الفشل المفتوح أم الفشل المغلق: ماذا يحدّد مفتاح إيقاف VPN
يصف المصطلحان ما يحدث عندما يغيب النفق، لا مدى قوة التشفير. النطاق الذي تختاره هو ما يقرّر إن كان المرور يتسرّب فعلاً.
الأسطورة هي أن الفشل المغلق هو الإعداد الآمن والفشل المفتوح هو الإعداد المستهتر. كلاهما يصف ما يحدث للمرور بعد ذهاب النفق، ولا يغيّر أي منهما مدى جودة تشفير ذلك النفق. سياسة فشل مغلق بقائمة استثناءات واسعة قد تسرّب أكثر من سياسة فشل مفتوح على جهاز لا يغادر شبكة المكتب أبداً. اختر النتيجة التي يمكنك شرحها للشخص الذي يملك المرور.
التسمية تصف نتيجة، لا قوة
المفردات تأتي من أنظمة التحكم: الفشل المفتوح يسمح بالعمل عند فشل أحد المكوّنات، والفشل المغلق يمنعه. عند تطبيقها على VPN، المكوّن الفاشل هو النفق، والسؤال هو هل يُسمح للمرور بالمتابعة عبر مسار آخر. اختيار الشيفرة وطول المفتاح والبروتوكول قرارات منفصلة.
يستمر الالتباس لأن مفتاح الإيقاف يبدو وكأنه ميزة أمنية، والبيعون يسوّقونه على هذا الأساس. من الناحية الميكانيكية هو قاعدة توجيه وجدار حماية تحجب المرور الذي كان يُفترض أن يحمله النفق، تُنفَّذ في العميل أو في نظام التشغيل أو على البوابة. وأي طبقة تنفّذها هي التي تحدد تغطيتها أيضاً، وقاعدة في طبقة لا تغطي طبقة أخرى. قاعدة على البوابة لا يمكنها حماية حاسوب محمول انتقل بالفعل إلى شبكة أخرى.
كيف تبدو كل نتيجة
السياسة نفسها قد تتصرف بشكل مختلف جداً حسب الفشل الذي تصادفه، لذا قارن الأحداث لا التسميات.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
الصف الأخير هو الذي يوقع من يفترضون أن مفتاح الإيقاف مفتاح واحد. قاعدة مكتوبة لجدول توجيه IPv4 تترك مسار IPv6 الافتراضي دون مساس، وقد يستخدمه التطبيق بسرور.
النطاق يقرّر إن كان يتسرّب
اسأل عمّا تغطيه السياسة قبل أن تسأل عن الوضع. قاعدة لكل تطبيق تحمي تطبيقاً واحداً ولا شيء غيره، وقاعدة على مستوى الجهاز تحمي كل شيء عدا الاستثناءات، وقاعدة على البوابة تحمي فقط المرور الذي يصل إلى تلك البوابة. DNS يحتاج قراراً خاصاً به، لأن استعلاماً يُرسل إلى محلّل محلي يمكن أن يكشف الأسماء حتى عندما تكون الحمولة محجوبة.
استثناءات الشبكة المحلية موجودة للطابعات والبثّ وبوابات الدخول، وكل واحد منها ثقب في الحجب. وثّقها بجانب السياسة، لأن الشخص الذي يرث الإعدادات سيفهم الفشل المغلق على أنه مطلق وإلا.
إعادة الاتصال والحجب أداتان منفصلتان أيضاً. يمكن للعميل أن يعيد الاتصال تلقائياً دون أن يحجب أبداً، أو أن يحجب دون إعادة الاتصال، والمزيج هو ما يحدّد ما يختبره المستخدم أثناء انقطاع.
أثبته أثناء الانتقال
اختبار الحالة المستقرة لا يثبت شيئاً. أسقط النفق عمداً وجرّب التطبيق الذي يُفترض أن يكون محمياً، ثم تحقّق مما إذا وصل إلى الشبكة. قارن مؤشر العميل بالنتيجة، لأن مؤشراً ما زال يقول متصل هو بالضبط الحالة التي وُجدت السياسة من أجلها. إذا نجح التطبيق المحمي، فلا يهم اسم الوضع؛ لديك تسرّب.
أعد ذلك من إقلاع بارد قبل تسجيل الدخول، وعبر تحوّل من Wi-Fi إلى الشبكة الخلوية، ومع التطبيق المحمي في الخلفية. إذا كانت العملية هي التي تنفّذ الحجب، فاختبر أيضاً ما يحدث عندما تُقتل تلك العملية بدل إغلاقها بإحكام.
أخيراً، افحص مسار التنظيف. إذا أُزيل عميل بينما قواعده نشطة، فاستخدم إجراء الإزالة الموثّق من المورّد بدل تعطيل جدار حماية نظام التشغيل، الذي يزيل حماية غير ذات صلة دون أن يجيب عن مالك القاعدة المتبقية.