Kill switch yn Windows sûnder ekstra software: profilen of rûtes?

Firewall-profilen folgje de kategory fan in netwurk, rûtes folgje de adapter. Fergelykje beide en test dan it gefal fan in crash wêrby’t de tunnel fuort is en it ikoantsje liicht.

De klant stjert midden yn in download en it ikoantsje yn ’e taakbalke ferdwynt. De oerdracht giet troch oer de thúsferbining. Krekt dy folchoarder is de reden dat in kill switch bestiet, en Windows kin der ien benei komme sûnder in twadde produkt.

Twa metoaden binne it wurdich te kennen. Se mislearje op ferskillende plakken, en gjinien is in folslein antwurd.

Metode ien: lit it programma allinnich op ien profyl ta

Windows Firewall beheint regels ta de profilen Domain, Private en Public. De trúk is om de tunneladapter ien kategory te jaan en de fysike adapter in oare. Dan skriuwst in útgeande regel dy’t it beskerme programma op it tunnelprofyl tastiet en it oeral oars blokkearret. De firewall lêst de kategory, net de adapternamme.

Set earst de VPN-ferbining op Private en it fysike netwurk op Public. Foegje dan in blokkeringsregel ta foar it programma dy’t jildt foar de profilen dy’tst net wolst. Befestigje dêrnei de tawizing mei Get-NetConnectionProfile, want de regel folget krekt dy tawizing.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

De swakte is struktureel. In profylregel folget de kategory, dus as Windows in hotelnetwurk op ’e nij klassifisearret, kin de blokkade ophâlde te jilden. Der feroaret dan neat yn ’e regellist.

Metode twa: ferwiderje de fysike standertrûte

De rûte-oanpak is grover en folle makliker te kontrolearjen. Notearje de fysike gateway, lit de VPN syn eigen standertrûte mei in legere metryske wearde ynstallearje en ferwiderje dan de fysike standert. Neat oars kin dan ferkear drage.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

As de klant stjert, giet de VPN-rûte mei syn adapter fuort. De masine giet offline ynstee fan te lekken, en dat is krekt wat in kill switch produsearje moat.

Twa details bepale oft it in wike oerlibbet. DHCP set de gateway werom eltse kear as de ferbining trilket. In fysike adapter mei in statysk adres foarkomt dy ferrassing. It adres fan ’e VPN-tsjinner sels moat ek berikber bliuwe. Sûnder dy hostrûte kin de klant nea wer ferbine nei de útfal dy’t de blokkade triggerde.

Metode trije: gjin gateway, ien permaninte hostrûte

De tredde opsje begjint mei it fuortheljen fan ’e gateway út ’e adapterynstellingen. Dêrnei ferfangt in inkelde permaninte rûte nei it VPN-einpunt it. De masine kin dan mei de tsjinner prate en mei neat oars oant de tunnel omheech komt.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

It werombringen fan de gateway bringt gewoan ynternet werom, wat dit in skjinne oan-en-út skeakel makket. It hinget net ôf fan in skript dat ynterface-barrens folget. It is ek net fan belang hoe’t it netwurk kategorisearre wurdt.

De priis is totale isolaasje wylst de tunnel del is. Fernijings stopje, en ek de download sels dy’t de oefening oanstuts. Foar in wurklaptop is dat faak goed, wylst it op in persoanlike masine in beslút is dat bewust nommen wurde moat.

Wêrom’t it globe-ikoantsje neat bewiist

Windows rapportearret berikberens fia in probe tsjin in Microsoft-einpunt. Dy probe seit neat oer dyn tunnel. In ferbûne tunnel kin efter in globe sitte dy’t gjin ynternet meldt, en in deade kin in sûne ferbining sjen litte.

Test troch it klantproses te deadzjen en besykje dan in iepenbier adres op nûmer te berikken. In namme-opfreage kin út ’e cache beäntwurde wurde, dus noch it ikoantsje noch in DNS-antwurd is bewiis.

Wat te notearjen nei in echte útfal

Fier de test út as in folchoarder en net as ien kontrôle. Deadzje it proses ynstee fan te ûntkoppeljen en besykje dan in numerysk adres op beide famyljes. Werombring de klant dêrnei en befestigje dat er syn eigen tsjinner noch berikke kin fia de rûte dy’tst beholden hast.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Werhelje de folchoarder nei sliep, nei in Wi-Fi-feroaring en nei de oerstap fan kabel nei draadloas. Krekt by dy oergongen mislearje sawol de profylmetoade as it DHCP-gedrach. In regel dy’t op in buro hâldt, hâldt net needsaaklikerwiis yn in hotel.

Skriuw de ûngedien-makke stap njonken elke regel en rûte. Microsoft dokumintearret it meitsjen fan útgeande regels yn syn referinsje foar Windows Firewall-regels, en dat is in bettere boarne as in rûnlieding mei allinnich skermprinten.

Relatearre artikelen