Fail-open apo fail-closed: çfarë vendos një kill switch i VPN-së
Të dy termat përshkruajnë çfarë ndodh kur tuneli nuk është më, jo sa i fortë është kriptimi. Shtrirja që zgjidhni vendos nëse trafiku rrjedh vërtet.
Miti është se fail-closed është cilësimi i sigurt dhe fail-open ai i pakujdesshëm. Të dy përshkruajnë çfarë ndodh me trafikun pasi tuneli zhduket, dhe asnjëri nuk ndryshon sa mirë kripton ai tunel. Një politikë fail-closed me listë të gjatë përjashtimesh mund të rrjedhë më shumë se një politikë fail-open në një pajisje që nuk e lë kurrë rrjetin e zyrës. Zgjidhni rezultatin që mund t'i shpjegoni personit që zotëron trafikun.
Etiketa përshkruan një rezultat, jo një forcë
Fjalori vjen nga sistemet e kontrollit: fail-open lejon funksionimin kur një komponent dështon, fail-closed e refuzon. I zbatuar në një VPN, komponenti që dështon është tuneli, dhe pyetja është nëse trafikut i lejohet të vazhdojë në një rrugë tjetër. Zgjedhja e shifrës, gjatësia e çelësit dhe protokolli janë vendime të veçanta.
Konfuzioni vazhdon sepse kill switch tingëllon si funksion sigurie, dhe shitësit e reklamojnë si të tillë. Mekanikisht është një rregull rrugëtimi dhe firewall-i që bllokon trafikun që tuneli duhej të mbante, i zbatuar në klient, në sistemin operativ ose në portë. Cila shtresë e zbaton, po ajo përcakton edhe mbulimin e tij, dhe një rregull në një shtresë nuk mbulon tjetrën. Një rregull në portë nuk mund të mbrojë një laptop që tashmë ka kaluar në një rrjet tjetër.
Si duket secili rezultat
E njëjta politikë mund të sillet shumë ndryshe në varësi të dështimit që hasni, prandaj krahasoni ngjarjet, jo etiketat.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Rreshti i fundit është ai që kap ata që mendojnë se kill switch është një ndërprerës i vetëm. Një rregull i shkruar për tabelën e rrugëtimit IPv4 e lë rrugën e parazgjedhur IPv6 të paprekur, dhe aplikacioni mund ta përdorë me kënaqësi.
Shtrirja vendos nëse rrjedh
Pyetni çfarë mbulon politika përpara se të pyesni cili modalitet është. Një rregull për aplikacion mbron një aplikacion dhe asgjë tjetër, një rregull për të gjithë pajisjen mbron gjithçka përveç përjashtimeve, dhe një rregull në portë mbron vetëm trafikun që arrin në atë portë. DNS ka nevojë për vendimin e vet, sepse një kërkesë e dërguar te një zgjidhës lokal mund të zbulojë emra edhe kur ngarkesa është bllokuar.
Përjashtimet e rrjetit lokal ekzistojnë për printera, transmetim ekrani dhe portale captive, dhe secili është një vrimë në bllokim. Dokumentojini pranë politikës, sepse personi që trashëgon konfigurimin do ta lexojë ndryshe fail-closed si absolut.
Rilidhja dhe bllokimi janë gjithashtu kontrolla të veçanta. Një klient mund të rilidhet automatikisht pa bllokuar kurrë, ose të bllokojë pa u rilidhur, dhe kombinimi përcakton çfarë përjeton përdoruesi gjatë një ndërprerjeje.
Provoni gjatë një tranzicioni
Testimi i gjendjes së qëndrueshme nuk provon asgjë. Rrëzoni tunelin me qëllim dhe provoni aplikacionin që duhet të jetë i mbrojtur, pastaj kontrolloni nëse arriti në rrjet. Krahasoni treguesin e klientit me rezultatin, sepse një tregues që ende thotë i lidhur është pikërisht rasti për të cilin ekziston politika. Nëse aplikacioni i mbrojtur ka sukses, emri i modalitetit nuk ka rëndësi; ju keni një rrjedhje.
Përsëriteni nga një nisje e ftohtë para hyrjes, gjatë kalimit nga Wi-Fi në rrjet celular dhe me aplikacionin e mbrojtur në sfond. Nëse bllokimin e zbaton procesi i klientit, provoni edhe çfarë ndodh kur ai proces vritet në vend që të mbyllet pastër.
Së fundi, kontrolloni rrugën e pastrimit. Nëse një klient çinstalohet ndërsa rregullat e tij janë aktive, përdorni procedurën e dokumentuar të heqjes nga shitësi në vend që të çaktivizoni firewall-in e sistemit operativ, i cili heq mbrojtje të palidhur pa u përgjigjur kujt i përket rregulli i mbetur.