Fail-open atau fail-closed: apa yang ditentukan kill switch VPN
Kedua istilah menggambarkan apa yang terjadi saat terowongan hilang, bukan seberapa kuat enkripsinya. Cakupan yang Anda pilih yang menentukan apakah lalu lintas benar-benar bocor.
Mitosnya adalah fail-closed adalah pengaturan yang aman dan fail-open yang sembarangan. Keduanya menggambarkan apa yang terjadi pada lalu lintas setelah terowongan hilang, dan tidak satu pun mengubah seberapa baik terowongan itu mengenkripsi. Kebijakan fail-closed dengan daftar pengecualian panjang bisa bocor lebih banyak daripada kebijakan fail-open pada perangkat yang tidak pernah meninggalkan jaringan kantor. Pilih hasil yang bisa Anda jelaskan kepada pemilik lalu lintas.
Label menggambarkan hasil, bukan kekuatan
Kosakata ini berasal dari sistem kendali: fail-open mengizinkan operasi saat komponen gagal, fail-closed menolaknya. Diterapkan pada VPN, komponen yang gagal adalah terowongan, dan pertanyaannya adalah apakah lalu lintas diizinkan berlanjut lewat jalur lain. Pilihan cipher, panjang kunci, dan protokol adalah keputusan terpisah.
Kebingungan bertahan karena kill switch terdengar seperti fitur keamanan, dan vendor memasarkannya seperti itu. Secara mekanis ini adalah aturan perutean dan firewall yang memblokir lalu lintas yang seharusnya dibawa terowongan, diterapkan di klien, di sistem operasi, atau di gateway. Lapisan yang menegakkannya juga menentukan cakupannya, dan aturan di satu lapisan tidak mencakup lapisan lain. Aturan di gateway tidak dapat melindungi laptop yang sudah pindah ke jaringan lain.
Seperti apa setiap hasil
Kebijakan yang sama dapat berperilaku sangat berbeda tergantung kegagalan yang Anda temui, jadi bandingkan peristiwanya, bukan labelnya.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Baris terakhir adalah yang menangkap mereka yang menganggap kill switch adalah satu sakelar. Aturan yang ditulis untuk tabel rute IPv4 membiarkan rute default IPv6 tidak tersentuh, dan aplikasi bisa dengan senang hati memakainya.
Cakupan menentukan apakah bocor
Tanyakan apa yang dicakup kebijakan sebelum bertanya mode apa itu. Aturan per aplikasi melindungi satu aplikasi dan tidak lebih, aturan seluruh perangkat melindungi semuanya kecuali pengecualian, dan aturan gateway hanya melindungi lalu lintas yang mencapai gateway itu. DNS membutuhkan keputusannya sendiri, karena kueri yang dikirim ke resolver lokal dapat mengungkap nama bahkan saat muatannya diblokir.
Pengecualian jaringan lokal ada untuk printer, casting, dan portal captive, dan masing-masing adalah lubang dalam blokir. Dokumentasikan di samping kebijakan, karena orang yang mewarisi konfigurasi akan membaca fail-closed sebagai mutlak jika tidak.
Menyambung ulang dan memblokir juga kontrol terpisah. Klien dapat menyambung ulang secara otomatis tanpa pernah memblokir, atau memblokir tanpa menyambung ulang, dan kombinasinya menentukan apa yang dialami pengguna selama gangguan.
Buktikan saat transisi
Menguji kondisi tunak tidak membuktikan apa pun. Jatuhkan terowongan dengan sengaja dan coba aplikasi yang seharusnya dilindungi, lalu periksa apakah ia mencapai jaringan. Bandingkan indikator klien dengan hasilnya, karena indikator yang masih mengatakan terhubung justru kasus yang menjadi alasan kebijakan itu ada. Jika aplikasi yang dilindungi berhasil, nama mode tidak penting; Anda mengalami kebocoran.
Ulangi dari boot dingin sebelum masuk, saat berpindah dari Wi-Fi ke jaringan seluler, dan dengan aplikasi yang dilindungi di latar belakang. Jika blokir ditegakkan oleh proses klien, uji juga apa yang terjadi saat proses itu dibunuh alih-alih ditutup dengan bersih.
Terakhir, periksa jalur pembersihan. Jika klien dihapus saat aturannya aktif, gunakan prosedur penghapusan terdokumentasi dari vendor alih-alih mematikan firewall sistem operasi, yang menghapus perlindungan tak terkait tanpa menjawab siapa pemilik aturan yang tersisa.