Split Tunneling laban sa Patakaran ng Kumpanya: Aling Tuntunin ang Mananalo

Ang pag-tsek ng isang app sa isang split-tunnel client ay parang lokal na kagustuhan, at sa isang pinamamahalaang device ay mas malapit ito sa pagbabago ng patakaran. Inilalayo ng eksepsiyon ang trapiko mula sa aprubadong landas, na maaaring siya ring landas na nagdadala ng pinamamahalaang DNS, pag-filter at ang source address na kinikilala ng isang serbisyo. Hindi mali ang kilos ng client kapag ibinalik nito ang iyong pag-edit; ginagawa ng deployment ang trabaho nito.

Bago makipagtalo tungkol sa checkbox, alamin kung aling katangian ang patakarang pinoprotektahan.

Ang katangian sa likod ng tuntunin

Ang ilang deployment ay nagruruta ng lahat upang dumaan ang lahat ng trapiko sa isang aprubadong gateway. Ang iba ay nagmamalasakit sa resolusyon ng pangalan at hinihawakan ang mga query sa resolver ng kumpanya kaysa sa resolver ng lokal na network. Ang iba ay nangangailangan ng matatag na source address upang makapagpasya ang mga panloob na serbisyo kung sasagot ba sila.

Ipinapatupad ng ikaapat na grupo ang kalagayan ng endpoint: estado ng disk encryption, antas ng patch, kalusugan ng agent. Hindi binabago ng paghahati ng tunnel iyon, samantalang ang pag-iwas na umiiwas sa sariling trapiko ng agent ay maaaring magbago.

Apat itong magkakaibang pangangailangan, at bawat isa ay binabasag ng ibang eksepsiyon. Basahin ang pangangailangan bago magmungkahi ng pagbabago, dahil masasabi agad ng sumulat kung alin ang naaangkop. Ang pagbabagong tumutugon sa mali ay walang nabibili.

Dalawang pahayag ang sulit itakwil nang maaga. Ang buong tunnel ay hindi nagbibigay sa mga administrator ng bawat plaintext na pahina, dahil ang app encryption at mga kontrol sa endpoint ang nagpapasya kung ano ang nakikita. Ang split tunneling ay hindi rin pangkalahatang hindi ligtas, dahil ang pinamamahalaang DNS, mga patakaran kada app at mga endpoint agent ay maaaring manatiling may bisa anuman ang ruta.

Isagawa ang mga pagsusuri nang sunod-sunod

Ang pagkakasunod-sunod sa ibaba ay nagpapakipot ng eksepsiyon hanggang sa pinakamaliit na bagay na tunay na nabigo. Huminto sa unang pagsusuring hindi tumatayo, dahil hindi kayang mabawi ng susunod na pagwawasto ang naunang puwang.

Itanong kung aling trapiko ang hindi na dumadaan sa aprubadong gateway, pagkatapos tiyakin na ang resolusyon ng pangalan ay umaabot pa rin sa resolver ng kumpanya. Suriin kung iginagalang ng app na iyon ang kill switch o kung ginugol nito ang nabigong pagtatangka sa direktang ruta. Pagkatapos tingnan ang mga pinagsasaluhang serbisyo: ang document viewer o update broker ay maaaring magdala ng eksepsiyon nang mas malayo kaysa sinasabi ng checkbox. Sa huli, itala kung naipapatupad muli ang patakaran sa muling pagkonekta, dahil ang aksyon na iyon ang magpapasya kung mabubuhay ang anumang lokal na pagbabago.

Bawat sagot ay isang katotohanan, at katotohanan ang kailangan ng kahilingan sa eksepsiyon. Ang pagtatalo kung nakakainis ba ang VPN ay hindi isa sa kanila. Isulat ang mga sagot bago magsimula ang usapan.

Humingi ng makitid na eksepsiyon

Iulat ang app, destinasyon at operasyong nabigo, sa ganoong pagkakasunod-sunod. Ang kahilingang panatilihin ang isang updater sa direktang landas ay nasusuri; ang kahilingang lusutan ang tunnel para sa buong browser ay hindi.

Ilarawan ang sinubukan mo na at ang ipinakita ng mga log, at iaddress ito sa team na nagmamay-ari ng profile kaysa sa sinumang sumasagot sa help desk. Sa isang pinamamahalaang device, karaniwang nakakagawa ang may-ari ng profile ng suportadong pagbubukod na tumatagal pagkatapos ng mga update, samantalang ang lokal na pagbabago sa ruta ay hindi kaya.

Kung ang sagot ay hindi, ituring ito na desisyon sa disenyo at hindi hadlang na lalampasan. Ang susunod na pagsusuri ang lugar upang buksan itong muli, na nakadokumento ang nabigong operasyon at nakalakip ang dahilang pangnegosyo. Ang paglampas dito ay nagsasapanganib ng higit sa halaga ng eksepsiyon kailanman.

Gawing matibay ang eksepsiyon

Pagkatapos ng aprubadong pagbabago, tiyakin ang mga bahaging gumagana noon, hindi lamang ang bahaging sira. Dapat pa ring malutas ang mga panloob na pangalan sa pamamagitan ng resolver ng kumpanya, dapat tumugon ang mga pribadong resource, at dapat nang matapos ngayon ang gawaing nabigo noon.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Pinatutunayan ng unang command na sumasagot pa rin ang resolver para sa panloob na suffix, at ng pangalawa na umaabot ang kahilingan sa panloob na serbisyo mula sa kasalukuyang ruta. Patakbuhin muli pagkatapos ng muling pagkonekta, dahil maaaring tahimik na bawiin ng pagtulak ng patakaran ang pagbabagong mukhang matatag sa pagsubok. Dalawang linyang output na itinabi kasama ng ticket ang nagsasara ng loop. Kung wala iyon, ang eksepsiyon ay nakasalalay sa alaala ng isang tao tungkol sa pahinang nagkarga nang isang beses.

Itala ang eksepsiyon, layunin nito at mga component na saklaw nito sa parehong lugar ng mga tala sa deployment. Ang hindi nakadokumentong eksepsiyon ay nagiging insidente ng susunod na quarter, at ang nakadokumento ay nagiging patunay na kinakaya ng disenyo ang tunay na kargada ng trabaho.