Kill switch στα Windows χωρίς πρόσθετο λογισμικό: προφίλ ή διαδρομές;

Τα προφίλ του τείχους προστασίας ακολουθούν την κατηγορία του δικτύου, οι διαδρομές ακολουθούν τον προσαρμογέα. Συγκρίνετε και τα δύο και μετά δοκιμάστε την περίπτωση κατάρρευσης με τη σήραγγα χαμένη και το εικονίδιο να λέει ψέματα.

Ο πελάτης πεθαίνει στη μέση μιας λήψης και το εικονίδιο της δίσκου συστήματος εξαφανίζεται. Η μεταφορά συνεχίζεται μέσω της σύνδεσης του σπιτιού. Ακριβώς αυτή η αλληλουχία είναι ο λόγος που υπάρχει ένα kill switch, και τα Windows μπορούν να το προσεγγίσουν χωρίς δεύτερο προϊόν.

Δύο μέθοδοι αξίζει να τις γνωρίζετε. Αποτυγχάνουν σε διαφορετικά σημεία, και καμία δεν είναι πλήρης απάντηση.

Μέθοδος πρώτη: επιτρέψτε το πρόγραμμα σε ένα μόνο προφίλ

Το τείχος προστασίας των Windows περιορίζει τους κανόνες στα προφίλ Domain, Private και Public. Το κόλπο είναι να δώσετε στον προσαρμογέα της σήραγγας μία κατηγορία και στον φυσικό προσαρμογέα άλλη. Έπειτα γράφετε έναν κανόνα εξερχόμενης κίνησης που επιτρέπει το προστατευμένο πρόγραμμα στο προφίλ της σήραγγας και το μπλοκάρει παντού αλλού. Το τείχος προστασίας διαβάζει την κατηγορία, όχι το όνομα του προσαρμογέα.

Ορίστε πρώτα τη σύνδεση VPN σε Private και το φυσικό δίκτυο σε Public. Έπειτα προσθέστε έναν κανόνα αποκλεισμού για το πρόγραμμα που ισχύει για τα προφίλ που δεν θέλετε. Στη συνέχεια επιβεβαιώστε την ανάθεση με Get-NetConnectionProfile, γιατί ο κανόνας ακολουθεί ακριβώς αυτή την ανάθεση.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Η αδυναμία είναι δομική. Ένας κανόνας προφίλ ακολουθεί την κατηγορία, οπότε όταν τα Windows επανακατατάσσουν ένα δίκτυο ξενοδοχείου, ο αποκλεισμός μπορεί να πάψει να ισχύει. Τίποτα στη λίστα κανόνων δεν αλλάζει όταν συμβεί αυτό.

Μέθοδος δεύτερη: αφαιρέστε την φυσική προεπιλεγμένη διαδρομή

Η προσέγγιση με διαδρομές είναι πιο χοντροκομμένη και πολύ ευκολότερη στον έλεγχο. Σημειώστε την φυσική πύλη, αφήστε το VPN να εγκαταστήσει τη δική του προεπιλεγμένη διαδρομή με χαμηλότερη μετρική και μετά διαγράψτε τη φυσική προεπιλεγμένη. Τίποτα άλλο δεν μπορεί τότε να μεταφέρει κίνηση.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Όταν ο πελάτης πεθάνει, η διαδρομή του VPN φεύγει μαζί με τον προσαρμογέα της. Το μηχάνημα πηγαίνει εκτός σύνδεσης αντί να διαρρεύσει, και αυτό ακριβώς πρέπει να παράγει ένα kill switch.

Δύο λεπτομέρειες κρίνουν αν θα αντέξει μια εβδομάδα. Το DHCP επαναφέρει την πύλη κάθε φορά που ο σύνδεσμος τρεμοπαίζει. Ένας φυσικός προσαρμογέας με στατική διεύθυνση αποφεύγει αυτή την έκπληξη. Η διεύθυνση του ίδιου του διακομιστή VPN πρέπει επίσης να παραμείνει προσβάσιμη. Χωρίς αυτή τη διαδρομή προς τον κεντρικό υπολογιστή ο πελάτης δεν μπορεί ποτέ να επανασυνδεθεί μετά την πτώση που ενεργοποίησε τον αποκλεισμό.

Μέθοδος τρίτη: χωρίς πύλη, μία μόνιμη διαδρομή προς τον κεντρικό

Η τρίτη επιλογή ξεκινά καθαρίζοντας την πύλη από τις ρυθμίσεις του προσαρμογέα. Έπειτα μια μόνη μόνιμη διαδρομή προς το τελικό σημείο του VPN την αντικαθιστά. Το μηχάνημα μπορεί τότε να μιλά με τον διακομιστή και με τίποτα άλλο μέχρι να σηκωθεί η σήραγγα.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Η επαναφορά της πύλης επαναφέρει το συνηθισμένο διαδίκτυο, κάτι που το κάνει καθαρό διακόπτη ενεργοποίησης και απενεργοποίησης. Δεν εξαρτάται από σενάριο που παρακολουθεί συμβάντα διεπαφής. Δεν το ενδιαφέρει επίσης πώς κατηγοριοποιείται το δίκτυο.

Το κόστος είναι πλήρης απομόνωση όσο η σήραγγα είναι κάτω. Οι ενημερώσεις σταματούν, και μαζί τους και η ίδια η λήψη που προκάλεσε την άσκηση. Σε φορητό εργασίας αυτό είναι συχνά σωστό, ενώ σε προσωπικό μηχάνημα είναι απόφαση που λαμβάνεται συνειδητά.

Γιατί το εικονίδιο της υδρογείου δεν αποδεικνύει τίποτα

Τα Windows αναφέρουν την προσβασιμότητα μέσω ανιχνευτή προς ένα τελικό σημείο της Microsoft. Αυτός ο ανιχνευτής δεν λέει τίποτα για τη σήραγγά σας. Μια συνδεδεμένη σήραγγα μπορεί να κάθεται πίσω από υδρόγειο που αναφέρει ότι δεν υπάρχει διαδίκτυο, και μια νεκρή μπορεί να δείχνει υγιή σύνδεση.

Δοκιμάστε σκοτώνοντας τη διεργασία του πελάτη και μετά προσπαθήστε να φτάσετε μια δημόσια διεύθυνση με αριθμό. Μια αναζήτηση ονόματος μπορεί να απαντηθεί από την προσωρινή μνήμη, οπότε ούτε το εικονίδιο ούτε μια απάντηση DNS είναι απόδειξη.

Τι να καταγράψετε μετά από πραγματική πτώση

Εκτελέστε τη δοκιμή ως αλληλουχία και όχι ως έναν έλεγχο. Σκοτώστε τη διεργασία αντί να αποσυνδέσετε και μετά δοκιμάστε μια αριθμητική διεύθυνση και στις δύο οικογένειες. Επαναφέρετε μετά τον πελάτη και επιβεβαιώστε ότι φτάνει ακόμη τον δικό του διακομιστή μέσω της διαδρομής που κρατήσατε.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Επαναλάβετε την αλληλουχία μετά την αναστολή, μετά από αλλαγή Wi-Fi και μετά από μετάβαση από καλώδιο σε ασύρματο. Αυτές οι μεταβάσεις είναι όπου αποτυγχάνουν και η μέθοδος προφίλ και η συμπεριφορά του DHCP. Ένας κανόνας που αντέχει σε γραφείο δεν αντέχει απαραίτητα σε ξενοδοχείο.

Γράψτε το βήμα αναίρεσης δίπλα σε κάθε κανόνα και διαδρομή. Η Microsoft τεκμηριώνει τη δημιουργία εξερχόμενων κανόνων στην αναφορά της για τους κανόνες του τείχους προστασίας των Windows, και αυτή είναι καλύτερη πηγή από έναν οδηγό μόνο με στιγμιότυπα οθόνης.

Σχετικά άρθρα