Kill switch Windows-ում առանց լրացուցիչ ծրագրերի՝ պրոֆիլներ, թե՞ երթուղիներ

Հաճախորդը մահանում է ներբեռնման կեսին, և սկուտեղի պատկերակը անհետանում է։ Փոխանցումը շարունակվում է տնային կապով։ Հենց այս հաջորդականությունն է kill switch-ի գոյության պատճառը, և Windows-ը կարող է մոտենալ դրան առանց երկրորդ արտադրանքի։

Արժե իմանալ երկու մեթոդ։ Դրանք ձախողվում են տարբեր տեղերում, և ոչ մեկը ամբողջական պատասխան չէ։

Մեթոդ առաջին՝ թույլատրել ծրագրին միայն մեկ պրոֆիլում

Windows-ի firewall-ը սահմանափակում է կանոնները Domain, Private և Public պրոֆիլներով։ Հնարքը թունելի ադապտերին մի կատեգորիա տալն է, իսկ ֆիզիկական ադապտերին՝ մյուսը։ Այնուհետև գրում եք ելքային կանոն, որը պաշտպանված ծրագրին թույլատրում է թունելի պրոֆիլում և արգելափակում է այն բոլոր այլ տեղերում։ Firewall-ը կարդում է կատեգորիան, ոչ թե ադապտերի անունը։

Նախ VPN միացումը դրեք Private, իսկ ֆիզիկական ցանցը՝ Public։ Այնուհետև ավելացրեք արգելափակման կանոն ծրագրի համար, որը վերաբերում է անցանկալի պրոֆիլներին։ Դրանից հետո հաստատեք վերագրումը Get-NetConnectionProfile-ով, որովհետև կանոնը հետևում է հենց այդ վերագրմանը։

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Թուլությունը կառուցվածքային է։ Պրոֆիլի կանոնը հետևում է կատեգորիային, ուստի երբ Windows-ը վերադասակարգում է հյուրանոցային ցանցը, արգելափակումը կարող է դադարել գործել։ Կանոնների ցանկում այդ ժամանակ ոչինչ չի փոխվում։

Մեթոդ երկրորդ՝ հեռացնել ֆիզիկական լռելյայն երթուղին

Երթուղիների մոտեցումն ավելի կոպիտ է և շատ ավելի հեշտ աուդիտի համար։ Գրառեք ֆիզիկական դարպասը, թույլ տվեք VPN-ին տեղադրել իր լռելյայն երթուղին ավելի ցածր մետրիկով, ապա ջնջեք ֆիզիկական լռելյայնը։ Դրանից հետո ոչինչ այլևս չի կարող տեղափոխել թրաֆիկ։

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Երբ հաճախորդը մահանում է, VPN-ի երթուղին հեռանում է իր ադապտերի հետ։ Մեքենան անցնում է օֆլայն՝ արտահոսքի փոխարեն, և հենց դա պետք է արտադրի kill switch-ը։

Երկու մանրամասն որոշում է, թե արդյոք այն կդիմանա մեկ շաբաթ։ DHCP-ն վերադարձնում է դարպասը ամեն անգամ, երբ կապը ցնցվում է։ Ստատիկ հասցեով ֆիզիկական ադապտերը խուսափում է այդ անակնկալից։ VPN սերվերի սեփական հասցեն նույնպես պետք է մնա հասանելի։ Առանց այդ հոսթ-երթուղու հաճախորդը երբեք չի կարողանա նորից միանալ այն խափանումից հետո, որը գործարկեց արգելափակումը։

Մեթոդ երրորդ՝ առանց դարպասի, մեկ մշտական հոսթ-երթուղի

Երրորդ տարբերակը սկսվում է ադապտերի կարգավորումներից դարպասը մաքրելով։ Այնուհետև այն փոխարինում է VPN-ի վերջնակետին տանող մեկ մշտական երթուղի։ Մեքենան այնուհետև կարող է խոսել սերվերի հետ և ոչ ուրիշի, մինչև թունելը բարձրանա։

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Դարպասը վերականգնելը վերականգնում է սովորական ինտերնետը, ինչը սա դարձնում է մաքուր միացման ու անջատման անջատիչ։ Այն կախված չէ ինտերֆեյսի իրադարձությունները դիտող սկրիպտից։ Նրան նաև չի հետաքրքրում, թե ինչպես է ցանցը դասակարգվում։

Գինը ամբողջական մեկուսացումն է, քանի դեռ թունելը կանգնած է։ Թարմացումները դադարում են, և դադարում է նաև այն ներբեռնումը, որն առաջացրեց այս վարժությունը։ Աշխատանքային նոթբուքի համար դա հաճախ ճիշտ է, իսկ անձնական մեքենայի վրա դա դիտավորյալ որոշում է։

Ինչու գլոբուսի պատկերակը ոչինչ չի ապացուցում

Windows-ը հասանելիությունը հաղորդում է Microsoft-ի վերջնակետի դեմ զոնդի միջոցով։ Այդ զոնդը ոչինչ չի ասում ձեր թունելի մասին։ Միացված թունելը կարող է նստել գլոբուսի հետևում, որը հաղորդում է ինտերնետի բացակայության մասին, իսկ մեռածը կարող է ցույց տալ առողջ կապ։

Փորձարկեք՝ սպանելով հաճախորդի պրոցեսը, ապա փորձեք հասնել հանրային հասցեի՝ ըստ համարի։ Անվան հարցմանը կարող են պատասխանել քեշից, ուստի ոչ պատկերակը, ոչ DNS պատասխանը ապացույց չեն։

Ինչ գրանցել իրական խափանումից հետո

Անցկացրեք թեստը որպես հաջորդականություն, ոչ որպես մեկ ստուգում։ Սպանեք պրոցեսը՝ անջատելու փոխարեն, ապա փորձեք թվային հասցե երկու ընտանիքներում։ Դրանից հետո վերականգնեք հաճախորդին և հաստատեք, որ այն դեռ հասնում է իր սերվերին ձեր պահած երթուղով։

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Կրկնեք հաջորդականությունը քնից հետո, Wi-Fi-ի փոփոխությունից հետո և լարից անլարին անցնելուց հետո։ Հենց այդ անցումներում են ձախողվում և՛ պրոֆիլի մեթոդը, և՛ DHCP-ի վարքը։ Սեղանին դիմացող կանոնը պարտադիր չէ, որ դիմանա հյուրանոցում։

Գրեք հետարկման քայլը յուրաքանչյուր կանոնի և երթուղու կողքին։ Microsoft-ը փաստագրում է ելքային կանոնների ստեղծումը իր Windows firewall-ի կանոնների տեղեկատուում, և դա ավելի լավ աղբյուր է, քան միայն էկրանի նկարներով ուղեցույցը։