Kill switch „Windows“ be papildomos programinės įrangos: profiliai ar maršrutai?

Ugniasienės profiliai seka tinklo kategoriją, maršrutai – adapterį. Palyginkite abu, tada išbandykite gedimo atvejį, kai tunelio nebėra, o piktograma meluoja.

Klientas miršta įpusėjus atsisiuntimui ir dėklo piktograma išnyksta. Perdavimas tęsiasi per namų ryšį. Būtent ši seka yra priežastis, kodėl egzistuoja kill switch, ir „Windows“ gali priartėti prie jo be antro produkto.

Verti dėmesio du metodai. Jie žlunga skirtingose vietose, ir nė vienas nėra išsamus atsakymas.

Pirmas metodas: leisti programai tik viename profilyje

„Windows“ ugniasienė riboja taisykles profiliais Domain, Private ir Public. Gudrybė – suteikti tunelio adapteriui vieną kategoriją, o fiziniam adapteriui kitą. Tada rašote išėjimo taisyklę, kuri leidžia saugomą programą tunelio profilyje ir blokuoja ją visur kitur. Ugniasienė skaito kategoriją, o ne adapterio pavadinimą.

Pirmiausia nustatykite VPN ryšį į Private, o fizinį tinklą į Public. Tada pridėkite blokavimo taisyklę programai, kuri taikoma nepageidaujamiems profiliams. Po to patvirtinkite priskyrimą su Get-NetConnectionProfile, nes taisyklė seka būtent šį priskyrimą.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Silpnybė yra struktūrinė. Profilio taisyklė seka kategoriją, todėl kai „Windows“ iš naujo klasifikuoja viešbučio tinklą, blokavimas gali nustoti galioti. Taisyklių sąraše tada niekas nesikeičia.

Antras metodas: pašalinti fizinį numatytąjį maršrutą

Maršrutų požiūris grubesnis ir daug lengviau audituojamas. Užsirašykite fizinę tinklų sietuvą, leiskite VPN įdiegti savo numatytąjį maršrutą su mažesniu metrikos dydžiu, tada ištrinkite fizinį numatytąjį maršrutą. Po to niekas kitas negalės perduoti srauto.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Kai klientas miršta, VPN maršrutas išnyksta kartu su savo adapteriu. Mašina tampa neprisijungusi, o ne nuteka, ir būtent tai turi sukurti kill switch.

Du duomenys nusprendžia, ar tai išsilaikys savaitę. DHCP grąžina tinklų sietuvą kiekvieną kartą, kai ryšys suvirpa. Fizinis adapteris su statiniu adresu išvengia šios staigmenos. Paties VPN serverio adresas taip pat turi likti pasiekiamas. Be šio maršruto į mazgą klientas niekada negalės vėl prisijungti po nutrūkimo, kuris suaktyvino blokavimą.

Trečias metodas: jokios sietuvos, vienas nuolatinis maršrutas į mazgą

Trečiasis variantas prasideda išvalant tinklų sietuvą adapterio nustatymuose. Tada ją pakeičia vienas nuolatinis maršrutas iki VPN galinio taško. Po to mašina gali kalbėtis su serveriu ir su niekuo kitu, kol tunelis pakils.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Sietuvos atkūrimas atkuria įprastą internetą, todėl tai tampa švaria įjungimo ir išjungimo svirtimi. Ji nepriklauso nuo scenarijaus, stebinčio sąsajos įvykius. Jai taip pat nesvarbu, kaip tinklas kategorizuojamas.

Kaina – visiška izoliacija, kol tunelis neveikia. Naujinimai sustoja, o kartu ir pats atsisiuntimas, kuris paskatino šį pratimą. Darbo nešiojamajame kompiuteryje tai dažnai teisinga, o asmeninėje mašinoje tai sąmoningai priimtinas sprendimas.

Kodėl gaublio piktograma nieko neįrodo

„Windows“ praneša apie pasiekiamumą patikrinimu prieš „Microsoft“ galinį tašką. Tas patikrinimas nieko nesako apie jūsų tunelį. Prisijungęs tunelis gali būti už gaublio, kuris praneša, kad interneto nėra, o miręs gali rodyti sveiką ryšį.

Išbandykite nužudę kliento procesą ir tada pabandykite pasiekti viešą adresą pagal numerį. Vardo užklausa gali būti atsakyta iš podėlio, todėl nei piktograma, nei DNS atsakymas nėra įrodymas.

Ką užsirašyti po tikro nutrūkimo

Atlikite testą kaip seką, o ne kaip vieną patikrinimą. Nužudykite procesą vietoj atsijungimo, tada pabandykite skaitinį adresą abiejose šeimose. Po to atkurkite klientą ir patvirtinkite, kad jis vis dar pasiekia savo serverį per išsaugotą maršrutą.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Pakartokite seką po miego, po „Wi-Fi“ pakeitimo ir po perėjimo nuo laido prie belaidžio. Būtent šiuose perėjimuose žlunga ir profilio metodas, ir DHCP elgsena. Taisyklė, kuri laikosi ant stalo, nebūtinai laikosi viešbutyje.

Užrašykite atšaukimo žingsnį prie kiekvienos taisyklės ir maršruto. „Microsoft“ dokumentuoja išėjimo taisyklių kūrimą savo „Windows“ ugniasienės taisyklių žinyne, ir tai geresnis šaltinis nei vadovas vien su ekrano nuotraukomis.

Susiję straipsniai