Kill switch vo Windows bez ďalšieho softvéru: profily alebo trasy?

Profily brány firewall sledujú kategóriu siete, trasy sledujú adaptér. Porovnajte oboje a potom otestujte prípad pádu, keď tunel zmizne a ikona klame.

Klient zomrie uprostred sťahovania a ikona v oznamovacej oblasti zmizne. Prenos pokračuje cez domáce pripojenie. Práve táto postupnosť je dôvodom, prečo kill switch existuje, a Windows sa mu dokáže priblížiť bez druhého produktu.

Stojí za to poznať dve metódy. Zlyhávajú na rôznych miestach a ani jedna nie je úplná odpoveď.

Metóda prvá: povoliť program iba v jednom profile

Brána firewall Windows obmedzuje pravidlá na profily Domain, Private a Public. Trik je dať tunelovému adaptéru jednu kategóriu a fyzickému adaptéru inú. Potom napíšete odchádzajúce pravidlo, ktoré chránený program povolí v profile tunela a všade inde ho zablokuje. Brána firewall číta kategóriu, nie názov adaptéra.

Najprv nastavte pripojenie VPN na Private a fyzickú sieť na Public. Potom pridajte pravidlo blokovania pre program, ktoré platí pre nechcené profily. Následne potvrďte priradenie pomocou Get-NetConnectionProfile, pretože pravidlo sleduje práve toto priradenie.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Slabina je štrukturálna. Pravidlo profilu sleduje kategóriu, takže keď Windows preklasifikuje hotelovú sieť, blokovanie môže prestať platiť. V zozname pravidiel sa pritom nič nemení.

Metóda druhá: odstrániť fyzickú predvolenú trasu

Prístup cez trasy je hrubší a oveľa ľahšie auditovateľný. Poznačte si fyzickú bránu, nechajte VPN nainštalovať vlastnú predvolenú trasu s nižšou metrikou a potom fyzickú predvolenú trasu vymažte. Nič iné už prevádzku neunesie.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Keď klient zomrie, trasa VPN odíde so svojím adaptérom. Stroj prejde do režimu offline namiesto úniku, a presne to má kill switch spôsobiť.

O tom, či to vydrží týždeň, rozhodujú dva detaily. DHCP vráti bránu zakaždým, keď spojenie zakolíše. Fyzický adaptér so statickou adresou tomu prekvapeniu predíde. Adresa samotného servera VPN musí tiež zostať dostupná. Bez tejto cesty k hostiteľovi sa klient po výpadku, ktorý blokovanie spustil, už nikdy nepripojí.

Metóda tretia: žiadna brána, jedna trvalá trasa k hostiteľovi

Tretia možnosť začína vymazaním brány v nastaveniach adaptéra. Potom ju nahradí jediná trvalá trasa ku koncovému bodu VPN. Stroj potom môže hovoriť so serverom a s ničím iným, kým tunel nenabehne.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Obnovenie brány obnoví bežný internet, čo z toho robí čistý vypínač. Nezávisí od skriptu, ktorý sleduje udalosti rozhrania. Tiež mu nezáleží na tom, ako je sieť zaradená.

Cenou je úplná izolácia, kým tunel nebeží. Aktualizácie sa zastavia a spolu s nimi aj práve to sťahovanie, ktoré celé cvičenie vyvolalo. Na pracovnom notebooku je to často správne, na osobnom stroji je to rozhodnutie, ktoré treba urobiť vedome.

Prečo ikona zemegule nič nedokazuje

Windows hlási dostupnosť pomocou sondy proti koncovému bodu Microsoftu. Tá sonda o vašom tuneli nič nehovorí. Pripojený tunel môže sedieť za zemeguľou, ktorá hlási žiadny internet, a mŕtvy tunel môže ukazovať zdravé pripojenie.

Otestujte to zabitím procesu klienta a potom skúste dosiahnuť verejnú adresu podľa čísla. Dopyt na meno môže byť zodpovedaný z vyrovnávacej pamäte, takže ani ikona, ani odpoveď DNS nie sú dôkaz.

Čo zaznamenať po skutočnom výpadku

Vykonajte test ako postupnosť, nie ako jednu kontrolu. Zabite proces namiesto odpojenia a potom skúste číselnú adresu v oboch rodinách. Potom klienta obnovte a potvrďte, že sa stále dostane na svoj server cez trasu, ktorú ste ponechali.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Postupnosť zopakujte po spánku, po zmene Wi-Fi a po prechode z kábla na bezdrôtové pripojenie. Práve pri týchto prechodoch zlyháva metóda profilu aj správanie DHCP. Pravidlo, ktoré drží na stole, nemusí držať v hoteli.

Krok vrátenia napíšte vedľa každého pravidla a trasy. Microsoft dokumentuje vytváranie odchádzajúcich pravidiel vo svojej referencii pravidiel brány firewall Windows, a to je lepší zdroj než návod len so snímkami obrazovky.

Súvisiace články