Аварыйны выключальнік у Windows без асобных праграм: профілі ці маршруты?

Профілі брандмаўэра ідуць за катэгорыяй сеткі, маршруты — за адаптарам. Параўнайце абодва падыходы, а потым праверце аварыйны выпадак, калі тунель знік, а значок падманвае.

Кліент падае пасярод загрузкі, і значок у лотку знікае. Перадача працягваецца праз хатняе злучэнне. Менавіта гэтая паслядоўнасць і ёсць прычына існавання аварыйнага выключальніка, і Windows можа наблізіцца да яго без другога прадукту.

Варта ведаць два метады. Яны адмаўляюць у розных месцах, і ні адзін не з’яўляецца поўным адказам.

Метад першы: дазволіць праграме толькі на адным профілі

Брандмаўэр Windows абмяжоўвае правілы профілямі Domain, Private і Public. Хітрасць у тым, каб даць тунельнаму адаптару адну катэгорыю, а фізічнаму — іншую. Затым вы пішаце зыходнае правіла, якое дазваляе абароненай праграме на профілі тунелю і блакуе яе ўсюды іншае. Брандмаўэр чытае катэгорыю, а не імя адаптара.

Спачатку ўсталюйце VPN-злучэнне на Private, а фізічную сетку на Public. Затым дадайце правіла блакавання для праграмы, якое дзейнічае на непатрэбных вам профілях. Пасля гэтага пацвердзіце прызначэнне праз Get-NetConnectionProfile, бо правіла ідзе менавіта за гэтым прызначэннем.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Слабасць структурная. Правіла профілю ідзе за катэгорыяй, таму калі Windows перакласіфікуе сетку ў гатэлі, блакаванне можа перастаць дзейнічаць. Нішто ў спісе правілаў пры гэтым не змяняецца.

Метад другі: выдаліць фізічны маршрут па змаўчанні

Падыход праз маршруты грубейшы і значна прасцейшы для аўдыту. Запішыце фізічны шлюз, дайце VPN усталяваць уласны маршрут па змаўчанні з ніжэйшай метрыкай, а затым выдаліце фізічны маршрут па змаўчанні. Пасля гэтага нішто іншае не зможа несці трафік.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Калі кліент падае, маршрут VPN сыходзіць разам са сваім адаптарам. Машына пераходзіць у аўтаномны рэжым замест уцечкі, і менавіта гэта павінен забяспечваць аварыйны выключальнік.

Дзве дэталі вызначаюць, ці пражыве гэта тыдзень. DHCP вяртае шлюз кожны раз, калі звяно дрыжыць. Фізічны адаптар са статычным адрасам пазбягае гэтага сюрпрызу. Адрас самога сервера VPN таксама мусіць заставацца дасяжным. Без гэтага шляху да хоста кліент ніколі не зможа зноў падключыцца пасля збою, які выклікаў блакаванне.

Метад трэці: без шлюза, адзін пастаянны маршрут да хоста

Трэці варыянт пачынаецца з ачысткі шлюза ў наладах адаптара. Затым яго замяняе адзіны пастаянны маршрут да канчатковай кропкі VPN. Пасля гэтага машына можа гаварыць з серверам і больш ні з чым, пакуль тунель не ўзнімецца.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Вяртанне шлюза вяртае звычайны інтэрнэт, што робіць гэта чыстым пераключальнікам уключэння і выключэння. Ён не залежыць ад скрыпта, які сочыць за падзеямі інтэрфейсу. Яму таксама не важна, як класіфікуецца сетка.

Кошт — поўная ізаляцыя, пакуль тунель не працуе. Абнаўленні спыняюцца, а разам з імі і тая самая загрузка, якая выклікала ўсё гэта. Для працоўнага ноўтбука гэта часта правільна, а на асабістай машыне гэта рашэнне, якое трэба прымаць свядома.

Чаму значок глобуса нічога не даказвае

Windows паведамляе пра дасяжнасць праз праверку супраць канчатковай кропкі Microsoft. Гэтая праверка нічога не кажа пра ваш тунель. Падключаны тунель можа стаяць за глобусам, які паведамляе пра адсутнасць інтэрнэту, а мёртвы можа паказваць здаровае злучэнне.

Праверце, забіўшы працэс кліента, а затым паспрабуйце дасягнуць публічнага адраса па нумары. Запыт імя можа быць адказаны з кэша, таму ні значок, ні адказ DNS не з’яўляюцца доказам.

Што запісаць пасля сапраўднага збою

Праводзьце тэст як паслядоўнасць, а не як адну праверку. Забіце працэс замест адключэння, а затым паспрабуйце лікавы адрас у абодвух сямействах. Пасля гэтага аднавіце кліент і пацвердзіце, што ён па-ранейшаму дасягае свайго сервера праз маршрут, які вы пакінулі.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Паўтарыце паслядоўнасць пасля сну, пасля змены Wi-Fi і пасля пераходу з кабеля на бесправод. Менавіта на гэтых пераходах адмаўляюць і метад профілю, і паводзіны DHCP. Правіла, якое трымаецца на стале, не абавязкова трымаецца ў гатэлі.

Запішыце крок адкату побач з кожным правілам і маршрутам. Microsoft апісвае стварэнне зыходных правілаў у даведніку па правілах брандмаўэра Windows, і гэта лепшая крыніца, чым падручнік з адных здымкаў экрана.

Падобныя артыкулы