Что такое VPN kill switch

VPN kill switch блокирует весь интернет-трафик, когда туннель VPN падает. Смысл в том, чтобы твой настоящий IP не утёк за те секунды (или больше), которые занимает переподключение. Каждый VPN говорит, что у него такой есть. Большинство — нет, в смысле, который имеет значение.

Разница в том, где живёт kill switch.

App-level kill switch: фейковый

Большинство VPN kill switch живут внутри приложения VPN. Приложение мониторит туннель; когда видит падение, блокирует трафик. Звучит разумно.

Проблема в тайминге. Приложение узнаёт о падении туннеля после того, как ОС уже маршрутизировала пакеты. Heartbeat'ы идут раз в 10-60 секунд, в зависимости от протокола. Есть окно от 200 мс до нескольких секунд, где ОС думает, что туннель ещё поднят, — но он уже упал, и пакеты возвращаются на нижний интерфейс и утекают с настоящего IP.

К моменту, когда приложение реагирует, твой браузер уже отправил следующий запрос. Стриминг записал твой IP. Провайдер увидел чистый DNS-запрос, который должен был идти через туннель.

Userland kill switch активируется после утечки. Это большинство потребительских VPN kill switch.

Ядерный kill switch: настоящий

Kill switch на уровне ядра живёт в сетевом стеке ОС. На Windows это Windows Filtering Platform (WFP) — тот же firewall API, который использует Windows Defender Firewall. На macOS это Network Extension. На Linux это правила nftables/iptables с PF_INET hooks.

Три свойства делают его рабочим:

1. Срабатывает до завершения VPN-handshake. Когда жмёшь Connect, фильтры kill switch ставятся первыми. Handshake проходит через дыру, открытую специально для VPN endpoint. Если handshake не удался — наружу не уходит ничего.
2. Переживает падение приложения. Если процесс VPN умирает, kill switch продолжает блокировать. Userland kill switch умирает вместе с приложением — а Windows радостно восстанавливает обычную маршрутизацию, как только приложение выходит.
3. Переживает sleep, resume и смену сети. Wi-Fi → ethernet, закрытие крышки, hibernate, переключение хотспота — все это события, которые in-app kill switch должен обрабатывать как отдельные изменения состояния. WFP-правила лежат под этим.

Прочитай глубокий разбор для полного механизма.

Что kill switch не чинит

Kill switch закрывает разрыв во время переходов туннеля. Он не:

• Не защищает от скомпрометированного эндпоинта. Malware на ноуте видит трафик до того, как его увидит ядро.
• Не останавливает DNS-утечки сам по себе — это отдельный слой (NRPT в Windows, force-DNS-through-tunnel в конфиге протокола).
• Не предотвращает WebRTC-утечки. WebRTC работает поверх сетевого слоя; браузер знает твой настоящий IP независимо от того, что видит сеть.

Эти штуки требуют отдельных решений. Не доверяй VPN, который сваливает их все под "kill switch protection".

Как Fexyn это делает

Ядерный уровень через WFP. Срабатывает до handshake. Переживает падения. Включён по умолчанию, нет тумблера, который можно забыть. Разрешает loopback, чтобы локальные dev-сервера продолжали работать. Подробнее в странице поддержки или протестируй на сценарии публичного Wi-Fi, где это важнее всего.

Попробуй Fexyn бесплатно 7 дней — kill switch включён по умолчанию.