Kill switch operētājsistēmā Windows bez papildu programmatūras: profili vai maršruti?

Ugunsmūra profili seko tīkla kategorijai, maršruti seko adapterim. Salīdziniet abus un pēc tam pārbaudiet avārijas gadījumu, kad tunelis ir pazudis un ikona melo.

Klients nomirst lejupielādes vidū un sistēmas teknē ikona pazūd. Pārsūtīšana turpinās pa mājas savienojumu. Tieši šī secība ir iemesls, kāpēc pastāv kill switch, un Windows var tam tuvoties bez otra produkta.

Ir vērts zināt divas metodes. Tās cieš neveiksmi dažādās vietās, un neviena nav pilnīga atbilde.

Pirmā metode: atļaut programmai tikai vienā profilā

Windows ugunsmūris ierobežo noteikumus ar profiliem Domain, Private un Public. Viltība ir piešķirt tuneļa adapterim vienu kategoriju, bet fiziskajam adapterim citu. Pēc tam rakstāt izejošo noteikumu, kas aizsargāto programmu atļauj tuneļa profilā un bloķē to visur citur. Ugunsmūris nolasa kategoriju, nevis adaptera nosaukumu.

Vispirms iestatiet VPN savienojumu uz Private, bet fizisko tīklu uz Public. Pēc tam pievienojiet bloķēšanas noteikumu programmai, kas attiecas uz nevēlamajiem profiliem. Tad apstipriniet piešķīrumu ar Get-NetConnectionProfile, jo noteikums seko tieši šim piešķīrumam.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Vājība ir strukturāla. Profila noteikums seko kategorijai, tāpēc, kad Windows pārklasificē viesnīcas tīklu, bloķēšana var pārstāt darboties. Noteikumu sarakstā tad nekas nemainās.

Otrā metode: noņemt fizisko noklusējuma maršrutu

Maršrutu pieeja ir rupjāka un daudz vieglāk auditējama. Pierakstiet fizisko vārteju, ļaujiet VPN instalēt savu noklusējuma maršrutu ar zemāku metrikas vērtību, tad izdzēsiet fizisko noklusējuma maršrutu. Pēc tam nekas cits nevar pārvadāt datplūsmu.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Kad klients nomirst, VPN maršruts aiziet kopā ar savu adapteri. Iekārta kļūst bezsaistē, nevis noplūst, un tieši to kill switch ir jārada.

Divi sīkumi izšķir, vai tas izturēs nedēļu. DHCP atgriež vārteju ikreiz, kad saite nodreb. Fiziskais adapters ar statisku adresi izvairās no šī pārsteiguma. Arī paša VPN servera adresei jāpaliek sasniedzamai. Bez šī maršruta uz resursdatoru klients nekad nevarēs atkārtoti savienoties pēc pārrāvuma, kas izraisīja bloķēšanu.

Trešā metode: bez vārtejas, viens pastāvīgs maršruts uz resursdatoru

Trešais variants sākas ar vārtejas notīrīšanu adaptera iestatījumos. Pēc tam to aizstāj viens pastāvīgs maršruts uz VPN galapunktu. Tad iekārta var runāt ar serveri un ar neko citu, līdz tunelis paceļas.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Vārtejas atjaunošana atjauno parasto internetu, kas to padara par tīru ieslēgšanas un izslēgšanas slēdzi. Tas nav atkarīgs no skripta, kas vēro saskarnes notikumus. Tam arī nav svarīgi, kā tīkls tiek kategorizēts.

Cena ir pilnīga izolācija, kamēr tunelis nestrādā. Atjauninājumi apstājas, un līdz ar tiem arī pati lejupielāde, kas izraisīja šo vingrinājumu. Darba klēpjdatorā tas bieži ir pareizi, bet personīgā iekārtā tas ir apzināti pieņemams lēmums.

Kāpēc globusa ikona neko nepierāda

Windows ziņo par sasniedzamību ar pārbaudi pret Microsoft galapunktu. Šī pārbaude neko neizsaka par jūsu tuneli. Savienots tunelis var atrasties aiz globusa, kas ziņo par interneta neesamību, un miris tunelis var rādīt veselīgu savienojumu.

Pārbaudiet, nogalinot klienta procesu, un pēc tam mēģiniet sasniegt publisku adresi pēc numura. Vārda vaicājumu var atbildēt no kešatmiņas, tāpēc ne ikona, ne DNS atbilde nav pierādījums.

Ko pierakstīt pēc īsta pārrāvuma

Veiciet testu kā secību, nevis kā vienu pārbaudi. Nogaliniet procesu, nevis atvienojieties, tad izmēģiniet skaitlisku adresi abās saimēs. Pēc tam atjaunojiet klientu un apstipriniet, ka tas joprojām sasniedz savu serveri pa saglabāto maršrutu.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Atkārtojiet secību pēc miega, pēc Wi-Fi maiņas un pēc pārejas no kabeļa uz bezvadu. Tieši šajās pārejās cieš neveiksmi gan profila metode, gan DHCP uzvedība. Noteikums, kas iztur uz rakstāmgalda, ne vienmēr iztur viesnīcā.

Pierakstiet atsaukšanas soli blakus katram noteikumam un maršrutam. Microsoft dokumentē izejošo noteikumu izveidi savā Windows ugunsmūra noteikumu uzziņā, un tas ir labāks avots par rokasgrāmatu tikai ar ekrānuzņēmumiem.

Saistītie raksti