Delad tunnel mot företagets policy: vilken regel vinner

Att kryssa i en app i en split-tunnelklient känns som en lokal preferens, och på en hanterad enhet är det närmare en policyändring. Undantaget flyttar trafiken bort från den godkända vägen, som kan vara samma väg som bär hanterad DNS, filtrering och källadressen som en tjänst känner igen. Klienten uppför sig inte fel när den rullar tillbaka din ändring; driftsättningen gör sitt jobb.

Innan du bråkar om kryssrutan, ta reda på vilken egenskap policyn finns för att skydda.

Egenskapen bakom regeln

Vissa driftsättningar routar allt så att all trafik passerar en godkänd gateway. Andra bryr sig om namnmatchning och håller frågorna på företagets resolver i stället för den lokala nätets. Andra igen behöver en stabil källadress så att interna tjänster kan avgöra om de ska svara över huvud taget.

En fjärde grupp genomdriver slutpunktens tillstånd: diskkrypteringens status, patchnivå, agentens hälsa. Att dela tunneln ändrar inte det, medan en omväg som undviker agentens egen trafik kan.

Det är fyra olika krav, och varje bryts av ett olika undantag. Läs kravet innan du föreslår ändringen, för den som skrev det kan direkt säga vilket som gäller. En ändring som uppfyller det felaktiga köper ingenting.

Två påståenden är värda att kasta tidigt. Full tunnel ger inte administratörer varje klartextsida, för applikationskryptering och slutpunktskontroller avgör vad som syns. Delad tunnel är inte heller universellt osäker, för hanterad DNS, policyer per app och slutpunktsagenter kan gälla oavsett väg.

Kör kontrollerna i ordning

Sekvensen nedan snävar in ett undantag till det minsta som faktiskt misslyckades. Stanna vid den första kontroll som inte håller, för en senare rättelse kan inte kompensera en tidigare lucka.

Fråga vilken trafik som nu missar den godkända gatewayen, och bekräfta sedan att namnmatchningen fortfarande når företagets resolver. Kontrollera om appen i fråga respekterar en kill switch, eller om den spenderade det misslyckade försöket på en direkt väg. Titta sedan på delade tjänster: en dokumentvisare eller uppdateringsmäklare kan bära undantaget längre än kryssrutan antyder. Notera slutligen om policyn tillämpas igen vid återanslutning, för det beteendet avgör om en lokal ändring överlever.

Varje svar är ett faktum, och fakta är vad en undantagsförfrågan behöver. En diskussion om huruvida VPN är irriterande är inte ett av dem. Skriv ned svaren innan samtalet börjar.

Be om ett snävt undantag

Rapportera appen, målet och åtgärden som misslyckades, i den ordningen. En begäran att hålla en uppdaterare på den direkta vägen går att granska; en begäran att kringgå tunneln för hela webbläsaren gör det inte.

Beskriv vad du redan har provat och vad loggarna visade, och adressera det till teamet som äger profilen i stället för den som svarar på supporten. På en hanterad enhet kan profilägaren vanligtvis skapa ett stött undantag som överlever uppdateringar, medan en lokal ruttändring inte kan.

Om svaret är nej, behandla det som ett designbeslut och inte som ett hinder att kringgå. Nästa granskning är platsen att öppna det igen, med den misslyckade åtgärden dokumenterad och affärsorsaken bifogad. Att kringgå det riskerar mer än undantaget någonsin var värt.

Gör undantaget hållbart

Efter en godkänd ändring, bekräfta de delar som fungerade tidigare, inte bara delen som var trasig. Interna namn ska fortfarande lösas via företagets resolver, privata resurser ska svara, och uppgiften som tidigare misslyckades ska nu slutföras.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Det första kommandot bevisar att resolvern fortfarande svarar för ett internt suffix, och det andra att en förfrågan når den interna tjänsten från den aktuella vägen. Kör dem igen efter återanslutning, för en policypush kan tyst ångra en ändring som verkade stabil under testet. Två rader utdata sparade med ärendet sluter kretsen. Utan dem vilar undantaget på någons minne av en sida som laddades en gång.

Notera undantaget, dess syfte och komponenterna det omfattar på samma plats som driftsättningsanteckningarna. Ett odokumenterat undantag blir nästa kvartals incident, och ett dokumenterat blir bevis på att designen tål en verklig arbetsbelastning.