Fail-open или fail-closed: шта одлучује безбедносни прекидач VPN-а
Оба термина описују шта се дешава када тунела нема, а не колико је јако шифровање. Обухват који изаберете одлучује да ли саобраћај заиста цури.
Мит је да је fail-closed безбедно подешавање, а fail-open непажљиво. Оба описују шта се дешава са саобраћајем након што тунел нестане и ниједно не мења колико добро тај тунел шифрује. Политика fail-closed са дугачком листом изузетака може цурити више од политике fail-open на уређају који никада не напушта канцеларијску мрежу. Изаберите исход који можете да објасните особи која поседује саобраћај.
Ознака описује исход, а не снагу
Речник долази из контролних система: fail-open дозвољава рад када компонента откаже, fail-closed га одбија. Примењено на VPN, компонента која отказује је тунел, а питање је да ли се саобраћају дозвољава да настави другим путем. Избор шифре, дужина кључа и протокол су одвојене одлуке.
Забуна остаје јер безбедносни прекидач звучи као безбедносна функција, а продавци га тако и рекламирају. Механички то је правило рутирања и заштитног зида које блокира саобраћај који је тунел требало да носи, спроведено у клијенту, у оперативном систему или на пролазу. Који год слој га спроводи, он одређује и његов обухват, а правило у једном слоју не покрива други. Правило на пролазу не може заштитити преносни рачунар који је већ прешао на другу мрежу.
Како изгледа сваки исход
Иста политика може се понашати веома различито зависно од тога на који отказ наиђете, зато упоредите догађаје, а не ознаке.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Последњи ред је онај који хвата оне који претпостављају да је безбедносни прекидач један прекидач. Правило написано за IPv4 табелу рута оставља подразумевану руту IPv6 нетакнутом, и апликација је може радо користити.
Обухват одлучује да ли цури
Питајте шта политика покрива пре него што питате који је режим. Правило за појединачну апликацију штити једну апликацију и ништа друго, правило за цео уређај штити све осим изузетака, а правило на пролазу штити само саобраћај који стигне до тог пролаза. DNS захтева сопствену одлуку, јер упит послат локалном резолверу може открити имена чак и када је садржај блокиран.
Изузеци за локалну мрежу постоје због штампача, преноса екрана и портала за пријаву, и сваки је рупа у блокирању. Документујте их поред политике, јер ће особа која наследи конфигурацију иначе читати fail-closed као апсолут.
Поновно повезивање и блокирање су такође одвојене контроле. Клијент може аутоматски да се поново повезује без икаквог блокирања, или да блокира без поновног повезивања, а комбинација одређује шта корисник доживљава током прекида.
Докажите то током прелаза
Тестирање стабилног стања не доказује ништа. Намерно оборите тунел и испробајте апликацију која би требало да буде заштићена, затим проверите да ли је стигла до мреже. Упоредите индикатор клијента са резултатом, јер индикатор који још говори повезан јесте управо случај због којег политика постоји. Ако заштићена апликација успе, име режима није важно; имате цурење.
Поновите од хладног подизања пре пријаве, при преласку са Wi-Fi на мобилну мрежу и са заштићеном апликацијом у позадини. Ако блокирање спроводи процес клијента, тестирајте и шта се дешава када се тај процес убије, а не уредно затвори.
На крају проверите пут чишћења. Ако се клијент деинсталира док су његова правила активна, користите документовани поступак уклањања продавца уместо да искључите заштитни зид оперативног система, који уклања неповезану заштиту не одговарајући кому припада преостало правило.