Fail-open o fail-closed: què decideix un interruptor de seguretat del VPN
Tots dos termes descriuen què passa quan el túnel ja no hi és, no com de forta és l’encriptació. L’abast que trieu és el que decideix si el trànsit realment s’escapa.
El mite és que fail-closed és la configuració segura i fail-open la descurada. Tots dos descriuen què passa amb el trànsit un cop el túnel ha desaparegut, i cap dels dos no canvia com d’encripta aquell túnel. Una política fail-closed amb una llista àmplia d’excepcions pot filtrar més que una política fail-open en un dispositiu que no surt mai de la xarxa de l’oficina. Trieu el resultat que pugueu explicar a la persona que posseeix el trànsit.
L’etiqueta descriu un resultat, no una força
El vocabulari ve dels sistemes de control: fail-open permet el funcionament quan un component falla, fail-closed el denega. Aplicat a un VPN, el component que falla és el túnel, i la pregunta és si es permet que el trànsit continuï per una altra via. L’elecció del xifratge, la longitud de la clau i el protocol són decisions separades.
La confusió persisteix perquè un interruptor de seguretat sona com una funció de seguretat, i els proveïdors el venen com a tal. Mecànicament és una regla d’encaminament i de tallafoc que bloqueja el trànsit que el túnel havia de portar, implementada al client, al sistema operatiu o a la passarel·la. La capa que l’aplica també en defineix l’abast, i una regla en una capa no en cobreix una altra. Una regla a la passarel·la no pot protegir un portàtil que ja s’ha mogut a una altra xarxa.
Com es veu cada resultat
La mateixa política pot comportar-se molt diferent segons quin fallo trobeu, així que compareu els esdeveniments i no les etiquetes.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
L’última fila és la que enganxa qui suposa que un interruptor de seguretat és un sol commutador. Una regla escrita per a la taula d’encaminament IPv4 deixa la ruta per defecte IPv6 intacta, i l’aplicació la pot fer servir ben tranquil·lament.
L’abast decideix si hi ha fuites
Pregunteu què cobreix la política abans de preguntar quin mode és. Una regla per aplicació protegeix una aplicació i res més, una regla per a tot el dispositiu protegeix tot excepte les excepcions, i una regla a la passarel·la només protegeix el trànsit que arriba a aquesta passarel·la. El DNS necessita la seva pròpia decisió, perquè una consulta enviada a un resolutor local pot revelar noms fins i tot quan la càrrega útil està bloquejada.
Les excepcions de xarxa local existeixen per a impressores, emissió de pantalla i portals captius, i cadascuna és un forat al blocatge. Documenteu-les al costat de la política, perquè qui hereta la configuració, si no, llegirà fail-closed com a absolut.
Reconnectar i bloquejar també són controls separats. Un client pot reconnectar-se automàticament sense bloquejar mai, o bloquejar sense reconnectar-se, i la combinació determina què experimenta l’usuari durant una interrupció.
Comproveu-ho durant una transició
Provar l’estat estable no demostra res. Deixeu caure el túnel deliberadament i proveu l’aplicació que hauria d’estar protegida, i després comproveu si ha arribat a la xarxa. Compareu l’indicador del client amb el resultat, perquè un indicador que encara diu connectat és exactament el cas per al qual existeix la política. Si l’aplicació protegida ho aconsegueix, el nom del mode no importa; teniu una fuita.
Repetiu-ho des d’una arrencada en fred abans d’iniciar la sessió, en un canvi de Wi-Fi a mòbil i amb l’aplicació protegida en segon pla. Si el bloqueig l’aplica el procés del client, proveu també què passa quan aquest procés es mata en lloc de tancar-lo net.
Finalment, reviseu el camí de neteja. Si es desinstal·la un client mentre les seves regles són actives, feu servir el procediment de desinstal·lació documentat pel proveïdor en lloc de desactivar el tallafoc del sistema operatiu, que elimina protecció no relacionada sense respondre qui és el propietari de la regla sobrant.