Fail-open супраць fail-closed: што вырашае ахоўны выключальнік VPN
Абодва тэрміны апісваюць, што адбываецца, калі тунэль знік, а не тое, наколькі моцнае шыфраванне. Менавіта абраны ахоп вырашае, ці сапраўды трафік працякае.
Міф у тым, што fail-closed — бяспечная налада, а fail-open — бестурботная. Абодва апісваюць, што адбываецца з трафікам пасля знікнення тунэля, і ніводзін не змяняе, наколькі добра гэты тунэль шыфруе. Палітыка fail-closed з шырокім спісам выключэнняў можа працекаць больш, чым палітыка fail-open на прыладзе, якая ніколі не пакідае офісную сетку. Выбірайце вынік, які можаце растлумачыць чалавеку, які валодае трафікам.
Назва апісвае вынік, а не моц
Слоўнік прыйшоў з сістэм кіравання: fail-open дазваляе працу, калі кампанент адмаўляе, fail-closed забараняе яе. У дачыненні да VPN кампанент, які адмаўляе, — гэта тунэль, і пытанне ў тым, ці дазволена трафіку працягвацца іншым шляхам. Выбар шыфра, даўжыня ключа і пратакол — асобныя рашэнні.
Блытаніна трымаецца таму, што ахоўны выключальнік гучыць як функцыя бяспекі, і пастаўшчыкі прадаюць яго менавіта так. Механічна гэта правіла маршрутызацыі і брандмаўэра, якое блакуе трафік, што павінен быў ісці праз тунэль, рэалізаванае ў кліенце, у аперацыйнай сістэме або на шлюзе. Які б узровень яго ні выконваў, ён жа вызначае і яго ахоп, а правіла на адным узроўні не пакрывае іншы. Правіла на шлюзе не можа абараніць ноўтбук, які ўжо перайшоў у іншую сетку.
Як выглядае кожны вынік
Адна і тая ж палітыка можа паводзіць сябе вельмі па-рознаму ў залежнасці ад таго, на якую адмову вы натрапілі, таму параўноўвайце падзеі, а не назвы.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Апошні радок ловіць тых, хто лічыць, што ахоўны выключальнік — гэта адзін перамыкач. Правіла, напісанае для табліцы маршрутаў IPv4, пакідае маршрут па змаўчанні IPv6 некранутым, і праграма можа спакойна ім карыстацца.
Ахоп вырашае, ці будзе ўцечка
Спытайцеся, што палітыка пакрывае, перш чым пытацца, які гэта рэжым. Правіла для асобнай праграмы абараняе адну праграму і нічога болей, правіла для ўсёй прылады абараняе ўсё, акрамя выключэнняў, а правіла на шлюзе абараняе толькі трафік, які дасягае гэтага шлюза. DNS патрабуе ўласнага рашэння, бо запыт да лакальнага рэзалвера можа выявіць назвы нават тады, калі карысная нагрузка заблакаваная.
Выключэнні для лакальнай сеткі існуюць для прынтараў, трансляцыі і парталаў аўтарызацыі, і кожнае з іх — дзірка ў блаку. Дакументуйце іх побач з палітыкай, бо чалавек, які атрымае канфігурацыю ў спадчыну, інакш прачытае fail-closed як абсалют.
Перападключэнне і блакаванне — таксама асобныя сродкі кіравання. Кліент можа аўтаматычна перападключацца, ніколі не блакуючы, або блакаваць без перападключэння, і спалучэнне вызначае, што адчувае карыстальнік падчас перапынку.
Дакажыце гэта падчас пераходу
Праверка ўстойлівага стану нічога не даказвае. Наўмысна абрыньце тунэль і паспрабуйце праграму, якая павінна быць абароненай, затым праверце, ці дасягнула яна сеткі. Параўнайце індыкатар кліента з вынікам, бо індыкатар, які дагэтуль паказвае «падключана», — гэта якраз той выпадак, дзеля якога існуе палітыка. Калі абароненая праграма дасягае поспеху, назва рэжыму не мае значэння; у вас уцечка.
Паўтарыце з халоднай загрузкі да ўваходу ў сістэму, падчас пераключэння з Wi-Fi на мабільную сетку і з абароненай праграмай у фоне. Калі блок выконвае працэс кліента, праверце таксама, што адбываецца, калі гэты працэс забіць, а не закрыць акуратна.
Нарэшце, праверце шлях ачысткі. Калі кліент выдаляюць, пакуль яго правілы актыўныя, выкарыстоўвайце дакументаваную пастаўшчыком працэдуру выдалення замест адключэння брандмаўэра аперацыйнай сістэмы, якое здымае староннюю абарону, не адказваючы, каму належыць пакінутае правіла.