VPN kilidi istisnasını kaldırılabilecek şekilde nasıl belgelersiniz
Kimsenin tarif edemediği bir istisna kalıcıdır. İzin verdiği trafiği, gereksinimi, hata davranışını ve onu kaldıran bileşeni kaydedin.
Amacı yazarıyla birlikte giden atlatmalar, yararlılıklarını aşan ömre sahip olanlardır ve kilit politikaları onları diğer her tür yapılandırmadan daha hızlı biriktirir. «Yerel ağa izin ver» diye yazılmış bir istisna, kimsenin savunamadığı ve kimsenin kaldıramadığı bir kuraldır, çünkü arkasındaki gereksinim onu ekleyen kişiyle birlikte gitmiştir. Bu tür politikalar, gerekçesi buharlaşırken riski kalan muafiyetleri taşıyarak başarısız olur. Kapsamı, hata davranışını ve kaldırma adımını yazmanın zamanı, istisnayı eklediğiniz andır; biri hâlâ nedenini hatırlıyorken.
Bu, notun ne içermesi gerektiğine dair bir karardır, doldurulacak bir şablon değil. Aşağıdaki dört alan, bir gözden geçirenin kuralı bir yıl sonra toplantı yapmadan kaldırıp kaldıramayacağını belirleyen alanlardır. Her biri, yokluğunun öngörülebilir bir maliyeti olduğu için vardır.
Belgelenmemiş bir atlatma neden hiçbir zaman kaldırılmaz
Açıklaması olmayan bir atlatma test edilemez ve bu nedenle güvenle kaldırılamaz. Silmek riskli görünürken tutmak zararsız göründüğü için her incelemeden sağ çıkar ve onu atlayan her inceleme bir sonrakini de atlamayı kolaylaştırır. Maliyet, bir denetim özel bir aralığın neden muaf olduğunu sorana kadar görünmez ve o noktada yanıt omuz silkmektir.
Kayıt, insanların onu gerçekten değişiklik penceresinde yazacağı kadar kısa olmalıdır. Trafik için bir satır, hizmet ettiği gereksinim için bir satır.
Kapsamı trafik olarak yazmak
Uygulamayı veya hedef aralığı, ilgili adres ailelerini, hizmeti ve bağlantı noktasını ve kuralın geçerli olduğu ağ bağlamını listeleyin, ardından onaylayanı ve onu taşıyan tam istemci veya platform ayarını adlandırın. «Yazıcı» bir niyettir; «TCP 631’den 192.168.1.50’ye, yalnızca ev ağı» birinin doğrulayabileceği bir kapsamdır. «Bu nerede yaşıyor» sorusunun yanıtı «MDM profilinde bir yerde» ise kayıt bitmemiştir. Bir dosya yolu, profil adı veya kayıt defteri anahtarı, ayarın nerede olabileceğine dair bir açıklamadan daha iyidir.
Platformun uygulama başına kuralları desteklediği yerlerde bunları adres aralıklarına tercih edin, çünkü bir uygulamanın tüneli atlamasına izin vermek tüm özel alt ağı muaf tutmaktan daha dardır ve cihaz yeni bir adrese taşındığında da geçerliliğini korur. Android’in VpnService kılavuzu bu uygulama başına modeli açıklar; masaüstü istemciler aynı fikri kendi profil ayarlarıyla ifade eder. Adres tabanlı muafiyetler, platform daha dar bir şey sunmadığında yedek seçenektir, bu yüzden daha keskin bir kapsam satırına ihtiyaç duyarlar.
Dört tür istisna, dört kaldırma riski
İstisnalar tek bir kategori değildir ve kaldırılmaları farklı sonuçlar doğurur. İki tür arasında tek bir satırı paylaşmak, bir yazıcıyı devre dışı bırakmanın bağlanma yeteneğini de devre dışı bırakmasının yoludur.
| Kind | Typical example | Removal risk |
|---|---|---|
| Endpoint bootstrap | reaching the gateway before the tunnel exists | high: nothing comes up without it |
| Captive portal | hotel or airport sign-in page | medium: only matters on untrusted networks |
| Local device | printer, casting target, test instrument | low: one service at one address |
| Excluded application | an app that must not use the tunnel | medium: depends on the app's own behaviour |
Bootstrap, portal, cihaz ve uygulama istisnalarını pratikte örtüşseler bile ayrı satırlarda tutun. Özel aralık muafiyeti, ulaşmak istediğiniz tek cihaz yerine o alt ağdaki her komşuya sessizce erişim verir ve bu, savunabileceğiniz bir kapsam ile yalnızca umduğunuz bir kapsam arasındaki farktır.
Tünel düştüğünde atlatma ne yapar
Üç soru sorun ve yanıtları yazın, çünkü kilidin gerçek olup olmadığına onlar karar verir. Tünel düştüğünde istisna kullanılabilir kalıyor mu: captive portal için kalmalı, yoksa kimse asla oturum açamaz, özel bir kaynak içinse genellikle kalmamalı, yoksa politika dekoratiftir. Her ağda mı yoksa yalnızca amaçlanan ortamda mı geçerli, çünkü ev alt ağıyla sınırlı bir kural, aynı aralığı tesadüfen kullanan genel bir ağda çok farklı davranır. Her yanıt hem kuralı hem de notu değiştirir, bu yüzden yanıtsız bırakılan bir soru, başka birinin sonradan yanlış vereceği bir karardır.
Üçüncü soru, hedef adresini değiştirdiğinde ne olduğudur; burada alan adı tabanlı ve adres tabanlı muafiyetler ayrışır. Alan adı tabanlı kurallar çözümlemenin ne zaman gerçekleştiğine ve istemcinin sonucu nasıl uyguladığına bağlıdır, bu yüzden ilgisiz görünen bir değişiklikten sonra sessizce eşleşmeyi bırakabilirler ve arıza eski bir muafiyet gibi değil, bozuk bir VPN gibi görünür.
Test edin, yeniden test edin ve kaldırma adımını yazın
İzin verilen yol için zararsız bir test ve yakındaki bir reddedilen durum yazın: yazıcı sayfası yükleniyor, aynı alt ağdaki dosya paylaşımı yüklenmiyor. Bu çift, istisnanın dar olduğunu kanıtlar ve bir gözden geçirenin özgün isteği anlamadan tekrarlayabileceği çifttir. Ardından yeniden test tetikleyicilerini ayarlayın, çünkü hiç yeniden test edilmeyen bir istisna, yazıldığı gereksinimden uzaklaşır ve bu uzaklaşma bir şey bozulana kadar görünmez kalır.
Son olarak, kuralın onu sahiplenen bileşen aracılığıyla nasıl kaldırılacağını kaydedin ve sırları notun dışında tutun. Bir hizmeti ve bir rotayı tanımlamak hiçbir zaman özel anahtar, parola veya birinin tarama geçmişini gerektirmez ve kısa, bakımı yapılan bir liste, onu yazan kişiden daha uzun yaşamış geçici bir kuraldan iyidir.