ما هو VPN kill switch

VPN kill switch يحجب كل حركة الإنترنت عندما يسقط اتصال VPN. الهدف ألا يتسرّب IP الحقيقي خاصتك خلال الثواني (أو أكثر) التي يستغرقها العميل لإعادة الاتصال. كل VPN يقول إن لديه واحدًا. معظمها لا يعمل بالطريقة التي تهمّ.

الفرق هو أين يعيش kill switch.

kill switch على مستوى التطبيق: النوع المزيّف

معظم kill switch الخاصة بـ VPN تعيش داخل تطبيق VPN. التطبيق يراقب النفق؛ عندما يرى السقوط، يحجب الحركة. يبدو معقولًا.

المشكلة هي التوقيت. التطبيق يكتشف سقوط النفق بعد أن يكون نظام التشغيل قد مرّر الحزم بالفعل. النبضات الحياتية تعمل كل 10-60 ثانية حسب البروتوكول. هناك نافذة من 200 ميلي ثانية إلى عدّة ثوانٍ يظنّ فيها نظام التشغيل أن النفق قائم — لكنه ليس كذلك، والحزم تعود إلى الواجهة الأساسية وتسرّب IP الحقيقي خاصتك.

عندما يستيقظ التطبيق ويتفاعل، يكون متصفّحك قد أرسل الطلب التالي بالفعل. خدمة البثّ سجّلت IP الخاص بك. مزوّد الإنترنت لديك رأى استعلام DNS بنصّ واضح كان يجب أن يُحلّ داخل النفق.

kill switch userland يفعّل بعد التسرّب. هذا هو معظم kill switch الاستهلاكية.

kill switch على مستوى kernel: النوع الحقيقي

kill switch على مستوى kernel يعيش في network stack الخاص بنظام التشغيل. على Windows هذا Windows Filtering Platform (WFP) — نفس API الجدار الناري الذي يستخدمه Windows Defender Firewall. على macOS هو Network Extension. على Linux هو قواعد nftables/iptables مع PF_INET hooks.

ثلاث خصائص تجعله يعمل:

1. يطلق قبل اكتمال VPN handshake. عندما تضغط Connect، تُركَّب فلاتر kill switch أولًا. الـ handshake يمرّ عبر فتحة فتحها kill switch خصيصًا لنقطة نهاية VPN. إذا فشل الـ handshake، لا يخرج شيء.
2. ينجو من تعطّل التطبيق. إذا مات processus VPN، يستمرّ kill switch في الحجب. kill switch الـ userland تموت مع تطبيقاتها — وWindows يُعيد التوجيه العادي بسعادة في اللحظة التي يخرج فيها التطبيق.
3. ينجو من sleep وresume وتغييرات الشبكة. Wi-Fi إلى ethernet، إغلاق الغطاء، hibernate، تبديل hotspot — كلها أحداث يجب على kill switch داخل التطبيق التعامل معها كتغييرات state منفصلة. قواعد WFP تقع تحت ذلك.

اقرأ التحليل المعمّق للآلية الكاملة.

ما لا يصلحه kill switch

kill switch يغلق الفجوة أثناء انتقالات النفق. لا:

• لا يحمي من نقطة نهاية مخترقة. البرمجيات الخبيثة على لابتوبك ترى الحركة قبل أن يراها kernel.
• لا يوقف تسريبات DNS وحده — هذه طبقة منفصلة (NRPT على Windows، إجبار DNS عبر النفق في تكوين البروتوكول).
• لا يمنع تسريبات WebRTC. WebRTC يعمل فوق مستوى الشبكة؛ المتصفّح يعرف IP الحقيقي خاصتك بغضّ النظر عمّا تراه الشبكة.

هذه تتطلّب إصلاحات منفصلة. لا تثق بـ VPN يجمعها كلها تحت "kill switch protection".

كيف يفعلها Fexyn

على مستوى kernel عبر WFP. يطلق قبل handshake. ينجو من التعطّل. مفعَّل افتراضيًا، لا توجد toggle لتنساه. يسمح بـ loopback لكي تستمرّ خوادم التطوير المحلية في العمل. المزيد في صفحة الدعم أو اختبره على حالة استخدام Wi-Fi العام حيث يهمّ أكثر.

جرّب Fexyn مجانًا لمدة 7 أيام — kill switch مفعَّل افتراضيًا.