Fail-open ή fail-closed: τι αποφασίζει ο διακόπτης ασφαλείας VPN
Και οι δύο όροι περιγράφουν τι συμβαίνει όταν η σήραγγα λείπει, όχι πόσο ισχυρή είναι η κρυπτογράφηση. Το εύρος που επιλέγετε καθορίζει αν η κίνηση διαρρέει πραγματικά.
Ο μύθος λέει ότι το fail-closed είναι η ασφαλής ρύθμιση και το fail-open η απερίσκεπτη. Και τα δύο περιγράφουν τι συμβαίνει στην κίνηση μόλις χαθεί η σήραγγα, και κανένα δεν αλλάζει πόσο καλά κρυπτογραφεί αυτή η σήραγγα. Μια πολιτική fail-closed με μεγάλη λίστα εξαιρέσεων μπορεί να διαρρεύσει περισσότερα από μια πολιτική fail-open σε συσκευή που δεν φεύγει ποτέ από το δίκτυο του γραφείου. Επιλέξτε το αποτέλεσμα που μπορείτε να εξηγήσετε στο άτομο που κατέχει την κίνηση.
Η ετικέτα περιγράφει αποτέλεσμα, όχι ισχύ
Το λεξιλόγιο προέρχεται από συστήματα ελέγχου: το fail-open επιτρέπει τη λειτουργία όταν ένα εξάρτημα αποτυγχάνει, το fail-closed την αρνείται. Σε ένα VPN, το εξάρτημα που αποτυγχάνει είναι η σήραγγα, και το ερώτημα είναι αν επιτρέπεται στην κίνηση να συνεχίσει από άλλη διαδρομή. Η επιλογή κρυπτογράφησης, το μήκος κλειδιού και το πρωτόκολλο είναι ξεχωριστές αποφάσεις.
Η σύγχυση επιμένει επειδή ο διακόπτης ασφαλείας ακούγεται σαν χαρακτηριστικό ασφαλείας, και οι προμηθευτές τον προωθούν ως τέτοιο. Μηχανικά είναι ένας κανόνας δρομολόγησης και τείχους προστασίας που μπλοκάρει την κίνηση που υποτίθεται ότι μετέφερε η σήραγγα, υλοποιημένος στον πελάτη, στο λειτουργικό σύστημα ή στην πύλη. Όποιο επίπεδο τον επιβάλλει ορίζει και την κάλυψή του, και ένας κανόνας σε ένα επίπεδο δεν καλύπτει άλλο. Ένας κανόνας στην πύλη δεν μπορεί να προστατεύσει φορητό υπολογιστή που έχει ήδη μετακινηθεί σε άλλο δίκτυο.
Πώς μοιάζει κάθε αποτέλεσμα
Η ίδια πολιτική μπορεί να συμπεριφερθεί πολύ διαφορετικά ανάλογα με την αστοχία που θα συναντήσετε, οπότε συγκρίνετε τα γεγονότα και όχι τις ετικέτες.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Η τελευταία γραμμή πιάνει όσους υποθέτουν ότι ο διακόπτης ασφαλείας είναι ένας μόνο διακόπτης. Ένας κανόνας γραμμένος για τον πίνακα δρομολόγησης IPv4 αφήνει την προεπιλεγμένη διαδρομή IPv6 ανέγγιχτη, και η εφαρμογή μπορεί να τη χρησιμοποιήσει άνετα.
Το εύρος κρίνει αν διαρρέει
Ρωτήστε τι καλύπτει η πολιτική πριν ρωτήσετε ποια λειτουργία είναι. Ένας κανόνας ανά εφαρμογή προστατεύει μία εφαρμογή και τίποτε άλλο, ένας κανόνας για όλη τη συσκευή προστατεύει τα πάντα εκτός από τις εξαιρέσεις, και ένας κανόνας στην πύλη προστατεύει μόνο την κίνηση που φτάνει σε αυτή την πύλη. Το DNS χρειάζεται δική του απόφαση, γιατί ένα ερώτημα προς τοπικό διακομιστή επίλυσης μπορεί να αποκαλύψει ονόματα ακόμη και όταν το φορτίο είναι μπλοκαρισμένο.
Εξαιρέσεις τοπικού δικτύου υπάρχουν για εκτυπωτές, προβολή και πύλες σύνδεσης, και καθεμία είναι μια τρύπα στον αποκλεισμό. Τεκμηριώστε τις δίπλα στην πολιτική, γιατί όποιος κληρονομήσει τη διαμόρφωση θα διαβάσει αλλιώς το fail-closed ως απόλυτο.
Η επανασύνδεση και ο αποκλεισμός είναι επίσης ξεχωριστοί έλεγχοι. Ένας πελάτης μπορεί να επανασυνδέεται αυτόματα χωρίς ποτέ να μπλοκάρει, ή να μπλοκάρει χωρίς επανασύνδεση, και ο συνδυασμός καθορίζει τι βιώνει ο χρήστης κατά τη διάρκεια μιας διακοπής.
Αποδείξτε το σε μια μετάβαση
Η δοκιμή της σταθερής κατάστασης δεν αποδεικνύει τίποτε. Ρίξτε επίτηδες τη σήραγγα και δοκιμάστε την εφαρμογή που υποτίθεται ότι προστατεύεται, μετά ελέγξτε αν έφτασε στο δίκτυο. Συγκρίνετε την ένδειξη του πελάτη με το αποτέλεσμα, γιατί μια ένδειξη που λέει ακόμη συνδεδεμένο είναι ακριβώς η περίπτωση για την οποία υπάρχει η πολιτική. Αν η προστατευμένη εφαρμογή πετύχει, το όνομα της λειτουργίας δεν έχει σημασία· έχετε διαρροή.
Επαναλάβετε από κρύα εκκίνηση πριν από τη σύνδεση, κατά τη μετάβαση από Wi-Fi σε κινητό δίκτυο και με την προστατευμένη εφαρμογή στο παρασκήνιο. Αν ο αποκλεισμός επιβάλλεται από τη διεργασία του πελάτη, δοκιμάστε και τι συμβαίνει όταν αυτή η διεργασία σκοτώνεται αντί να κλείνει καθαρά.
Τέλος, ελέγξτε τη διαδρομή καθαρισμού. Αν ένας πελάτης απεγκατασταθεί ενώ οι κανόνες του είναι ενεργοί, χρησιμοποιήστε τη τεκμηριωμένη διαδικασία αφαίρεσης του προμηθευτή αντί να απενεργοποιήσετε το τείχος προστασίας του λειτουργικού συστήματος, που αφαιρεί άσχετη προστασία χωρίς να απαντά ποιος κατέχει τον κανόνα που έμεινε.