Kill switch Windowson extra szoftver nélkül: profilok vagy útvonalak?

A tűzfalprofilok a hálózat kategóriáját követik, az útvonalak az adaptert. Hasonlítsa össze mindkettőt, majd próbálja ki az összeomlás esetét, amikor az alagút eltűnt, és az ikon hazudik.

A kliens meghal a letöltés közepén, és a tálca ikonja eltűnik. Az átvitel továbbra is az otthoni kapcsolaton keresztül megy. Pontosan ez a sorrend az oka annak, hogy létezik kill switch, és a Windows második termék nélkül is meg tud közelíteni egyet.

Két módszert érdemes ismerni. Különböző helyeken hibáznak, és egyik sem teljes válasz.

Első módszer: a program engedélyezése csak egy profilon

A Windows tűzfal a szabályokat a Domain, Private és Public profilokra korlátozza. A trükk az, hogy az alagút adapterének egy kategóriát adunk, a fizikai adapternek pedig egy másikat. Ezután ír egy kimenő szabályt, amely a védett programot az alagút profilján engedélyezi, mindenhol máshol pedig blokkolja. A tűzfal a kategóriát olvassa, nem az adapter nevét.

Először állítsa a VPN-kapcsolatot Private, a fizikai hálózatot pedig Public értékre. Ezután adjon hozzá egy blokkoló szabályt a programhoz, amely a nem kívánt profilokra érvényes. Utána erősítse meg a hozzárendelést a Get-NetConnectionProfile használatával, mert a szabály pontosan ezt a hozzárendelést követi.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

A gyengeség szerkezeti. A profilszabály a kategóriát követi, ezért amikor a Windows újraosztályoz egy szállodai hálózatot, a blokkolás érvényét vesztheti. A szabálylistában ilyenkor semmi sem változik.

Második módszer: a fizikai alapértelmezett útvonal eltávolítása

Az útvonal-alapú megközelítés durvább és sokkal könnyebben auditálható. Jegyezze fel a fizikai átjárót, hagyja, hogy a VPN alacsonyabb metrikával telepítse a saját alapértelmezett útvonalát, majd törölje a fizikai alapértelmezettet. Utána semmi más nem tud forgalmat vinni.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Amikor a kliens meghal, a VPN útvonala az adapterével együtt távozik. A gép offline állapotba kerül a szivárgás helyett, és pontosan ezt kell egy kill switchet produkálnia.

Két részlet dönti el, hogy kibír-e egy hetet. A DHCP visszateszi az átjárót, valahányszor a kapcsolat megremeg. A statikus című fizikai adapter elkerüli ezt a meglepetést. Magának a VPN-kiszolgálónak a címe is elérhető kell hogy maradjon. E hostútvonal nélkül a kliens soha nem tud újra csatlakozni a blokkolást kiváltó kiesés után.

Harmadik módszer: nincs átjáró, egy állandó hostútvonal

A harmadik lehetőség azzal kezdődik, hogy törli az átjárót az adapter beállításaiból. Ezután egyetlen állandó útvonal lép a helyébe a VPN végpontjához. A gép ezután a kiszolgálóval tud beszélni, és semmi mással, amíg az alagút fel nem jön.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Az átjáró visszaállítása visszaállítja a szokásos internetet, ami tiszta be- és kikapcsolóvá teszi ezt. Nem függ egy szkripttől, amely az illesztő eseményeit figyeli. Az sem érdekli, hogyan kategorizálják a hálózatot.

Az ár a teljes elkülönítés, amíg az alagút áll. A frissítések leállnak, és vele együtt az a letöltés is, amely az egész gyakorlatot kiváltotta. Munka laptopon ez gyakran helyes, személyes gépen viszont szándékosan meghozandó döntés.

Miért nem bizonyít semmit a földgömb ikon

A Windows az elérhetőséget egy Microsoft-végpont elleni próbával jelenti. Az a próba semmit nem mond az alagútjáról. Egy csatlakozott alagút ülhet olyan földgömb mögött, amely nem jelez internetet, és egy halott alagút egészséges kapcsolatot mutathat.

Tesztelje a kliensfolyamat megölésével, majd próbáljon elérni egy nyilvános címet szám szerint. A névlekérdezésre a gyorsítótárból is lehet válaszolni, ezért sem az ikon, sem a DNS-válasz nem bizonyíték.

Mit rögzítsen egy valódi kiesés után

A tesztet sorozatként futtassa, ne egyetlen ellenőrzésként. A leválasztás helyett ölje meg a folyamatot, majd próbáljon numerikus címet mindkét családban. Utána állítsa vissza a klienst, és erősítse meg, hogy továbbra is eléri a saját kiszolgálóját a megtartott útvonalon.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Ismételje meg a sorozatot alvás után, Wi-Fi-váltás után és a kábelről vezeték nélkülire való átállás után. Ezeknél az átmeneteknél hibázik egyszerre a profil módszer és a DHCP viselkedése. Egy íróasztalon működő szabály nem feltétlenül működik egy szállodában.

Írja oda a visszavonás lépését minden szabály és útvonal mellé. A Microsoft a kimenő szabályok létrehozását a Windows tűzfal szabályainak referenciájában dokumentálja, és ez jobb forrás, mint egy csak képernyőképekből álló útmutató.

Kapcsolódó cikkek