Fail-open oder fail-closed: wat e VPN-Kill-Switch entscheet
Béid Begrëffer beschreiwen, wat geschitt, wann den Tunnel fort ass, net wéi staark d’Verschlësselung ass. Den Ëmfang, deen Dir wielt, entscheet, ob den Traffic wierklech leckt.
De Mythos ass, datt fail-closed déi sécher Astellung ass an fail-open déi lithweis. Béid beschreiwen, wat mam Traffic geschitt, soubal den Tunnel fort ass, an keent vun deenen zwee ännert, wéi gutt dësen Tunnel verschlësselt. Eng fail-closed-Politik mat enger laanger Ausnamenlëscht kann méi lecke wéi eng fail-open-Politik op engem Apparat, deen ni de Büro-Netzwierk verléisst. Wielt d’Resultat, dat Dir der Persoun, där den Traffic gehéiert, erkläre kënnt.
D’Etikett beschreift e Resultat, net eng Stäerkt
D’Vokabulär kënnt aus Steiersystemer: fail-open erlaabt de Betrib, wann eng Komponent ausfält, fail-closed verweigert en. Op eng VPN ugewannt ass déi ausfalend Komponent den Tunnel, an d’Fro ass, ob den Traffic iwwer en anere Wee weiderdarf. D’Wiel vum Chiffrement, d’Schlëssellängt an de Protokoll sinn getrennt Entscheedungen.
D’Verwierrung bleift, well e Kill-Switch no enger Sécherheetsfunktioun kléngt, an d’Verkeefer en als sou vermaarten. Mechanesch ass et eng Routing- a Firewall-Regel, déi den Traffic blockéiert, deen den Tunnel sollt droen, implementéiert am Client, am Betribssystem oder um Gateway. Wat fir eng Schicht se duerchsetzt, definéiert och hir Ofdeckung, an eng Regel an enger Schicht deckt keng aner of. Eng Gateway-Regel kann en Notebook net schützen, deen schonns an en anert Netzwierk gewiesselt ass.
Wéi all Resultat ausgesäit
Déi selwecht Politik kann sech ganz ënnerschiddlech behuelen, jee no wéi engem Feeler Dir begéint, also vergläicht d’Evenementer an net d’Etiketten.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Déi lescht Zeil ass déi, déi déi fänkt, déi unhuelen, e Kill-Switch wier een eenzegen Ausschalter. Eng Regel, déi fir d’IPv4-Routingtabell geschriwwe gouf, léisst d’IPv6-Standardroute onberüert, an d’Applikatioun kann se berouegt benotzen.
Den Ëmfang entscheet, ob et leckt
Frot, wat d’Politik deckt, ier Dir frot wéi ee Modus et ass. Eng Regel pro Applikatioun schützt eng App an soss näischt, eng Regel fir den ganzen Apparat schützt alles ausser den Ausnamen, an eng Gateway-Regel schützt nëmmen den Traffic, deen dëst Gateway erreecht. DNS brauch seng eege Entscheedung, well eng Ufro un e lokalen Opléiser Nimm kann opdecken, och wann d’Nutzlaascht blockéiert ass.
Ausname fir dat lokalt Netzwierk gëtt et fir Drécker, Casting a Captive Portals, an alleng ass e Lach an der Blockade. Dokumentéiert se niewent der Politik, well déi Persoun, déi d’Konfiguratioun ierft, liest fail-closed soss als absolut.
Nees verbannen a blockéieren sinn och getrennt Steierungen. E Client kann sech automatesch nees verbannen, ouni je ze blockéieren, oder blockéieren, ouni sech nees ze verbannen, an d’Kombinatioun entscheet, wat en Notzer während enger Stéierung erlieft.
Beweist et während engem Iwwergang
D’Teste vum stabile Zoustand beweist näischt. Loosst den Tunnel bewosst fale a probéiert d’Applikatioun, déi sollt geschützt sinn, a kontrolléiert dann, ob se den Netzwierk erreecht huet. Vergläicht den Indikator vum Client mam Resultat, well en Indikator, deen nach ëmmer verbonnen seet, ass genee de Fall, fir deen d’Politik existéiert. Wann déi geschützt Applikatioun geléngt, ass den Numm vum Modus egal; Dir hutt eng Lek.
Widderholt et vun engem kale Start virum Login, bei engem Wiesselen vu Wi-Fi op mobilen Netzwierk an mat der geschützter App am Hannergrond. Wann d’Blockade vum Clientprozess duerchgesat gëtt, testt och, wat geschitt, wann dee Prozess ëmbruecht gëtt anstatt propper zougemaach.
Kuckt schliisslech de Botz-Wee. Wann e Client deinstalléiert gëtt, während seng Regel aktiv sinn, benotzt dem Verkeefer seng dokumentéiert Entfernungsprozedur, anstatt d’Firewall vum Betribssystem auszeschalten, déi onzusammenhängend Schutz ewechhëlt, ouni ze beäntweren, wiem déi iwwerbleiwend Regel gehéiert.