Windowsda qo'shimcha dasturiy ta'minotsiz kill switch: profillar yoki marshrutlar?

Firewall profillari tarmoq toifasiga, marshrutlar adapterga ergashadi. Ikkalasini solishtiring, so'ng tunnel yo'qolgan va belgi yolg'on gapirayotgan holatda halokat holatini sinab ko'ring.

Mijoz yuklab olish o'rtasida o'ladi va tizim patnisidagi belgi yo'qoladi. Uzatish uy ulanishi orqali davom etadi. Aynan shu ketma-ketlik kill switch mavjudligining sababi, va Windows ikkinchi mahsulotsiz unga yaqinlasha oladi.

Bilishga arziydigan ikkita usul bor. Ular turli joylarda muvaffaqiyatsizlikka uchraydi va hech biri to'liq javob emas.

Birinchi usul: dasturga faqat bitta profilda ruxsat berish

Windows firewall qoidalarni Domain, Private va Public profillari bilan cheklaydi. Hiyla tunnel adapteriga bir toifa, jismoniy adapterga boshqa toifa berishdir. So'ng siz himoyalangan dasturga tunnel profilida ruxsat beradigan va uni boshqa hamma joyda bloklaydigan chiquvchi qoida yozasiz. Firewall toifani o'qiydi, adapter nomini emas.

Avval VPN ulanishini Private, jismoniy tarmoqni Public ga qo'ying. So'ng dastur uchun siz xohlamagan profillarga tegishli bloklash qoidasini qo'shing. Shundan keyin Get-NetConnectionProfile bilan tayinlashni tasdiqlang, chunki qoida aynan shu tayinlashga ergashadi.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

New-NetFirewallRule -DisplayName 'Block browser off VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Block -Profile Public

New-NetFirewallRule -DisplayName 'Allow browser on VPN' -Direction Outbound `
  -Program 'C:\Program Files\Mozilla Firefox\firefox.exe' -Action Allow -Profile Private

Zaiflik tizimli. Profil qoidasi toifaga ergashadi, shuning uchun Windows mehmonxona tarmog'ini qayta tasniflaganda bloklash amal qilishdan to'xtashi mumkin. Bu sodir bo'lganda qoidalar ro'yxatida hech narsa o'zgarmaydi.

Ikkinchi usul: jismoniy standart marshrutni olib tashlash

Marshrut yondashuvi qo'polroq va audit qilish ancha oson. Jismoniy shlyuzni yozib oling, VPN o'z standart marshrutini pastroq metrika bilan o'rnatishiga ruxsat bering, so'ng jismoniy standartni o'chiring. Shundan keyin boshqa hech narsa trafikni tashiy olmaydi.

route print -4
route delete 0.0.0.0 mask 0.0.0.0 192.168.50.1
route print -4 | findstr /c:"0.0.0.0"

Mijoz o'lganda VPN marshruti adapteri bilan birga ketadi. Mashina sizib chiqish o'rniga oflayn bo'ladi, va kill switch aynan shuni ishlab chiqarishi kerak.

Bir hafta chidashini ikkita tafsilot hal qiladi. Aloqa tebranganda DHCP shlyuzni qaytaradi. Statik manzilli jismoniy adapter bu kutilmagan holatdan qochadi. VPN serverining o'z manzili ham kirish mumkin bo'lib qolishi kerak. Shu xost marshrutisiz mijoz bloklashni ishga tushirgan uzilishdan keyin hech qachon qayta ulanmaydi.

Uchinchi usul: shlyuzsiz, bitta doimiy xost marshruti

Uchinchi variant adapter sozlamalaridan shlyuzni tozalashdan boshlanadi. So'ng uni VPN ning oxirigacha bo'lgan yagona doimiy marshrut almashtiradi. Shundan keyin tunnel ko'tarilguncha mashina server bilan gaplasha oladi va boshqa hech kim bilan emas.

route -p add 198.51.100.44 mask 255.255.255.255 192.168.50.1 metric 1
route print -4 | findstr 198.51.100.44

Shlyuzni tiklash oddiy internetni tiklaydi, bu uni toza yoqish va o'chirish kalitiga aylantiradi. U interfeys hodisalarini kuzatuvchi skriptga bog'liq emas. Tarmoq qanday toifalanishi ham unga muhim emas.

Narx tunnel past bo'lganda to'liq izolyatsiyadir. Yangilanishlar to'xtaydi, va bu mashqni keltirib chiqargan yuklab olishning o'zi ham to'xtaydi. Ish noutbukida bu ko'pincha to'g'ri, shaxsiy mashinada esa ataylab qabul qilinadigan qaror.

Nega globus belgisi hech narsani isbotlamaydi

Windows kirish imkoniyatini Microsoft oxiriga qarshi tekshiruv orqali xabar qiladi. Bu tekshiruv sizning tunnelingiz haqida hech narsa demaydi. Ulangan tunnel internet yo'q deb xabar beruvchi globus orqasida o'tirishi mumkin, o'lik tunnel esa sog'lom ulanishni ko'rsatishi mumkin.

Mijoz jarayonini o'ldirib sinab ko'ring va so'ng raqam bo'yicha ommaviy manzilga yetishga harakat qiling. Nom so'rovi keshdan javob olishi mumkin, shuning uchun na belgi, na DNS javobi dalil emas.

Haqiqiy uzilishdan keyin nima yozib olish kerak

Testni bitta tekshiruv emas, ketma-ketlik sifatida bajaring. Uzish o'rniga jarayonni o'ldiring, so'ng ikkala oilada ham raqamli manzilni sinab ko'ring. Keyin mijozni tiklang va u siz saqlab qolgan marshrut orqali hali ham o'z serveriga yetishini tasdiqlang.

taskkill /IM openvpn-gui.exe /F
ping -4 198.51.100.44
ping -6 2606:4700:4700::1111
route print -4 | findstr /c:"0.0.0.0"

Ketma-ketlikni uyqudan keyin, Wi-Fi o'zgarishidan keyin va kabeldan simsizga o'tgandan keyin takrorlang. Profil usuli ham, DHCP xatti-harakati ham aynan shu o'tishlarda muvaffaqiyatsizlikka uchraydi. Stol ustida turgan qoida mehmonxonada turishi shart emas.

Har bir qoida va marshrut yoniga qaytarish qadamini yozing. Microsoft chiquvchi qoidalar yaratishni o'zining Windows firewall qoidalari ma'lumotnomasida hujjatlashtiradi, va bu faqat skrinshotlardan iborat qo'llanmadan yaxshiroq manba.

O'xshash maqolalar