Fail-open naspram fail-closed: šta odlučuje VPN kill switch
Oba pojma opisuju šta se dešava kada tunela nema, a ne koliko je šifriranje jako. Obim koji odaberete odlučuje da li saobraćaj zaista curi.
Mit je da je fail-closed sigurno podešavanje, a fail-open nemarno. Oba opisuju šta se dešava sa saobraćajem kada tunel nestane i nijedno ne mijenja koliko dobro taj tunel šifrira. Politika fail-closed sa širokom listom izuzetaka može procuriti više od politike fail-open na uređaju koji nikada ne napušta kancelarijsku mrežu. Odaberite ishod koji možete objasniti osobi koja posjeduje saobraćaj.
Oznaka opisuje ishod, a ne snagu
Rječnik dolazi iz upravljačkih sistema: fail-open dopušta rad kada komponenta zakaže, fail-closed ga odbija. Primijenjeno na VPN, komponenta koja zakaže je tunel, a pitanje je da li se saobraćaju dopušta nastavak nekim drugim putem. Izbor šifre, dužina ključa i protokol su odvojene odluke.
Zabuna ostaje jer kill switch zvuči kao sigurnosna funkcija, a prodavci ga tako i reklamiraju. Mehanički, to je pravilo rutiranja i zaštitnog zida koje blokira saobraćaj koji je tunel trebao nositi, provedeno u klijentu, u operativnom sistemu ili na mrežnom prolazu. Koji god sloj ga provodi, on ujedno određuje i njegov obim, a pravilo u jednom sloju ne pokriva drugi. Pravilo na prolazu ne može zaštititi prijenosnik koji je već prešao na drugu mrežu.
Kako izgleda svaki ishod
Ista politika može se ponašati vrlo različito zavisno od toga na koji otkaz naiđete, pa uporedite događaje, a ne oznake.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Posljednji red je onaj koji hvata ljude koji pretpostavljaju da je kill switch jedan prekidač. Pravilo napisano za IPv4 tablicu ruta ostavlja IPv6 zadanu rutu netaknutom, a aplikacija je može rado iskoristiti.
Obim odlučuje da li curi
Pitajte šta politika pokriva prije nego što pitate koji je to režim. Pravilo za pojedinačnu aplikaciju štiti jednu aplikaciju i ništa drugo, pravilo za cijeli uređaj štiti sve osim izuzetaka, a pravilo na prolazu štiti samo saobraćaj koji stigne do tog prolaza. DNS traži vlastitu odluku, jer upit poslan lokalnom razrješivaču može otkriti imena čak i kada je sadržaj blokiran.
Izuzetak za lokalnu mrežu postoje zbog štampača, prenošenja slike i portala za prijavu, i svaki je rupa u bloku. Dokumentujte ih uz politiku, jer će osoba koja naslijedi konfiguraciju inače pročitati fail-closed kao apsolut.
Ponovno povezivanje i blokiranje također su odvojene kontrole. Klijent se može automatski povezivati bez ikakvog blokiranja, ili blokirati bez povezivanja, a kombinacija određuje šta korisnik doživljava tokom prekida.
Dokažite to tokom prelaza
Testiranje ustaljenog stanja ne dokazuje ništa. Namjerno oborite tunel i isprobajte aplikaciju koja bi trebala biti zaštićena, pa provjerite je li stigla do mreže. Uporedite indikator klijenta sa rezultatom, jer indikator koji još kaže povezano upravo je slučaj zbog kojeg politika i postoji. Ako zaštićena aplikacija uspije, ime režima nije važno; imate curenje.
Ponovite iz hladnog podizanja prije prijave, pri prelasku sa Wi-Fi na mobilnu mrežu i sa zaštićenom aplikacijom u pozadini. Ako blok provodi klijentski proces, isprobajte i šta se dešava kada se taj proces ubije, a ne uredno zatvori.
Na kraju, provjerite put čišćenja. Ako se klijent deinstalira dok su njegova pravila aktivna, koristite dokumentovani postupak uklanjanja od prodavca umjesto isključivanja operativnog zaštitnog zida, koje uklanja nepovezanu zaštitu ne odgovarajući na pitanje kome pripada preostalo pravilo.