Il-Kill Switch għadu jimblokka t-traffiku wara li l-VPN jaqta’

It-tunnel mar, l-ikona tan-netwerk tidher normali, u xejn ma jitgħabba. Qtajt il-VPN, żarmajtu, jew erġajt bdejt il-kompjuter, u l-blokk li kellu jipproteġik waqt qtugħ għadu wieqaf. It-tieqa tal-klijent ma tistax tispjegah, għax mhux il-klijent qed jimblokkak: id-deċiżjoni nkitbet fil-kernel f’ismek, u ma tħalla xejn biex jitneħħa. Fuq Windows dak l-istat jinsab fil-Windows Filtering Platform; fuq Linux huwa sett ta’ regoli f’iptables jew nftables, spiss ma’ snapshot li jerġa’ jintuża waqt il-boot. Dan li ġej huwa l-ordni li nuża: aqra l-istat, ħassar l-iżgħar oġġett li jispjega l-falliment, imbagħad sib dak kollu li jibqa’ jpoġġih lura.

Kill switch huwa stat tal-kernel, mhux setting

Il-klijenti tad-desktop jimplimentaw il-blokk billi jżidu filtri li jiċħdu t-traffiku barra t-tunnel. Fuq Windows dawk huma filtri WFP fil-livelli connect-redirect u transport, u xi wħud minnhom huma persistenti: jiġu rekordjati fil-maħżen tal-politika tal-Base Filtering Engine u jiġu restawrati meta l-magna tibda, qabel ma jidħol xi software VPN. Il-klijenti jvarjaw fi meta jnaddfu. Xi wħud ineħħu l-filtri waqt il-qtugħ, oħrajn biss waqt ħruġ nadif, u oħrajn biss meta l-kill switch jintefa l-ewwel. Żarma waqt li l-blokk huwa attiv, jew oqtil il-proċess, u l-filtri jibqgħu.

L-ekwivalenti fuq Linux huwa regola drop jew reject fil-passaġġ tal-output, kultant regola forwarding, kultant politika tal-katina mibdula. Dawk ir-regoli jgħixu iktar mill-proċess li żiedhom għax huma stat tal-kernel: oqtil il-klijent, ġġiegħlu jiġġarraf, jew aqta’ l-enerġija, u l-kernel jibqa’ jitfa’ pakketti b’xejn x’jirrevoka dan. Pakkett ta’ persistenza jżid it-tieni saff ta’ permanenza billi jieħu snapshot tas-sett ta’ regoli attwali u jirrestawrah waqt il-boot, sabiex il-bidu li jmiss jibda bil-blokk diġà installat.

Aqra l-istat WFP qabel ma tħassar xi ħaġa

Windows jiġi bl-għodda li għandek bżonn. Mexxi prompt amministrattiv u ddumpja l-istat tal-pjattaforma; id-dump jinżel bħala wfpstate.xml fid-direttorju tax-xogħol.

netsh wfp show state
netsh wfp show filters
Get-Service bfe

Fittex fl-XML l-isem tal-fornitur li telaq, azzjoni Block, u s-saff. Il-filtri fuq connect-redirect u transport huma dawk li jkissru t-traffiku ordinarju; filtru fuq saff receive-accept normalment mhux il-kawża tiegħek. Jekk il-Base Filtering Engine mhux qed jaħdem xejn, fittex band’oħra, għax xejn ieħor ma jista’ jinfurza dawk il-filtri.

Ivverifika wkoll il-veduta ordinarja tal-firewall, għax ħafna nies jispezzjonaw biss waħda miż-żewġ:

netsh advfirewall show allprofiles
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction

Meta l-profili inkorporati huma mixgħula u l-ebda regola ma taqbel mat-traffiku li qed ifalli, il-blokk jiġi minn fornitur terz u mhux mill-Windows Firewall. Dik id-distinzjoni tiddetermina liema għodda tuża għat-tiswija.

Aqra r-regoli Linux fis-sintassi li se tħassar biha

iptables -S jistampa r-regoli fl-istess forma li biha ġew miżjuda, u għalhekk l-output jista’ jerġa’ jintuża direttament għal tħassir. iptables -L -v -n iżid kontaturi tal-pakketti, u dawk il-kontaturi jgħidulek jekk regola tassew taqbilx mat-talbiet tiegħek li fallew jew sempliċement tinsab fil-katina.

sudo iptables -S
sudo ip6tables -S
sudo iptables -t nat -S

Aqra l-politiki tal-katini, mhux biss ir-regoli: -P OUTPUT DROP jimblokka t-traffiku anki meta l-ebda regola ma taqbel. Ispezjona l-IPv6 separatament, għax klijent li jinstalla ż-żewġ familji jista’ jħalli l-blokk IPv6 f’postu wara li r-regoli IPv4 jgħibu, u s-sintomu mbagħad jiddependi minn liema familja tippreferi applikazzjoni. Fejn jintuża nftables, mexxi wkoll nft list ruleset; iż-żewġ għodod jeżistu flimkien permezz ta’ saff ta’ kompatibilità, u lista waħda mhux bilfors turi kull regola li tista’ twaqqa’ pakkett.

Ħassar l-iżgħar oġġett li jispjega l-falliment

Fuq Windows l-ewwel pass għadu l-passaġġ tat-tneħħija tal-fornitur stess: erġa’ mexxi l-installer u uża repair jew uninstall, jew mexxi l-għodda tat-tindif jekk il-fornitur jippubblika waħda. Servizzi u kompiti skedati li jibqgħu huma komuni, u kompitu li jibda l-klijent waqt il-login jerġa’ jinstalla l-filtri tiegħu fil-boot li jmiss. Uninstall li jfalli waqt li jaqra l-muftieħ tar-reġistru tal-klijent normalment ifisser li servizz jew kompitu għadu qed iżommu, mhux li r-reġistru huwiex korrott.

Get-ScheduledTask | Where-Object TaskName -like '*vpn*'
Get-Service | Where-Object DisplayName -like '*vpn*'

Il-filtri persistenti huma l-aħħar għażla. Huma jinsabu taħt HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent\Filter, valur wieħed għal kull filtru b’muftieħ GUID. Esporta l-muftieħ l-ewwel, innota l-GUIDs li tneħħi, ħassar biss il-valuri li jappartjenu għall-klijent li telaq, imbagħad ibda mill-ġdid sabiex il-magna terġa’ tibni l-istat tagħha. Tħassarx il-muftieħ kollu u tiddiżattivax il-Base Filtering Engine: il-Windows Firewall u d-Defender jiddependu minnu, u tkun qed tibdel waqfa waħda ma’ waħda agħar.

reg export "HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy\Persistent" C:\temp\bfe-backup.reg

Fuq Linux, ħu l-linja stampata minn iptables -S u ssostitwixxi -A b’-D. Li tħassar ir-regola waħda li identifikajt huwa aħjar milli tneħħi katina kollha, għax il-politika tiegħek stess tibqa’ intatta.

sudo iptables -D OUTPUT -p udp -j REJECT

Jekk id-drop jinsab f’katina definita mill-utent, l-ewwel ħassar il-qabża lejn dik il-katina u mbagħad neħħi l-katina b’-X wara. Li tiffissa l-politika tal-katina għal ACCEPT meta r-regoli tad-drop għadhom preżenti jgħin biss lill-pakketti li jilħqu d-deċiżjoni tal-politika. Li tneħħi kull tabella hija l-aħħar għażla: tneħħi wkoll regoli li żidt għal raġunijiet oħra, u b’ufw mixgħul tħalli lis-servizz jemmen li għandu katini li ma għadhomx jeżistu.

Sib il-proprjetarju li jpoġġih lura

Wara t-tiswija immedjata, fittex dak kollu li jkun jista’ jirrestawra l-istat. Fuq Linux, iċċekkja jekk unità ta’ persistenza hijiex attivata, jekk il-klijent għandux setting ta’ restawr tal-firewall waqt il-login, u jekk teżistix fajl ta’ regoli salvat taħt /etc. Fuq Windows, iċċekkja mill-ġdid id-dħul tal-bidu, is-servizzi u l-kompiti skedati, imbagħad ibda mill-ġdid u aqra l-istat bl-istess kmandijiet bħal qabel.

Jekk il-blokk jerġa’ lura, it-tħassir ma kienx is-soluzzjoni; il-proprjetarju kien. Innota liema klijent jew servizz jinstallah u ddiżattiva l-karatteristika hemmhekk, minflok tiġġieled miegħu fis-saff tal-firewall wara kull qtugħ.

Ivverifika b’traffiku reali, mhux ping wieħed

Ittesta riżoluzzjoni tal-isem, konnessjoni TCP u sessjoni ġdida tal-browser, imbagħad ibda mill-ġdid u erġa’ għamel l-istess tliet verifiki. Ping li jaħdem waqt li HTTPS ifalli jindika filtru fis-saff transport u mhux in-netwerk, u blokk li jerġa’ jidher biss wara l-boot jindika proprjetarju li għadek ma sibtux.

Żomm l-evidenza: il-muftieħ BFE esportat, jew l-output ta’ iptables -S maqbud qabel il-bidla. Qabel ma tgħid li ġie msewwi, ikkonferma s-saff li minnu neħħejt l-oġġett, il-proprjetarju li jista’ jerġa’ jinstallah, l-istat wara boot nadif wieħed, u li n-navigazzjoni ordinarja taħdem mingħajr proċess VPN. Il-paġna tal-manwal iptables(8) għandha s-sintassi eżatta tat-tħassir u tal-politika jekk tikteb it-tindif bħala skript.