Windows дээр нэмэлт програмгүйгээр kill switch: профайл уу, маршрут уу?

Галт хананы профайлууд сүлжээний ангиллыг дагадаг, маршрутууд адаптерыг дагадаг. Хоёулыг харьцуулж, дараа нь туннель алга болж, дүрс худал хэлсэн эвдрэлийн тохиолдлыг шалгана уу.

Татаж авахын дунд клиент үхэж, тавиурын дүрс алга болно. Дамжуулалт гэрийн холболтоор үргэлжилнэ. Яг энэ дараалал нь kill switch байх шалтгаан бөгөөд Windows хоёр дахь бүтээгдэхүүнгүйгээр үүнд ойртож чадна.

Мэдэх нь зүйтэй хоёр арга бий. Тэд өөр өөр газарт бүтэлгүйтдэг бөгөөд аль нь ч бүрэн хариулт биш.

Эхний арга: програмыг зөвхөн нэг профайлд зөвшөөрөх

Windows-ийн галт хана дүрмийг Domain, Private, Public профайлуудаар хязгаарладаг. Арга нь туннелийн адаптерт нэг ангилал, физик адаптерт өөр ангилал өгөх явдал юм. Дараа нь хамгаалагдсан програмыг туннелийн профайлд зөвшөөрч, бусад бүх газарт блоклодог гарцын дүрэм бичнэ. Галт хана ангиллыг уншдаг, адаптерын нэрийг биш.

Эхлээд VPN холболтыг Private, физик сүлжээг Public болгоно. Дараа нь хүсээгүй профайлуудад хамаарах блоклох дүрмийг программд нэмнэ. Үүний дараа Get-NetConnectionProfile-оор хуваарилалтыг баталгаажуулна, учир нь дүрэм яг тэр хуваарилалтыг дагадаг.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Сул тал нь бүтцийн шинжтэй. Профайлын дүрэм ангиллыг дагадаг, тиймээс Windows зочид буудлын сүлжээг дахин ангилахад блоклолт хүчингүй болж болно. Тэр үед дүрмийн жагсаалтад юу ч өөрчлөгдөхгүй.

Хоёр дахь арга: физик өгөгдмөл маршрутыг устгах

Маршрутын арга илүү бүдүүлэг бөгөөд аудит хийхэд хамаагүй хялбар. Физик гарцыг тэмдэглэж, VPN өөрийн өгөгдмөл маршрутыг бага хэмжүүрээр суулгахыг зөвшөөрч, дараа нь физик өгөгдмөлийг устгана. Үүний дараа өөр юу ч урсгалыг зөөж чадахгүй.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Клиент үхэхэд VPN-ийн маршрут адаптертайгаа хамт явна. Машин алдагдахын оронд офлайн болдог бөгөөд kill switch яг үүнийг үүсгэх ёстой.

Долоо хоног тэсэх эсэхийг хоёр нарийн зүйл шийднэ. Холбоос чичрэх бүрт DHCP гарцыг буцааж тавьдаг. Статик хаягтай физик адаптер тэр гэнэтийн зүйлээс зайлсхийнэ. VPN серверийн өөрийн хаяг ч хүртээмжтэй хэвээр байх ёстой. Тэр хост маршрутгүйгээр клиент блоклолтыг өдөөсөн тасралтын дараа хэзээ ч дахин холбогдож чадахгүй.

Гурав дахь арга: гарцгүй, нэг байнгын хост маршрут

Гурав дахь сонголт адаптерын тохиргооноос гарцыг цэвэрлэхээс эхэлдэг. Дараа нь VPN-ийн төгсгөлийн цэг рүү чиглэсэн ганц байнгын маршрут түүнийг орлоно. Үүний дараа туннель босох хүртэл машин сервертэй ярьж чадна, өөр юутай ч үгүй.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Гарцыг сэргээх нь энгийн интернэтийг сэргээдэг бөгөөд энэ нь үүнийг цэвэр асаах, унтраах унтраалга болгоно. Энэ нь интерфэйсийн үйл явдлыг ажигладаг скриптээс хамаардаггүй. Сүлжээг хэрхэн ангилах нь ч түүнд хамаагүй.

Үнэ нь туннель зогсож байх үед бүрэн тусгаарлалт юм. Шинэчлэлтүүд зогсох бөгөөд энэ дасгалыг үүсгэсэн таталт өөрөө ч зогсоно. Ажлын зөөврийн компьютер дээр энэ нь ихэвчлэн зөв, хувийн машин дээр бол санаатайгаар гаргах шийдвэр юм.

Бөмбөрцөг дүрс яагаад юу ч нотлохгүй вэ

Windows хүртээмжийг Microsoft-ийн төгсгөлийн цэг рүү хийх шалгалтаар мэдээлдэг. Тэр шалгалт таны туннелийн талаар юу ч хэлэхгүй. Холбогдсон туннель интернэт байхгүй гэж мэдээлдэг бөмбөрцгийн ард сууж болно, үхсэн туннель эрүүл холболт харуулж болно.

Клиент процессыйг алж шалгана уу, дараа нь дугаараар нийтийн хаяг руу хүрэхийг оролдоно уу. Нэрийн асуултад кэшээс хариулж болох тул дүрс ч, DNS хариулт ч нотолгоо биш.

Жинхэнэ тасралтын дараа юу бүртгэх вэ

Тестийг нэг шалгалт биш, дараалал хэлбэрээр гүйцэтгэнэ. Салгахын оронд процессыйг алж, дараа нь хоёр гэр бүлд тоон хаяг туршина. Дараа нь клиентийг сэргээж, хадгалсан маршрутаараа өөрийн серверт хүрч байгаа эсэхийг баталгаажуулна.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Унтсаны дараа, Wi-Fi өөрчлөгдсөний дараа, кабелаас утасгүй рүү шилжсэний дараа дарааллыг давтана. Профайлын арга болон DHCP-ийн зан төлөв хоёулаа бүтэлгүйтдэг газар нь яг эдгээр шилжилт юм. Ширээн дээр тогтдог дүрэм зочид буудалд тогтдоггүй байж болно.

Дүрэм, маршрут бүрийн хажууд буцаах алхмыг бичнэ. Microsoft гарцын дүрэм үүсгэхийг өөрийн Windows галт хананы дүрмийн лавлах дотор баримтжуулсан бөгөөд энэ нь зөвхөн дэлгэцийн зурагтай гарын авлагаас илүү эх сурвалж юм.

Холбоотой нийтлэлүүд