Fail-open yoki fail-closed: VPN himoya kaliti nimani hal qiladi
Ikkala atama ham tunnel yo'qolgandan keyin nima bo'lishini tasvirlaydi, shifrlash qanchalik kuchli ekanini emas. Tanlagan qamrovingiz trafik haqiqatan oqib chiqishini hal qiladi.
Afsona shundaki, fail-closed xavfsiz sozlama, fail-open esa beparvo sozlama. Ikkalasi ham tunnel yo'qolgandan keyin trafikka nima bo'lishini tasvirlaydi va hech biri bu tunnelning qanchalik yaxshi shifrlashini o'zgartirmaydi. Uzoq istisnolar ro'yxatiga ega fail-closed siyosati ofis tarmog'idan hech qachon chiqmaydigan qurilmada fail-open siyosatidan ko'proq oqib chiqishi mumkin. Trafik egasiga tushuntira oladigan natijani tanlang.
Yorliq natijani tasvirlaydi, kuchni emas
Atamalar boshqaruv tizimlaridan kelgan: fail-open komponent ishdan chiqqanda ishlashga ruxsat beradi, fail-closed uni rad etadi. VPNga qo'llanganda ishdan chiqadigan komponent tunneldir va savol trafikning boshqa yo'l bilan davom etishiga ruxsat berilganmi. Shifr tanlovi, kalit uzunligi va protokol alohida qarorlar.
Chalkashlik davom etadi, chunki himoya kaliti xavfsizlik funksiyasidek eshitiladi va sotuvchilar uni shunday reklama qiladi. Mexanik jihatdan bu tunnel olib o'tishi kerak bo'lgan trafikni to'sadigan marshrutlash va xavfsizlik devori qoidasi bo'lib, mijozda, operatsion tizimda yoki shlyuzda amalga oshiriladi. Qaysi qatlam uni bajarishidan qat'i nazar, u qamrovni ham belgilaydi va bir qatlamdagi qoida boshqasini qoplamaydi. Shlyuzdagi qoida allaqachon boshqa tarmoqqa o'tgan noutbukni himoya qila olmaydi.
Har bir natija qanday ko'rinadi
Bir xil siyosat qaysi nosozlikka duch kelishingizga qarab juda boshqacha tutishi mumkin, shuning uchun yorliqlarni emas, hodisalarni solishtiring.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Oxirgi qator himoya kalitini bitta kalit deb o'ylaydiganlarni ushlaydigan qatordir. IPv4 marshrut jadvali uchun yozilgan qoida IPv6 standart marshrutini tegmasdan qoldiradi va dastur undan bemalol foydalanishi mumkin.
Oqib chiqishini qamrov hal qiladi
Qaysi rejim ekanini so'rashdan oldin siyosat nimani qamrab olishini so'rang. Har bir dastur uchun qoida bitta dasturni himoya qiladi va boshqa hech narsani, qurilma bo'ylab qoida istisnolardan tashqari hammasini, shlyuz qoidasi esa faqat shu shlyuzga yetib boradigan trafikni himoya qiladi. DNS o'z qarorini talab qiladi, chunki mahalliy hal qiluvchiga yuborilgan so'rov yuk bloklangan bo'lsa ham nomlarni oshkor qilishi mumkin.
Mahalliy tarmoq istisnolari printerlar, ekran uzatish va kirish portallari uchun mavjud va har biri blokdagi teshikdir. Ularni siyosat yonida hujjatlashtiring, aks holda konfiguratsiyani meros olgan kishi fail-closedni mutlaq deb o'qiydi.
Qayta ulanish va bloklash ham alohida boshqaruvlardir. Mijoz hech qachon bloklamasdan avtomatik qayta ulanishi yoki qayta ulanmasdan bloklashi mumkin, kombinatsiya esa uzilish paytida foydalanuvchi nimani boshdan kechrashini belgilaydi.
Buni o'tish paytida isbotlang
Barqaror holatni sinash hech narsani isbotlamaydi. Tunnelni ataylab uzib, himoyalanishi kerak bo'lgan dasturni sinab ko'ring, so'ng u tarmoqqa yetib borganini tekshiring. Mijoz indikatorini natija bilan solishtiring, chunki hanuz ulangan deb turgan indikator aynan shu siyosat mavjud bo'lgan holatdir. Himoyalangan dastur muvaffaqiyat qozonsa, rejim nomi muhim emas; sizda oqish bor.
Kirishdan oldin sovuq yuklashdan takrorlang, Wi-Fi'dan uyali tarmoqqa o'tishda va himoyalangan dastur fonda bo'lganda. Agar bloklashni mijoz jarayoni amalga oshirsa, o'sha jarayon toza yopilish o'rniga o'ldirilganda nima bo'lishini ham sinab ko'ring.
Va nihoyat, tozalash yo'lini tekshiring. Agar mijoz qoidalari faol bo'lganda o'chirilsa, operatsion tizim xavfsizlik devorini o'chirish o'rniga sotuvchining hujjatlashtirilgan olib tashlash tartibidan foydalaning, chunki xavfsizlik devorini o'chirish aloqasiz himoyani olib tashlaydi va qolgan qoida kimga tegishli degan savolga javob bermaydi.