De Kill-Switch blockt den Trafik nach ëmmer, nodeems d’VPN getrennt gouf

Den Tunnel ass fort, d’Netzwierk-Ikon gesäit normal aus, an et luede sech keng Säite. Dir hutt d’VPN getrennt, deinstalléiert oder de Rechner nei gestart, an de Block, deen Iech beim Ofbroch schütze sollt, steet nach ëmmer. D’Clientfenster kann et net erklären, well de Client Iech net blockt: d’Entscheedung gouf a mengem Numm an de Kernel geschriwwen, an et gouf näischt hannerlooss fir se ze läschen. Ënner Windows läit dee Staat an der Windows Filtering Platform; ënner Linux ass et e Reegelsatz an iptables oder nftables, dacks mat engem Snapshot, deen beim Boot erëm agebaut gëtt. Wat follegt, ass d’Reiefolleg, déi ech benotzen: de Staat liesen, dat schmëlst Objet läschen, dat de Feeler erkläert, an duerno fannen, wat et ëmmer nees aget.

E Kill-Switch ass Kernel-Staat, keng Astellung

Desktop-Cliente setzen d’Blockéierung ëm, andeem se Filtere bäisetzen, déi den Trafik ausserhalb vum Tunnel refuséieren. Ënner Windows sinn dat WFP-Filtere op den connect-redirect- an transport-Schichten, an e puer sinn dauerhaft: si gi am Base Filtering Engine Policy Store festgehalen an beim Boot vun der Maschinn restauréiert, ier iergendeng VPN-Software leeft. D’Cliente ënnerscheede sech, wéini se botzen. E puer entfernen d’Filtere beim Trennen, e puer nëmme bei engem propperen Ofschloss, an e puer nëmme wann de Kill-Switch fir d’éischt ausgeschalt gouf. Deinstalléiert, wärend de Block aktiv ass, oder dréckt de Prozess of an d’Filtere bleiwen.

D’Linux-Äquivalent ass eng Drop- oder Reject-Reegel am Ausgangspad, heiansdo eng Forwarding-Reegel, heiansdo eng geännert Kettenpolitik. Dës Reegele liewen méi laang wéi de Prozess, deen se derbäigesat huet, well si Kernel-Staat sinn: dréckt de Client of, loosst en ofstierzen oder schalt de Stroum of, an de Kernel werft weider Paketen ewech, ouni datt eppes do ass fir dat z’annulléieren. E Persistenzpaket setzt eng zweet Schicht vun Dauerhaftigkeit derbäi, andeem en de Snapshot vum aktuelle Reegelsatz hëlt an en beim Boot restauréiert, sou datt den nächsten Start mam Block schonn installéiert ufänkt.

Liest de WFP-Staat, ier Dir eppes läscht

Windows bréngt d’Werkzeugen, déi Dir braucht. Start e erhéiten Terminal an exportéiert de Plattform-Staat; den Dump landt als wfpstate.xml am Aarbechtsverzeechnis.

netsh wfp show state
netsh wfp show filters
Get-Service bfe

Sicht am XML no dem Numm vum fortgaangene Fournisseur, no enger Block-Aktioun an no der Schicht. Filtere op connect-redirect an transport sinn déi, déi normalen Trafik ënnerbriechen; e Filter op enger receive-accept-Schicht ass meeschtens net Är Ursaach. Wa Base Filtering Engine guer net leeft, sicht soss anzwousch, well soss nach näischt dës Filteren duerchsetze kann.

Kontrolléiert och d’normal Firewall-Usiicht, well déi meeschte Leit nëmmen eng vun den zwou kucken:

netsh advfirewall show allprofiles
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Wann déi agebaut Profiler un sinn a keng Reegel zum feelende Trafik passt, kënnt de Block vun engem Drëttuert-Anbieter an net vun der Windows Firewall. Dee Virdeel entscheet, wéi eng Instrument Dir fir d’Reparatur benotzt.

Liest Linux-Reegelen an der Syntax, mat där Dir läscht

iptables -S dréckt Reegele sou aus, wéi se bäigesat goufen, sou datt den Output direkt fir eng Läschung weiderbenotzt ka ginn. iptables -L -v -n setzt Paket-Zähler derbäi, an déi Zähler soen Iech, ob eng Reegel wierklech op Är fehlgeschloe Ufroen entspricht oder just an der Kette setzt.

sudo iptables -S
sudo ip6tables -S
sudo iptables -t nat -S

Liest d’Kettenpolitiken, net nëmmen d’Reegelen: -P OUTPUT DROP blockt Trafik, och wann keng Reegel entspricht. Kuckt IPv6 separat, well e Client, deen déi zwou Familljen installéiert, de IPv6-Block kënne stoen loossen, nodeems d’IPv4-Reegelen fort sinn, an de Symptom hänkt dann dovun of, wéi eng Famill eng Applikatioun virzitt. Wou nftables am Asaz ass, fuert och nft list ruleset; déi zwou Instrumenter bestinn duerch eng Kompatibilitéitsschicht, an eng Oplëschtung weist net onbedéngt all Reegel, déi e Paket ka fale loossen.

Läscht dat schmëlst Objet, dat de Feeler erkläert

Ënner Windows ass den éischte Schrëtt nach ëmmer de Wee vum Fournisseur fir ewechzehuelen: fuert den Installer nach eng Kéier a benotzt repair oder uninstall, oder fuert de Cleanup-Tool, wann de Fournisseur e publizéiert. Rescht Servicer a geplangte Aufgaben sinn heefeg, an eng Aufgab, déi de Client beim Login start, installéiert seng Filtere beim nächste Boot erëm. Eng Deinstallatioun, déi beim Liesen vum Client sengem Registry-Schlëssel feelt, bedeit meeschtens, datt e Service oder eng Aufgab en nach hält, net datt d’Registry futti ass.

Get-ScheduledTask | Where-Object TaskName -like '*vpn*'
Get-Service | Where-Object DisplayName -like '*vpn*'

Dauerhaft Filtere sinn de leschte Recours. Si leien ënner HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent\Filter, ee Wäert pro Filter, mat enger GUID verschlësselt. Exportéiert den Schlëssel fir d’éischt, notéiert Iech d’GUIDen, déi Dir ewech hëlt, läscht nëmmen d’Wäerter, déi zum fortgaangene Client gehéieren, a start de Rechner nei, sou datt d’Engine hire Staat nei opbaut. Läscht net de ganze Schlëssel a schalt d’Base Filtering Engine net aus: Windows Firewall an Defender hänken dovun of, an Dir géift eng Stéierung géint eng schlëmmer tauschen.

reg export "HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent" C:\temp\bfe-backup.reg

Ënner Linux hëlt Dir d’Linn, déi iptables -S ausdréckt, an ersetzt -A duerch -D. Eng eenzeg Reegel läschen, déi Dir identifizéiert hutt, ass besser wéi eng Kette komplett ze leeren, well Är eege Politik intakt bleift.

sudo iptables -D OUTPUT -p udp -j REJECT

Wann den Drop an enger benotzerdefinéierter Kette läit, läscht fir d’éischt de Sprong an déi Kette an entfernt d’Kette duerno mat -X. Eng Kettenpolitik op ACCEPT setzen, wärend Drop-Reegelen nach do sinn, hëlleft nëmme Paketen, déi iwwerhaapt bis zur Politikentscheedung kommen. All Dëscher ze leeren ass de leschte Recours: et entfernt och Reegele, déi Dir aus anere Grënn bäigesat hutt, an et léisst de Service mat ufw aktiv gleewen, hie beséiz Ketten, déi et net méi gëtt.

Fannt de Proprietär, deen et zrécksetzt

No der direkter Reparatur sicht no deem, wat de Staat géif restauréieren. Ënner Linux kontrolléiert, ob eng Persistenzunitéit aktiv ass, ob de Client eng Astellung fir d’Firewall-Restauratioun beim Login huet, an ob et eng gespäichert Reegeldatei ënner /etc gëtt. Ënner Windows kontrolléiert nach eng Kéier Startentréen, Servicer a geplangte Aufgaben, start neu a liest de Staat mat deene selwechte Kommandoen wéi virdrun.

Wann de Block zréckkënnt, war d’Läschung net d’Léisung; de Proprietär war et. Notéiert, wéi e Client oder Service en installéiert, an deaktivéiert d’Funktioun do, amplaz se no all Trennung op der Firewall-Schicht ze bekämpfen.

Verifizéiert mat echtem Trafik, net mat engem eenzegen Ping

Test eng Nummopléisung, eng TCP-Verbindung an eng nei Browsersitzung, start de Rechner nei a widderhëlt déi selwer dräi Kontrollen. E Ping, dee funktionéiert, wärend HTTPS feelt, weist op e Filter op der transport-Schicht an net op d’Netzwierk, an e Block, deen nëmmen nom Neistart erëm erschéngt, weist op e Proprietär, deen Dir nach net fonnt hutt.

Halt d’Beweiser: de exportéierte BFE-Schlëssel oder den iptables -S-Output, dee virun der Ännerung opgeholl gouf. Ier Dir et als behuewe bezeechent, bestätegt d’Schicht, aus där Dir d’Objet entfernt hutt, de Proprietär, deen et kéint reinstalléieren, de Staat no engem proppere Neistart an datt normal Browsen ouni lafende VPN-Prozess funktionéiert. D’Man-Säit iptables(8) huet déi exakt Syntax fir Läschen a Politik, wann Dir d’Botzen als Skript schreift.