Kill switch në Windows pa software shtesë: profile apo rrugë?

Klienti vdes në mes të shkarkimit dhe ikona në sistemin e njoftimeve zhduket. Transferimi vazhdon përmes lidhjes së shtëpisë. Pikërisht ky sekuencë është arsyeja pse ekziston një kill switch, dhe Windows mund t'i afrohet një të tillë pa një produkt të dytë.

Dy metoda meritojnë të njihen. Ato dështojnë në vende të ndryshme, dhe asnjëra nuk është përgjigje e plotë.

Metoda e parë: lejo programin vetëm në një profil

Firewall-i i Windows kufizon rregullat në profilet Domain, Private dhe Public. Truku është t'i japësh përshtatësit të tunelit një kategori dhe përshtatësit fizik një tjetër. Më pas shkruani një rregull dalës që lejon programin e mbrojtur në profilin e tunelit dhe e bllokon atë kudo tjetër. Firewall-i lexon kategorinë, jo emrin e përshtatësit.

Së pari vendosni lidhjen VPN në Private dhe rrjetin fizik në Public. Më pas shtoni një rregull bllokimi për programin që vlen për profilet që nuk i dëshironi. Pastaj konfirmoni caktimin me Get-NetConnectionProfile, sepse rregulli ndjek pikërisht atë caktim.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Dobësia është strukturore. Një rregull profili ndjek kategorinë, kështu që kur Windows riklasifikon një rrjet hoteli, bllokimi mund të ndalojë së zbatuari. Asgjë në listën e rregullave nuk ndryshon kur ndodh kjo.

Metoda e dytë: hiqni rrugën standarde fizike

Qasja përmes rrugëve është më e ashpër dhe shumë më e lehtë për t'u audituar. Shënoni portën fizike, lërini VPN-së të instalojë rrugën e vet standarde me metrikë më të ulët, më pas fshini atë standarde fizike. Asgjë tjetër nuk mund të mbajë trafik pas kësaj.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Kur klienti vdes, rruga e VPN-së ikën bashkë me përshtatësin e vet. Makina kalon jashtë linje në vend që të rrjedhë, dhe pikërisht këtë duhet të prodhojë një kill switch.

Dy detaje vendosin nëse do t'i rezistojë një javë. DHCP e kthen portën sa herë që lidhja dridhet. Një përshtatës fizik me adresë statike e shmang atë surprizë. Edhe adresa e vetë serverit VPN duhet të mbetet e arritshme. Pa atë rrugë drejt hostit klienti nuk mund të rilidhet kurrë pas ndërprerjes që aktivizoi bllokimin.

Metoda e tretë: pa portë, një rrugë e përhershme drejt hostit

Opsioni i tretë fillon duke pastruar portën nga cilësimet e përshtatësit. Më pas një rrugë e vetme e përhershme drejt pikës fundore të VPN-së e zë vendin. Makina më pas mund të flasë me serverin dhe me asgjë tjetër derisa tuneli të ngrihet.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Rikthimi i portës rikthen internetin e zakonshëm, gjë që e bën këtë një çelës të pastër ndezjeje dhe fikjeje. Nuk varet nga një skript që vëzhgon ngjarjet e ndërfaqes. Nuk i intereson as se si kategorizohet rrjeti.

Çmimi është izolim total sa kohë tuneli është poshtë. Përditësimet ndalen, dhe bashkë me to edhe vetë shkarkimi që e nisi këtë ushtrim. Në një laptop pune kjo është shpesh e saktë, ndërsa në një makinë personale është vendim që duhet marrë me qëllim.

Pse ikona e globit nuk provon asgjë

Windows raporton arritshmërinë përmes një prove kundër një pike fundore të Microsoft. Ajo provë nuk thotë asgjë për tunelin tuaj. Një tunel i lidhur mund të rrijë pas një globi që raporton se nuk ka internet, dhe një i vdekur mund të tregojë lidhje të shëndoshë.

Provojeni duke vrarë procesin e klientit dhe më pas përpiquni të arrini një adresë publike sipas numrit. Një kërkesë emri mund të përgjigjet nga memoria, prandaj as ikona as përgjigja DNS nuk janë provë.

Çfarë duhet regjistruar pas një ndërprerjeje të vërtetë

Kryeni testin si sekuencë dhe jo si një kontroll i vetëm. Vrisni procesin në vend që të shkëputeni, më pas provoni një adresë numerike në të dyja familjet. Pastaj riktheni klientin dhe konfirmoni se ai ende arrin serverin e vet përmes rrugës që mbani.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Përsëriteni sekuencën pas gjumit, pas një ndryshimi Wi-Fi dhe pas kalimit nga kabllo në pa tel. Pikërisht në këto tranzicione dështojnë njësoj metoda e profilit dhe sjellja e DHCP-së. Një rregull që mbahet në tavolinë nuk mbahet domosdoshmërisht në hotel.

Shkruani hapin e anulimit pranë çdo rregulli dhe rruge. Microsoft dokumenton krijimin e rregullave dalëse në referencën e vet për rregullat e firewall-it të Windows, dhe ky është burim më i mirë se një udhëzues vetëm me pamje ekrani.