Fail-open или fail-closed: што одлучува прекинувачот за заштита на VPN
Двата термина опишуваат што се случува кога тунелот го нема, а не колку е силно шифрирањето. Опфатот што ќе го изберете одлучува дали сообраќајот навистина истекува.
Мит е дека fail-closed е безбедното поставување, а fail-open е небрежното. Двете опишуваат што се случува со сообраќајот откако тунелот ќе исчезне, и ниту едното не менува колку добро тој тунел шифрира. Политика fail-closed со долг список исклучоци може да истече повеќе од политика fail-open на уред што никогаш не го напушта канцеларискиот мрежа. Изберете го исходот што можете да му го објасните на лицето што го поседува сообраќајот.
Ознаката опишува исход, а не сила
Речникот доаѓа од контролни системи: fail-open дозволува работа кога компонентата откажува, fail-closed ја одбива. Применето на VPN, компонентата што откажува е тунелот, а прашањето е дали на сообраќајот му се дозволува да продолжи по друг пат. Изборот на шифра, должината на клучот и протоколот се одделни одлуки.
Збунетоста останува зашто прекинувачот за заштита звучи како безбедносна функција, и продавачите го рекламираат како таква. Механички тоа е правило за рутирање и огнено ѕид што го блокира сообраќајот што тунелот требаше да го носи, спроведено во клиентот, во оперативниот систем или на портата. Кој слој го спроведува, тој го одредува и неговиот опфат, а правило во еден слој не покрива друг. Правило на портата не може да заштити преносен сметач што веќе се префрлил на друга мрежа.
Како изгледа секој исход
Истата политика може да се однесува многу различно зависно од тоа на кој отказ ќе наидете, затоа споредете ги настаните, а не ознаките.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Последниот ред е оној што ги фаќа оние што претпоставуваат дека прекинувачот за заштита е еден прекинувач. Правило напишано за табелата за рутирање IPv4 ја остава стандардната рута IPv6 недопрена, и апликацијата може спокојно да ја користи.
Опфатот одлучува дали истекува
Прашајте што покрива политиката пред да прашате кој режим е. Правило за поединечна апликација штити една апликација и ништо друго, правило за целиот уред штити сето освен исклучоците, а правило на портата штити само сообраќај што стигнува до таа порта. DNS бара сопствена одлука, зашто барање испратено до локален решавач може да открие имиња дури и кога товарот е блокиран.
Исклучоци за локалната мрежа постојат за печатачи, пренесување на екран и портали за најава, и секој од нив е дупка во блокирањето. Документирајте ги покрај политиката, зашто оној што ќе ја наследи конфигурацијата инаку ќе го чита fail-closed како апсолут.
Повторното поврзување и блокирањето се исто така одделни контроли. Клиентот може автоматски да се поврзува повторно без никогаш да блокира, или да блокира без повторно поврзување, а комбинацијата одредува што доживува корисникот за време на прекин.
Докажете го за време на премин
Тестирањето на стабилната состојба не докажува ништо. Намерно прекинете го тунелот и пробајте ја апликацијата што треба да биде заштитена, потоа проверете дали стигнала до мрежата. Споредете го индикаторот на клиентот со резултатот, зашто индикатор што сето уште вели поврзан е токму случајот за кој постои политиката. Ако заштитената апликација успее, името на режимот не е важно; имате истекување.
Повторете од ладно стартување пред најава, при премин од Wi-Fi на мобилна мрежа и со заштитената апликација во позадина. Ако блокирањето го спроведува процесот на клиентот, тестирајте и што се случува кога тој процес ќе биде убиен наместо уредно затворен.
На крајот проверете го патот за чистење. Ако клиентот се деинсталира додека неговите правила се активни, користете ја документираната постапка за отстранување на продавачот наместо да го исклучите огнениот ѕид на оперативниот систем, што отстранува неповрзана заштита без да одговори кому му припаѓа преостанатото правило.