Fail-open neu fail-closed: beth mae switsh diogelwch VPN yn ei benderfynu
Mae’r ddau derm yn disgrifio beth sy’n digwydd pan nad yw’r twnnel yna, nid pa mor gryf yw’r amgryptio. Eich cwmpas chi sy’n penderfynu a yw traffig yn gollwng go iawn.
Y myth yw mai fail-closed yw’r gosodiad diogel a fail-open yw’r un diofal. Mae’r ddau yn disgrifio beth sy’n digwydd i draffig unwaith y bydd y twnnel wedi mynd, ac nid oes yr un ohonynt yn newid pa mor dda y mae’r twnnel hwnnw’n amgryptio. Gall polisi fail-closed â rhestr eang o eithriadau ollwng mwy na pholisi fail-open ar ddyfais nad yw byth yn gadael rhwydwaith y swyddfa. Dewiswch y canlyniad y gallwch ei esbonio i’r person sy’n berchen ar y traffig.
Mae’r label yn disgrifio canlyniad, nid cryfder
Daw’r geirfa o systemau rheoli: mae fail-open yn caniatáu gweithredu pan fydd cydran yn methu, mae fail-closed yn ei wrthod. O’i gymhwyso at VPN, y gydran sy’n methu yw’r twnnel, a’r cwestiwn yw a ganiateir i’r traffig barhau drwy ryw lwybr arall. Mae dewis seiffr, hyd allwedd a phrotocol yn benderfyniadau ar wahân.
Mae’r dryswch yn para oherwydd bod switsh diogelwch yn sŵn fel nodwedd ddiogelwch, ac mae gwerthwyr yn ei farchnata felly. Yn fecanyddol, rheol llwybro a mur tân sy’n blocio traffig yr oedd y twnnel i fod i’w gludo yw hi, wedi’i gweithredu yn y cleient, yn y system weithredu neu ar y porth. Pa haen bynnag sy’n ei gorfodi, hi hefyd sy’n diffinio ei chwmpas, ac nid yw rheol mewn un haen yn cwmpasu un arall. Ni all rheol ar borth amddiffyn gliniadur sydd eisoes wedi symud i rwydwaith arall.
Sut mae pob canlyniad yn edrych
Gall yr un polisi ymddwyn yn wahanol iawn yn dibynnu ar ba fethiant y dewch ar ei draws, felly cymharwch y digwyddiadau yn hytrach na’r labeli.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Y rhes olaf yw’r un sy’n dal y rhai sy’n tybio mai un switsh yw switsh diogelwch. Mae rheol a ysgrifennwyd ar gyfer tabl llwybro IPv4 yn gadael llwybr diofyn IPv6 heb ei gyffwrdd, a gall y cymhwysiad ei ddefnyddio’n fodlon.
Cwmpas sy’n penderfynu a yw’n gollwng
Gofynnwch beth mae’r polisi’n ei gwmpasu cyn gofyn pa fodd yw e. Mae rheol fesul cymhwysiad yn amddiffyn un ap a dim byd arall, mae rheol ar gyfer y ddyfais gyfan yn amddiffyn popeth ac eithrio’r eithriadau, ac mae rheol ar borth yn amddiffyn dim ond traffig sy’n cyrraedd y porth hwnnw. Mae angen penderfyniad ei hun ar DNS, oherwydd gall ymholiad a anfonir at ddatryswr lleol ddatgelu enwau hyd yn oed pan fo’r llwyth yn cael ei flocio.
Mae eithriadau rhwydwaith lleol yn bodoli ar gyfer argraffwyr, bwrw llun a phyrth caeth, ac mae pob un yn dwll yn y bloc. Dogfennwch nhw wrth ymyl y polisi, oherwydd fel arall bydd y sawl sy’n etifeddu’r ffurfweddiad yn darllen fail-closed fel rhywbeth absoliwt.
Mae ailgysylltu a blocio hefyd yn reolyddion ar wahân. Gall cleient ailgysylltu’n awtomatig heb flocio erioed, neu flocio heb ailgysylltu, a’r cyfuniad sy’n pennu’r hyn y mae defnyddiwr yn ei brofi yn ystod toriad.
Profwch hynny yn ystod trawsnewid
Nid yw profi’r cyflwr sefydlog yn profi dim. Gollyngwch y twnnel yn fwriadol a rhowch gynnig ar y cymhwysiad y dylid ei amddiffyn, yna gwiriwch a gyrhaeddodd y rhwydwaith. Cymharwch ddangosydd y cleient â’r canlyniad, oherwydd dangosydd sy’n dal i ddweud cysylltiedig yw’r union achos y mae’r polisi’n bodoli ar ei gyfer. Os yw’r ap gwarchodedig yn llwyddo, nid yw enw’r modd yn bwysig; mae gennych chi ollyngiad.
Ailadroddwch o gychwyn oer cyn mewngofnodi, ar draws newid o Wi-Fi i rwydwaith symudol, a chyda’r ap gwarchodedig yn y cefndir. Os yw proses y cleient yn gorfodi’r bloc, profwch hefyd beth sy’n digwydd pan lleddir y broses honno yn hytrach na’i chau’n lân.
Yn olaf, gwiriwch y llwybr glanhau. Os dadosodir cleient tra bo ei reolau’n weithredol, defnyddiwch weithdrefn dynnu dogfenedig y gwerthwr yn hytrach na diffodd mur tân y system weithredu, sy’n tynnu amddiffyniad diberth heb ateb pwy sy’n berchen ar y rheol sydd ar ôl.