upprepa utan att förstå den ursprungliga begäran. Ställ sedan in utlösarna för nytt test, eftersom ett undantag som aldrig testas igen glider bort från kravet det skrevs för, och glidningen förblir osynlig tills något går sönder.
Slutligen, registrera hur regeln tas bort via komponenten som äger den, och håll hemligheter utanför anteckningen. Att beskriva en tjänst och en rutt kräver aldrig en privat nyckel, ett lösenord eller någons webbläsarhistorik, och en kort underhållen lista slår en tillfällig regel som överlevde personen som skrev den.