Fail-open eller fail-closed: kva ein VPN-kill switch avgjer
Begge omgrepa skildrar kva som skjer når tunnelen er borte, ikkje kor sterk krypteringa er. Omfanget du vel avgjer om trafikken faktisk lekk.
Myten er at fail-closed er den trygge innstillinga og fail-open den slurvete. Begge skildrar kva som skjer med trafikken når tunnelen er borte, og ingen av dei endrar kor godt den tunnelen krypterer. Ein fail-closed-policy med lang unntaksliste kan lekke meir enn ein fail-open-policy på ei eining som aldri forlèt kontornettet. Vel resultatet du kan forklare for personen som eig trafikken.
Etiketten skildrar eit resultat, ikkje ein styrke
Ordtilfanget kjem frå styringssystem: fail-open tillèt drift når ein komponent sviktar, fail-closed avviser det. Brukt på ein VPN er komponenten som sviktar tunnelen, og spørsmålet er om trafikken får halde fram via ein annan veg. Val av chiffer, nøkkellengd og protokoll er separate avgjerder.
Forvirringa held fram fordi ein kill switch høyrest ut som ein tryggleiksfunksjon, og leverandørar marknadsfører han som det. Mekanisk er han ein ruting- og brannmurregel som blokkerer trafikk tunnelen skulle ha bore, implementert i klienten, i operativsystemet eller på gatewayen. Kva lag som handhevar han, definerer òg deksla hans, og ein regel i eitt lag dekkjer ikkje eit anna. Ein gatewayregel kan ikkje verne ein berbar PC som alt er flytta til eit anna nettverk.
Korleis kvart resultat ser ut
Den same policyen kan oppføre seg svært ulikt alt etter kva svikt du møter, så samanlikn hendingane framfor etikettane.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Den siste rada er den som fangar dei som trur at ein kill switch er éin enkel brytar. Ein regel skriven for IPv4-rutingtabellen lèt IPv6-standardruta vere urørt, og applikasjonen kan gjerne bruke henne.
Omfanget avgjer om det lekk
Spør kva policyen dekkjer før du spør kva modus det er. Ein regel per applikasjon vernar éin app og ingenting anna, ein regel for heile eininga vernar alt unnateke unntaka, og ein gatewayregel vernar berre trafikk som når den gatewayen. DNS treng si eiga avgjerd, fordi ein førespurnad send til ein lokal resolvar kan avsløre namn sjølv når nyttelasta er blokkert.
Unntak for lokalnettet finst for skrivarar, casting og captive portals, og kvart av dei er eit hol i blokkeringa. Dokumenter dei ved sida av policyen, for den som arvar konfigurasjonen vil elles lese fail-closed som absolutt.
Gjenoppkopling og blokkering er òg separate kontrollar. Ein klient kan kople til på nytt automatisk utan å nokon gong blokkere, eller blokkere utan å kople til på nytt, og kombinasjonen avgjer kva ein brukar opplever under eit avbrot.
Prov det under ein overgang
Å teste den stabile tilstanden provar ingenting. Ta ned tunnelen med vilje og prøv applikasjonen som skal vere verna, og sjekk deretter om han nådde nettverket. Samanlikn indikatoren til klienten med resultatet, for ein indikator som framleis seier tilkopla er nettopp tilfellet policyen finst for. Viss den verna applikasjonen lukkast, spelar namnet på modusen inga rolle; du har ein lekkasje.
Gjenta frå ein kald oppstart før innlogging, ved skifte frå Wi-Fi til mobilnett og med den verna appen i bakgrunnen. Viss blokkeringa blir handheva av klientprosessen, test òg kva som skjer når den prosessen blir drepen i staden for å bli lukka pent.
Til slutt, sjekk oppryddingsvegen. Viss ein klient blir avinstallert medan reglane er aktive, bruk den dokumenterte fjerningsprosedyren til leverandøren i staden for å slå av brannmuren til operativsystemet, som fjernar urelatert vern utan å svare på kven som eig den attverande regelen.