Windows'ta ek yazılım olmadan kill switch: profiller mi yoksa rotalar mı?

Güvenlik duvarı profilleri ağın kategorisini, rotalar bağdaştırıcıyı izler. İkisini karşılaştırın, ardından tünel yokken ve simge yalan söylerken çökme durumunu test edin.

İstemci indirmenin ortasında ölür ve tepsi simgesi kaybolur. Aktarım ev bağlantısı üzerinden devam eder. Kill switch'in var olma nedeni tam olarak bu dizilimdir ve Windows ikinci bir ürün olmadan ona yaklaşabilir.

Bilmeye değer iki yöntem var. Farklı yerlerde başarısız olurlar ve hiçbiri tam bir yanıt değildir.

Birinci yöntem: programı yalnızca tek bir profilde izin ver

Windows güvenlik duvarı kuralları Domain, Private ve Public profilleriyle sınırlar. Hile, tünel bağdaştırıcısına bir kategori, fiziksel bağdaştırıcıya başka bir kategori vermektir. Ardından korunan programa tünel profilinde izin veren ve onu her yerde başka yerlerde engelleyen giden bir kural yazarsınız. Güvenlik duvarı kategoriyi okur, bağdaştırıcının adını değil.

Önce VPN bağlantısını Private, fiziksel ağı Public olarak ayarlayın. Ardından programa istemediğiniz profillerde geçerli olan engelleme kuralını ekleyin. Sonra Get-NetConnectionProfile ile atamayı doğrulayın, çünkü kural tam olarak bu atamayı izler.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Zayıflık yapısaldır. Profil kuralı kategoriyi izler, bu yüzden Windows bir otel ağını yeniden sınıflandırdığında engelleme geçerliliğini yitirebilir. Bu olduğunda kural listesinde hiçbir şey değişmez.

İkinci yöntem: fiziksel varsayılan rotayı kaldır

Rota yaklaşımı daha kaba ve denetlemesi çok daha kolaydır. Fiziksel ağ geçidini not edin, VPN'in kendi varsayılan rotasını daha düşük metrikle kurmasına izin verin, sonra fiziksel varsayılanı silin. Bundan sonra başka hiçbir şey trafiği taşıyamaz.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

İstemci öldüğünde VPN rotası bağdaştırıcısıyla birlikte gider. Makine sızdırmak yerine çevrimdışı olur ve kill switch'in üretmesi gereken tam olarak budur.

Bir hafta dayanıp dayanmayacağını iki ayrıntı belirler. Bağlantı her titrediğinde DHCP ağ geçidini geri koyar. Statik adresli fiziksel bağdaştırıcı bu sürprizi önler. VPN sunucusunun kendi adresi de erişilebilir kalmalıdır. Bu ana makine rotası olmadan istemci, engellemeyi tetikleyen kopmadan sonra bir daha asla yeniden bağlanamaz.

Üçüncü yöntem: ağ geçidi yok, tek kalıcı ana makine rotası

Üçüncü seçenek, ağ geçidini bağdaştırıcı ayarlarından temizlemekle başlar. Ardından VPN uç noktasına giden tek bir kalıcı rota onun yerini alır. Bundan sonra makine tünel açılana kadar sunucuyla konuşabilir ve başka hiçbir şeyle konuşamaz.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Ağ geçidini geri yüklemek normal interneti geri yükler, bu da onu temiz bir açma-kapama anahtarı yapar. Arayüz olaylarını izleyen bir betiğe bağlı değildir. Ağın nasıl kategorize edildiği de umurunda değildir.

Bedeli, tünel kapalıyken tam yalıtımdır. Güncellemeler durur ve bu alıştırmayı tetikleyen indirmenin kendisi de durur. İş dizüstü bilgisayarında bu genellikle doğrudur, kişisel bir makinede ise bilinçli olarak alınması gereken bir karardır.

Küre simgesi neden hiçbir şeyi kanıtlamaz

Windows erişilebilirliği Microsoft uç noktasına karşı bir sondayla bildirir. O sonda tüneliniz hakkında hiçbir şey söylemez. Bağlı bir tünel, internet olmadığını bildiren bir kürenin arkasında oturabilir ve ölü bir tünel sağlıklı bir bağlantı gösterebilir.

İstemci sürecini öldürerek test edin ve ardından numarayla bir genel adrese ulaşmayı deneyin. Ad sorgusu önbellekten yanıtlanabilir, bu yüzden ne simge ne de DNS yanıtı kanıttır.

Gerçek bir kopmadan sonra ne kaydedilmeli

Testi tek bir kontrol değil, bir dizi olarak yürütün. Bağlantıyı kesmek yerine süreci öldürün, sonra her iki ailede sayısal adresi deneyin. Ardından istemciyi geri yükleyin ve tuttuğunuz rota üzerinden hâlâ kendi sunucusuna ulaştığını doğrulayın.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Diziyi uykudan sonra, bir Wi-Fi değişikliğinden sonra ve kablodan kablosuza geçtikten sonra tekrarlayın. Hem profil yönteminin hem de DHCP davranışının başarısız olduğu yer tam olarak bu geçişlerdir. Masada tutan bir kural otelde tutmak zorunda değildir.

Geri alma adımını her kuralın ve rotanın yanına yazın. Microsoft giden kural oluşturmayı Windows güvenlik duvarı kuralları başvurusunda belgeler ve bu, yalnızca ekran görüntülerinden oluşan bir kılavuzdan daha iyi bir kaynaktır.

İlgili makaleler