Kill switch i Windows utan ekstra programvare: profilar eller ruter?

Brannmurprofilar følgjer kategorien til nettet, ruter følgjer adapteret. Samanlikn begge, og test deretter krasstilfellet med tunnelen borte og ikonet som lyg.

Klienten døyr midt i ei nedlasting, og ikonet i systemkurven forsvinn. Overføringa held fram over heimekoplinga. Nettopp den sekvensen er grunnen til at ein kill switch finst, og Windows kan nærme seg ein utan eit andre produkt.

To metodar er verd å kjenne. Dei sviktar på ulike stader, og ingen av dei er eit fullstendig svar.

Metode éin: tillat programmet på berre éin profil

Windows-brannmuren avgrensar reglar til profilane Domain, Private og Public. Trikset er å gje tunneadapteret den eine kategorien og det fysiske adapteret den andre. Deretter skriv du ein utgåande regel som tillèt det verna programmet på tunnelprofilen og blokkerer det overalt elles. Brannmuren les kategorien, ikkje namnet på adapteret.

Set først VPN-tilkoplinga til Private og det fysiske nettet til Public. Legg deretter til ein blokkeringsregel for programmet som gjeld for profilane du ikkje vil ha. Stadfest deretter tildelinga med Get-NetConnectionProfile, fordi det er den tildelinga regelen følgjer.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Svakheita er strukturell. Ein profilregel følgjer kategorien, så når Windows omklassifiserer eit hotellnett, kan blokkeringa slutte å gjelde. Ingenting i regellista endrar seg når det skjer.

Metode to: fjern den fysiske standardruta

Rutetilnærminga er grovare og langt enklare å revidere. Noter den fysiske gatewayen, la VPN installere si eiga standardrute med lågare metrikk, og slett deretter den fysiske standardruta. Ingenting anna kan då bera trafikk.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Når klienten døyr, forsvinn VPN-ruta saman med adapteret sitt. Maskinen går offline i staden for å lekke, og det er nettopp det ein kill switch skal frambringe.

To detaljar avgjer om det held ei veke. DHCP set gatewayen tilbake kvar gong sambandet blafrar. Eit fysisk adapter med statisk adresse unngår den overraskinga. Sjølve adressa til VPN-tenaren må også halde fram med å vere tilgjengeleg. Utan den vertsruta kan klienten aldri kople til att etter brotet som utløyste blokkeringa.

Metode tre: ingen gateway, éi varig vertsrute

Det tredje alternativet byrjar med å fjerne gatewayen frå adapterinnstillingane. Deretter erstattar éi varig rute til VPN-endepunktet han. Maskinen kan då snakke med tenaren og med ingenting anna før tunnelen kjem opp.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Å gjenopprette gatewayen gjenopprettar vanleg internett, noko som gjer dette til ein rein av- og på-brytar. Han er ikkje avhengig av eit skript som overvakar grensesnitthendingar. Han bryr seg heller ikkje om korleis nettet blir kategorisert.

Prisen er total isolasjon medan tunnelen er nede. Oppdateringar stoppar, og det same gjer sjølve nedlastinga som sette i gang øvinga. På ein arbeidsbærbar er det ofte rett, medan det på ein personleg maskin er eit vedtak som må takast medvite.

Kvifor globusikonet ikkje beviser noko

Windows rapporterer tilgjenge gjennom ei sondering mot eit Microsoft-endepunkt. Den sonderinga seier ingenting om tunnelen din. Ein tilkopla tunnel kan sitje bak ein globus som melder ingen internett, og ein død kan vise ei sunn kopling.

Test ved å drepe klientprosessen og prøv deretter å nå ei offentleg adresse på nummer. Eit namneoppslag kan svarast frå hurtiglageret, så korkje ikonet eller eit DNS-svar er bevis.

Kva som skal noterast etter eit ekte brot

Køyr testen som ein sekvens i staden for ein einaste kontroll. Drep prosessen i staden for å kople frå, og prøv deretter ei numerisk adresse i båe familiar. Gjenopprett klienten etterpå og stadfest at han framleis når sin eigen tenar gjennom ruta du ikkje sletta.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Gjenta sekvensen etter dvale, etter eit Wi-Fi-byte og etter byte frå kabel til trådlaust. Det er ved desse overgangane både profilmetoden og DHCP-åtferda sviktar. Ein regel som held på ein skrivebord, held ikkje nødvendigvis på eit hotell.

Skriv angretrinnet ved sida av kvar regel og rute. Microsoft dokumenterer oppretting av utgåande reglar i referansen sin for Windows-brannmurreglar, og det er ei betre kjelde enn ein gjennomgang berre med skjermbilete.

Relaterte artiklar