Fail-open, թե fail-closed՝ ինչ է որոշում VPN-ի անվտանգության անջատիչը
Երկու տերմիններն էլ նկարագրում են, թե ինչ է լինում, երբ թունելն անհետանում է, ոչ թե որքան ուժեղ է գաղտնագրումը։ Ձեր ընտրած ծածկույթն է որոշում՝ արդյոք երթևեկությունն իսկապես արտահոսում է։
Առասպելն այն է, թե fail-closed-ը անվտանգ կարգավորումն է, իսկ fail-open-ը՝ անփույթը։ Երկուսն էլ նկարագրում են, թե ինչ է պատահում երթևեկությանը թունելի անհետանալուց հետո, և ոչ մեկը չի փոխում, թե որքան լավ է այդ թունելը գաղտնագրում։ Լայն բացառությունների ցանկով fail-closed քաղաքականությունը կարող է ավելի շատ արտահոսել, քան fail-open քաղաքականությունը սարքում, որը երբեք չի լքում գրասենյակի ցանցը։ Ընտրեք այն արդյունքը, որը կարող եք բացատրել երթևեկության տիրոջը։
Պիտակը նկարագրում է արդյունք, ոչ թե ուժ
Բառապաշարը գալիս է կառավարման համակարգերից՝ fail-open-ը թույլ է տալիս աշխատանքը, երբ բաղադրիչը խափանվում է, fail-closed-ը՝ մերժում։ VPN-ի դեպքում խափանվող բաղադրիչը թունելն է, և հարցն այն է՝ թույլատրվու՞մ է երթևեկությանը շարունակել այլ ուղով։ Ծածկագրի ընտրությունը, բանալու երկարությունը և արձանագրությունը առանձին որոշումներ են։
Խառնաշփոթը պահպանվում է, որովհետև անջատիչը հնչում է որպես անվտանգության գործառույթ, և վաճառողները այն այդպես են գովազդում։ Մեխանիկորեն սա երթուղայնության և հրապատի կանոն է, որը արգելափակում է թունելին նախատեսված երթևեկությունը՝ ներդրված հաճախորդում, օպերացիոն համակարգում կամ դարպասում։ Որ շերտն է այն կիրառում, այն նաև սահմանում է դրա ծածկույթը, և մի շերտի կանոնը չի ծածկում մյուսը։ Դարպասի կանոնը չի կարող պաշտպանել նոթբուքը, որն արդեն տեղափոխվել է այլ ցանց։
Ինչպիսին է յուրաքանչյուր արդյունքը
Նույն քաղաքականությունը կարող է շատ տարբեր վարվել՝ կախված նրանից, թե որ խափանմանն եք հանդիպում, ուստի համեմատեք իրադարձությունները, ոչ թե պիտակները։
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Վերջին տողը հենց այն է, որը բռնում է նրանց, ովքեր կարծում են, թե անջատիչը մեկ միակ անջատիչ է։ IPv4-ի երթուղային աղյուսակի համար գրված կանոնը անձեռնմխելի է թողնում IPv6-ի լռելյայն ուղին, և հավելվածը կարող է ուրախ օգտագործել այն։
Ծածկույթն է որոշում՝ արտահոսու՞մ է
Նախ հարցրեք, թե ինչ է ծածկում քաղաքականությունը, հետո՝ որ ռեժիմն է։ Մեկ հավելվածի կանոնը պաշտպանում է մեկ հավելված և ոչինչ ավելին, սարքի ամբողջ ծավալով կանոնը պաշտպանում է ամեն ինչ, բացի բացառություններից, իսկ դարպասի կանոնը՝ միայն այն երթևեկությունը, որը հասնում է այդ դարպասին։ DNS-ը պահանջում է իր որոշումը, քանի որ տեղական լուծիչին ուղարկված հարցումը կարող է բացահայտել անուններ նույնիսկ երբ բովանդակությունը արգելափակված է։
Տեղական ցանցի բացառությունները կան տպիչների, էկրանի փոխանցման և մուտքի պորտալների համար, և յուրաքանչյուրը անցք է արգելափակման մեջ։ Փաստաթղթավորեք դրանք քաղաքականության կողքին, որովհետև կարգավորումը ժառանգողը հակառակ դեպքում fail-closed-ը կկարդա որպես բացարձակ։
Վերակապակցումը և արգելափակումը նույնպես առանձին կառավարիչներ են։ Հաճախորդը կարող է ավտոմատ վերակապակցվել՝ երբեք չարգելափակելով, կամ արգելափակել առանց վերակապակցման, և համադրությունն է որոշում, թե ինչ է զգում օգտատերը ընդհատման ընթացքում։
Ապացուցեք անցման պահին
Կայուն վիճակի փորձարկումը ոչինչ չի ապացուցում։ Դիտավորյալ գցեք թունելը և փորձեք այն հավելվածը, որը պետք է պաշտպանված լինի, ապա ստուգեք՝ հասե՞լ է ցանցին։ Համեմատեք հաճախորդի ցուցիչը արդյունքի հետ, որովհետև ցուցիչը, որը դեռ ասում է միացված, հենց այն դեպքն է, որի համար գոյություն ունի քաղաքականությունը։ Եթե պաշտպանված հավելվածը հաջողում է, ռեժիմի անունը նշանակություն չունի՝ դուք արտահոսք ունեք։
Կրկնեք սառը մեկնարկից մուտք գործելուց առաջ, Wi-Fi-ից բջջային ցանց անցնելիս և պաշտպանված հավելվածը ֆոնում պահելով։ Եթե արգելափակումը կիրառում է հաճախորդի գործընթացը, փորձարկեք նաև, թե ինչ է լինում, երբ այդ գործընթացը սպանվում է, այլ ոչ թե մաքուր փակվում։
Վերջապես ստուգեք մաքրման ուղին։ Եթե հաճախորդը հեռացվում է, երբ նրա կանոնները ակտիվ են, օգտագործեք վաճառողի փաստաթղթավորված հեռացման ընթացակարգը՝ օպերացիոն համակարգի հրապատն անջատելու փոխարեն, ինչը հեռացնում է անկապ պաշտպանություն՝ չպատասխանելով, թե ում է պատկանում մնացած կանոնը։