Fail-open mı fail-closed mı: VPN kill switch neyi belirler
İki terim de tünel gittiğinde ne olduğunu anlatır, şifrelemenin ne kadar güçlü olduğunu değil. Seçtiğiniz kapsam trafiğin gerçekten sızıp sızmadığını belirler.
Efsane, fail-closed'un güvenli ayar, fail-open'un ise dikkatsiz ayar olduğudur. İkisi de tünel gittikten sonra trafiğe ne olduğunu anlatır ve ikisi de o tünelin ne kadar iyi şifrelediğini değiştirmez. Uzun istisna listesi olan bir fail-closed politikası, ofis ağından hiç çıkmayan bir cihazda fail-open politikasından daha fazla sızabilir. Trafiğin sahibine açıklayabileceğiniz sonucu seçin.
Etiket bir sonucu anlatır, gücü değil
Sözlük kontrol sistemlerinden gelir: fail-open bir bileşen arızalandığında çalışmaya izin verir, fail-closed reddeder. VPN'e uygulandığında arızalanan bileşen tüneldir ve soru trafiğin başka bir yoldan devam etmesine izin verilip verilmediğidir. Şifre seçimi, anahtar uzunluğu ve protokol ayrı kararlardır.
Karışıklık sürüyor çünkü kill switch bir güvenlik özelliği gibi kulağa geliyor ve satıcılar onu öyle pazarlıyor. Mekanik olarak bu, tünelin taşıması gereken trafiği engelleyen bir yönlendirme ve güvenlik duvarı kuralıdır; istemcide, işletim sisteminde veya ağ geçidinde uygulanır. Hangi katman uygularsa uygulasın kapsamını da o tanımlar ve bir katmandaki kural diğerini kapsamaz. Ağ geçidindeki bir kural, çoktan başka bir ağa geçmiş bir dizüstü bilgisayarı koruyamaz.
Her sonuç nasıl görünür
Aynı politika, hangi arızayla karşılaştığınıza bağlı olarak çok farklı davranabilir, bu yüzden etiketleri değil olayları karşılaştırın.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Son satır, kill switch'in tek bir anahtar olduğunu varsayanları yakalayan satırdır. IPv4 yönlendirme tablosu için yazılmış bir kural, IPv6 varsayılan rotasını dokunulmadan bırakır ve uygulama onu seve seve kullanabilir.
Sızıp sızmadığını kapsam belirler
Hangi mod olduğunu sormadan önce politikanın neyi kapsadığını sorun. Uygulama başına bir kural tek bir uygulamayı korur ve başka hiçbir şeyi, cihaz genelindeki kural istisnalar dışında her şeyi korur ve ağ geçidindeki kural yalnızca o ağ geçidine ulaşan trafiği korur. DNS kendi kararını gerektirir, çünkü yerel bir çözümleyiciye gönderilen sorgu, yük engellenmiş olsa bile adları açığa çıkarabilir.
Yerel ağ istisnaları yazıcılar, ekran yayını ve captive portallar için vardır ve her biri engeldeki bir deliktir. Bunları politikanın yanında belgeleyin, çünkü yapılandırmayı devralan kişi aksi halde fail-closed'u mutlak olarak okur.
Yeniden bağlanma ve engelleme de ayrı kontrollerdir. İstemci hiç engellemeden otomatik yeniden bağlanabilir veya yeniden bağlanmadan engelleyebilir ve kombinasyon, kullanıcının kesinti sırasında ne yaşadığını belirler.
Bunu bir geçiş sırasında kanıtlayın
Kararlı durumu test etmek hiçbir şeyi kanıtlamaz. Tüneli bilerek düşürün ve korunması gereken uygulamayı deneyin, ardından ağa ulaşıp ulaşmadığını kontrol edin. İstemcinin göstergesini sonuçla karşılaştırın, çünkü hâlâ bağlı diyen bir gösterge tam olarak bu politikanın var olma nedenidir. Korumalı uygulama başarılı olursa modun adı önemli değildir; bir sızıntınız var.
Oturum açmadan önce soğuk açılıştan yineleyin, Wi-Fi'den hücresel ağa geçerken ve korumalı uygulama arka planda çalışırken. Engellemeyi istemci süreci uyguluyorsa, o süreç düzgün kapatılmak yerine öldürüldüğünde ne olduğunu da test edin.
Son olarak temizleme yolunu kontrol edin. Bir istemci kuralları etkinken kaldırılırsa, işletim sisteminin güvenlik duvarını devre dışı bırakmak yerine satıcının belgelenmiş kaldırma prosedürünü kullanın; güvenlik duvarını kapatmak ilgisiz korumayı kaldırır ve kalan kuralın kime ait olduğu sorusuna yanıt vermez.