Kill switch dalam Windows tanpa perisian tambahan: profil atau laluan?

Profil tembok api mengikut kategori rangkaian, laluan mengikut penyesuai. Bandingkan kedua-duanya, kemudian uji kes ranap apabila terowong hilang dan ikon berbohong.

Klien mati di tengah-tengah muat turun dan ikon dulang hilang. Pemindahan berterusan melalui sambungan rumah. Urutan itulah sebabnya kill switch wujud, dan Windows boleh menghampirinya tanpa produk kedua.

Dua kaedah wajar diketahui. Kedua-duanya gagal di tempat berbeza, dan tiada satu pun jawapan lengkap.

Kaedah satu: benarkan program pada satu profil sahaja

Tembok api Windows mengehadkan peraturan kepada profil Domain, Private dan Public. Helahnya ialah memberi penyesuai terowong satu kategori dan penyesuai fizikal kategori lain. Kemudian anda menulis peraturan keluar yang membenarkan program dilindungi pada profil terowong dan menyekatnya di tempat lain. Tembok api membaca kategori, bukan nama penyesuai.

Mula-mula tetapkan sambungan VPN kepada Private dan rangkaian fizikal kepada Public. Kemudian tambah peraturan sekatan untuk program yang terpakai pada profil yang tidak anda mahu. Selepas itu sahkan penetapan dengan Get-NetConnectionProfile, kerana peraturan mengikut penetapan itulah.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Kelemahannya bersifat struktur. Peraturan profil mengikut kategori, jadi apabila Windows mengklasifikasi semula rangkaian hotel, sekatan itu boleh berhenti terpakai. Tiada apa pun dalam senarai peraturan berubah apabila itu berlaku.

Kaedah dua: buang laluan lalai fizikal

Pendekatan laluan lebih kasar dan jauh lebih mudah diaudit. Catat get laluan fizikal, biarkan VPN memasang laluan lalainya sendiri dengan metrik lebih rendah, kemudian hapus laluan lalai fizikal. Tiada apa lagi yang boleh membawa trafik selepas itu.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Apabila klien mati, laluan VPN pergi bersama penyesuainya. Mesin menjadi luar talian dan bukannya bocor, dan itulah yang sepatutnya dihasilkan oleh kill switch.

Dua butiran menentukan sama ada ia bertahan seminggu. DHCP mengembalikan get laluan setiap kali pautan bergegar. Penyesuai fizikal dengan alamat statik mengelakkan kejutan itu. Alamat pelayan VPN itu sendiri juga mesti kekal boleh dicapai. Tanpa laluan hos itu klien tidak akan dapat menyambung semula selepas pemutusan yang mencetuskan sekatan itu.

Kaedah tiga: tiada get laluan, satu laluan hos kekal

Pilihan ketiga bermula dengan membersihkan get laluan daripada tetapan penyesuai. Kemudian satu laluan kekal ke titik akhir VPN menggantikannya. Mesin kemudian boleh bercakap dengan pelayan dan dengan tiada apa lain sehingga terowong naik.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Memulihkan get laluan memulihkan internet biasa, yang menjadikannya suis hidup dan mati yang bersih. Ia tidak bergantung pada skrip yang memerhati peristiwa antara muka. Ia juga tidak peduli bagaimana rangkaian dikategorikan.

Kosnya ialah pengasingan total semasa terowong turun. Kemas kini berhenti, dan begitu juga muat turun yang mencetuskan latihan ini. Pada komputer riba kerja itu selalunya betul, manakala pada mesin peribadi ia adalah keputusan yang perlu diambil secara sedar.

Mengapa ikon glob tidak membuktikan apa-apa

Windows melaporkan kebolehcapaian melalui ujian terhadap titik akhir Microsoft. Ujian itu tidak berkata apa-apa tentang terowong anda. Terowong yang bersambung boleh duduk di belakang glob yang melaporkan tiada internet, dan yang mati boleh menunjukkan sambungan sihat.

Uji dengan membunuh proses klien dan kemudian cuba capai alamat awam mengikut nombor. Carian nama boleh dijawab dari cache, jadi ikon mahupun jawapan DNS bukan bukti.

Apa yang perlu direkodkan selepas pemutusan sebenar

Jalankan ujian sebagai urutan dan bukan sebagai satu pemeriksaan. Bunuh proses itu dan bukannya memutuskan sambungan, kemudian cuba alamat berangka pada kedua-dua keluarga. Selepas itu pulihkan klien dan sahkan ia masih mencapai pelayannya sendiri melalui laluan yang anda kekalkan.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Ulang urutan selepas tidur, selepas perubahan Wi-Fi dan selepas bertukar daripada kabel ke wayarles. Peralihan itulah tempat kaedah profil dan tingkah laku DHCP kedua-duanya gagal. Peraturan yang bertahan di meja tidak semestinya bertahan di hotel.

Tulis langkah batal di sebelah setiap peraturan dan laluan. Microsoft mendokumenkan penciptaan peraturan keluar dalam rujukan peraturan tembok api Windows, dan itu sumber yang lebih baik daripada panduan yang hanya mengandungi tangkapan skrin.

Artikel berkaitan