Cách ghi lại một ngoại lệ khóa VPN để có thể gỡ bỏ sau này

Những đường vòng mà mục đích đã ra đi cùng người tạo ra chúng là những thứ sống lâu hơn công dụng của chính nó, và các chính sách khóa gom chúng nhanh hơn bất kỳ loại cấu hình nào khác. Một ngoại lệ được viết là “cho phép mạng cục bộ” là một quy tắc không ai bảo vệ được và không ai gỡ bỏ được, vì yêu cầu đằng sau nó đã ra đi cùng người thêm nó vào. Những chính sách như vậy thất bại vì mang theo các miễn trừ mà lý do đã bốc hơi trong khi rủi ro vẫn còn. Thời điểm để viết phạm vi, hành vi khi lỗi và bước gỡ bỏ là thời điểm bạn thêm ngoại lệ, khi vẫn còn ai đó nhớ vì sao.

Đây là quyết định về việc ghi chú phải chứa gì, không phải một mẫu để điền. Bốn trường dưới đây là những trường quyết định liệu một người đánh giá có thể gỡ quy tắc sau một năm mà không cần họp hay không. Mỗi trường tồn tại vì sự thiếu vắng của nó có một cái giá có thể đoán trước.

Vì sao một đường vòng không được ghi lại thì không bao giờ được gỡ bỏ

Một đường vòng không có mô tả thì không thể kiểm thử và do đó không thể gỡ bỏ một cách an toàn. Nó sống sót qua mọi lần rà soát vì việc xóa có vẻ rủi ro trong khi việc giữ lại có vẻ vô hại, và mỗi lần rà soát bỏ qua nó lại làm lần sau cũng dễ bỏ qua hơn. Cái giá là vô hình cho đến khi một cuộc kiểm toán hỏi vì sao một dải riêng được miễn trừ, và lúc đó câu trả lời là một cái nhún vai.

Bản ghi phải đủ ngắn để người ta thực sự viết nó trong cửa sổ thay đổi. Một dòng cho lưu lượng, một dòng cho yêu cầu mà nó phục vụ.

Viết phạm vi như lưu lượng

Liệt kê ứng dụng hoặc dải đích, các họ địa chỉ liên quan, dịch vụ và cổng, và bối cảnh mạng nơi quy tắc áp dụng, rồi nêu tên người phê duyệt và cấu hình máy khách hoặc nền tảng chính xác mang nó. “Máy in” là một ý định; “TCP 631 đến 192.168.1.50, chỉ mạng gia đình” là một phạm vi mà ai đó có thể kiểm chứng. Nếu câu trả lời cho “cái này sống ở đâu” là “đâu đó trong hồ sơ MDM”, bản ghi chưa xong. Một đường dẫn tệp, một tên hồ sơ hoặc một khóa registry tốt hơn một mô tả về nơi cấu hình có thể nằm.

Nơi nền tảng hỗ trợ quy tắc theo từng ứng dụng, hãy ưu tiên chúng hơn dải địa chỉ, vì cho một ứng dụng đi vòng qua đường hầm thì hẹp hơn miễn trừ cả một mạng con riêng và nó vẫn tồn tại khi thiết bị chuyển sang địa chỉ mới. Hướng dẫn VpnService của Android mô tả mô hình theo từng ứng dụng đó; các máy khách máy tính để bàn diễn đạt cùng ý tưởng qua cài đặt hồ sơ của riêng chúng. Miễn trừ dựa trên địa chỉ là phương án dự phòng khi nền tảng không cung cấp gì hẹp hơn, đó là lý do chúng cần một dòng phạm vi sắc nét hơn.

Bốn loại ngoại lệ, bốn rủi ro gỡ bỏ

Ngoại lệ không phải một phạm trù duy nhất, và việc gỡ bỏ chúng mang lại những hậu quả khác nhau. Chia sẻ một dòng duy nhất giữa hai loại là cách mà việc gỡ bỏ một máy in cũng gỡ bỏ khả năng kết nối.

Giữ các ngoại lệ bootstrap, cổng, thiết bị và ứng dụng trên các dòng riêng biệt ngay cả khi trên thực tế chúng chồng lấn. Một miễn trừ dải riêng âm thầm cấp quyền truy cập cho mọi hàng xóm trên mạng con đó thay vì cho một thiết bị duy nhất mà bạn muốn với tới, và đó là khác biệt giữa một phạm vi bạn có thể bảo vệ và một phạm vi bạn chỉ hy vọng.

Đường vòng làm gì khi đường hầm sụp

Hãy hỏi ba câu và viết câu trả lời, vì chúng quyết định liệu việc khóa có thật hay không. Ngoại lệ có còn dùng được khi đường hầm sụp không: với captive portal thì phải còn, nếu không sẽ không ai đăng nhập được, còn với một tài nguyên riêng thì thường không được, nếu không chính sách chỉ là trang trí. Nó áp dụng trên mọi mạng hay chỉ trong môi trường dự định, vì một quy tắc giới hạn ở mạng con gia đình hành xử rất khác trên một mạng công cộng tình cờ dùng cùng dải. Mỗi câu trả lời thay đổi cả quy tắc lẫn ghi chú, nên một câu hỏi bỏ ngỏ là một quyết định mà người khác sẽ đưa ra sai sau này.

Câu hỏi thứ ba là điều gì xảy ra khi đích đổi địa chỉ, nơi các miễn trừ dựa trên tên miền và dựa trên địa chỉ tách nhau. Các quy tắc dựa trên tên miền phụ thuộc vào thời điểm phân giải và cách máy khách áp dụng kết quả, nên chúng có thể âm thầm ngừng khớp sau một thay đổi trông không liên quan, và sự cố trông giống một VPN hỏng hơn là một miễn trừ lỗi thời.

Kiểm thử, kiểm thử lại và viết bước gỡ bỏ

Viết một bài kiểm thử vô hại cho đường được phép và một trường hợp bị từ chối gần đó: trang máy in tải được còn chia sẻ tệp trên cùng mạng con thì không. Cặp đó chứng minh ngoại lệ là hẹp, và đó là cặp mà người đánh giá có thể lặp lại mà không cần hiểu yêu cầu ban đầu. Sau đó đặt các yếu tố kích hoạt kiểm thử lại, vì một ngoại lệ không bao giờ được kiểm thử lại sẽ trôi xa khỏi yêu cầu mà nó được viết ra, và sự trôi đó vẫn vô hình cho đến khi có thứ gì đó hỏng.

Cuối cùng, ghi lại cách gỡ quy tắc thông qua thành phần sở hữu nó, và giữ bí mật ngoài ghi chú. Mô tả một dịch vụ và một tuyến đường không bao giờ cần khóa riêng, mật khẩu hay lịch sử duyệt web của ai, và một danh sách ngắn được duy trì tốt hơn một quy tắc tạm thời sống lâu hơn người viết ra nó.