Kill switch в Windows своими руками

Если в клиенте VPN нет kill switch, его можно сделать средствами Windows. Идея простая: разрешить выход в интернет только через адаптер VPN и запретить всё остальное. Есть два способа — через брандмауэр Windows (надёжнее) и через таблицу маршрутов (проще, но менее строго). Перед началом сохраните настройки, чтобы быстро откатиться. Ниже — пошагово.

Зачем делать kill switch самому

• В клиенте нет kill switch.
• Нужно защитить конкретную программу — например, торрент-клиент.
• Хочется защиты на уровне системы, которая работает даже при сбое клиента.

Способ через брандмауэр Windows

Принцип: сеть VPN-адаптера помечается как «Общедоступная» или «Частная», а домашняя — наоборот, и исходящий трафик разрешается только в профиле VPN.

1. Сохраните политику: Пуск → «Монитор брандмауэра Защитника Windows» → Действие → Экспорт политики.
2. Подключите VPN и откройте Параметры → Сеть и интернет. Посмотрите, какой профиль у основной сети и у адаптера VPN. Сделайте основную сеть «Общедоступной», а VPN-адаптер — «Частной» (для адаптера это делается через PowerShell: Set-NetConnectionProfile -InterfaceAlias "имя адаптера" -NetworkCategory Private).
3. В свойствах брандмауэра для профиля «Общедоступный» установите «Исходящие подключения: Блокировать».
4. Создайте разрешающее правило для профиля «Общедоступный» для самого клиента VPN (его exe-файла), иначе он не сможет подключиться к серверу.
5. Для профиля «Частный» исходящие разрешены — через VPN всё работает.

Так при обрыве VPN трафик пойдёт через «Общедоступную» сеть и будет заблокирован — кроме клиента VPN, который сможет переподключиться.

Вариант для одной программы

Создайте исходящее правило «Блокировать» для exe-файла программы в профиле «Общедоступный». Тогда программа работает только через VPN. Удобно для торрент-клиента — подробнее в гиде VPN для uTorrent.

Способ через таблицу маршрутов

Принцип: удалить маршрут по умолчанию через роутер, оставив маршрут только к серверу VPN.

1. Узнайте IP сервера VPN и шлюз роутера: route print.
2. Добавьте маршрут к серверу VPN через роутер: route add <IP сервера> mask 255.255.255.255 <шлюз>.
3. Подключите VPN и удалите маршрут по умолчанию через роутер: route delete 0.0.0.0 mask 0.0.0.0 <шлюз>.

При обрыве VPN маршрута в интернет не останется. Минус: после перезагрузки или переподключения Wi-Fi маршрут по умолчанию восстановится — способ временный.

Как проверить

1. Подключите VPN, откройте наш инструмент мой IP — должен быть IP сервера.
2. Имитируйте обрыв: закройте клиент VPN через диспетчер задач.
3. Обновите страницу — она не должна открыться.

Как отключить

• Брандмауэр: Действие → Импорт политики из сохранённого файла или «Восстановить значения по умолчанию».
• Маршруты: перезагрузите компьютер или переподключите сеть — маршрут по умолчанию вернётся.

Kill switch в клиентах

Частые ошибки

• Правило брандмауэра без исключения для VPN-клиента — клиент сам не может подключиться.
• Блокировка DNS — без исключения для DNS сервера VPN туннель не поднимется.
• Забыли выключить — без VPN интернета не будет вообще; держите под рукой команду отключения правила.

Какой VPN выбрать

Наш выбор — VPNType: приложение для Windows, ключи для Hiddify и Happ, конфигурации WireGuard и OpenVPN для стандартных клиентов, поддержка 24/7 поможет с настройкой. Пробный Premium — 5 дней за 1 ₽.