Fail-open eller fail-closed: hva en VPN-kill switch bestemmer
Begge begrepene beskriver hva som skjer når tunnelen er borte, ikke hvor sterk krypteringen er. Omfanget du velger avgjør om trafikken faktisk lekker.
Myten er at fail-closed er den sikre innstillingen og fail-open den slurvete. Begge beskriver hva som skjer med trafikken når tunnelen er borte, og ingen av dem endrer hvor godt den tunnelen krypterer. En fail-closed-policy med lang unntaksliste kan lekke mer enn en fail-open-policy på en enhet som aldri forlater kontornettet. Velg resultatet du kan forklare for personen som eier trafikken.
Etiketten beskriver et resultat, ikke en styrke
Ordforrådet kommer fra styringssystemer: fail-open tillater drift når en komponent svikter, fail-closed avviser det. Brukt på en VPN er komponenten som svikter tunnelen, og spørsmålet er om trafikken får fortsette via en annen vei. Valg av chiffer, nøkkellengde og protokoll er separate beslutninger.
Forvirringen består fordi en kill switch høres ut som en sikkerhetsfunksjon, og leverandører markedsfører den som det. Mekanisk er den en ruting- og brannmurregel som blokkerer trafikk tunnelen skulle ha båret, implementert i klienten, i operativsystemet eller på gatewayen. Hvilket lag som håndhever den, definerer også dens dekning, og en regel i ett lag dekker ikke et annet. En gatewayregel kan ikke beskytte en bærbar PC som allerede er flyttet til et annet nettverk.
Hvordan hvert resultat ser ut
Den samme policyen kan oppføre seg svært ulikt avhengig av hvilken svikt du treffer, så sammenlign hendelsene fremfor etikettene.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Den siste raden er den som fanger dem som antar at en kill switch er én enkelt bryter. En regel skrevet for IPv4-rutingtabellen lar IPv6-standardruten være urørt, og applikasjonen kan gjerne bruke den.
Omfanget avgjør om det lekker
Spør hva policyen dekker før du spør hvilken modus det er. En regel per applikasjon beskytter én app og ingenting annet, en regel for hele enheten beskytter alt unntatt unntakene, og en gatewayregel beskytter bare trafikk som når den gatewayen. DNS trenger sin egen beslutning, fordi en forespørsel sendt til en lokal resolver kan avsløre navn selv når nyttelasten er blokkert.
Unntak for lokalnettet finnes for skrivere, casting og captive portals, og hvert av dem er et hull i blokkeringen. Dokumenter dem ved siden av policyen, for den som arver konfigurasjonen vil ellers lese fail-closed som absolutt.
Gjenoppkobling og blokkering er også separate kontroller. En klient kan koble til på nytt automatisk uten å noen gang blokkere, eller blokkere uten å koble til på nytt, og kombinasjonen avgjør hva en bruker opplever under et avbrudd.
Bevis det under en overgang
Å teste den stabile tilstanden beviser ingenting. Ta ned tunnelen med vilje og prøv applikasjonen som skal være beskyttet, og sjekk deretter om den nådde nettverket. Sammenlign klientens indikator med resultatet, for en indikator som fortsatt sier tilkoblet er nettopp tilfellet policyen finnes for. Hvis den beskyttede applikasjonen lykkes, spiller modusens navn ingen rolle; du har en lekkasje.
Gjenta fra en kald oppstart før innlogging, ved skifte fra Wi-Fi til mobilnett og med den beskyttede appen i bakgrunnen. Hvis blokkeringen håndheves av klientprosessen, test også hva som skjer når den prosessen drepes i stedet for å lukkes pent.
Til slutt, sjekk oppryddingsveien. Hvis en klient avinstalleres mens reglene er aktive, bruk leverandørens dokumenterte fjerningsprosedyre i stedet for å slå av operativsystemets brannmur, som fjerner urelatert beskyttelse uten å svare på hvem som eier den gjenværende regelen.