Şişmiş Bir Kural Setini Kırmadan Sadeleştirmek

Kural setleri tek bir hatayla şişmez. Her acil talep bir satır olarak eklenir, hiçbiri geri alınmaz, üçüncü yılın sonunda listeyi baştan sona okuyabilen kimse kalmaz. Bu noktada kurumlar ikiye ayrılır: sete hiç dokunmayanlar ve bir cumartesi sabahı yüz satırı birden silenler. İkinci grup pazartesi gününü hangi silmenin neyi bozduğunu aramakla geçirir, çoğunlukla da bulamaz, çünkü aynı anda çok şey değişmiştir.

İşin zor kısmı teknik değil. Bir kuralın ne işe yaradığını cihaz size söylemez. Onu yazan kişi söyler, o kişi de genellikle artık kurumda değildir. Temizlik bu yüzden bir kazı çalışmasıdır ve marifet, kazarken duvarı yıkmamaktır.

Ölçmeden Dokunma

Her ciddi güvenlik duvarında kural başına eşleşme sayacı var. İlk adım bu sayaçları sıfırlamak ve beklemek. Ne kadar? En az bir tam iş döngüsü.

Bir kurumun iş döngüsü çoğu zaman bir hafta değildir. Bordro ayın son günü çalışır. Yedekleme haftanın belli bir gecesinde dışarıya bağlanır. Mali kapanış çeyrek sonunda bir muhasebe servisine gider. Denetim yılda bir kez gelir ve geldiğinde kimsenin adını bilmediği bir portun açık olmasını bekler. Bir hafta sayaç toplayıp “bunlar ölü” demek, ayda bir çalışan her şeyi ölü ilan etmektir.

Pratik ölçü: en az bir ay, mümkünse bir çeyrek. Uzun geliyorsa şöyle bakın. Sayaç toplamak kimseyi rahatsız etmez, yanlış silme bir günü yakar.

Sayaç okurken iki tuzak var. Birincisi, cihaz yeniden başladığında ya da yapılandırma yeniden yüklendiğinde sayaçların sıfırlanması. Ölçüm penceresinin ortasında bir bakım yapıldıysa pencere baştan başlar. Bunu not etmeyen ekip üç günlük veriyle bir aylık karar verir. İkincisi, sayacın kuralın gerekli olduğunu değil eşleştiğini göstermesi. Sürekli eşleşen bir reddetme kuralı, sürekli eşleşen bir izin kuralıyla aynı anlamı taşımaz.

Sahipsiz Kural Sorunu

Sayacı sıfır olan kuralların listesi elinizde. Asıl iş şimdi başlıyor. Her satır için “bu kim içindi” sorusunun cevabı.

Arama sırası şu olsun. Kuralın açıklama alanı, değişiklik kayıtları, o dönemin talep sistemi, hedef adresin kime ait olduğu. Sonuncusu çoğu zaman en hızlı cevabı verir. Bir kural artık kimsenin adını bilmediği bir dış adrese 8443 açıyorsa, o adresin bugün neye çözüldüğüne bakmak beş dakika sürer ve genellikle beş yıl önce kapanmış bir tedarikçi portalı çıkar.

Bulamadıklarınız için kestirme yol yok. Sahibi çıkmayan kuralı hemen silmeyin; işaretleyin. Açıklama alanına tarihi ve “sahip aranıyor” notunu düşün. Bu not, altı ay sonra aynı işi yapacak kişinin size teşekkür edeceği tek şey olacak.

Silmek Yerine Kapatmak

Temizlikte gerçekten güvenli tek hamle var. Kuralı silme, devre dışı bırak.

Kapalı kural sette durur. Sırasını korur, açıklamasını korur, bir şey bozulduğunda tek hamleyle geri gelir. Silinmiş kural ise yeniden yazılmak zorundadır ve yazan kişi hangi portun hangi yönde açık olduğunu hatırlamak zorundadır. Kesinti anında kimse doğru hatırlamaz.

Kapatma ile silme arasına en az bir iş döngüsü koyun. Süre şikâyetsiz geçtiyse silin. Şikâyet gelirse hepsini değil, yalnız o kuralı geri açın. Hangi erişimin gerçekten gerektiğini böyle öğrenirsiniz. Toptan geri dönüş yapan ekip, ilk günün bilgisini de çöpe atar.

Bir uyarı: kapalı kurallar da bir yük. Yüzlerce devre dışı satır taşıyan set okunaksızlığını sürdürür. Kapatma bir bekleme odasıdır, depo değil. Silme tarihini takvime yazın, yoksa yazılmaz.

Gölgede Kalan Kurallar

Sayacın sıfır olması her zaman “gereksiz” demek değil. Kural, üstündeki daha geniş bir satırın gölgesinde kalmışsa hiç sıraya gelmez, dolayısıyla hiç eşleşmez. Ama işlevi yerine getirilmiyor değildir; başka bir satır tarafından getiriliyordur.

Bu ayrımı kaçırmak temizliğin en sinsi hatası. Alttaki dar kuralı sildiniz, hiçbir şey bozulmadı, herkes rahat. Aylar sonra biri üstteki geniş kuralı daralttı ve kimsenin hatırlamadığı bir erişim sessizce kapandı. O gün arıza arayan kişinin elinde artık hiçbir iz yok.

Doğru hamle sırayı düzeltmek. Geniş kural gerçekten olması gerektiği kadar geniş mi? Değilse önce onu daraltın, ölçümü tekrarlayın. Alttaki kural eşleşmeye başladıysa cevabı almışsınızdır: o satır yaşıyormuş.

Satır Sayısını Gerçekten Düşüren Şey

Ölü kuralları ayıkladıktan sonra kalan setin önemli bir kısmı hâlâ tekrardır. Aynı kaynak grubundan aynı hedefe giden altı ayrı satır, çoğu zaman altı ayrı talebin izi.

Nesne grupları burada işe yarar, ama disiplinle. “SUNUCULAR” adında ne olduğu belirsiz bir gruba her şeyi doldurmak kural sayısını düşürür ve gerçek erişimi gizler — kötü bir takas. Grup adı bir iş anlamına karşılık gelmeli. bordro-uygulama-sunuculari iyi bir isim, grup7 değil. İsimlendirme tembelliği bu işin bir sonraki turunu imkânsız kılar.

Birleştirmenin tek kuralı: birleştirdiğiniz satırların etkisi tam olarak aynı olmalı. “Neredeyse aynı” birleştirilmez. Birleştirirseniz erişimi genişletmiş olursunuz ve bunu hiçbir sayaç size söylemez.

En Alttaki Satır ve Günlükleme

Temizlik sırasında herkesin unuttuğu bir yer, setin en altıdır. Örtük reddetme kuralı çoğu cihazda vardır ve varsayılan olarak günlük tutmaz. Tutmadığı için de, siz bir kuralı kapattığınızda o kapatmanın kime dokunduğu hiçbir yere yazılmaz. Kullanıcı bağlanamaz, bir şey görmez, sorun bildirmez, kendi yolunu bulur.

Temizliğe başlamadan önce en alttaki reddetme satırını açıkça yazın ve günlükleyin. Bu tek değişiklik, sonraki bütün adımların ölçülebilir olmasını sağlar. Bir erişim kapandığında artık elinizde kaynak adresi, hedefi ve saati olan bir kayıt olur. Kapattığınız yirmi kuraldan hangisinin canlı olduğunu, kullanıcı size ulaşmadan önce öğrenirsiniz.

Bunun bir maliyeti var. Reddedilen trafiğin günlüğü hacimlidir ve tarama gürültüsüyle dolu. Dış bacakta bunu sürekli açık tutmak çoğu kurumda anlamsız. İç bacakta, yani temizliğin gerçekten sonuç doğuracağı yerde, ölçüm süresince açık tutun ve iş bitince geri kısın.

Değişikliği Kim Kaydedecek

Kural temizliğinin sonucu daha kısa bir liste değil, açıklanabilir bir listedir. Bu ikisi aynı şey değil.

Her silmenin yanına üç bilgi düşün: neden silindi, hangi tarihte kapatıldı, kim onayladı. Cihazın açıklama alanı bunun için dar geliyorsa ayrı bir tabloda tutun, ama tek bir yerde tutun. İki farklı yerde tutulan kayıt altı ay içinde çelişir ve çelişen kayda kimse bakmaz.

Bir sonraki turu da şimdi planlayın. Kural setleri bir kez temizlenip bırakılmaz. Yılda bir sayaç sıfırlama ve gözden geçirme takvime yazılmazsa, üç yıl sonra aynı kazıyı baştan yaparsınız. Bu turda öğrendiğiniz sahiplik bilgisi de o gün elinizde olmaz.

Geri Dönüş Planı

Yapılandırmanın yedeğini almak yeterli değil. Geri yükleme yolunu denemediyseniz yedeğiniz yok sayılır.

Başlamadan önce şunlar hazır olsun. Çalışan yapılandırmanın dışa aktarılmış tam kopyası, geri yükleme adımları, geri yüklemenin ne kadar süreceği ve bu sürede trafiğin kesilip kesilmeyeceği. Son madde çoğu ekibin atladığı yer. Bazı cihazlarda yapılandırma geri yüklemesi ilgili servisi yeniden başlatır, mevcut oturumlar düşer ve oturum tablosu boşalır. Bunu kesinti anında öğrenmek istemezsiniz.

İkinci bir plan daha yazın. Kısmi geri dönüş, yani tek bir kuralı geri açmanın yolu, tam geri yüklemeden farklıdır ve neredeyse her zaman doğru hamledir. Tam geri yükleme, o gün yapılan doğru değişiklikleri de siler.

Ne Zaman Yapılır

Cuma akşamı yapmayın. Kural temizliğinin etkisi anında görünmez. Kapattığınız kuralın müşterisi olan iş belki pazartesi sabahı çalışıyordur. Cuma akşamı yapılan temizlik, hafta sonu boyunca kimsenin fark etmediği ve pazartesi dokuzda hep birden patlayan bir sorun üretir.

Salı sabahı iyidir. Ekip tam kadro, hafta önünüzde uzun, geri dönüş için zaman var. Ayın son iş günü kötüdür. Mali kapanış haftası kötüdür. Denetimin geldiği hafta hiç uygun değildir.

Değişikliği de tek seferde yapmayın. Yirmi kural kapatıp beklemek, iki yüz kural kapatıp beklemekten kıyas kabul etmeyecek kadar bilgilendirici. İlkinde bozulan şeyi bulmak dakikalar sürer, ikincisinde günler.

Bunu Ne Zaman Yapmamalı

Üç durumda kural temizliğine hiç başlamayın.

Cihaz değişimi yakınsa. Yeni donanıma geçerken set zaten taşınacak ve taşıma sırasında doğal bir gözden geçirme penceresi açılacak. Aynı işi iki kez yapmanın anlamı yok; temizliği göçün parçası yapın, ayrı bir proje olarak değil.

Sayaç verisi yoksa. Sayaçlar bir sebeple sıfırlandıysa, günlükler döndüyse ya da cihaz yakın zamanda değiştiyse elinizde kanıt yok demektir. Böyle bir zeminde temizlik tahmine dayanır, tahminle silinen kural da kesintiyi üretir. Önce ölçün, sonra dokunun.

Sorumluluğu kimse almıyorsa. Bu iş bir noktada “bu erişim kaldırılacak” diyebilecek bir yetkiye ihtiyaç duyar. İş birimleri “dokunma” diyor ve yönetim karar vermiyorsa yapılan iş temizlik olmaktan çıkar, risk biriktirmeye dönüşür. O toplantıyı yapmadan cihaza dokunmayın. Sonrasında tek başınıza kalırsınız.