Kill switch yn Windows heb feddalwedd ychwanegol: proffiliau neu lwybrau?

Mae proffiliau’r mur cadarn yn dilyn categori’r rhwydwaith, mae llwybrau yn dilyn y addasydd. Cymharwch y ddau, yna profwch yr achos chwalu gyda’r twnnel wedi mynd a’r eicon yn dweud celwydd.

Mae’r cleient yn marw yng nghanol lawrlwytho ac mae eicon y hambwrdd yn diflannu. Mae’r trosglwyddiad yn parhau dros y cysylltiad cartref. Y dilyniant hwnnw yw’r rheswm dros fod kill switch yn bodoli, a gall Windows ddynesu at un heb ail gynnyrch.

Mae dau ddull yn werth eu gwybod. Maent yn methu mewn gwahanol leoedd, ac nid yw’r naill na’r llall yn ateb cyflawn.

Dull un: caniatáu’r rhaglen ar un proffil yn unig

Mae mur cadarn Windows yn cyfyngu rheolau i’r proffiliau Domain, Private a Public. Y tric yw rhoi un categori i’r addasydd twnnel a chategori arall i’r addasydd corfforol. Yna byddwch yn ysgrifennu rheol allan sy’n caniatáu’r rhaglen warchodedig ar broffil y twnnel ac yn ei rhwystro ym mhob man arall. Mae’r mur cadarn yn darllen y categori, nid enw’r addasydd.

Gosodwch y cysylltiad VPN i Private a’r rhwydwaith corfforol i Public yn gyntaf. Yna ychwanegwch reol rwystro ar gyfer y rhaglen sy’n berthnasol i’r proffiliau nad ydych eu heisiau. Cadarnhewch y neilltuad wedyn gyda Get-NetConnectionProfile, oherwydd y neilltuad hwnnw yw’r hyn y mae’r rheol yn ei ddilyn.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Mae’r gwendid yn strwythurol. Mae rheol proffil yn dilyn y categori, felly pan fydd Windows yn ailddosbarthu rhwydwaith gwesty gall y rhwystr roi’r gorau i fod yn berthnasol. Nid oes dim yn newid yn y rhestr reolau pan fydd hynny’n digwydd.

Dull dau: tynnu’r llwybr diofyn corfforol

Mae’r dull llwybrau yn fwy diflewyn ac yn haws o lawer i’w archwilio. Nodwch y giât corfforol, gadewch i’r VPN osod ei lwybr diofyn ei hun gyda metrig is, yna dilëwch y llwybr diofyn corfforol. Nid oes dim arall yn gallu cario traffig wedyn.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Pan fydd y cleient yn marw, mae llwybr y VPN yn gadael gyda’i addasydd. Mae’r peiriant yn mynd all-lein yn lle gollwng, a dyna’r union beth y dylai kill switch ei gynhyrchu.

Mae dau fanylyn yn penderfynu a fydd yn goroesi wythnos. Mae DHCP yn rhoi’r giât yn ôl pryd bynnag y bydd’r cyswllt yn crynu. Mae addasydd corfforol â chyfeiriad statig yn osgoi’r syndod hwnnw. Rhaid i gyfeiriad y gweinydd VPN ei hun aros yn gyrraeddadwy hefyd. Heb y llwybr hwnnw at y gwesteiwr ni all y cleient ailgysylltu byth ar ôl y cwymp a sbardunodd y rhwystr.

Dull tri: dim giât, un llwybr gwesteiwr parhaus

Mae’r trydydd opsiwn yn dechrau trwy glirio’r giât o osodiadau’r addasydd. Yna mae un llwybr parhaus i bwynt terfyn y VPN yn ei ddisodli. Gall y peiriant wedyn siarad â’r gweinydd ac â dim byd arall nes bod y twnnel yn codi.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Mae adfer y giât yn adfer y rhyngrwyd arferol, sy’n ei wneud yn switsh ymlaen ac i ffwrdd glân. Nid yw’n dibynnu ar sgript sy’n gwylio digwyddiadau rhyngwyneb. Nid yw chwaith yn poeni sut y caiff y rhwydwaith ei gategoreiddio.

Y gost yw ynysu llwyr tra bod y twnnel i lawr. Mae diweddariadau yn stopio, a’r un modd y lawrlwytho a ysgogodd yr ymarferiad. Ar liniadur gwaith mae hynny’n aml yn gywir, tra ar beiriant personol mae’n benderfyniad i’w wneud yn fwriadol.

Pam nad yw eicon y glôb yn profi dim

Mae Windows yn adrodd cyrraeddadwyedd drwy archwiliad yn erbyn pwynt terfyn Microsoft. Nid yw’r archwiliad hwnnw’n dweud dim am eich twnnel. Gall twnnel cysylltiedig eistedd y tu ôl i glôb sy’n adrodd nad oes rhyngrwyd, a gall un marw ddangos cysylltiad iach.

Profwch drwy ladd proses y cleient ac yna ceisiwch gyrraedd cyfeiriad cyhoeddus drwy rif. Gellir ateb ymholiad enw o’r storfa, felly nid yw’r eicon na’r ateb DNS yn dystiolaeth.

Beth i’w gofnodi ar ôl cwymp go iawn

Rhedwch y prawf fel dilyniant yn hytrach nag un gwiriad. Lladdwch y broses yn lle datgysylltu, yna triwch gyfeiriad rhifiadol ar y ddwy deulu. Adferwch y cleient wedyn a chadarnhewch y gall gyrraedd ei weinydd ei hun drwy’r llwybr a gadwoch.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Ailadroddwch y dilyniant ar ôl cwsg, ar ôl newid Wi-Fi ac ar ôl symud o gebl i ddi-wifr. Y trosglwyddiadau hynny yw’r man lle mae dull y proffil ac ymddygiad DHCP ill dau yn methu. Nid yw rheol sy’n dal ar ddesg o reidrwydd yn dal mewn gwesty.

Ysgrifennwch y cam dadwneud wrth bob rheol a llwybr. Mae Microsoft yn dogfennu creu rheolau allan yn ei gyfeirlyfr rheolau mur cadarn Windows, ac mae hwnnw’n ffynhonnell well na chanllaw o sgrinluniau’n unig.

Erthyglau cysylltiedig