Windows'то кошумча программасыз kill switch: профилдерби же маршруттарбы?

Файрвол профилдери тармактын категориясын, маршруттар адаптерди ээрчийт. Экөөнү тең салыштырып, анан туннель жок болуп, белгиче калп айткан учурдагы бузулууну текшериңиз.

Кардар жүктөөнүн ортосунда өлөт жана науа белгичеси жоголот. Өткөрүү үй байланышы аркылуу уланат. Ушул ырааттуулук kill switch бар болушунун себеби, жана Windows экинчи продуктсуз ага жакындай алат.

Билүүгө татыктуу эки ыкма бар. Алар ар башка жерде ишке ашпайт, жана экөө тең толук жооп эмес.

Биринчи ыкма: программага бир гана профилде уруксат берүү

Windows файрволу эрежелерди Domain, Private жана Public профилдери менен чектейт. Айла — туннель адаптерине бир категория, физикалык адаптерге экинчи категория берүү. Андан кийин корголгон программага туннель профилинде уруксат берип, аны бардык башка жерде тоскон чыгуучу эрежени жазасыз. Файрвол категорияны окуйт, адаптердин атын эмес.

Алгач VPN байланышын Private'ке, физикалык тармакты Public'ке коюңуз. Андан кийин каалабаган профилдерге тиешелүү программа үчүн тосмо эрежесин кошуңуз. Кийин Get-NetConnectionProfile аркылуу дайындоону ырастаңыз, анткени эреже так ошол дайындоону ээрчийт.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Алсыздык структуралык. Профиль эрежеси категорияны ээрчийт, ошондуктан Windows мейманкана тармагын кайра классификациялаганда тосмо күчүн жоготушу мүмкүн. Бул учурда эрежелер тизмесинде эч нерсе өзгөрбөйт.

Экинчи ыкма: физикалык демейки маршрутту жоюу

Маршрут ыкмасы одонороок жана текшерүүгө алда канча оңой. Физикалык шлюзду жазып алыңыз, VPN өзүнүн демейки маршрутун төмөнүрөөк метрика менен орнотсун, анан физикалык демейки маршрутту жок кылыңыз. Андан кийин трафикти башка эч нерсе ташый албайт.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Кардар өлгөндө VPN маршруту өз адаптери менен кетет. Машина агып кетүүнүн ордуна офлайнга өтөт, жана kill switch так ушундай натыйжа өндүрүшү керек.

Анын бир жумага чыдаарын эки деталь чечет. Байланыш титиреген сайын DHCP шлюзду кайра коёт. Статикалык дареги бар физикалык адаптер ошол таң калуудан сактайт. VPN серверинин өз дареги да жеткиликтүү бойдон калышы керек. Ошол хост маршрутусуз кардар тосмону козгогон үзүлүштөн кийин эч качан кайра туташа албайт.

Үчүнчү ыкма: шлюзсуз, бир туруктуу хост маршруту

Үчүнчү вариант адаптер жөндөөлөрүнөн шлюзду тазалоодон башталат. Андан кийин аны VPNдин акыркы чекитине барган бир туруктуу маршрут алмаштырат. Андан кийин машина туннель көтөрүлгөнгө чейин сервер менен сүйлөшө алат, башка эч ким менен эмес.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Шлюзду калыбына келтирүү кадимки интернетти калыбына келтирет, бул аны таза күйгүзүү-өчүрүү которгучуна айландырат. Ал интерфейс окуяларын көзөмөлдөгөн скриптке көз каранды эмес. Тармактын кантип классификацияланышы да ага маанилүү эмес.

Баасы — туннель токтоп турганда толук обочолонуу. Жаңыртуулар токтойт, жана ушул көнүгүүнү пайда кылган жүктөөнүн өзү да токтойт. Жумуш ноутбугунда бул көбүнчө туура, ал эми жеке машинада бул атайын кабыл алынуучу чечим.

Эмне үчүн глобус белгичеси эч нерсени далилдебейт

Windows жеткиликтүүлүктү Microsoftтун акыркы чекитине каршы текшерүү аркылуу билдирет. Ал текшерүү сиздин туннелиңиз жөнүндө эч нерсе айтпайт. Туташкан туннель интернет жок деп билдирген глобустун артында отурушу мүмкүн, ал эми өлгөн туннель соо байланышты көрсөтүшү мүмкүн.

Кардар процессин өлтүрүп текшериңиз, анан номери боюнча коомдук дарекке жетүүгө аракет кылыңыз. Ат суроосуна кэштен жооп берилиши мүмкүн, ошондуктан белгиче да, DNS жообу да далил эмес.

Чыныгы үзүлүштөн кийин эмнени жазуу керек

Тестти бир текшерүү катары эмес, ырааттуулук катары жүргүзүңүз. Ажыратуунун ордуна процессти өлтүрүңүз, анан эки үй-бүлөдө тең сандык даректи сынап көрүңүз. Кийин кардарды калыбына келтирип, сактап калган маршрутуңуз аркылуу ал өз серверине дагы жетерин ырастаңыз.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Уйкудан кийин, Wi-Fi өзгөргөндөн кийин жана кабельден зымсызга өткөндөн кийин ырааттуулукту кайталаңыз. Профиль ыкмасы менен DHCP жүрүм-туруму экөө тең ишке ашпаган жер — так ушул өтүүлөр. Үстөлдө туруктуу эреже мейманканада туруктуу боло бербейт.

Ар бир эреже менен маршруттун жанына кайтаруу кадамын жазыңыз. Microsoft чыгуучу эрежелерди түзүүнү Windows файрволунун эрежелери боюнча маалымдамада документтештирет, жана бул экран сүрөттөрүнөн турган нускамадан жакшыраак булак.

Тектеш макалалар