Kill switch u Windowsu bez dodatnog softvera: profili ili rute?

Profili firewall-a prate kategoriju mreže, rute prate adapter. Uporedite oboje, pa testirajte slučaj pada kada tunela nema, a ikona laže.

Klijent umre nasred preuzimanja i ikona u traci nestane. Prenos se nastavlja preko kućne veze. Upravo taj slijed je razlog zašto kill switch postoji, a Windows mu može prići bez drugog proizvoda.

Dvije metode vrijedi znati. One padaju na različitim mjestima i nijedna nije potpun odgovor.

Prva metoda: dozvoliti program samo na jednom profilu

Windows firewall ograničava pravila na profile Domain, Private i Public. Trik je dati tunelskom adapteru jednu kategoriju, a fizičkom adapteru drugu. Zatim napišete odlazno pravilo koje dopušta zaštićeni program na profilu tunela i blokira ga svuda drugdje. Firewall čita kategoriju, a ne naziv adaptera.

Prvo postavite VPN vezu na Private, a fizičku mrežu na Public. Zatim dodajte pravilo blokiranja za program koje vrijedi za profile koje ne želite. Potom potvrdite dodjelu pomoću Get-NetConnectionProfile, jer pravilo prati upravo tu dodjelu.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Slabost je strukturna. Pravilo profila prati kategoriju, pa kad Windows prekvalifikuje hotelsku mrežu, blokada može prestati da vrijedi. Ništa na listi pravila se ne mijenja kad se to dogodi.

Druga metoda: ukloniti fizičku zadanu rutu

Pristup preko ruta je grublji i mnogo lakši za reviziju. Zabilježite fizički gateway, pustite VPN da postavi svoju zadanu rutu s nižom metrikom, a zatim izbrišite fizičku zadanu rutu. Ništa drugo tada ne može nositi saobraćaj.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Kad klijent umre, VPN ruta odlazi sa svojim adapterom. Mašina odlazi offline umjesto da curi, a upravo to kill switch treba da proizvede.

Dva detalja odlučuju hoće li to preživjeti sedmicu. DHCP vraća gateway svaki put kad veza zatreperi. Fizički adapter sa statičnom adresom izbjegava to iznenađenje. Adresa samog VPN servera takođe mora ostati dostupna. Bez te putanje do hosta klijent se nikada ne može ponovo povezati nakon prekida koji je pokrenuo blokadu.

Treća metoda: bez gatewaya, jedna trajna ruta do hosta

Treća opcija počinje brisanjem gatewaya iz postavki adaptera. Zatim je zamjenjuje jedna trajna ruta do VPN odredišta. Mašina tada može razgovarati sa serverom i ni sa čim drugim dok se tunel ne podigne.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Vraćanje gatewaya vraća običan internet, što ovo čini čistim prekidačem za uključivanje i isključivanje. Ne zavisi od skripte koja promatra događaje interfejsa. Takođe mu nije važno kako se mreža kategorizuje.

Cijena je potpuna izolacija dok je tunel pao. Ažuriranja prestaju, a s njima i samo preuzimanje koje je pokrenulo ovu vježbu. Za poslovni laptop to je često ispravno, dok je na ličnoj mašini odluka koju treba donijeti namjerno.

Zašto ikona globusa ništa ne dokazuje

Windows prijavljuje dostupnost kroz provjeru prema Microsoft odredištu. Ta provjera ne govori ništa o vašem tunelu. Povezan tunel može stajati iza globusa koji javlja da nema interneta, a mrtav tunel može pokazivati zdravu vezu.

Testirajte tako što ćete ubiti proces klijenta i zatim pokušajte dosegnuti javnu adresu po broju. Upit za ime može biti odgovoren iz keša, pa ni ikona ni DNS odgovor nisu dokaz.

Šta zabilježiti nakon stvarnog prekida

Izvedite test kao slijed, a ne kao jednu provjeru. Ubijte proces umjesto da prekinete vezu, pa pokušajte numeričku adresu na obje familije. Zatim vratite klijent i potvrdite da još može dosegnuti svoj server kroz rutu koju ste zadržali.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Ponovite slijed nakon spavanja, nakon promjene Wi-Fi mreže i nakon prelaska s kabla na bežično. Ti prijelazi su mjesto gdje i metoda profila i ponašanje DHCP-a padaju. Pravilo koje drži za stolom ne mora držati u hotelu.

Upišite korak vraćanja pored svakog pravila i rute. Microsoft dokumentuje stvaranje odlaznih pravila u referenci za Windows firewall pravila, a to je bolji izvor od vodiča sa samim snimkama ekrana.

Povezani članci