Fail-open ar fail-closed: ką nusprendžia VPN apsaugos jungiklis
Abu terminai apibūdina, kas nutinka tuneliui dingus, o ne tai, kokia stipri šifravimas. Pasirinkta apimtis nusprendžia, ar srautas tikrai nuteka.
Mitas yra tai, kad fail-closed yra saugus nustatymas, o fail-open — nerūpestingas. Abu apibūdina, kas nutinka srautui tuneliui dingus, ir nė vienas nekeičia, kaip gerai tas tunelis šifruoja. Fail-closed politika su ilgu išimčių sąrašu gali nutekėti daugiau nei fail-open politika įrenginyje, kuris niekada neišeina iš biuro tinklo. Pasirinkite rezultatą, kurį galite paaiškinti srauto savininkui.
Etiketė apibūdina rezultatą, o ne stiprumą
Žodynas kilęs iš valdymo sistemų: fail-open leidžia veikimą, kai komponentas sugenda, fail-closed jo atsisako. Taikant VPN, sugendantis komponentas yra tunelis, o klausimas yra, ar srautui leidžiama tęstis kitu keliu. Šifro pasirinkimas, rakto ilgis ir protokolas yra atskiri sprendimai.
Sumišimas išlieka, nes apsaugos jungiklis skamba kaip saugumo funkcija, ir tiekėjai jį taip reklamuoja. Mechaniškai tai yra maršrutizavimo ir ugniasienės taisyklė, blokuojanti srautą, kurį turėjo nešti tunelis, įdiegta kliente, operacinėje sistemoje arba tinkle. Kuris sluoksnis ją vykdo, tas nustato ir jos aprėptį, o vieno sluoksnio taisyklė neapima kito. Tinkle esanti taisyklė negali apsaugoti nešiojamojo kompiuterio, kuris jau persikėlė į kitą tinklą.
Kaip atrodo kiekvienas rezultatas
Ta pati politika gali elgtis labai skirtingai priklausomai nuo to, į kokią klaidą pataikysite, todėl lyginkite įvykius, o ne etiketes.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Paskutinė eilutė yra ta, kuri pagauna tuos, kurie mano, kad apsaugos jungiklis yra vienas jungiklis. Taisyklė, parašyta IPv4 maršrutų lentelei, palieka IPv6 numatytąjį maršrutą nepaliestą, ir programa gali juo mielai naudotis.
Aprėptis nusprendžia, ar nuteka
Paklauskite, ką politika apima, prieš klausdami, koks tai režimas. Taisyklė vienai programai apsaugo vieną programą ir nieko daugiau, taisyklė visam įrenginiui apsaugo viską, išskyrus išimtis, o taisyklė tinkle apsaugo tik srautą, pasiekiantį tą tinklą. DNS reikia atskiro sprendimo, nes užklausa vietiniam sprendėjui gali atskleisti vardus net ir tada, kai turinys blokuojamas.
Vietinio tinklo išimtys egzistuoja spausdintuvams, ekrano transliavimui ir prisijungimo portalams, ir kiekviena jų yra skylė blokavime. Dokumentuokite jas šalia politikos, nes konfigūraciją paveldėjęs žmogus kitaip fail-closed skaitys kaip absoliutą.
Prisijungimas iš naujo ir blokavimas taip pat yra atskiri valdikliai. Klientas gali automatiškai prisijungti iš naujo niekada neblokuodamas arba blokuoti neprisijungdamas iš naujo, o derinys nusprendžia, ką vartotojas patiria per triktį.
Įrodykite tai perėjimo metu
Pastovios būsenos testavimas nieko neįrodo. Tyčia numeskite tunelį ir išbandykite programą, kuri turėtų būti apsaugota, tada patikrinkite, ar ji pasiekė tinklą. Palyginkite kliento indikatorių su rezultatu, nes indikatorius, kuris vis dar rodo prisijungta, yra būtent tas atvejis, kuriam politika egzistuoja. Jei apsaugota programa pavyksta, režimo pavadinimas nesvarbus; jūs turite nuotėkį.
Pakartokite iš šalto paleidimo prieš prisijungimą, pereinant iš Wi-Fi į mobilųjį tinklą ir su apsaugota programa fone. Jei blokavimą vykdo kliento procesas, išbandykite ir tai, kas nutinka, kai tas procesas nužudomas, o ne tvarkingai uždaromas.
Galiausiai patikrinkite valymo kelią. Jei klientas pašalinamas, kai jo taisyklės aktyvios, naudokite tiekėjo dokumentuotą pašalinimo procedūrą, o ne išjunkite operacinės sistemos ugniasienę, kuri pašalina nesusijusią apsaugą neatsakydama, kam priklauso likusi taisyklė.