Fail-open of fail-closed: wat in VPN-killswitch beslút
Beide termen beskriuwe wat der bart as de tunnel fuort is, net hoe sterk de fersifering is. It berik dat jo kieze beslútet oft ferkear echt lekt.
De myte is dat fail-closed de feilige ynstelling is en fail-open de sleurige. Beide beskriuwe wat der mei ferkear bart sadree't de tunnel fuort is, en gjin fan beide feroaret hoe goed dy tunnel fersiferet. In fail-closed-belied mei in lange list útsûnderingen kin mear lekke as in fail-open-belied op in apparaat dat nea it kantoarnetwurk ferlit. Kies de útkomst dy't jo oan de persoan dy't it ferkear besit, útlizze kinne.
It label beskriuwt in útkomst, gjin sterkte
De wurdskat komt út bestjoeringssystemen: fail-open lit wurking ta as in komponint falt, fail-closed wegeret it. Tapast op in VPN is de fallende komponint de tunnel, en de fraach is oft it ferkear troch in oare wei trochgean mei. De kar fan sifer, kaailange en protokol binne aparte besluten.
De betizing bliuwt omdat in killswitch klinkt as in feiligensfunksje, en ferkeapers marketearje it as sadanich. Meganysk is it in rûtele- en brânmuorre-regel dy't ferkear blokkearret dat de tunnel drage soe, ymplementearre yn 'e klant, yn it bestjoeringssysteem of op 'e gateway. Hokker laach it ek hanthavent, bepaalt ek de dekking, en in regel yn ien laach dekt in oare net. In gateway-regel kin in laptop net beskermje dy't al nei in oar netwurk ferhuze is.
Hoe elke útkomst derút sjocht
Itselde belied kin him tige oars hâlde ôfhinklik fan hokker flater jo treffe, dus fergelykje de barrens ynstee fan 'e labels.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
De lêste rige is dejinge dy't minsken fangt dy't oannimme dat in killswitch ien inkelde skeakel is. In regel skreaun foar de IPv4-rûtekaart lit de standertrûte IPv6 ûnoantaaste, en de applikaasje kin it mei nocht brûke.
It berik beslútet oft it lekt
Freegje wat it belied dekt foardat jo freegje hokker modus it is. In regel per applikaasje beskermet ien app en neat oars, in regel foar it hiele apparaat beskermet alles útsein de útsûnderingen, en in gateway-regel beskermet allinnich ferkear dat dy gateway berikt. DNS hat syn eigen beslút nedich, want in fraach nei in lokale oplosser kin nammen iepenbierje sels as de lading blokkearre is.
Útsûnderingen foar it lokale netwurk besteane foar printers, casting en captive portals, en elk is in gat yn 'e blokkade. Dokumintearje se neist it belied, want de persoan dy't de konfiguraasje erft, sil fail-closed oars as absolút lêze.
Op 'e nij ferbinen en blokkearjen binne ek aparte kontrôles. In klant kin automatysk op 'e nij ferbine sûnder ea te blokkearjen, of blokkearje sûnder op 'e nij te ferbinen, en de kombinaasje bepaalt wat in brûker ûnder in steuring belibbet.
Bewiis it by in oergong
It testen fan 'e stive tastân bewiist neat. Lit de tunnel mei opsetsin falle en probearje de applikaasje dy't beskerme wurde moat, kontrolearje dan oft it it netwurk berikt hat. Fergelykje de yndikator fan 'e klant mei it resultaat, want in yndikator dy't noch ferbûn seit is krekt it gefal dêr't it belied foar bestiet. As de beskerme applikaasje slagget, docht de namme fan 'e modus der net ta; jo hawwe in lek.
Werhelje it fan in kâlde opstart foar it oanmelden, by in oergong fan Wi-Fi nei mobyl netwurk en mei de beskerme app op 'e eftergrûn. As de blokkade troch it klantproses útfierd wurdt, test dan ek wat der bart as dat proses deasketten wurdt ynstee fan skjin sluten.
Kontrolearje úteinlik it skjinmeitsjen. As in klant de-ynstallearre wurdt wylst syn regels aktyf binne, brûk dan de dokumintearre ferwideringsproseduere fan 'e ferkeaper ynstee fan de brânmuorre fan it bestjoeringssysteem út te skeakeljen, dy't ûnbesibbe beskerming fuorthellet sûnder te antwurdzjen wa't de oerbliuwende regel hat.