Секунда. Иногда три. Столько живёт ваше незащищённое соединение после того, как туннель отвалился, а вы об этом ещё не знаете.
Ситуация бытовая до зевоты, и я её проживал десятки раз: едешь в электричке, VPN включён, поезд ныряет в выемку, связь на мгновение проваливается и тут же возвращается, значок в трее вроде бы на месте — но туннель уже разорван и собирается заново, а браузер, мессенджер и десяток фоновых процессов продолжают ходить в сеть напрямую, с вашего настоящего адреса.
Вот от этого окна и придуман Kill Switch. Логика примитивная: нет туннеля — нет интернета. Не «немножко напрямую, пока переподключаемся», а вообще ничего. Оговорюсь: я работаю в VPN-сервисе, лицо заинтересованное. Но врать тут нечем — Kill Switch проверяют руками за три минуты. Проверяйте и меня тоже.
Что успевает утечь за эти несколько секунд
Механика скучная и оттого особенно обидная. Я долго не мог с ней смириться: виновата не поломка, а наоборот — исправность. Когда VPN поднимается, он перестраивает маршрутизацию так, что маршрут по умолчанию указывает на виртуальный интерфейс туннеля; когда туннель падает, интерфейс умирает вместе с ним, и система делает ровно то, чему её учили, — возвращает маршрут на физическую карту, потому что связь-то есть, чего добру пропадать. Всё правильно. Упрекнуть не в чем. Просто трафик идёт мимо шифрования.
Дальше всё за доли секунды и без вашего участия. Мессенджеры пересобирают соединение — уже с реального IP. Браузер дотягивает картинки. Фоновые приложения лезут за обновлениями. Торрент-клиент, если запущен, бодро анонсируется трекеру и раздаёт ваш адрес всему рою, и вот это, по моему опыту, худший из сценариев: след остаётся не у одного провайдера, а у сотни случайных людей. Заметить невозможно. Обрыв и переподключение вместе занимают меньше времени, чем нужно глазу, чтобы поймать мигание иконки.
Так что будет, если VPN отключится? Смотрели видео про котов — думаю, ничего. А были залогинены там, где связывать аккаунт с реальным адресом вам не нужно, — произойдёт ровно то, от чего вы и защищались.
[Изображение: схема двух сценариев обрыва — слева трафик после падения туннеля уходит напрямую к провайдеру, справа Kill Switch блокирует все исходящие соединения]
Как это сделано внутри: три уровня честности
Kill Switch — не одна технология, а общее название для нескольких очень разных по надёжности решений, и по описанию на сайте разницы не видно. Галочка выглядит одинаково везде, и меня это, если честно, бесит.
Файрвольная реализация. Клиент прописывает в межсетевой экран правила: исходящие разрешены только через интерфейс туннеля и только на адрес сервера, остальное дропать. Windows — WFP, Linux — nftables, macOS — pf. Правила живут в ядре и не зависят от того, жив ли процесс клиента, — он может рухнуть с ошибкой, может быть прибит по памяти, может зависнуть намертво, а трафик всё равно никуда не пойдёт. Единственный вариант, который я считаю настоящим.
Приложенческая. Клиент сам следит за соединением и, заметив обрыв, режет трафик. Работает, и неплохо — я сам годами жил на такой. Но если упало само приложение, а не туннель, резать становится некому.
Системная. Операционная система сама держит политику «без VPN в сеть не ходим». В Android это встроено и работает отлично, в iOS — отдельная грустная история.
Мне ближе вот такая аналогия. Первый — УЗО в щитке: разрешения у чайника не спрашивает, просто вырубает линию. Второй — сам чайник с датчиком: пока цел, следит, а сгорел — и следить нечем.
Полный, по приложениям и «только через VPN»
Под одним названием прячутся три режима.
Полный. Падает туннель — обрывается вся сеть на устройстве. Грубо, зато без дырок. Мой выбор для ноутбука.
По приложениям. Вы указываете программы, которым запрещено выходить в сеть без туннеля, остальные живут своей жизнью: почта падает вместе с VPN, музыка играет дальше, и выглядит это удобно ровно до того момента, пока вы не вспомните, что реализация здесь почти всегда приложенческая. Компромисс осознанный. Но компромисс.
VPN only access. Самый строгий: устройство не выпускают наружу иначе как через туннель — не только при обрыве, а всегда. Имеет смысл на рабочих машинах, где прямой выход запрещён политикой; подробнее — в материале про управление доступом сотрудников к VPN.
Зачем нужен Kill Switch в любом из вариантов — ответ один. Чтобы решение, идти вашему трафику наружу или не идти, принимали вы заранее и на трезвую голову, а не система в момент сбоя по логике «связь есть, значит надо пользоваться».
Мобильные: Android умеет, iOS — как получится
Здесь платформы расходятся радикально, и объяснять это людям мне труднее всего. В Android есть системная опция Always-on VPN, а рядом — переключатель блокировки соединений без VPN, и вот эта пара и есть настоящий Kill Switch на уровне системы, не зависящий ни от клиента, ни от его настроения. Путь такой: Настройки → Сеть и интернет → VPN → шестерёнка рядом с профилем. Названия гуляют от вендора к вендору, я давно перестал их запоминать. Как включить Always-on VPN: активируете «Постоянная VPN», затем «Блокировать соединения без VPN». Второй тумблер недоступен, пока не включён первый. И нюанс, на который я однажды убил вечер: у некоторых клиентов опция не появляется, пока профиль хотя бы раз не подключился.
[Изображение: скриншот системных настроек Android с активными переключателями «Постоянная VPN» и «Блокировать соединения без VPN»]
С iOS сложнее, и тут придётся сказать неприятное. Есть ли Kill Switch на iPhone в том же виде? По-честному — нет. Политика платформы не даёт стороннему приложению перехватывать сетевой стек настолько глубоко, чтобы гарантированно резать весь трафик при обрыве, и изменится ли это когда-нибудь — не знаю. Клиенты вместо блокировки используют подключение по требованию: система сама поднимает туннель заново, и окно утечки сокращается до долей секунды. Но это переподключение, а не блокировка. Полноценный аналог — только через корпоративные MDM-профили. Скажем так: железная гарантия у вас на Android и на десктопе, а на iPhone — компромисс.
Проверка за три минуты: пошаговый тест
Ладно, теперь то, ради чего всё затевалось. Как проверить, работает ли Kill Switch именно у вас — руками, без доверия к описаниям. Включая моё.
- Подключитесь к VPN и откройте страницу проверки соединения. Запомните: IP, страна, DNS-серверы. Это точка отсчёта.
- Теперь грубо рвём туннель. Не кнопкой «отключить»: клиент корректно отработает завершение, это ничего не докажет. Нужен аварийный разрыв — выключите Wi-Fi на пять секунд или снимите процесс клиента.
- Сразу, не дожидаясь переподключения, обновите страницу проверки.
- Смотрите. Не открылась, браузер ругается на сеть — защита отработала. Открылась, показала реальный IP и DNS провайдера — галочка декоративная.
- Повторите на каждом устройстве. Поведение отличается даже между клиентами на одной платформе.
И отдельно прогоните тест на мобильном интернете — там обрывы чаще всего.
[Изображение: результат проверки до и после обрыва — слева адрес VPN-сервера, справа сообщение об отсутствии соединения вместо реального IP]
Что течёт даже при включённом Kill Switch
А вот тут неприятное. Kill Switch закрывает ровно одну дыру — трафик в момент обрыва, и больше ничего; я не раз видел, как для человека это становится открытием после месяцев спокойной жизни.
DNS. Если запросы идут мимо туннеля — а бывает это чаще, чем кажется, — провайдер видит ваши домены при живом и здоровом VPN.
IPv6. Классические грабли. Туннель поднят для IPv4, у провайдера есть IPv6, и трафик к сайтам с шестой версией адреса идёт напрямую. Обрыва не было, блокировать нечего.
Локальная сеть. Многие реализации оставляют локалку открытой, чтобы принтер печатал. Дома нормально. В гостиничном Wi-Fi, где локалка — все постояльцы этажа, уже не очень, и чем такие сети опасны, разобрано отдельно.
Вернее, закрывать их надо отдельно: механика всех трёх — в материале про утечки DNS, WebRTC и IPv6. Темы идут в комплекте.
Когда он мешает и что с этим делать
Скажу честно: Kill Switch раздражает. Особенно поначалу. Самый частый сценарий — кафе с авторизацией по Wi-Fi, и я на нём спотыкался раз двадцать: браузер должен открыть страницу с кнопкой «согласен», но весь трафик зарезан, потому что туннеля нет, а туннеля нет, потому что вы не нажали «согласен». Замкнутый круг. Лечится отключением защиты на минуту. Второй сценарий — принтер, NAS, камеры. Есть опция «разрешить доступ к локальной сети» — включайте дома, выключайте в поездках.
Третий — российские сервисы, которые не любят иностранные адреса: банки, госсервисы, маркетплейсы. Kill Switch ни при чём, виноват зарубежный IP; к слову, злятся всё равно на него. Лечится не отключением защиты, а раздельным туннелированием: нужные приложения ходят напрямую, остальное через туннель, а Kill Switch продолжает стеречь основной поток.
Правило, к которому я пришёл опытным путём и которое стоило мне пары неприятных вечеров: исключения делаем точечно, а не выключаем защиту целиком «на пару часиков». Пара часиков превращается в неделю.
Чек-лист: что должно быть включено
- Kill Switch включён на каждом устройстве — не «на основном», а на каждом.
- Режим выбран осознанно: полный для ноутбука, по приложениям — если он мешает жить.
- На Android активны «Постоянная VPN» и «Блокировать соединения без VPN».
- На iOS включено переподключение по требованию — и вы помните, что это не то же самое.
- DNS-запросы идут внутрь туннеля — проверено, а не предположено.
- IPv6 либо туннелируется, либо отключён в системе.
- Доступ к локальной сети выключен, когда вы в чужой сети.
- Аварийный тест с обрывом пройден.
- Исключения для банков сделаны раздельным туннелированием, а не отключением защиты.
Полчаса работы один раз — и дальше можно не думать.
Если коротко
Kill Switch — не опция для параноиков и не строчка в списке фич. Это единственное, что стоит между вами и вашим настоящим адресом в те секунды, когда туннель моргнул. А моргает он часто: в метро, в лифте, при переключении с Wi-Fi на мобильный. Проверять надо руками: заявленная поддержка и работающая реализация — вещи разные. Кстати, внятный Kill Switch 2026 года — неплохой фильтр при выборе сервиса вообще: где сэкономили на нём, там обычно сэкономили и на остальном, о чём есть разбор бесплатных VPN. Впрочем, судить вам.
Проверьте защиту прямо сейчас — тридцать секунд, а результат бывает неожиданным. Не сходится — напишите в поддержку. Сервиса ещё нет — четырнадцать дней теста без карты, проверяйте на своих устройствах.
Частые вопросы
Что такое Kill Switch в VPN?
Механизм, который блокирует весь трафик устройства, если VPN-туннель разорвался, — защита при обрыве VPN в чистом виде. Смысл в том, чтобы не дать системе уйти на прямое соединение и раскрыть реальный IP. Реализуется на уровне файрвола, приложения или системы — надёжность в этом порядке убывает.
Как проверить, работает ли Kill Switch?
Подключитесь к VPN, откройте страницу проверки и запомните IP. Затем аварийно оборвите связь и сразу обновите страницу. Не открылась — защита работает; показала настоящий адрес — её нет.
Есть ли Kill Switch на iPhone?
В полноценном виде нет: политика iOS не даёт приложению так глубоко управлять сетевым стеком. Вместо блокировки клиенты используют подключение по требованию — оно сокращает окно утечки до долей секунды, но не устраняет. Системный аналог — только через корпоративные профили.
Зачем нужен Always-on VPN?
Это системная настройка Android, которая держит туннель постоянно активным и в паре с опцией «Блокировать соединения без VPN» не выпускает трафик в обход. В отличие от защиты внутри приложения, она действует, даже если клиент завершился с ошибкой. Включается в настройках VPN, рядом с профилем.
