Fail-open თუ fail-closed: რას წყვეტს VPN-ის დაცვის ჩამრთველი
ორივე ტერმინი აღწერს, რა ხდება გვირაბის გაქრობის შემდეგ და არა რამდენად ძლიერია დაშიფვრა. თქვენ მიერ არჩეული მოცვა წყვეტს, ნამდვილად ჟონავს თუ არა ტრაფიკი.
მითი ისაა, რომ fail-closed უსაფრთხო პარამეტრია, ხოლო fail-open — უყურადღებო. ორივე აღწერს, რა ხდება ტრაფიკთან გვირაბის გაქრობის შემდეგ და არც ერთი არ ცვლის, რამდენად კარგად შიფრავს ეს გვირაბი. ფართო გამონაკლისების სიის მქონე fail-closed პოლიტიკამ შეიძლება უფრო მეტი გაჟონოს, ვიდრე fail-open პოლიტიკამ მოწყობილობაზე, რომელიც არასდროს ტოვებს ოფისის ქსელს. აირჩიეთ ის შედეგი, რომელსაც ტრაფიკის მფლობელს აუხსნით.
იარლიყი აღწერს შედეგს და არა ძალას
ლექსიკა მართვის სისტემებიდან მოდის: fail-open რთავს მუშაობას, როცა კომპონენტი ფუჭდება, fail-closed უარყოფს მას. VPN-ზე გამოყენებისას ფუჭდებადი კომპონენტი გვირაბია და კითხვა ისაა, ეძლევა თუ არა ტრაფიკს სხვა გზით გაგრძელების უფლება. შიფრის არჩევანი, გასაღების სიგრძე და პროტოკოლი ცალკეული გადაწყვეტილებებია.
დაბნეულობა რჩება, რადგან ჩამრთველი უსაფრთხოების ფუნქციად ჟღერს და გამყიდველები ასეც ყიდიან. მექანიკურად ეს არის მარშრუტიზაციისა და ფაირვოლის წესი, რომელიც ბლოკავს იმ ტრაფიკს, რომელიც გვირაბს უნდა გადაეტანა, დანერგილი კლიენტში, ოპერაციულ სისტემაში ან კარიბჭეზე. რომელი ფენა ამკვიდრებს მას, ის განსაზღვრავს მის მოცვასაც და ერთი ფენის წესი მეორეს არ ფარავს. კარიბჭის წესი ვერ დაიცავს ლეპტოპს, რომელიც უკვე სხვა ქსელში გადავიდა.
როგორ გამოიყურება თითოეული შედეგი
ერთი და იგივე პოლიტიკა შეიძლება ძალიან განსხვავებულად მოიქცეს იმის მიხედვით, რომელ ხარვეზს წააწყდებით, ამიტომ შეადარეთ მოვლენები და არა იარლიყები.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
ბოლო სტრიქონია ის, რომელიც იჭერს მათ, ვინც ფიქრობს, რომ ჩამრთველი ერთი გადამრთველია. IPv4-ის მარშრუტების ცხრილისთვის დაწერილი წესი IPv6-ის ნაგულისხმევ მარშრუტს ხელუხლებლად ტოვებს და აპლიკაციას შეუძლია სიამოვნებით გამოიყენოს ის.
მოცვა წყვეტს, ჟონავს თუ არა
იკითხეთ, რას ფარავს პოლიტიკა, სანამ იკითხავთ, რომელი რეჟიმია. ერთი აპლიკაციის წესი იცავს ერთ აპლიკაციას და სხვა არაფერს, მოწყობილობის მთლიანი წესი იცავს ყველაფერს გამონაკლისების გარდა, ხოლო კარიბჭის წესი — მხოლოდ იმ ტრაფიკს, რომელიც ამ კარიბჭეს აღწევს. DNS-ს საკუთარი გადაწყვეტილება სჭირდება, რადგან ლოკალურ გამხსნელთან გაგზავნილმა მოთხოვნამ შეიძლება სახელები გაამჟღავნოს მაშინაც, როცა დატვირთვა დაბლოკილია.
ლოკალური ქსელის გამონაკლისები არსებობს პრინტერების, ეკრანის გადაცემისა და შესვლის პორტალებისთვის და თითოეული მათგანი ხვრელია ბლოკში. დააფიქსირეთ ისინი პოლიტიკის გვერდით, თორემ კონფიგურაციის მემკვიდრე fail-closed-ს აბსოლუტურად წაიკითხავს.
ხელახალი დაკავშირება და ბლოკირება ასევე ცალკე კონტროლია. კლიენტს შეუძლია ავტომატურად ხელახლა დაუკავშირდეს ბლოკირების გარეშე, ან დაბლოკოს ხელახალი დაკავშირების გარეშე, და კომბინაცია განსაზღვრავს, რას განიცდის მომხმარებელი შეფერხების დროს.
დაამტკიცეთ გადასვლის დროს
სტაბილური მდგომარეობის შემოწმება არაფერს ამტკიცებს. განზრახ ჩამოაგდეთ გვირაბი და სცადეთ აპლიკაცია, რომელიც დაცული უნდა იყოს, შემდეგ შეამოწმეთ, მიაღწია თუ არა ქსელს. შეადარეთ კლიენტის ინდიკატორი შედეგს, რადგან ინდიკატორი, რომელიც ჯერ კიდევ ამბობს დაკავშირებულია, ზუსტად ის შემთხვევაა, რომლისთვისაც პოლიტიკა არსებობს. თუ დაცულმა აპლიკაციამ წარმატებას მიაღწია, რეჟიმის სახელს მნიშვნელობა არ აქვს; თქვენ გაქვთ გაჟონვა.
გაიმეორეთ ცივი ჩატვირთვიდან შესვლამდე, Wi-Fi-დან მობილურ ქსელზე გადასვლისას და დაცული აპლიკაციის ფონზე ყოფნისას. თუ ბლოკირებას კლიენტის პროცესი ახორციელებს, შეამოწმეთ აგრეთვე, რა ხდება, როცა ეს პროცესი სუფთად დახურვის ნაცვლად მოკლულია.
ბოლოს, შეამოწმეთ გასუფთავების გზა. თუ კლიენტი ამოღებულია მაშინ, როცა მისი წესები აქტიურია, გამოიყენეთ გამყიდველის დოკუმენტირებული ამოღების პროცედურა და არა ოპერაციული სისტემის ფაირვოლის გამორთვა, რომელიც აშორებს უკავშირო დაცვას და არ პასუხობს, ვის ეკუთვნის დარჩენილი წესი.