Fail-open au fail-closed: nini huamua kitufe cha usalama cha VPN
Maneno yote mawili hueleza kinachotokea mtandao wa siri ukiisha, si jinsi usimbaji fiche ulivyo imara. Wigo unaochagua huamua kama trafiki inavuja kweli.
Hadithi ni kwamba fail-closed ndilo mpangilio salama na fail-open ndilo lisilojali. Yote mawili hueleza kinachotokea kwa trafiki baada ya handaki kutoweka, na hakuna hata moja linalobadilisha jinsi handaki hilo linavyosimba fiche vizuri. Sera ya fail-closed yenye orodha ndefu ya misamaha inaweza kuvuja zaidi ya sera ya fail-open kwenye kifaa kisichoacha kamwe mtandao wa ofisi. Chagua matokeo unayoweza kumweleza mmiliki wa trafiki.
Lebo hueleza matokeo, si nguvu
Msamiati unatoka kwenye mifumo ya udhibiti: fail-open huruhusu uendeshaji sehemu inaposhindikana, fail-closed huukataa. Ukiutumia kwa VPN, sehemu inayoshindikana ni handaki, na swali ni kama trafiki inaruhusiwa kuendelea kwa njia nyingine. Uchaguzi wa siri, urefu wa ufunguo na itifaki ni maamuzi tofauti.
Mkanganyiko unaendelea kwa sababu kitufe cha usalama kinasikika kama kipengele cha usalama, na wauzaji hukitangaza hivyo. Kiufundi ni kanuni ya uelekezaji na ukuta wa moto inayozuia trafiki ambayo handaki ilipaswa kuibeba, ikitekelezwa kwenye mteja, kwenye mfumo wa uendeshaji au kwenye lango. Tabaka lolote linaloitekeleza ndilo pia hufafanua ufunikaji wake, na kanuni ya tabaka moja haifuniki lingine. Kanuni ya lango haiwezi kulinda kompyuta ya mkononi ambayo tayari imehamia mtandao mwingine.
Kila matokeo yanaonekanaje
Sera moja inaweza kuwa na tabia tofauti sana kulingana na hitilafu unayokutana nayo, kwa hiyo linganisha matukio badala ya lebo.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Mstari wa mwisho ndio unaowakamata wanaodhani kitufe cha usalama ni kitufe kimoja. Kanuni iliyoandikwa kwa ajili ya jedwali la uelekezaji IPv4 huacha njia chaguo-msingi ya IPv6 bila kuguswa, na programu inaweza kuitumia kwa raha.
Wigo huamua kama inavuja
Uliza sera inafunika nini kabla ya kuuliza ni hali gani. Kanuni ya kila programu hulinda programu moja na kitu kingine chochote, kanuni ya kifaa kizima hulinda kila kitu isipokuwa misamaha, na kanuni ya lango hulinda trafiki inayofika kwenye lango hilo pekee. DNS inahitaji uamuzi wake yenyewe, kwa sababu hoji linalotumwa kwa kitatuzi cha ndani linaweza kufichua majina hata mzigo umezuiwa.
Misamaha ya mtandao wa ndani ipo kwa vichapishi, utangazaji na milango ya kuingia, na kila moja ni tundu kwenye kizuizi. Ziandike kando ya sera, kwa sababu mtu atakayerithi usanidi atasoma fail-closed kama jambo kamili.
Kuunganisha upya na kuzuia pia ni udhibiti tofauti. Mteja anaweza kuunganisha upya kiotomatiki bila kuzuia kamwe, au kuzuia bila kuunganisha upya, na mchanganyiko huamua mtumiaji anapitia nini wakati wa kukatika.
Thibitisha wakati wa mpito
Kujaribu hali tulivu hakuthibitishi chochote. Angusha handaki kwa makusudi na ujaribu programu inayopaswa kulindwa, kisha angalia kama imefikia mtandao. Linganisha kiashiria cha mteja na matokeo, kwa sababu kiashiria kinachosema bado kimeunganishwa ndicho hali ambayo sera ipo kwa ajili yake. Ikiwa programu iliyolindwa itafanikiwa, jina la hali hiyo halijalishi; una uvujaji.
Rudia kutoka kuwasha baridi kabla ya kuingia, wakati wa kubadilika kutoka Wi-Fi kwenda mtandao wa simu, na programu iliyolindwa ikiwa nyuma. Ikiwa kizuizi kinatiekelezwa na mchakato wa mteja, jaribu pia kinachotokea mchakato huo unapouawa badala ya kufungwa vizuri.
Mwisho, angalia njia ya usafishaji. Ikiwa mteja ataondolewa wakati kanuni zake zinafanya kazi, tumia utaratibu wa uondoaji ulioandikwa na muuzaji badala ya kuzima ukuta wa moto wa mfumo wa uendeshaji, ambao huondoa ulinzi usiohusiana bila kujibu kanuni iliyobaki ni ya nani.