Bölünmüş tünel ile şirket politikası: hangi kural kazanır

Bölünmüş tünel istemcisinde bir uygulamayı işaretlemek yerel bir tercih gibi hissettirir, yönetilen bir cihazda ise politika değişikliğine daha yakındır. İstisna, trafiği onaylı yoldan çıkarır; bu yol, yönetilen DNS’i, filtrelemeyi ve bir hizmetin tanıdığı kaynak adresini taşıyan aynı yol olabilir. İstemci düzenlemenizi geri aldığında yanlış davranmıyor; dağıtım kendi işini yapıyor.

Onay kutusu hakkında tartışmadan önce, politikanın hangi özelliği korumak için var olduğunu belirleyin.

Kuralın arkasındaki özellik

Bazı dağıtımlar her şeyi yönlendirir ki tüm trafik onaylı bir ağ geçidinden geçsin. Diğerleri ad çözümlemesine önem verir ve sorguları yerel ağın çözümleyicisi yerine kurumsal çözümleyicide tutar. Bazıları ise iç hizmetlerin yanıt verip vermeyeceğine karar verebilmesi için sabit bir kaynak adresine ihtiyaç duyar.

Dördüncü grup uç nokta duruşunu dayatır: disk şifreleme durumu, yama düzeyi, aracı sağlığı. Tüneli bölmek bunu değiştirmez, oysa aracının kendi trafiğinden kaçan bir atlatma değiştirebilir.

Bunlar dört farklı gereksinimdir ve her biri farklı bir istisnayla bozulur. Değişikliği önermeden önce gereksinimi okuyun, çünkü yazan kişi hangisinin geçerli olduğunu hemen söyleyebilir. Yanlış olanı karşılayan bir değişiklik hiçbir şey satın almaz.

İki iddiayı erken çöpe atmakta yarar var. Tam tünel, yöneticilere her düz metin sayfasını vermez, çünkü neyin görüleceğini uygulama şifrelemesi ve uç nokta denetimleri belirler. Bölünmüş tünel de evrensel olarak güvensiz değildir, çünkü yönetilen DNS, uygulama başına politikalar ve uç nokta aracıları rotadan bağımsız olarak geçerli olabilir.

Denetimleri sırayla yürütün

Aşağıdaki sıra, bir istisnayı gerçekten başarısız olan en küçük şeye indirger. Tutmayan ilk denetimde durun, çünkü sonraki bir düzeltme önceki boşluğu telafi edemez.

Hangi trafiğin artık onaylı ağ geçidini kaçırdığını sorun. Ardından ad çözümlemesinin hâlâ kurumsal çözümleyiciye ulaştığını doğrulayın. İlgili uygulamanın bir öldürme anahtarına saygı gösterip göstermediğini ya da başarısız denemeyi doğrudan rotada harcayıp harcamadığını kontrol edin. Sonra paylaşılan hizmetlere bakın: bir belge görüntüleyici veya güncelleme aracısı, istisnayı onay kutusunun ima ettiğinden daha uzağa taşıyabilir, ve son olarak politikanın yeniden bağlanmada yeniden uygulanıp uygulanmadığını not edin, çünkü bu davranış yerel bir değişikliğin hayatta kalıp kalmayacağını belirler.

Her yanıt bir olgudur ve bir istisna talebinin ihtiyacı olgulardır. VPN’in can sıkıcı olup olmadığı tartışması bunlardan biri değildir. Görüşme başlamadan önce yanıtları yazın.

Dar bir istisna isteyin

Uygulamayı, hedefi ve başarısız olan işlemi bu sırayla bildirin. Bir güncelleyiciyi doğrudan yolda tutma talebi incelenebilir; tüm tarayıcı için tüneli atlatma talebi incelenemez.

Şimdiye kadar ne denediğinizi ve günlüklerin ne gösterdiğini açıklayın ve bunu yardım masasında yanıt verene değil, profili sahiplenen ekibe yönlendirin. Yönetilen bir cihazda profil sahibi genellikle güncellemelerden sonra da kalan desteklenen bir istisna oluşturabilir, yerel bir rota düzenlemesi bunu yapamaz.

Yanıt hayırsa bunu tasarım kararı olarak ele alın, atlatılacak bir engel olarak değil. Bir sonraki inceleme, başarısız işlem belgelenmiş ve iş gerekçesi eklenmiş olarak yeniden açmanın yeridir. Etrafından dolaşmak, istisnanın hiçbir zaman değdiğinden fazlasını riske atar.

İstisnayı sürdürülebilir kılın

Onaylı bir değişiklikten sonra yalnızca bozulan parçayı değil, önceden çalışan parçaları da doğrulayın. İç adlar hâlâ kurumsal çözümleyici üzerinden çözülmeli, özel kaynaklar yanıt vermeli ve daha önce başarısız olan görev artık tamamlanmalıdır.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

İlk komut çözümleyicinin hâlâ iç bir son eke yanıt verdiğini, ikincisi ise bir isteğin geçerli rotadan iç hizmete ulaştığını kanıtlar. Yeniden bağlandıktan sonra bunları yeniden çalıştırın, çünkü bir politika itmesi test sırasında kararlı görünen bir değişikliği sessizce geri alabilir. Talebe eşlik eden iki satır çıktı döngüyü kapatır. Bunlar olmadan istisna, bir kez yüklenen bir sayfa hakkındaki birinin hatırasına dayanır.

İstisnayı, amacını ve kapsadığı bileşenleri dağıtım notlarıyla aynı yerde kaydedin. Belgelenmemiş bir istisna gelecek çeyreğin olayı olur, belgelenmiş olan ise tasarımın gerçek bir iş yükünü taşıdığının kanıtı olur.