Fail-open vagy fail-closed: mit dönt el egy VPN-kill switch
Mindkét kifejezés azt írja le, mi történik, amikor az alagút nincs, nem azt, milyen erős a titkosítás. A választott hatókör dönti el, hogy a forgalom valóban szivárog-e.
A mítosz szerint a fail-closed a biztonságos beállítás, a fail-open pedig a hanyag. Mindkettő azt írja le, mi történik a forgalommal, miután az alagút eltűnt, és egyik sem változtatja meg, milyen jól titkosít az az alagút. Egy hosszú kivétellistával rendelkező fail-closed szabályzat többet szivárogtathat, mint egy fail-open szabályzat egy olyan eszközön, amely soha nem hagyja el az irodai hálózatot. Válassza azt az eredményt, amelyet el tud magyarázni a forgalom tulajdonosának.
A címke eredményt ír le, nem erősséget
A szókincs vezérlőrendszerekből származik: a fail-open engedélyezi a működést, amikor egy komponens meghibásodik, a fail-closed megtagadja. VPN-re alkalmazva a meghibásodó komponens az alagút, és a kérdés az, hogy a forgalom továbbhaladhat-e más útvonalon. A titkosítás választása, a kulcshossz és a protokoll külön döntések.
A zavar azért marad fenn, mert a kill switch biztonsági funkciónak hangzik, és a szállítók annak is marketingelik. Mechanikailag ez egy útvonalválasztási és tűzfal-szabály, amely blokkolja az alagútnak szánt forgalmat, a kliensben, az operációs rendszerben vagy az átjárón megvalósítva. Amelyik réteg érvényesíti, az határozza meg a lefedettségét is, és az egyik réteg szabálya nem fedi a másikat. Az átjárón lévő szabály nem tud megvédeni egy laptopot, amely már másik hálózatra lépett.
Hogyan néz ki az egyes eredmények
Ugyanaz a szabályzat nagyon eltérően viselkedhet attól függően, milyen hibába fut, ezért a címkék helyett az eseményeket hasonlítsa össze.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Az utolsó sor az, amely elkapja azokat, akik azt hiszik, a kill switch egyetlen kapcsoló. Az IPv4-es útválasztási táblához írt szabály érintetlenül hagyja az IPv6-os alapértelmezett útvonalat, és az alkalmazás nyugodtan használhatja.
A hatókör dönti el, szivárog-e
Kérdezze meg, mit fed le a szabályzat, mielőtt azt kérdezné, melyik mód ez. Az alkalmazásonkénti szabály egy alkalmazást véd és semmi mást, az eszközszintű szabály mindent a kivételeken kívül, az átjárón lévő szabály pedig csak az átjáróhoz érkező forgalmat védi. A DNS-nek saját döntés kell, mert a helyi feloldóhoz küldött lekérdezés akkor is felfedhet neveket, amikor a hasznos teher blokkolva van.
A helyi hálózati kivételek nyomtatók, képernyőmegosztás és bejelentkező portálok miatt léteznek, és mindegyik lyuk a blokkoláson. Dokumentálja őket a szabályzat mellett, mert aki örökli a konfigurációt, különben abszolútként olvassa a fail-closedot.
Az újracsatlakozás és a blokkolás szintén külön vezérlők. A kliens automatikusan újracsatlakozhat anélkül, hogy valaha blokkolna, vagy blokkolhat újracsatlakozás nélkül, és a kombináció határozza meg, mit tapasztal a felhasználó egy kimaradás alatt.
Bizonyítsa átmenet közben
Az állandósult állapot tesztelése semmit sem bizonyít. Szakítsa meg szándékosan az alagutat, és próbálja ki az alkalmazást, amelynek védettnek kellene lennie, majd ellenőrizze, elérte-e a hálózatot. Hasonlítsa össze a kliens jelzőjét az eredménnyel, mert a jelző, amely még mindig kapcsolódva állít, pontosan az az eset, amelyre a szabályzat létezik. Ha a védett alkalmazás sikerrel jár, a mód neve nem számít; szivárgása van.
Ismételje meg hideg indításból bejelentkezés előtt, Wi-Fi-ről mobilhálózatra váltáskor és a védett alkalmazással a háttérben. Ha a blokkolást a kliens folyamata érvényesíti, tesztelje azt is, mi történik, amikor azt a folyamatot leállítják, nem pedig tisztán bezárják.
Végül ellenőrizze a tisztítási útvonalat. Ha egy klienst a szabályai aktív állapotában távolítanak el, használja a szállító dokumentált eltávolítási eljárását ahelyett, hogy kikapcsolná az operációs rendszer tűzfalát, amely a maradék szabály tulajdonosának kérdését megválaszolatlanul hagyva távolít el független védelmet.