Розділений тунель проти політики компанії: яке правило переможе

Позначення одного застосунку в клієнті розділеного тунелю відчувається як локальна перевага, а на керованому пристрої це ближче до зміни політики. Виняток зсуває трафік зі схваленого шляху, який може бути тим самим шляхом, яким ідуть керований DNS, фільтрація та адреса джерела, яку розпізнає служба. Клієнт не поводиться неправильно, коли відкочує вашу правку; розгортання робить свою роботу.

Перш ніж сперечатися про прапорець, з’ясуйте, яку властивість політика покликана захищати.

Властивість за правилом

Деякі розгортання маршрутизують усе, щоб увесь трафік проходив через схвалений шлюз. Іншим важливе розв’язання імен, і вони тримають запити на корпоративному резолвері, а не на локальному. Третім потрібна стабільна адреса джерела, щоб внутрішні служби могли вирішити, чи відповідати взагалі.

Четверта група вимагає стану кінцевої точки: статус шифрування диска, рівень оновлень, справність агента. Розділення тунелю цього не змінює, а обхід, що оминає власний трафік агента, може.

Це чотири різні вимоги, і кожну порушує свій виняток. Прочитайте вимогу перед пропозицією зміни, бо автор одразу скаже, яка діє. Зміна, що задовольняє неправильну, нічого не дає.

Два твердження варто відкинути одразу. Повний тунель не дає адміністраторам кожну сторінку у відкритому вигляді, бо видимість визначають шифрування застосунків і контроль кінцевих точок. Розділений тунель теж не є універсально небезпечним, бо керований DNS, політики для окремих застосунків і агенти кінцевих точок можуть діяти незалежно від маршруту.

Виконуйте перевірки по порядку

Наведена послідовність звужує виняток до найменшого, що справді не спрацювало. Зупиніться на першій перевірці, яка не виконується, бо пізніше виправлення не компенсує ранню прогалину.

Запитайте, який трафік тепер оминає схвалений шлюз. Потім підтвердьте, що розв’язання імен досі доходить до корпоративного резолвера. Перевірте, чи поважає відповідний застосунок аварійний вимикач або чи витратив невдалу спробу на прямому маршруті. Далі подивіться на спільні служби: переглядач документів або посередник оновлень може віднести виняток далі, ніж припускає прапорець, і насамкінець занотуйте, чи застосовується політика знову під час перепідключення, бо ця поведінка вирішує, чи виживе якась локальна зміна.

Кожна відповідь — факт, а запиту винятку потрібні саме факти. Суперечка про те, чи дратує VPN, до них не належить. Запишіть відповіді до початку розмови.

Попросіть вузький виняток

Повідомте застосунок, призначення й операцію, що не вдалася, саме в цьому порядку. Запит залишити один оновлювач на прямому шляху можна розглянути; запит обійти тунель для всього браузера — ні.

Опишіть, що вже пробували і що показали журнали, та адресуйте це команді, яка володіє профілем, а не тому, хто відповідає в службі підтримки. На керованому пристрої власник профілю зазвичай може створити підтримуваний виняток, що переживає оновлення, а локальна правка маршруту — ні.

Якщо відповідь ні, сприймайте це як рішення про дизайн, а не як перешкоду, яку треба обійти. Наступний перегляд — місце, щоб відкрити питання знову, з задокументованою невдалою операцією та доданою діловою причиною. Обхід ризикує більшим, ніж виняток коли-небудь коштував.

Зробіть виняток життєздатним

Після схваленої зміни підтвердьте ті частини, що працювали раніше, а не лише зламану. Внутрішні імена мають і далі розв’язуватися через корпоративний резолвер, приватні ресурси — відповідати, а раніше невдале завдання — тепер завершуватися.

resolvectl query intranet.corp.example
curl -sS -o /dev/null -w '%{http_code}
' https://intranet.corp.example/status

Перша команда доводить, що резолвер досі відповідає на внутрішній суфікс, а друга — що запит досягає внутрішньої служби з поточного маршруту. Запустіть їх знову після перепідключення, бо розсилка політики може тихо скасувати зміну, що здавалася стабільною під час тесту. Два рядки виводу, збережені із заявкою, замикають цикл. Без них виняток спирається на чиюсь пам’ять про сторінку, що завантажилася один раз.

Запишіть виняток, його мету й охоплені компоненти там само, де нотатки про розгортання. Незадокументований виняток стає інцидентом наступного кварталу, а задокументований — доказом, що дизайн витримує реальне навантаження.