Fail-open vai fail-closed: ko nosaka VPN drošības slēdzis
Abi termini apraksta, kas notiek, kad tuneļa vairs nav, nevis cik spēcīga ir šifrēšana. Izvēlētais tvērums nosaka, vai trafiks tiešām noplūst.
Mīts ir tāds, ka fail-closed ir drošais iestatījums, bet fail-open ir bezrūpīgais. Abi apraksta, kas notiek ar trafiku pēc tam, kad tunelis ir pazudis, un neviens nemaina to, cik labi šis tunelis šifrē. Fail-closed politika ar garu izņēmumu sarakstu var noplūst vairāk nekā fail-open politika ierīcē, kas nekad neatstāj biroja tīklu. Izvēlieties rezultātu, ko varat izskaidrot trafika īpašniekam.
Etiķete apraksta rezultātu, nevis spēku
Vārdnīca nāk no vadības sistēmām: fail-open pieļauj darbību, kad komponents sabojājas, fail-closed to noraida. Attiecinot uz VPN, sabojājošais komponents ir tunelis, un jautājums ir, vai trafikam ļauj turpināties citā ceļā. Šifra izvēle, atslēgas garums un protokols ir atsevišķi lēmumi.
Apjukums saglabājas, jo drošības slēdzis izklausās pēc drošības funkcijas, un pārdevēji to tā arī reklamē. Mehāniski tā ir maršrutēšanas un ugunsmūra likums, kas bloķē trafiku, kuru tunelim bija jāpārnēsā, ieviests klientā, operētājsistēmā vai vārtejā. Kurš slānis to īsteno, tas nosaka arī tā tvērumu, un viena slāņa likums neaptver citu. Vārtejas likums nevar aizsargāt portatīvo datoru, kas jau ir pārcēlies uz citu tīklu.
Kā izskatās katrs rezultāts
Viena un tā pati politika var uzvesties ļoti atšķirīgi atkarībā no tā, uz kādu kļūmi jūs uzduraties, tāpēc salīdziniet notikumus, nevis etiķetes.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Pēdējā rinda ir tā, kas notver tos, kuri pieņem, ka drošības slēdzis ir viens slēdzis. Likums, kas rakstīts IPv4 maršrutu tabulai, atstāj IPv6 noklusējuma maršrutu neskartu, un lietojumprogramma to var mierīgi izmantot.
Tvērums nosaka, vai noplūst
Pajautājiet, ko politika aptver, pirms jautājat, kāds ir režīms. Likums vienai lietotnei aizsargā vienu lietotni un neko citu, likums visai ierīcei aizsargā visu, izņemot izņēmumus, un vārtejas likums aizsargā tikai trafiku, kas sasniedz šo vārteju. DNS vajag savu lēmumu, jo vaicājums vietējam atrisinātājam var atklāt vārdus pat tad, kad lietderīgā slodze ir bloķēta.
Vietējā tīkla izņēmumi pastāv printeriem, ekrāna pārraidīšanai un pieteikšanās portāliem, un katrs no tiem ir caurums bloķējumā. Dokumentējiet tos blakus politikai, jo konfigurāciju mantojušais cilvēks citādi lasīs fail-closed kā absolūtu.
Atkārtota savienošana un bloķēšana arī ir atsevišķas vadības ierīces. Klients var automātiski atkārtoti savienoties, nekad nebloķējot, vai bloķēt, neatjaunojot savienojumu, un kombinācija nosaka, ko lietotājs piedzīvo pārtraukuma laikā.
Pierādiet to pārejas laikā
Vienmērīgas stāvokļa testēšana neko nepierāda. Apzināti nometiet tuneli un izmēģiniet lietotni, kurai jābūt aizsargātai, pēc tam pārbaudiet, vai tā sasniedza tīklu. Salīdziniet klienta indikatoru ar rezultātu, jo indikators, kas joprojām saka savienots, ir tieši tas gadījums, kuram politika pastāv. Ja aizsargātā lietotne gūst panākumus, režīma nosaukumam nav nozīmes; jums ir noplūde.
Atkārtojiet no aukstas palaišanas pirms pieteikšanās, pārejot no Wi-Fi uz mobilo tīklu un ar aizsargāto lietotni fonā. Ja bloķējumu īsteno klienta process, pārbaudiet arī to, kas notiek, kad šis process tiek nogalināts, nevis kārtīgi aizvērts.
Visbeidzot pārbaudiet tīrīšanas ceļu. Ja klients tiek atinstalēts, kamēr tā noteikumi ir aktīvi, izmantojiet pārdevēja dokumentēto noņemšanas procedūru, nevis izslēdziet operētājsistēmas ugunsmūri, kas noņem nesaistītu aizsardzību, neatbildot uz jautājumu, kam pieder atlikušais noteikums.