Kill switch ve Windows bez dalšího softwaru: profily, nebo trasy?

Profily brány firewall sledují kategorii sítě, trasy sledují adaptér. Porovnejte obojí a potom otestujte případ pádu, kdy tunel zmizí a ikona lže.

Klient umře uprostřed stahování a ikona v oznamovací oblasti zmizí. Přenos pokračuje přes domácí připojení. Právě tato posloupnost je důvodem, proč kill switch existuje, a Windows se mu umí přiblížit bez druhého produktu.

Stojí za to znát dvě metody. Selhávají na různých místech a ani jedna není úplná odpověď.

Metoda první: povolit program jen v jednom profilu

Brána firewall Windows omezuje pravidla na profily Domain, Private a Public. Trik spočívá v tom dát tunelovému adaptéru jednu kategorii a fyzickému adaptéru jinou. Potom napíšete odchozí pravidlo, které chráněný program povolí v profilu tunelu a všude jinde ho zablokuje. Brána firewall čte kategorii, ne název adaptéru.

Nejprve nastavte připojení VPN na Private a fyzickou síť na Public. Pak přidejte pravidlo blokování pro program, které platí pro profily, jež nechcete. Poté přidělení potvrďte pomocí Get-NetConnectionProfile, protože pravidlo sleduje právě toto přidělení.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Slabina je strukturální. Pravidlo profilu sleduje kategorii, takže když Windows překlasifikuje hotelovou síť, blokování může přestat platit. V seznamu pravidel se přitom nic nezmění.

Metoda druhá: odebrat fyzickou výchozí trasu

Přístup přes trasy je hrubší a mnohem snáze auditovatelný. Poznamenejte si fyzickou bránu, nechte VPN nainstalovat vlastní výchozí trasu s nižší metrikou a potom fyzickou výchozí trasu smažte. Nic jiného už provoz neunese.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Když klient umře, trasa VPN odejde se svým adaptérem. Stroj přejde do režimu offline místo toho, aby unikal, a přesně to má kill switch způsobit.

O tom, zda to vydrží týden, rozhodují dva detaily. DHCP vrátí bránu pokaždé, když spojení zakolísá. Fyzický adaptér se statickou adresou tomu překvapení předejde. Adresa samotného serveru VPN musí také zůstat dostupná. Bez této cesty k hostiteli se klient po výpadku, který blokování spustil, už nikdy nepřipojí.

Metoda třetí: žádná brána, jedna trvalá trasa k hostiteli

Třetí možnost začíná vymazáním brány v nastavení adaptéru. Potom ji nahradí jediná trvalá trasa ke koncovému bodu VPN. Stroj pak může mluvit se serverem a s ničím jiným, dokud tunel nenaběhne.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Obnovení brány obnoví běžný internet, což z toho dělá čistý vypínač. Nezávisí na skriptu, který sleduje události rozhraní. Také mu nevadí, jak je síť zařazena.

Cenou je úplná izolace, dokud tunel neběží. Aktualizace se zastaví a s nimi i právě to stahování, které celé cvičení vyvolalo. U pracovního notebooku je to často správné, na osobním stroji je to rozhodnutí, které je třeba udělat vědomě.

Proč ikona zeměkoule nic nedokazuje

Windows hlásí dostupnost pomocí sondy proti koncovému bodu Microsoftu. Ta sonda o vašem tunelu neříká nic. Připojený tunel může sedět za zeměkoulí, která hlásí žádný internet, a mrtvý tunel může ukazovat zdravé připojení.

Otestujte to zabitím procesu klienta a potom zkuste dosáhnout veřejné adresy podle čísla. Dotaz na jméno může být zodpovězen z mezipaměti, takže ani ikona, ani odpověď DNS nejsou důkaz.

Co zaznamenat po skutečném výpadku

Proveďte test jako posloupnost, ne jako jedinou kontrolu. Zabijte proces místo odpojení a potom zkuste číselnou adresu v obou rodinách. Poté klienta obnovte a potvrďte, že se stále dostane na svůj server přes trasu, kterou jste ponechali.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Posloupnost zopakujte po spánku, po změně Wi-Fi a po přechodu z kabelu na bezdrát. Právě v těchto přechodech selhává metoda profilu i chování DHCP. Pravidlo, které drží na stole, nemusí držet v hotelu.

Krok vrácení napište vedle každého pravidla a trasy. Microsoft dokumentuje vytváření odchozích pravidel ve své referenci pravidel brány firewall Windows, a to je lepší zdroj než návod jen ze snímků obrazovky.

Související články