Firwat e kill switch den Trafik fale léisst, wann Dir de Server wiesselt
Firwat e kill switch den Trafik wärend engem Serverwiessel blockéiert, wat de Client an deem Fënster mécht an wéi een eng normal Paus vun engem hänge geloossene Block ënnerscheet.
Dir wielt e Server deen no ausgesäit, dréckt op verbannen, an de Browser hält op ze lueden ier den neien Tunnel steet. D'Ikon spréngt an e Verbënnungszoustand an bleift do, wärend all Tab auslaf. Dës Paus ass meeschtens de kill switch deen esou schafft wéi en entworf gouf: den Trafik ass blockéiert, soulaang de Client keen Tunnel huet duerch deen en e schécke kann. Ob d'Paus akzeptabel ass, hänkt dovun of, wat de Client an deene Sekonne mécht, an ob de Block opgehuewe gëtt, wann e seet datt en et ass.
Wat de Client tëscht zwee Servere mécht
En Endpunktwiessel sinn etlech Schrëtt, keen eenzege Schalter. De Client räisst den aktuellen Tunnel of, aktualiséiert seng Blockregelen, léist den neien Endpunkt op an erreecht en ausserhalb vum Tunnel, da installéiert en déi nei Route an hieft de Block op. D'Lück déi Dir spiert läit tëscht dem éischten an dem leschte Schrëtt.
D'Reiefolleg ass hei wichtiger wéi d'Vitess. Wa Blockregelen virun der Ausnam fir den neien Endpunkt a Kraaft trieden, kann de Client den Handshake net fäerdeg maachen an bleift op verbannen bis en Timeout kënnt. Wa d'Ausnam eng Kopie vun der Adress vum ale Server ass, gesäit den neien Handshake aus wéi all anert erausgehend Paket a gëtt verworf. Béid Fäll gesinn aus dem Browser gläich aus, dofir kënnen e Wiessel deen no sechs Sekonnen erëm mécht an een deen ni erëm mécht déiselwecht Ursaach hunn.
Den neien Endpunkt brauch e Lach am Block
Fir den Tunnel ze bauen, muss de Client Pakete fir d'Adress an de Port vum neien Server iwwer d'physesch Interface schécken, zum Beispill UDP 51820 bei engem typesche WireGuard-Profil oder 1194 an 443 fir OpenVPN, wat och ëmmer Äre Profil virschreift. Dee Trafik ass net an dem Tunnel deen nach entsteet, also schléckt e Block fir dat ganzt Apparat en op, wann et keng passend Erlaabnisregel gëtt.
Profiler op Basis vum Hostnumm fügen eng zweet Fuerderung derbäi: d'Opfro selwer. Wa de Client den Endpunkt opléist ier de Block eropgeet, kann en eng Adress aus dem Cache benotzen, awer wann de Profil d'Adressen dréit oder den Cache-Antrag al gëtt, geet den Handshake op eng Adress déi d'Erlaabnisregel net deckt. IPv6 mécht dat sichtbar, well en Endpunkt mat duebelem Stack souwuel en A- wéi en AAAA-Record verëffentleche kann, an eng Erlaabnisregel déi nëmmen d'v4-Adress deckt de Client géint eng blockéiert v6-Adress nach eng Kéier probéiere léisst.
D'Nimm vun den Optiounen an d'Standardwäerter ënnerscheede sech no Client a Versioun, also liest d'dokumentéiert Lëscht fir Ären amplaz aus Screenshots ze roden. D'Referenz vun den Astellunge vum OpenVPN Connect op openvpn.net/connect-docs/app-settings-windows ass ee Beispill dofir, wéi e Client seng Block- an Split-Tunnel-Optiounen beschreift.
Fail-closed ass eng Zoustandmaschinn, keen Schalter
Déi meescht Clienten drécken de Block als Firewallpolitik an dräi Zouständen aus: Tunnel erop, mam Trafik duerch den Tunnel an ouni Block; Tunnel erof, mam Block aktiv; an Iwwergang, mam Block aktiv plus temporäre Ausnamen fir den Endpunkt. Am drëtten Zoustand liewen d'Feeler, well en sech bannent e puer Sekonnen zweemol muss änneren, an en net ze verloossen gesäit genee aus wéi e permanente Block.
De Mechanismus ass je no Plattform anescht, an de Feeler och. D'Filtere vum Windows Filtering Platform droen Gewiichter, also en Blockfilter deen Är Erlaabnis iwwerstëmmt verwërft weiderhi Paketen, och wann d'Erlaabnis existéiert, an Filteren déi e beendeten Clientprozess hannerlooss huet kënne d'Maschinn offline halen nodeems d'App fort ass. macOS-Clienten schreiwen normalerweis pf-Regelen an en Anchor, wou d'Reiefolleg vun de Regelen an déi séier Entscheedungen bestëmmen wéi eng Regel gëllt. Linux-Clienten administréieren normalerweis eng nftables- oder iptables-Kette mat enger drop-Politik an explizitten Erlaabnesser fir den Endpunkt, d'Tunnelinterface an de Loopback. Android säin always-on VPN mat der Optioun Verbindungen ouni VPN ze blockéieren ass de strengsten an der Grupp, well d'Betriebssystem de Block op dat ganzt Apparat awer net pro App applizéiert.
WireGuard brauch seng eege Notiz, well AllowedIPs en Trajetsselecteur ass, keen Blocker. Et entscheet wéi eng Destinatiounen an den Tunnel ginn; et mécht näischt fir ze verhënneren datt e Paket ouni Tunnel iwwer Wi-Fi erausgeet. An enger Konfiguratioun nëmme mat WireGuard a mat kenger Firewallregel ass de kill switch tatsächlech d'Feele vun engem Trajet, an no engem verworfene Handshake kann e richtege Paket iwwer d'physesch Interface erausgoen.
Moosst d'Lück amplaz op d'Ikon ze kucken
Kuckt op d'Paketen, net op d'Statusluucht. Ënnert Linux start am engen Terminal en luesen ping op eng ëffentlech Adress a fänk am aneren de Transportport vum Tunnel op der physescher Interface of:
ping -i 0.2 -c 100 1.1.1.1 | tail -5
sudo tcpdump -ni eth0 'udp port 51820'
Wiesselt de Server am Client, wärend béid lafen. Dräi Saachen zielen: wéi laang d'pinge stoppen, ob d'Aufréckung weist datt den Handshake den neien Endpunkt erreecht, an ob den Trafik virun oder nodeems de Clientzoustand op verbonnen ännert zréckkënnt. Wann d'ping-Lück als éischt ophält, ass de Block entweder ze fréi opgehuewen oder den Tunnel steet ier den Indikator et zougëtt. Wann d'Lück méi spéit ophält, ass den Indikator ze optimistesch.
Op Windows schreift netsh wfp show state eng Momentopnam, an där Dir no Blockfilter siche kënnt, déi nach do sinn, wärend de Client behaapt getrennt ze sinn. Op macOS zielt sudo pfctl -sr d'geluede Regelen an hir Reiefolleg op. Verbënnt eng vun de Momentopnamen mam eegene Log vum Client; d'Zäitlinn vun Ärem ping seet Iech ob de Block spéit opgehalen huet oder ni.
Normal Däischtert géint en hänge geloossene Block
Eng gewëss Ënnerbriechung ass den Zweck vun der Funktioun, also triagéiert ier Dir eng Astellung ännert:
| What you see | Usually means | Next check |
|---|---|---|
| Two or three seconds of timeouts, then normal browsing | Expected fail-closed gap | Nothing to fix |
| State says connected, traffic stays dead | Block filter or route left behind | Firewall snapshot, client log |
| One app dead while others work | TCP session bound to the old exit address | Restart the app |
| LAN devices unreachable after the switch | LAN exception not reapplied | Allow-LAN or split-tunnel setting |
| New server hangs, the old one reconnects | Permit covers only the old address | Resolved address of the new host, including AAAA |
Wann Dir an der zweeter oder fënnefter Zeil landt, schalt de kill switch net aus fir ze testen, well dat e Routingfeeler an en Leck ëmwandelt. Start de Service vum Client nei, oder start d'Maschinn nei wou d'Filteren en Prozesskill iwwerliewen, a kuckt dann ob de Block verschwënnt. Wann e verschwënnt, läit de Feeler an der Botz während dem Wiessel an net am Block selwer.
Ier Dir den nächsten Wiessel maacht, bestätegt véier Saachen: d'Erlaabnis vum Endpunkt deckt all Adressfamill déi Äre Profil opléist, de Clientlog weist den ofgeschlossenen Iwwergang, Ären pingtest moosst d'Lück an net d'Ikon, an de Client zoumaachen stellt déi normal Verbindung erëm hier. E kill switch deen während dem Wiessel hält an duerno lassléisst mécht seng Aarbecht. Een deen ze fréi lassléisst, oder ni, ass et wäert ze debuggen.