Fail-open alebo fail-closed: čo rozhoduje kill switch vo VPN
Oba termíny opisujú, čo sa stane, keď tunel zmizne, nie aké silné je šifrovanie. Rozhoduje rozsah, ktorý zvolíte, či prevádzka naozaj uniká.
Mýtus hovorí, že fail-closed je bezpečné nastavenie a fail-open to nedbalé. Oba opisujú, čo sa stane s prevádzkou po zmiznutí tunela, a ani jeden nemení, ako dobre tento tunel šifruje. Politika fail-closed so širokým zoznamom výnimiek môže unikať viac ako politika fail-open na zariadení, ktoré nikdy neopustí kancelársku sieť. Vyberte výsledok, ktorý dokážete vysvetliť človeku, ktorému prevádzka patrí.
Označenie opisuje výsledok, nie silu
Slovník pochádza z riadiacich systémov: fail-open povoľuje činnosť, keď komponent zlyhá, fail-closed ju odmieta. Pri VPN je zlyhávajúcim komponentom tunel a otázkou je, či sa prevádzke dovolí pokračovať inou cestou. Voľba šifry, dĺžka kľúča a protokol sú samostatné rozhodnutia.
Zmatek pretrváva, pretože kill switch znie ako bezpečnostná funkcia a dodávatelia ho tak predávajú. Mechanicky ide o pravidlo smerovania a firewallu, ktoré blokuje prevádzku, ktorú mal tunel niesť, vykonávané v klientovi, v operačnom systéme alebo na bráne. Ktorákoľvek vrstva ho vynucuje, určuje aj jeho pokrytie, a pravidlo v jednej vrstve nekryje inú. Pravidlo na bráne neochráni notebook, ktorý už prešiel na inú sieť.
Ako vyzerá každý výsledok
Tá istá politika sa môže správať veľmi odlišne podľa toho, na aké zlyhanie narazíte, preto porovnávajte udalosti, nie označenia.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Posledný riadok je ten, ktorý chytá tých, čo predpokladajú, že kill switch je jediný prepínač. Pravidlo napísané pre smerovaciu tabuľku IPv4 necháva predvolenú trasu IPv6 nedotknutú a aplikácia ju môže pokojne použiť.
O rozsahu rozhoduje, či uniká
Pýtajte sa, čo politika pokrýva, skôr než sa spýtate, ktorý režim to je. Pravidlo pre jednu aplikáciu chráni jednu aplikáciu a nič iné, pravidlo pre celé zariadenie chráni všetko okrem výnimiek a pravidlo na bráne chráni len prevádzku, ktorá sa dostane na tú bránu. DNS potrebuje vlastné rozhodnutie, pretože dopyt odoslaný miestnemu resolveru môže prezradiť názvy aj vtedy, keď je obsah zablokovaný.
Výnimky pre miestnu sieť existujú pre tlačiarne, prenos obrazu a prihlasovacie portály a každá je dierou v blokáde. Zdokumentujte ich vedľa politiky, pretože ten, kto konfiguráciu zdedí, bude inak čítať fail-closed ako absolútno.
Opätovné pripojenie a blokovanie sú tiež samostatné ovládače. Klient sa môže automaticky pripájať bez toho, aby niekedy blokoval, alebo blokovať bez opätovného pripojenia, a kombinácia určuje, čo používateľ počas výpadku zažije.
Dokážte to počas prechodu
Testovanie ustáleného stavu nič nedokazuje. Zámerne zhoďte tunel a vyskúšajte aplikáciu, ktorá má byť chránená, a potom skontrolujte, či sa dostala do siete. Porovnajte indikátor klienta s výsledkom, pretože indikátor, ktorý stále hlási pripojené, je presne ten prípad, pre ktorý politika existuje. Ak chránená aplikácia uspeje, na názve režimu nezáleží; máte únik.
Zopakujte to zo studeného štartu pred prihlásením, pri prechode z Wi-Fi na mobilnú sieť a s chránenou aplikáciou na pozadí. Ak blok vynucuje proces klienta, otestujte aj to, čo sa stane, keď sa tento proces zabije namiesto čistého zavretia.
Napokon skontrolujte cestu upratovania. Ak sa klient odinštaluje, kým sú jeho pravidlá aktívne, použite dokumentovaný postup odstránenia od dodávateľa namiesto vypnutia firewallu operačného systému, ktoré odstráni nesúvisiacu ochranu bez toho, aby odpovedalo, komu patrí zostávajúce pravidlo.