Windows-da əlavə proqram olmadan kill switch: profillər yoxsa marşrutlar?

Firewall profilləri şəbəkənin kateqoriyasını, marşrutlar isə adapteri izləyir. İkisini də müqayisə edin, sonra tunel getdiyi və ikon yalan dediyi halda qəza ssenarisini sınayın.

Klient yükləmənin ortasında ölür və sistem tepsisinin ikonu yox olur. Ötürmə ev bağlantısı üzərindən davam edir. Bu ardıcıllıq kill switch-in mövcud olmasının səbəbidir və Windows ikinci məhsul olmadan onu təxmin edə bilər.

Bilməyə dəyər iki üsul var. Onlar müxtəlif yerlərdə uğursuz olur və heç biri tam cavab deyil.

Birinci üsul: proqrama yalnız bir profildə icazə verin

Windows Firewall qaydaları Domain, Private və Public profilləri ilə məhdudlaşdırır. Hiylə tunel adapterinə bir kateqoriya, fiziki adapterə isə başqa bir kateqoriya verməkdir. Sonra qorunan proqrama tunel profilində icazə verən və hər yerdə başqa onu bloklayan gedən qayda yazırsınız. Firewall adapterin adını deyil, kateqoriyanı oxuyur.

Əvvəlcə VPN bağlantısını Private, fiziki şəbəkəni isə Public olaraq təyin edin. Sonra istəmədiyiniz profillərə aid olan blok qaydasını proqram üçün əlavə edin. Sonra təyinatı Get-NetConnectionProfile ilə təsdiqləyin, çünki qayda məhz bu təyinatı izləyir.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Zəiflik strukturdadır. Profil qaydası kateqoriyanı izləyir, ona görə Windows otel şəbəkəsini yenidən təsnif etdikdə blok tətbiq olunmaqdan çıxa bilər. Bu baş verdikdə qaydalar siyahısında heç nə dəyişmir.

İkinci üsul: fiziki standart marşrutu silin

Marşrut yanaşması daha kobud və audit üçün çox daha asandır. Fiziki şlüzü qeyd edin, VPN öz standart marşrutunu daha aşağı metrika ilə qursun, sonra fiziki standart marşrutu silin. Bundan sonra trafiki başqa heç nə daşıya bilməz.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Klient öldükdə VPN marşrutu adapteri ilə birlikdə gedir. Maşın sızmaq əvəzinə oflayn olur və kill switch-in istehsal etməli olduğu şey məhz budur.

Bir həftə dayanıb-dayanmayacağını iki detal həll edir. Əlaqə tərəddüd etdikcə DHCP şlüzü geri qaytarır. Statik ünvanlı fiziki adapter bu sürprizdən qaçır. VPN serverinin öz ünvanı da əlçatan qalmalıdır. Həmin host marşrutu olmadan klient bloku tetikləyən kəsintidən sonra heç vaxt yenidən qoşula bilməz.

Üçüncü üsul: şlüz yoxdur, bir daimi host marşrutu var

Üçüncü seçim adapter ayarlarından şlüzü təmizləməklə başlayır. Sonra VPN son nöqtəsinə tək bir daimi marşrut onu əvəz edir. Bundan sonra maşın tunel qalxana qədər serverlə danışa bilər və başqa heç nə ilə danışa bilməz.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Şlüzü bərpa etmək adi interneti bərpa edir və bu, onu təmiz bir açma-söndürmə açarına çevirir. O, interfeys hadisələrini izləyən skriptdən asılı deyil. Şəbəkənin necə təsnif edildiyi də onun üçün fərq etmir.

Qiymət tunel işləmədiyi müddətdə tam təcriddir. Yeniləmələr dayanır, eləcə də bu məşqi doğuran yükləmə özü dayanır. İş noutbuku üçün bu çox vaxt düzgündür, şəxsi maşında isə qəsdən verilən qərardır.

Niyə qlobus ikonu heç nəyi sübut etmir

Windows əlçatanlığı Microsoft son nöqtəsinə qarşı sınaqla bildirir. Bu sınaq tuneliniz haqqında heç nə demir. Qoşulmuş tunel internet olmadığını bildirən qlobusun arxasında dayana bilər, ölü tunel isə sağlam bağlantı göstərə bilər.

Klient prosesini öldürməklə sınayın və sonra rəqəmlə ictimai ünvana çatmağa çalışın. Ad sorğusu keşdən cavablandırıla bilər, ona görə nə ikon, nə də DNS cavabı sübut deyil.

Həqiqi kəsintidən sonra nə qeyd etmək lazımdır

Testi tək yoxlama kimi deyil, ardıcıllıq kimi aparın. Ayırmaq əvəzinə prosesi öldürün, sonra hər iki ailədə rəqəmsal ünvanı sınayın. Sonra klienti bərpa edin və saxladığınız marşrutla öz serverinə hələ də çata bildiyini təsdiqləyin.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Ardıcıllığı yuxudan sonra, Wi-Fi dəyişikliyindən sonra və kabeldən simsizə keçiddən sonra təkrarlayın. Profil üsulu ilə DHCP davranışının hər ikisinin uğursuz olduğu yerlər məhz bu keçidlərdir. Masada işləyən qayda oteldə mütləq işləmir.

Hər qayda və marşrutun yanında geri qaytarma addımını yazın. Microsoft çıxan qaydaların yaradılmasını Windows Firewall qaydaları məlumat bazasında sənədləşdirir və bu, yalnız ekran şəkillərindən ibarət bələdçidən daha yaxşı mənbədir.

Əlaqəli məqalələr