Fail-open немесе fail-closed: VPN қорғаныс қосқышы нені шешеді
Екі термин де туннель жоғалғаннан кейін не болатынын сипаттайды, шифрлау қаншалықты күшті екенін емес. Сіз таңдаған қамту трафиктің шынымен ағуын шешеді.
Аңыз — fail-closed қауіпсіз баптау, ал fail-open немқұрайлы баптау. Екеуі де туннель жоғалғаннан кейін трафикке не болатынын сипаттайды және ешқайсысы сол туннельдің қаншалықты жақсы шифрлайтынын өзгертпейді. Ерекшеліктердің ұзын тізімі бар fail-closed саясаты офис желісінен ешқашан шықпайтын құрылғыда fail-open саясатынан көбірек ағуы мүмкін. Трафик иесіне түсіндіре алатын нәтижені таңдаңыз.
Белгі нәтижені сипаттайды, күшті емес
Сөздік басқару жүйелерінен келген: fail-open компонент істен шыққанда жұмысқа рұқсат береді, fail-closed оны қабылдамайды. VPN-ге қолданғанда істен шығатын компонент — туннель, ал сұрақ трафиктің басқа жолмен жалғасуына рұқсат бар ма, жоқ па. Шифр таңдауы, кілт ұзындығы және хаттама бөлек шешімдер.
Шатасу сақталады, өйткені қорғаныс қосқышы қауіпсіздік функциясына ұқсайды және сатушылар оны солай жарнамалайды. Механикалық тұрғыдан бұл туннель тасуы тиіс трафикті бөгейтін маршруттау және брандмауэр ережесі, клиентте, операциялық жүйеде немесе шлюзде іске асырылған. Қай қабат оны орындаса, сол оның қамтуын да айқындайды, ал бір қабаттың ережесі екіншісін қамтымайды. Шлюздегі ереже басқа желіге ауысып кеткен ноутбукті қорғай алмайды.
Әр нәтиже қалай көрінеді
Бір саясат қандай ақауға тап болғаныңызға қарай өте басқаша әрекет етуі мүмкін, сондықтан белгілерді емес, оқиғаларды салыстырыңыз.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Соңғы жол — қорғаныс қосқышын бір ғана ажыратқыш деп ойлайтындарды ұстайтын жол. IPv4 маршрут кестесі үшін жазылған ереже IPv6 әдепкі маршрутын тимей қалдырады және қолданба оны рахат пайдалана алады.
Қамту ағуын шешеді
Қандай режим екенін сұрамас бұрын саясат нені қамтитынын сұраңыз. Әр қолданбаға арналған ереже бір қолданбаны қорғайды және басқа ештеңені, құрылғы бойынша ереже ерекшеліктерден басқа барлығын қорғайды, ал шлюз ережесі тек сол шлюзге жететін трафикті қорғайды. DNS өз шешімін қажет етеді, өйткені жергілікті шешушіге жіберілген сұрау жүктеме бөгелген кезде де атауларды аша алады.
Жергілікті желі ерекшеліктері принтерлер, экран тарату және кіру порталдары үшін бар және олардың әрқайсысы бөгеудегі тесік. Оларды саясаттың жанына құжаттаңыз, әйтпесе конфигурацияны мұра еткен адам fail-closed-ты абсолютті деп оқиды.
Қайта қосылу және бөгеу де бөлек басқару құралдары. Клиент ешқашан бөгемей автоматты түрде қайта қосыла алады немесе қайта қосылмай бөгей алады, ал үйлесім үзіліс кезінде пайдаланушының не сезінетінін анықтайды.
Ауысу кезінде дәлелдеңіз
Тұрақты күйді сынау ештеңені дәлелдемейді. Туннельді әдейі құлатып, қорғалуы тиіс қолданбаны байқап көріңіз, содан кейін оның желіге жеткенін тексеріңіз. Клиент индикаторын нәтижемен салыстырыңыз, өйткені әлі де қосылған деп тұрған индикатор — саясат дәл сол үшін бар жағдай. Егер қорғалған қолданба сәтті болса, режим атауы маңызды емес; сізде ағу бар.
Кіру алдында суық қосылудан қайталаңыз, Wi-Fi-дан ұялы желіге ауысқанда және қорғалған қолданба фонда тұрғанда. Егер бөгеуді клиент процесі орындаса, сол процесс таза жабылмай күштеп тоқтатылғанда не болатынын да тексеріңіз.
Соңында тазалау жолын тексеріңіз. Егер клиент оның ережелері белсенді кезде жойылса, операциялық жүйенің брандмауэрын өшіру орнына сатушының құжатталған жою процедурасын қолданыңыз, себебі брандмауэрді өшіру қатысы жоқ қорғанысты алып тастайды және қалған ереженің кімге тиесілі екеніне жауап бермейді.