Kill switch sa Windows nang walang dagdag na software: profile o ruta?

Namamatay ang kliyente sa gitna ng download at nawawala ang icon sa tray. Nagpapatuloy ang paglilipat sa koneksyon ng bahay. Ang eksaktong pagkakasunod-sunod na iyon ang dahilan kung bakit may kill switch, at kayang lapitan ito ng Windows nang walang pangalawang produkto.

May dalawang paraan na dapat malaman. Nabibigo sila sa magkaibang lugar, at wala sa kanila ang kumpletong sagot.

Unang paraan: payagan ang programa sa isang profile lamang

Nililimitahan ng firewall ng Windows ang mga patakaran sa mga profile na Domain, Private at Public. Ang gimik ay bigyan ang adapter ng tunnel ng isang kategorya at ang pisikal na adapter ng iba. Pagkatapos ay sumulat ka ng palabas na patakaran na nagpapahintulot sa protektadong programa sa profile ng tunnel at humaharang dito sa lahat ng ibang lugar. Ang kategorya ang binabasa ng firewall, hindi ang pangalan ng adapter.

Itakda muna ang koneksyon ng VPN sa Private at ang pisikal na network sa Public. Pagkatapos ay magdagdag ng patakaran sa pagharang para sa programa na naaangkop sa mga profile na ayaw mo. Pagkatapos ay kumpirmahin ang pagtatalaga gamit ang Get-NetConnectionProfile, dahil ang patakarang sinusundan ay ang pagtatalagang iyon.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Ang kahinaan ay estruktural. Ang patakaran ng profile ay sumusunod sa kategorya, kaya kapag inuri muli ng Windows ang isang network ng hotel, maaaring tumigil sa pag-iral ang harang. Walang nagbabago sa listahan ng patakaran kapag nangyari iyon.

Ikalawang paraan: alisin ang pisikal na default na ruta

Ang diskarte sa ruta ay mas bastos at mas madaling i-audit. Itala ang pisikal na gateway, hayaan ang VPN na maglagay ng sarili nitong default na ruta na may mas mababang sukatan, pagkatapos ay tanggalin ang pisikal na default. Wala nang ibang makakapagdala ng trapiko pagkatapos niyon.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Kapag namatay ang kliyente, umaalis ang ruta ng VPN kasama ang adapter nito. Nagiging offline ang makina sa halip na tumagas, at iyon ang dapat ilabas ng isang kill switch.

Dalawang detalye ang nagpapasya kung tatagal ito ng isang linggo. Ibinabalik ng DHCP ang gateway tuwing nanginginig ang link. Iniiwasan ng pisikal na adapter na may static na address ang sorpresang iyon. Kailangan ding manatiling maabot ang address ng mismong server ng VPN. Kung wala ang landas na iyon patungo sa host, hindi na muling makakakonekta ang kliyente pagkatapos ng pagputol na nagpatigil sa harang.

Ikatlong paraan: walang gateway, isang permanenteng ruta ng host

Nagsisimula ang ikatlong opsyon sa paglilinis ng gateway mula sa mga setting ng adapter. Pagkatapos ay pumapalit ang isang permanenteng ruta patungo sa dulo ng VPN. Pagkatapos niyon ay makakausap ng makina ang server at wala nang iba hanggang sa umangat ang tunnel.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Ang pagbabalik ng gateway ay nagbabalik ng ordinaryong internet, na ginagawa itong malinis na switch ng bukas at patay. Hindi ito umaasa sa script na nagmamatyag sa mga pangyayari ng interface. Wala rin itong pakialam kung paano ikinakategorya ang network.

Ang halaga ay ganap na paghihiwalay habang nakababa ang tunnel. Humihinto ang mga update, at humihinto rin ang mismong download na nagtulak sa pagsasanay na ito. Sa laptop ng trabaho ay madalas itong tama, samantalang sa personal na makina ito ay desisyong dapat gawin nang sadya.

Bakit walang pinatutunayan ang icon ng globo

Iniuulat ng Windows ang maabot sa pamamagitan ng pagsusuri laban sa isang dulo ng Microsoft. Walang sinasabi ang pagsusuring iyon tungkol sa tunnel mo. Ang konektadong tunnel ay maaaring umupo sa likod ng globo na nag-uulat na walang internet, at ang patay ay maaaring magpakita ng malusog na koneksyon.

Subukan sa pamamagitan ng pagpatay sa proseso ng kliyente at pagkatapos ay subukang maabot ang pampublikong address sa pamamagitan ng numero. Ang paghahanap ng pangalan ay maaaring sagutin mula sa cache, kaya wala ang icon ni ang sagot ng DNS ay ebidensya.

Ano ang dapat itala pagkatapos ng tunay na pagputol

Patakbuhin ang pagsubok bilang pagkakasunod-sunod at hindi bilang isang pagsusuri. Patayin ang proseso sa halip na idiskonekta, pagkatapos ay subukan ang numerong address sa parehong pamilya. Pagkatapos ay ibalik ang kliyente at kumpirmahin na naaabot pa rin nito ang sarili nitong server sa rutang itinago mo.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Ulitin ang pagkakasunod-sunod pagkatapos ng pagtulog, pagkatapos ng pagbabago ng Wi-Fi at pagkatapos lumipat mula sa kable patungo sa wireless. Sa mga transisyong iyon nabibigo kapwa ang paraan ng profile at ang pag-uugali ng DHCP. Ang patakarang tumatagal sa mesa ay hindi kinakailangang tumagal sa hotel.

Isulat ang hakbang ng pag-undo sa tabi ng bawat patakaran at ruta. Dinodokumento ng Microsoft ang paggawa ng palabas na patakaran sa sanggunian nito sa mga patakaran ng firewall ng Windows, at iyon ay mas mabuting pinagmulan kaysa gabay na puro screenshot.