Kill Switch in der App vs. Firewall-Kill-Switch: Was jeder blockiert

Ein Kill Switch auf einer Funktionsliste sagt fast nichts darüber aus, was passiert, wenn der Tunnel wegbricht. Eine Implementierung schließt ausgewählte Prozesse, eine andere installiert Paketfilter an der Grenze des Betriebssystems, und eine dritte versucht einfach, die Verbindung wiederherzustellen. Der Unterschied zeigt sich in den Sekunden nach einem Ausfall, nicht auf dem Einstellungsbildschirm. Gehen Sie diese Prüfungen der Reihe nach durch und halten Sie bei der ersten an, die Sie nicht ehrlich beantworten können, denn dort endet Ihre tatsächliche Abdeckung.

Nennen Sie zuerst den Durchsetzungsmechanismus

Prozessbeendigung ist eine Funktion des Anwendungslebenszyklus. Sie findet ausgewählte Programme nach einem erkannten Tunnelausfall und schließt sie. Alles, was nicht der Hauptprozess ist, überlebt: Hilfsdienste, Hintergrundsynchronisierung und jede Anwendung, die eine Sekunde später gestartet wird, haben ihren eigenen Lebenszyklus und ihr eigenes Timing.

Paketfilterung ist eine Funktion des Betriebssystems. Sie verweigert Datenverkehr, der nicht dem erlaubten Pfad folgt, was ein stärkeres Versprechen ist, aber nur soweit die Regel tatsächlich greift. Adressfamilie, Schnittstelle, ausgeschlossene Anwendungen und Ausnahmen entscheiden darüber, nicht das Etikett im Client.

Überlebt die Sperre den Client?

Stellen Sie vier Fragen in dieser Reihenfolge: Was passiert bei einem Absturz, beim manuellen Beenden, bei der Abmeldung und beim Neustart. Eine Regel, die der Client selbst pflegt, wird bei einem ordentlichen Herunterfahren normalerweise entfernt und bleibt häufig nach einem Absturz zurück. Eine Regel, die im Plattformspeicher installiert ist, kann sich umgekehrt verhalten und sowohl den Client als auch gelegentlich die Deinstallation überleben.

Beenden Sie den Client mitten in einem langen Download und beobachten Sie, ob die Übertragung stockt oder weiterläuft.

Suchen Sie die üblichen Lücken

IPv6 ist die erste. Eine für IPv4-Adressen geschriebene Regel lässt IPv6-Verkehr unberührt, und viele Clients schreiben nur die v4-Hälfte. Die zweite ist die Schnittstelle: USB-Tethering, ein zweiter Wi-Fi-Adapter und ein Mobilfunkmodem sind vielleicht nicht in einer Regel enthalten, die auf die primäre Verbindung beschränkt ist. Ausgeschlossene Anwendungen und Ausnahmen für das lokale Netzwerk sind die dritte.

Unter Windows können Sie die installierten Regeln lesen, statt dem Schalter zu vertrauen: Get-NetFirewallRule -DisplayName '*VPN*' und netsh wfp show filters zeigen beide, was existiert. Unter Linux decken iptables -S, ip6tables -S und nft list ruleset die üblichen Fälle ab, und alle drei zu vergleichen ist der Punkt.

DNS ist das übliche Leck

TCP zu blockieren, während UDP 53 offen bleibt, verschafft Ihnen einen sehr überzeugenden Kill Switch, der weiterhin jede Hostnamen-Abfrage beantwortet. Dasselbe gilt, wenn DNS an einen Resolver auf einer anderen Schnittstelle übergeben wird oder wenn der Client nur v4 blockiert und der Resolver über v6 erreichbar ist.

Bei ausgefallenem Tunnel lösen Sie einen bekannten Namen auf und sehen Sie, ob eine Antwort zurückkommt. Wenn ja, ist der Datenverkehr nicht vollständig blockiert, egal was das Statussymbol sagt.

Testen Sie den Übergang, nicht den Schalter

Das VPN über sein eigenes Menü auszuschalten ist ein ordentliches Herunterfahren, und den ordentlichen Fall beherrscht jede Implementierung gut. Der Übergang, auf den es ankommt, ist der ruppige: Töten Sie den Tunnelprozess, ziehen Sie das Netzwerk, lassen Sie den Server aufhören zu antworten. Starten Sie dann eine Anfrage und beobachten Sie, ob sie scheitert oder stillschweigend die physische Verbindung nutzt.

Ein Ergebnis von einem Laptop lässt sich nicht auf ein Telefon oder einen Router übertragen. Andere Plattform-APIs, andere Voreinstellungen, und unter Android ist der Unterschied krass: Always-on mit Blockierung wird vom System statt vom Client durchgesetzt, funktioniert also weiter, wenn der Client es nicht tut. Die Android-VPN-Anleitung beschreibt diese Trennung.

Halten Sie sich einen Weg zurück offen

Blockierung auf Systemebene hat den umgekehrten Fehlermodus. Filter, die den Client überleben, können einen Rechner nach einer Deinstallation ganz ohne Netzwerk zurücklassen, was ein Supportanruf ohne offensichtliche Ursache ist. Bevor Sie einen Kill Switch aktivieren, der Plattformregeln schreibt, notieren Sie, wie er entfernt wird, und halten Sie den Reparaturpfad des Herstellers dort greifbar.

Wenn Sie die Absturz-, IPv6-, DNS- und Übergangsprüfungen für Ihren Client nicht beantworten können, behandeln Sie ihn als Schalter auf App-Ebene mit bekannten Lücken und planen Sie entsprechend.