Fail-open eða fail-closed: hvað ræður neyðarrofi VPN
Bæði hugtökin lýsa því hvað gerist þegar göngin eru farin, ekki hversu sterk dulkóðunin er. Umfangið sem þú velur ræður því hvort umferð lekur í raun.
Goðsögnin er að fail-closed sé örugga stillingin og fail-open sé kæruleysislega. Bæði lýsa því hvað gerist með umferðina þegar göngin eru farin, og hvorugt breytir því hversu vel þau göng dulkóða. Fail-closed stefna með löngum undantekningalista getur lekið meira en fail-open stefna á tæki sem yfirgefur aldrei skrifstofunetið. Veldu útkomuna sem þú getur útskýrt fyrir þeim sem á umferðina.
Merkið lýsir útkomu, ekki styrk
Orðaforðinn kemur frá stjórnkerfum: fail-open leyfir starfsemi þegar hluti bregst, fail-closed synjar henni. Beitt á VPN er hluturinn sem bregst göngin, og spurningin er hvort umferðinni sé leyft að halda áfram eftir annarri leið. Val dulritunar, lengd lykils og prótókoll eru aðskildar ákvarðanir.
Ruglingin heldur sér því neyðarrof hljómar eins og öryggiseiginleiki, og seljendur markaðssetja það þannig. Vélrænt er það leiðar- og eldveggjarregla sem lokar á umferð sem göngunum átti að flytja, útfærð í biðlarans, í stýrikerfinu eða á gáttinni. Hvaða lag sem framfylgir henni skilgreinir líka umfang hennar, og regla í einu lagi nær ekki yfir annað. Regla á gátt getur ekki varið fartölvu sem er þegar flutt á annað net.
Hvernig hver útkoma lítur út
Sama stefnan getur hagað sér mjög mismunandi eftir því hvaða bilun þú lendir í, svo bera saman atburðina frekar en merkimiðana.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Síðasta röðin er sú sem grípur þá sem gera ráð fyrir að neyðarrof sé einn rofi. Regla skrifuð fyrir IPv4-leiðatöfluna lætur sjálfgefna IPv6-leið ósnerta, og forritið getur notað hana af bestu lyst.
Umfangið ræður því hvort lekur
Spyrðu hvað stefnan nær yfir áður en þú spyrð hvaða stilling þetta er. Regla fyrir hvert forrit verndar eitt forrit og ekkert annað, regla fyrir allt tækið verndar allt nema undantekningarnar, og regla á gátt verndar aðeins umferð sem nær til þeirrar gáttar. DNS þarf sína eigin ákvörðun, því fyrirspurn sem send er til staðbundins leysanda getur opinberað nöfn jafnvel þótt farmurinn sé lokaður.
Undantekningar fyrir staðarnetið eru til fyrir prentara, skjávarpa og innskráningargáttir, og hver þeirra er gat á lokinu. Skjalfestu þær við hlið stefnunnar, því sá sem erfir stillingarnar mun annars lesa fail-closed sem algildi.
Endurtenging og lokun eru líka aðskildar stýringar. Biðlari getur endurtengst sjálfkrafa án þess að loka nokkurn tíma, eða lokað án endurtengingar, og samsetningin ræður því hvað notandinn upplifir meðan á truflun stendur.
Sannaðu það í umskiptum
Að prófa stöðuga stöðu sannar ekkert. Láttu göngin falla viljandi og prófaðu forritið sem á að vera varið, og athugaðu svo hvort það náði netinu. Berðu saman vísinn í biðlaranum og niðurstöðuna, því vísir sem segir enn tengdur er einmitt tilfellið sem stefnan er til fyrir. Ef varið forrit gengur upp skiptir nafn stillingarinnar engu máli; þú ert með leka.
Endurtaktu frá kaldri ræsingu fyrir innskráningu, við skipti frá Wi-Fi yfir á farsímanet og með varið forrit í bakgrunni. Ef ferli biðlarans framfylgir lokinu skaltu líka prófa hvað gerist þegar það ferli er drepið í stað þess að loka því snyrtilega.
Að lokum skaltu athuga hreinsunarbrautina. Ef biðlara er eytt á meðan reglur hans eru virkar skaltu nota skjalfesta fjarlægingarferli seljandans í stað þess að slökkva á eldvegg stýrikerfisins, sem fjarlægir ótengda vernd án þess að svara því hver á regluna sem eftir er.