Fail-open ou fail-closed: que decide un interruptor de seguridade da VPN
Ambos os termos describen que ocorre cando o túnel xa non está, non o forte que é o cifrado. O alcance que escollas decide se o tráfico realmente se filtra.
O mito é que fail-closed é a configuración segura e fail-open a descoidada. Ambos describen que ocorre co tráfico unha vez que o túnel desaparece, e ningún cambia o ben que cifra ese túnel. Unha política fail-closed cunha lista ampla de excepcións pode filtrar máis que unha política fail-open nun dispositivo que nunca sae da rede da oficina. Escolle o resultado que poidas explicar á persoa que é dona do tráfico.
A etiqueta describe un resultado, non unha forza
O vocabulario vén dos sistemas de control: fail-open permite a operación cando un compoñente falla, fail-closed négaa. Aplicado a unha VPN, o compoñente que falla é o túnel, e a pregunta é se se permite que o tráfico continúe por outra ruta. A elección do cifrado, a lonxitude da clave e o protocolo son decisións separadas.
A confusión persiste porque un interruptor de seguridade soa a función de seguridade, e os provedores véndeno como tal. Mecanicamente é unha regra de encamiñamento e cortafuegos que bloquea o tráfico que o túnel debía levar, implementada no cliente, no sistema operativo ou na pasarela. A capa que a aplica tamén define a súa cobertura, e unha regra nunha capa non cobre outra. Unha regra na pasarela non pode protexer un portátil que xa se moveu a outra rede.
Como se ve cada resultado
A mesma política pode comportarse de forma moi distinta segundo o fallo co que te encontres, así que compara os eventos en lugar das etiquetas.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
A última fila é a que atrapa a quen supón que un interruptor de seguridade é un só conmutador. Unha regra escrita para a táboa de rutas IPv4 deixa intacta a ruta predeterminada IPv6, e a aplicación pode usala moi tranquila.
O alcance decide se hai fuga
Pregunta que cobre a política antes de preguntar que modo é. Unha regra por aplicación protexe unha app e nada máis, unha regra para todo o dispositivo protexe todo agás as excepcións, e unha regra na pasarela só protexe o tráfico que chega a esa pasarela. O DNS necesita a súa propia decisión, porque unha consulta enviada a un resolutor local pode revelar nomes mesmo cando a carga útil está bloqueada.
As excepcións de rede local existen para impresoras, transmisión de pantalla e portais cativos, e cada unha é un burato no bloqueo. Documéntaas xunto á política, porque quen herde a configuración lerá fail-closed como absoluto se non.
Reconectar e bloquear tamén son controis separados. Un cliente pode reconectarse automaticamente sen bloquear nunca, ou bloquear sen reconectarse, e a combinación determina que experimenta un usuario durante unha interrupción.
Demostrao durante unha transición
Probar o estado estable non demostra nada. Tira o túnel a propósito e proba a aplicación que debería estar protexida, e despois comproba se chegou á rede. Compara o indicador do cliente co resultado, porque un indicador que segue dicindo conectado é xusto o caso para o que existe a política. Se a aplicación protexida o consegue, o nome do modo dá igual; tes unha fuga.
Repíteo desde un arranque en frío antes de iniciar sesión, nun cambio de Wi-Fi a rede móbil e coa app protexida en segundo plano. Se o bloqueo o aplica o proceso do cliente, proba tamén que ocorre cando ese proceso se mata en lugar de pecharse limpiamente.
Por último, revisa a ruta de limpeza. Se se desinstala un cliente mentres as súas regras están activas, usa o procedemento de eliminación documentado polo provedor en lugar de desactivar o cortafuegos do sistema operativo, que retira protección non relacionada sen responder a quen pertence a regra restante.