Kill switch Windowsis ilma lisatarkvarata: profiilid või marsruudid?

Tulemüüri profiilid järgivad võrgu kategooriat, marsruudid järgivad adapterit. Võrrelge mõlemat ja proovige siis krahhi juhtumit, kui tunnel on kadunud ja ikoon valetab.

Klient sureb keset allalaadimist ja süsteemisalve ikoon kaob. Ülekanne jätkub koduse ühenduse kaudu. Just see järjestus on põhjus, miks kill switch olemas on, ja Windows suudab seda teise tooteta lähendada.

Tasub teada kahte meetodit. Need ebaõnnestuvad eri kohtades ja kumbki ei ole täielik vastus.

Esimene meetod: lubage programm ainult ühes profiilis

Windowsi tulemüür piirab reeglid profiilidega Domain, Private ja Public. Nipp on anda tunnelil adapterile üks kategooria ja füüsilisel adapterile teine. Seejärel kirjutate väljuva reegli, mis lubab kaitstud programmi tunneli profiilis ja blokeerib selle kõikjal mujal. Tulemüür loeb kategooriat, mitte adapteri nime.

Seadke esmalt VPN-ühendus asendisse Private ja füüsiline võrk asendisse Public. Seejärel lisage programmi jaoks blokeeriv reegel, mis kehtib soovimatute profiilide kohta. Pärast seda kinnitage omistus käsuga Get-NetConnectionProfile, sest reegel järgib just seda omistust.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Nõrkus on struktuurne. Profiili reegel järgib kategooriat, seega kui Windows hotellivõrgu ümber liigitab, võib blokeering kehtimise lõpetada. Reeglite loendis ei muutu seejuures midagi.

Teine meetod: eemaldage füüsiline vaikemarsruut

Marsruudipõhine lähenemine on jämedam ja kordades lihtsam auditeerida. Pange füüsiline lüüs kirja, laske VPNil paigaldada oma vaikemarsruut madalama mõõdikuga ja kustutage seejärel füüsiline vaikemarsruut. Miski muu ei saa siis liiklust kanda.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Kui klient sureb, lahkub VPN-i marsruut koos oma adapteriga. Masin läheb võrgust välja, selle asemel et lekkida, ja täpselt seda peakski kill switch tekitama.

Kaks detaili otsustavad, kas see peab vastu nädala. DHCP paneb lüüsi tagasi iga kord, kui ühendus väreleb. Staatilise aadressiga füüsiline adapter väldib seda üllatust. Ka VPN-serveri enda aadress peab jääma kättesaadavaks. Ilma selle hostmarsruudita ei saa klient pärast blokeeringu käivitanud katkestust kunagi uuesti ühendust.

Kolmas meetod: lüüsi pole, üks püsiv hostmarsruut

Kolmas valik algab lüüsi eemaldamisest adapteri seadetest. Seejärel asendab selle üks püsiv marsruut VPN-i lõpp-punktini. Masin saab siis serveriga rääkida ja mitte millegi muuga, kuni tunnel üles tuleb.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Lüüsi taastamine taastab tavalise interneti, mis teeb sellest puhta sisse-välja lüliti. See ei sõltu skriptist, mis jälgib liidese sündmusi. Samuti ei huvita teda, kuidas võrk liigitatakse.

Hind on täielik isolatsioon, kuni tunnel on maas. Uuendused lakkavad ja koos nendega ka just see allalaadimine, mis harjutuse põhjustas. Töösülearvutis on see sageli õige, isiklikus masinas aga teadlikult tehtav otsus.

Miks gloobusikoon ei tõesta midagi

Windows teatab kättesaadavusest Microsofti lõpp-punkti vastu tehtava sondeerimisega. See sondeerimine ei ütle teie tunneli kohta midagi. Ühendatud tunnel võib seista gloobuse taga, mis teatab interneti puudumisest, ja surnud tunnel võib näidata tervet ühendust.

Proovige klientprotsess tappa ja seejärel üritage jõuda avaliku aadressini numbri järgi. Nimepäringule võidakse vastata vahemälust, seega ei ole tõestuseks ei ikoon ega DNS-vastus.

Mida pärast tõelist katkestust kirja panna

Viige test läbi järjestusena, mitte ühe kontrollina. Tapke protsess selle asemel, et ühendus katkestada, ja proovige seejärel numbritähistust mõlemas peres. Seejärel taastage klient ja kinnitage, et see jõuab endiselt oma serverini teie alles jäetud marsruudi kaudu.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Korrake järjestust pärast und, pärast Wi-Fi vahetust ja pärast üleminekut kaablilt juhtmevabale. Just nendel üleminekutel ebaõnnestuvad nii profiilimeetod kui ka DHCP käitumine. Reegel, mis peab laual, ei pruugi hotellis pidada.

Kirjutage tagasivõtmise samm iga reegli ja marsruudi kõrvale. Microsoft dokumenteerib väljuvate reeglite loomist oma Windowsi tulemüüri reeglite viites, ja see on parem allikas kui ainult ekraanipiltidest koosnev juhend.

Seotud artiklid