为隔离网络开放远程访问：检查出口

有人需要给一个没有互联网路由的网络中的设备做固件更新，实务上的答案是一条临时链路。那句话里真正吃力的是临时这两个字，而它通常是计划中设计得最少的部分。只要链路还在，当初让架构成立的那道隔离就不在。五项检查让这个例外是有意为之，而不是意外发生。

检查一：远程维护到底允不允许

这个问题属于系统所有者，而不属于握着控制台线缆的人。有些环境接受有文档记录的远程例外；另一些之所以被隔离，是因为某条标准、合同或危害研究规定，任何窗口都不允许远程作业。两种情形从外面看一模一样，需要的答案却完全相反。

先拿到答案，再比较产品。如果隔离是硬性要求而不是偏好，这次演练的正确产出可能是一次现场到访。那是结果，不是计划的失败。带着理由归档的拒绝同样保护了提出请求的人，这比无人记录的绕行更值。

写清人、他使用的工位、目标设备、允许的操作和批准的时段。还要写明现场谁有权批准，以及是否需要有人旁观。能连通并不等于获授权，与控制器之间一条能用的连接，说明不了改设定值是否被允许。

工位值得和入口接受同样的审视。窄小的网关照样会接受来自持有凭据、作业文件和特权工具的终端的作业，而一台装着可用客户端、却无人管理的笔记本电脑并不等于等价的维护环境。

把批准编号与这个窗口一起记录下来。只存在于聊天消息里的例外，在半年后有人翻日志时，与一次入侵无法区分。

写下算作完成的具体状态：会话结束、账号禁用、规则删除、连接器停止、线缆拔掉。这些是不同的生命周期，关掉一个浏览器标签页，一样都没结束。

然后写明由谁、用什么方式核实这个状态。以技术员说做完了收尾的清单只是声明，不是核实。把证据放进记录：禁用了什么、何时、由谁。

设定最长时限和提前结束的办法，然后问：一旦使其成立的机制失效会怎样。如果计时器与远程路径住在同一台主机上，那里的故障就可能让例外敞开着，而无人看管。

在现场保留一条独立的断开手段，可以是本地控制台、物理开关，或为地面人员写好的规程。当唯一的关断要经过正在被关断的那条链路时，现场就无法守住自己的边界。在一个窗口内测试一次本地停止，同时现场有人能在失败时恢复。

一年只上电两次的网关，同样需要受支持的更新、配置基线，以及不是每个用过的人都能拿到的凭据。要在受保护路径打开之前决定它如何达到受批准状态，而不是在窗口期间。过期的网关是维护到访本该减掉的负担。

也要保护让窗口得以成立的那个机制。电话号码、来电显示或一条晦涩的消息是触发条件，不是身份认证；一条没人记录的便捷唤醒通道，就是一条等待中的管理路径。

最后，在一份已批准的计划下测试三种结果：允许的操作、被拒绝的操作，以及窗口结束时的状态。再补一个失败情形，比如操作员中途失联，并确认现场最终仍然是关闭的。这项检查才是临时一词描述了真实事物的唯一证据。