Fail-open vai fail-closed: mitä VPN:n turvakytkin päättää
Molemmat termit kuvaavat, mitä tapahtuu kun tunneli on poissa, ei sitä miten vahva salaus on. Valittu laajuus ratkaisee vuotaako liikenne todella.
Myytti on, että fail-closed on turvallinen asetus ja fail-open huolimaton. Molemmat kuvaavat, mitä liikenteelle tapahtuu kun tunneli on poissa, eikä kumpikaan muuta sitä, miten hyvin tunneli salaa. Fail-closed-käytäntö pitkällä poikkeusluettelolla voi vuotaa enemmän kuin fail-open-käytäntö laitteessa, joka ei koskaan poistu toimiston verkosta. Valitse lopputulos, jonka voit selittää liikenteen omistavalle henkilölle.
Nimike kuvaa lopputulosta, ei vahvuutta
Sanasto tulee ohjausjärjestelmistä: fail-open sallii toiminnan, kun komponentti pettää, fail-closed kieltää sen. VPN:ään sovellettuna pettävä komponentti on tunneli, ja kysymys on, sallitaanko liikenteen jatkua jotain muuta reittiä. Salauksen valinta, avaimen pituus ja protokolla ovat erillisiä päätöksiä.
Sekaannus säilyy, koska turvakytkin kuulostaa turvaominaisuudelta ja myyjät markkinoivat sitä sellaisena. Mekaanisesti se on reititys- ja palomuurisääntö, joka estää liikenteen, joka tunnelin oli tarkoitus kuljettaa, toteutettuna asiakasohjelmassa, käyttöjärjestelmässä tai yhdyskäytävässä. Se kerros, joka sen toteuttaa, määrittää myös sen kattavuuden, eikä yhden kerroksen sääntö kata toista. Yhdyskäytävän sääntö ei voi suojata kannettavaa, joka on jo siirtynyt toiseen verkkoon.
Miltä kukin lopputulos näyttää
Sama käytäntö voi käyttäytyä hyvin eri tavoin riippuen siitä, mihin vikaan törmäät, joten vertaa tapahtumia älä nimikkeitä.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Viimeinen rivi nappaa ne, jotka olettavat turvakytkimen olevan yksi kytkin. IPv4-reititystaululle kirjoitettu sääntö jättää IPv6-oletusreitin koskemattomaksi, ja sovellus voi käyttää sitä aivan hyvin.
Laajuus ratkaisee vuotaako se
Kysy, mitä käytäntö kattaa, ennen kuin kysyt mikä tila se on. Sovelluskohtainen sääntö suojaa yhtä sovellusta eikä mitään muuta, laitekohtainen sääntö suojaa kaiken paitsi poikkeukset, ja yhdyskäytävän sääntö suojaa vain liikennettä, joka saavuttaa kyseisen yhdyskäytävän. DNS tarvitsee oman päätöksensä, koska paikalliselle selvittäjälle lähetetty kysely voi paljastaa nimiä, vaikka hyötykuorma olisi estetty.
Paikallisverkon poikkeukset ovat tulostimia, näytön jakoa ja kirjautumisportaaleja varten, ja jokainen niistä on reikä estossa. Dokumentoi ne käytännön viereen, sillä muuten asetukset perivä henkilö lukee fail-closedin ehdottomana.
Uudelleenyhdistäminen ja estäminen ovat myös erillisiä ohjaimia. Asiakasohjelma voi yhdistää automaattisesti koskaan estämättä tai estää yhdistämättä, ja yhdistelmä määrää, mitä käyttäjä kokee katkoksen aikana.
Todista se siirtymän aikana
Vakauden testaaminen ei todista mitään. Pudota tunneli tarkoituksella ja kokeile sovellusta, jonka pitäisi olla suojattu, ja tarkista sitten, saavuttiko se verkon. Vertaa asiakasohjelman ilmaisinta tulokseen, sillä ilmaisin, joka sanoo yhä yhdistetty, on juuri se tapaus, jota varten käytäntö on olemassa. Jos suojattu sovellus onnistuu, tilan nimellä ei ole väliä; sinulla on vuoto.
Toista kylmäkäynnistyksestä ennen kirjautumista, siirtyessä Wi-Fistä mobiiliverkkoon ja suojatun sovelluksen ollessa taustalla. Jos asiakasohjelman prosessi toteuttaa eston, testaa myös mitä tapahtuu, kun prosessi tapetaan sen sijaan että se suljettaisiin siististi.
Tarkista lopuksi siivouspolku. Jos asiakasohjelma poistetaan sen sääntöjen ollessa aktiivisia, käytä myyjän dokumentoitua poistomenettelyä äläkä kytke käyttöjärjestelmän palomuuria pois, mikä poistaa asiaankuulumatonta suojausta vastaamatta siihen, kenelle jäljelle jäänyt sääntö kuuluu.