Kill switch Windowsissa ilman lisäohjelmistoa: profiilit vai reitit?

Palomuurin profiilit seuraavat verkon luokkaa, reitit seuraavat sovitinta. Vertaa molempia ja testaa sitten kaatumistapaus, kun tunneli on poissa ja kuvake valehtelee.

Asiakasohjelma kuolee kesken latauksen ja ilmaisinalueen kuvake katoaa. Siirto jatkuu kodin yhteyden kautta. Juuri tämä järjestys on syy siihen, että kill switch on olemassa, ja Windows voi lähestyä sitä ilman toista tuotetta.

Kaksi menetelmää kannattaa tuntea. Ne epäonnistuvat eri kohdissa, eikä kumpikaan ole täydellinen vastaus.

Menetelmä yksi: salli ohjelma vain yhdessä profiilissa

Windowsin palomuuri rajaa säännöt Domain-, Private- ja Public-profiileihin. Temppu on antaa tunnelisovittimelle yksi luokka ja fyysiselle sovittimelle toinen. Sitten kirjoitat lähtevän säännön, joka sallii suojatun ohjelman tunnelin profiilissa ja estää sen kaikkialla muualla. Palomuuri lukee luokkaa, ei sovittimen nimeä.

Aseta ensin VPN-yhteys Private-tilaan ja fyysinen verkko Public-tilaan. Lisää sitten ohjelmalle estosääntö, joka koskee ei-toivottuja profiileja. Vahvista sen jälkeen määritys komennolla Get-NetConnectionProfile, koska sääntö seuraa juuri sitä määritystä.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Heikkous on rakenteellinen. Profiilisääntö seuraa luokkaa, joten kun Windows luokittelee hotelliverkon uudelleen, esto voi lakata voimasta. Säännöt-luettelossa ei muutu silloin mikään.

Menetelmä kaksi: poista fyysinen oletusreitti

Reittipohjainen lähestymistapa on karkeampi ja paljon helpompi tarkastaa. Kirjaa fyysinen yhdyskäytävä, anna VPN:n asentaa oma oletusreittinsä pienemmällä metriikalla ja poista sitten fyysinen oletusreitti. Mikään muu ei voi sen jälkeen kuljettaa liikennettä.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Kun asiakasohjelma kuolee, VPN-reitti lähtee sovittimensa mukana. Kone menee offline-tilaan vuotamisen sijaan, ja juuri sen kill switchin pitäisi tuottaa.

Kaksi yksityiskohtaa ratkaisee, kestääkö se viikon. DHCP palauttaa yhdyskäytävän aina, kun linkki värähtelee. Staattisella osoitteella varustettu fyysinen sovitin välttää sen yllätyksen. Myös VPN-palvelimen oma osoite on pidettävä tavoitettavana. Ilman sitä isäntäreittiä asiakasohjelma ei voi koskaan yhdistää uudelleen sen katkoksen jälkeen, joka käynnisti eston.

Menetelmä kolme: ei yhdyskäytävää, yksi pysyvä isäntäreitti

Kolmas vaihtoehto alkaa tyhjentämällä yhdyskäytävä sovittimen asetuksista. Sen jälkeen yksi pysyvä reitti VPN:n päätepisteeseen korvaa sen. Kone voi sitten puhua palvelimelle ja ei millekään muulle, kunnes tunneli nousee.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Yhdyskäytävän palauttaminen palauttaa tavallisen internetin, mikä tekee tästä siistin päälle ja pois -kytkimen. Se ei riipu komentosarjasta, joka seuraa liitännän tapahtumia. Sitä ei myöskään kiinnosta, miten verkko luokitellaan.

Hinta on täydellinen eristäytyminen, kun tunneli on alhaalla. Päivitykset pysähtyvät, ja niin pysähtyy myös se lataus, joka koko harjoituksen aiheutti. Työkannettavassa se on usein oikein, kun taas henkilökohtaisella koneella se on tietoinen päätös.

Miksi maapallokuvake ei todista mitään

Windows ilmoittaa tavoitettavuudesta Microsoftin päätepisteeseen tehtävällä kokeella. Se koe ei kerro tunnelistasi mitään. Yhdistetty tunneli voi istua maapallon takana, joka ilmoittaa, ettei internetiä ole, ja kuollut tunneli voi näyttää terveen yhteyden.

Testaa tappamalla asiakasohjelman prosessi ja yritä sitten tavoittaa julkinen osoite numerolla. Nimikyselyyn voidaan vastata välimuistista, joten kuvake tai DNS-vastaus eivät ole todiste.

Mitä kirjataan todellisen katkoksen jälkeen

Suorita testi sarjana, älä yksittäisenä tarkistuksena. Tapa prosessi sen sijaan, että katkaisisit yhteyden, ja kokeile sitten numeerista osoitetta molemmissa perheissä. Palauta sen jälkeen asiakasohjelma ja vahvista, että se tavoittaa yhä oman palvelimensa säilyttämäsi reitin kautta.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Toista sarja unen jälkeen, Wi-Fi-muutoksen jälkeen ja siirtyessä kaapelista langattomaan. Juuri noissa siirtymissä sekä profiilimenetelmä että DHCP:n käytös epäonnistuvat. Sääntö, joka pitää työpöydällä, ei välttämättä pidä hotellissa.

Kirjoita peruutusvaihe jokaisen säännön ja reitin viereen. Microsoft dokumentoi lähtevien sääntöjen luomisen Windowsin palomuurin sääntöjen viitteessä, ja se on parempi lähde kuin pelkkiin kuvakaappauksiin perustuva opas.

Aiheeseen liittyvät artikkelit