Fail-open же fail-closed: VPN коргоо өчүргүчү эмнени чечет
Эки термин тең туннель жок болгондон кийин эмне болорун сүрөттөйт, шифрлоо канчалык күчтүү экенин эмес. Тандаган камтууңуз трафиктин чындап агып кетишин чечет.
Уламыш — fail-closed коопсуз жөндөө, ал эми fail-open бейкам жөндөө. Экөө тең туннель жок болгондон кийин трафикке эмне болорун сүрөттөйт жана экөө тең ошол туннелдин канчалык жакшы шифрлаганын өзгөртпөйт. Узун өзгөчөлүктөр тизмеси бар fail-closed саясаты кеңсе тармагынан эч качан чыкпаган түзмөктө fail-open саясатынан көбүрөөк агып кетиши мүмкүн. Трафиктин ээсине түшүндүрө алган натыйжаны тандаңыз.
Белги натыйжаны сүрөттөйт, күчтү эмес
Сөздүк башкаруу системаларынан келген: fail-open компонент иштен чыкканда иштөөгө уруксат берет, fail-closed аны четке кагат. VPNге колдонгондо иштен чыгуучу компонент — туннель, ал эми суроо трафиктин башка жол менен улантылышына уруксат барбы. Шифр тандоо, ачкычтын узундугу жана протокол өзүнчө чечимдер.
Түшүнбөстүк уланат, анткени коргоо өчүргүч коопсуздук функциясындай угулат жана сатуучулар аны ошондой жарнамалашат. Механикалык жактан бул туннель ташып өтүшү керек болгон трафикти тоскон маршруттоо жана брандмауэр эрежеси, клиентте, операциялык системада же шлюзде ишке ашырылган. Кайсы катмар аны аткарса, ошол анын камтуусун да аныктайт, ал эми бир катмардын эрежеси экинчисин камтыбайт. Шлюздеги эреже башка тармакка өтүп кеткен ноутбукту коргой албайт.
Ар бир натыйжа кандай көрүнөт
Бир саясат кайсы бузулушка туш болгонуңузга жараша абдан башкача аракет кылышы мүмкүн, ошондуктан белгилерди эмес, окуяларды салыштырыңыз.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Акыркы сап — коргоо өчүргүчтү бир гана өчүргүч деп ойлогондорду кармаган сап. IPv4 маршрут таблицасы үчүн жазылган эреже IPv6 демейки маршрутун тийбей калтырат жана колдонмо аны жайдары пайдалана алат.
Камтуу агып кетерин чечет
Кайсы режим экенин сураардан мурун саясат эмнени камтыйт деп сураңыз. Ар бир колдонмого эреже бир колдонмону коргойт жана башка эч нерсени, түзмөк боюнча эреже өзгөчөлүктөрдөн башка баарын коргойт, ал эми шлюз эрежеси ошол шлюзга жеткен трафикти гана коргойт. DNS өз чечимин талап кылат, анткени жергиликтүү чечүүчүгө жиберилген суроо жүк тоскондолгон кезде да аттарды ачыкка чыгарышы мүмкүн.
Жергиликтүү тармак өзгөчөлүктөрү принтерлер, экран берүү жана кирүү порталдары үчүн бар жана алардын ар бири тоскоолдукто тешик. Аларды саясаттын жанына документтештириңиз, болбосо конфигурацияны мураска алган адам fail-closedду абсолюттук деп окуйт.
Кайра туташуу жана тоскоол кылуу да өзүнчө башкаруу куралдары. Клиент эч качан тоскоол кылбай эле автоматтык түрдө кайра туташа алат же кайра туташпай тоскоол кыла алат, ал эми айкалыш үзгүлтүк учурунда колдонуучу эмнени башынан өткөрөрүн аныктайт.
Аны өтүү учурунда далилдеңиз
Туруктуу абалды текшерүү эч нерсени далилдебейт. Туннелди атайын кулатып, корголушу керек болгон колдонмону сынап көрүңүз, анан анын тармакка жеткенин текшериңиз. Клиенттин индикаторун натыйжа менен салыштырыңыз, анткени дагы эле туташкан деп турган индикатор — саясат так ошол үчүн бар болгон учур. Эгер корголгон колдонмо ийгиликтуу болсо, режимдин аталышы маанилүү эмес; сизде агым бар.
Кирүүдөн мурун муздак жүктөөдөн кайталаңыз, Wi-Fiден уюлдук тармакка өткөндө жана корголгон колдонмо фондо турганда. Эгер тоскоолдукту клиенттин процесси аткарса, ошол процесс таза жабылбай күч менен токтотулганда эмне болорун да текшериңиз.
Акырында тазалоо жолун текшериңиз. Эгер клиент анын эрежелери активдүү кезде алынып салынса, операциялык системанын брандмауэрин өчүрүүнүн ордуна сатуучунун документтештирилген алып салуу процедурасын колдонуңуз, анткени брандмауэрди өчүрүү байланышсыз коргоону алып салат жана калган эреженин кимге таандык экенине жооп бербейт.