Fail-open edo fail-closed: zer erabakitzen du VPN segurtasun-etengailuak
Bi terminoek tunela desagertzean zer gertatzen den deskribatzen dute, ez enkriptazioa zein sendoa den. Aukeratzen duzun esparruak erabakitzen du trafikoa benetan isurtzen den.
Mitoa fail-closed ezarpen segurua dela eta fail-open arduragabea dela da. Biek tunela desagertu ondoren trafikoari zer gertatzen zaion deskribatzen dute, eta batek ere ez du aldatzen tunel horrek zenbat ondo enkriptatzen duen. Salbuespen-zerrenda zabala duen fail-closed politika batek fail-open politika batek baino gehiago isur dezake bulego-sarea inoiz uzten ez duen gailu batean. Aukeratu trafikoaren jabea den pertsonari azal diezaiokezun emaitza.
Etiketak emaitza deskribatzen du, ez indarra
Hiztegia kontrol-sistematik dator: fail-open-ek funtzionamendua baimentzen du osagai batek huts egiten duenean, fail-closed-ek ukatzen du. VPN bati aplikatuta, hutsegiten duen osagaia tunela da, eta galdera trafikoak beste bide batetik jarraitzea baimentzen den da. Zifraren hautaketa, gakoaren luzera eta protokoloa erabaki bereiziak dira.
Nahasketa irauten du kill switch-ak segurtasun-ezaugarri bat bezala egiten duelako eta saltzaileek hala merkaturatzen dutelako. Mekanikoki tunelak eraman behar zuen trafikoa blokeatzen duen bideratze- eta suebaki-araua da, bezeroan, sistema eragilean edo atebidean inplementatua. Nola betetzen duen geruzak haren estaldura ere zehazten du, eta geruza bateko arauak ez du bestea estaltzen. Atebideko arauak ezin du jada beste sare batera joan den ordenagailu eramangarria babestu.
Nolakoa da emaitza bakoitza
Politika berak oso desberdin joka dezake topatzen duzun hutsegitearen arabera, beraz konparatu gertaerak, ez etiketak.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Azken errenkada kill switch-a etengailu bakarra dela uste dutenei heltzen diena da. IPv4 bideratze-taularentzat idatzitako arauak IPv6 bide lehenetsia ukitu gabe uzten du, eta aplikazioak pozik erabil dezake.
Esparruak erabakitzen du isurtzen duen
Galdetu politikoak zer estaltzen duen, zein modu den galdetu aurretik. Aplikazio bakoitzeko arauak aplikazio bat babesten du eta besterik ez, gailu osorako arauak salbuespenak ezik dena babesten du, eta atebideko arauak atebide horretara iristen den trafikoa baino ez du babesten. DNS-k bere erabakia behar du, tokiko ebazpenera bidalitako kontsulta batek izenak agerra dezakeelako karga blokeatuta dagoenean ere.
Sare lokaleko salbuespenak inprimagailuetarako, islapenerako eta sarbide-portaletarako daude, eta bakoitza blokeoan zulo bat da. Dokumentatu itzazu politikaren ondoan, konfigurazioa oinordetzen duenak bestela fail-closed absolututzat irakurriko baitu.
Birkonektatzea eta blokeatzea ere kontrol bereiziak dira. Bezeroak automatikoki birkonekta daiteke inoiz blokeatu gabe, edo blokeatu birkonektatu gabe, eta konbinazioak zehazten du erabiltzaileak etenaldi batean zer bizi duen.
Frogatu trantsizio batean
Egoera egonkorra probatzeak ez du ezer frogatzen. Bota tunela nahita eta probatu babestuta egon behar duen aplikazioa, gero egiaztatu sarea iritsi duen. Konparatu bezeroaren adierazlea emaitzarekin, oraindik konektatuta dioen adierazlea politikak horretarako duen kasua baita. Babestutako aplikazioak lortzen badu, moduaren izenak ez du axola; isuria duzu.
Errepikatu abio hotzetik saioa hasi aurretik, Wi-Fi-tik mugikorrera aldatzean eta babestutako aplikazioa atzeko planoan duela. Blokeoa bezeroaren prozesuak betetzen badu, probatu ere zer gertatzen den prozesu hori hiltzen denean, garbi ixten denean baino.
Azkenik, aztertu garbiketa-bidea. Bezero bat desinstalatzen bada bere arauak aktibo daudela, erabili saltzailearen dokumentatutako kentze-prozedura, sistema eragilearen suebakia desaktibatu ordez, horrek erlaziorik gabeko babesa kentzen baitu geratzen den arauaren jabea nor den erantzun gabe.