Kill switch di Windows tanpa perangkat lunak tambahan: profil atau rute?

Profil firewall mengikuti kategori jaringan, rute mengikuti adaptor. Bandingkan keduanya, lalu uji kasus crash saat terowongan hilang dan ikonnya berbohong.

Klien mati di tengah unduhan dan ikon baki menghilang. Transfer tetap berjalan lewat koneksi rumah. Urutan itulah alasan kill switch ada, dan Windows bisa mendekatinya tanpa produk kedua.

Dua metode layak diketahui. Keduanya gagal di tempat berbeda, dan tidak satu pun merupakan jawaban lengkap.

Metode satu: izinkan program hanya pada satu profil

Windows Firewall membatasi aturan pada profil Domain, Private, dan Public. Triknya adalah memberi adaptor terowongan satu kategori dan adaptor fisik kategori lain. Lalu Anda menulis aturan keluar yang mengizinkan program terlindungi pada profil terowongan dan memblokirnya di semua tempat lain. Firewall membaca kategori, bukan nama adaptor.

Pertama setel koneksi VPN ke Private dan jaringan fisik ke Public. Lalu tambahkan aturan blokir untuk program yang berlaku pada profil yang tidak Anda inginkan. Setelah itu konfirmasi penetapannya dengan Get-NetConnectionProfile, karena aturan mengikuti penetapan itulah.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Kelemahannya struktural. Aturan profil mengikuti kategori, jadi ketika Windows mengklasifikasi ulang jaringan hotel, blokirnya bisa berhenti berlaku. Tidak ada yang berubah dalam daftar aturan saat itu terjadi.

Metode dua: hapus rute default fisik

Pendekatan rute lebih kasar dan jauh lebih mudah diaudit. Catat gateway fisik, biarkan VPN memasang rute default-nya sendiri dengan metrik lebih rendah, lalu hapus rute default fisik. Tidak ada yang lain bisa membawa lalu lintas setelah itu.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Saat klien mati, rute VPN ikut pergi bersama adaptornya. Mesin menjadi luring alih-alih membocorkan, dan itulah yang seharusnya dihasilkan kill switch.

Dua detail menentukan apakah ini bertahan seminggu. DHCP mengembalikan gateway setiap kali tautan berkedip. Adaptor fisik dengan alamat statis menghindari kejutan itu. Alamat server VPN itu sendiri juga harus tetap terjangkau. Tanpa jalur host itu klien tidak akan pernah bisa menyambung lagi setelah pemutusan yang memicu blokir.

Metode tiga: tanpa gateway, satu rute host permanen

Opsi ketiga dimulai dengan membersihkan gateway dari pengaturan adaptor. Lalu satu rute permanen ke titik akhir VPN menggantikannya. Mesin kemudian bisa berbicara dengan server dan tidak dengan apa pun sampai terowongan naik.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Memulihkan gateway memulihkan internet biasa, yang membuatnya menjadi sakelar hidup dan mati yang bersih. Ini tidak bergantung pada skrip yang mengawasi peristiwa antarmuka. Ini juga tidak peduli bagaimana jaringan dikategorikan.

Biayanya adalah isolasi total selama terowongan mati. Pembaruan berhenti, dan begitu juga unduhan yang memicu latihan ini. Pada laptop kerja itu sering benar, sedangkan pada mesin pribadi itu keputusan yang harus diambil dengan sadar.

Mengapa ikon bola dunia tidak membuktikan apa pun

Windows melaporkan keterjangkauan lewat uji ke titik akhir Microsoft. Uji itu tidak mengatakan apa pun tentang terowongan Anda. Terowongan yang tersambung bisa berada di balik bola dunia yang melaporkan tidak ada internet, dan yang mati bisa menunjukkan koneksi sehat.

Uji dengan mematikan proses klien lalu coba jangkau alamat publik dengan angka. Pencarian nama bisa dijawab dari cache, jadi ikon maupun jawaban DNS bukan bukti.

Apa yang perlu dicatat setelah pemutusan nyata

Jalankan uji sebagai rangkaian, bukan sebagai satu pemeriksaan. Matikan proses alih-alih memutuskan sambungan, lalu coba alamat numerik pada kedua keluarga. Setelah itu pulihkan klien dan pastikan ia masih menjangkau servernya sendiri lewat rute yang Anda pertahankan.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Ulangi rangkaian setelah tidur, setelah perubahan Wi-Fi, dan setelah berpindah dari kabel ke nirkabel. Transisi itulah tempat metode profil dan perilaku DHCP sama-sama gagal. Aturan yang bertahan di meja belum tentu bertahan di hotel.

Tuliskan langkah pembatalan di samping setiap aturan dan rute. Microsoft mendokumentasikan pembuatan aturan keluar di referensi aturan Windows Firewall, dan itu sumber yang lebih baik daripada panduan yang hanya berisi tangkapan layar.

Artikel terkait