Tous les VPN ont-ils un kill switch ?

Non. Certaines applications VPN gratuites ou bas de gamme n'en incluent pas ou le cachent derrière un paramètre non documenté. Avant de compter sur un VPN pour quelque chose de grave, vérifiez que le kill switch existe et fonctionne sur votre plateforme. Mullvad, ProtonVPN, NordVPN et ExpressVPN en expédient tous un ; de nombreux fournisseurs gratuits ne le font pas.

Un kill switch va-t-il couper complètement mon Internet ?

Oui, c'est le point. Lorsque le tunnel tombe en panne, le kill switch bloque tout le trafic non VPN. Internet semble "cassé" jusqu'à ce que vous reconnectiez le VPN ou désactiviez le kill switch. Pour la plupart des utilisateurs, il s’agit du bon compromis ; pour certains, c'est frustrant lors de longues tempêtes de reconnexion sur des réseaux instables.

Un kill switch est-il la même chose qu'un « VPN toujours actif » ?

Ils se chevauchent. Le VPN permanent indique au système d'exploitation de connecter automatiquement le VPN et de refuser le trafic jusqu'à ce qu'il réussisse. Un kill switch réagit à la chute du VPN. Android moderne combine les deux : « VPN toujours activé + Bloquer les connexions sans VPN » est en fait un kill switch appliqué au système d'exploitation.

Puis-je créer mon propre kill switch avec iptables ou pf ?

Oui, facilement. Le modèle est le suivant : autoriser le bouclage, autoriser le trafic vers l'adresse IP de votre serveur VPN sur son port, autoriser le trafic sur l'interface du tunnel (par exemple, tun0 ou wg0), supprimer tout le reste. De nombreuses configurations WireGuard auto-hébergées utilisent exactement cet extrait de pare-feu.

Un kill switch protège-t-il contre les fuites DNS ?

S'il est correctement mis en œuvre, oui, car les paquets DNS qui tentent de s'échapper en dehors du tunnel sont bloqués avec tout le reste. Mais cela suppose que le client VPN configure DNS pour utiliser un résolveur accessible uniquement via le tunnel. Vérifiez avec notre test d'étanchéité DNS .

Explication des Kill Switches VPN : verrouillages réseau, VPN toujours activé et pourquoi ils sont importants

Le travail d’un VPN est d’empêcher que votre véritable adresse IP et votre trafic ne soient exposés. Mais les VPN se déconnectent : les réseaux changent, les ordinateurs portables se mettent en veille, les processus tombent en panne. Un kill switch est le filet de sécurité qui bloque tout le trafic réseau dès que le tunnel tombe en panne, de sorte qu'une brève fenêtre de reconnexion ne se transforme pas en un événement de fuite IP. Chaque cas sérieux d’utilisation de la confidentialité en a besoin.

Le corps complet de l’article est fourni en anglais ci-dessous.

A VPN kill switch (parfois appelé « verrouillage réseau » ou « kill switch Internet ») est une règle de pare-feu qui autorise le trafic hors de votre appareil uniquement via le tunnel VPN. Dès que le tunnel tombe, tout le reste est bloqué. Le résultat : pas de solution de secours en clair, pas de fuite DNS vers votre FAI, aucune application ne se reconnectant silencieusement sur le réseau réel pendant que vous ne regardiez pas.

Pourquoi un kill switch n'est pas facultatif pour une utilisation à enjeux élevés

Les VPN se déconnectent plus souvent que la plupart des utilisateurs ne le pensent. Le Wi-Fi laisse tomber un paquet, l'ordinateur portable dort, vous passez d'un point d'accès à l'autre, l'opérateur vous remet une nouvelle adresse IP, le serveur VPN redémarre. Chacun de ces événements entraîne la renégociation du tunnel et, pendant l'intervalle de renégociation, le système d'exploitation acheminera volontiers le trafic sur le réseau sous-jacent si vous le permettez. Les clients torrent au niveau du système d'exploitation, les mises à jour du système et les services cloud synchronisés se reconnectent tous de manière agressive à tout changement de réseau - votre véritable adresse IP peut apparaître à destination quelques millisecondes après la descente du tunnel.

Pour quelqu'un qui utilise un VPN pour contourner une restriction régionale, une brève fuite est ennuyeuse. Pour un journaliste, un activiste ou toute personne dont le VPN fait partie d'un modèle de menace réel, cette fuite de connexion peut constituer la totalité du compromis. Windows Filtering Platform sous Windows) qui supprime tout paquet non lié à l'interface tunnel du VPN. Quand le tunnel tombe, les règles restent ; rien n'échappe.

Détournement de route par défaut avec un gouffre : le client définit la passerelle par défaut du système vers le tunnel et refuse de supprimer cette route même si le tunnel échoue. Tout paquet correspondant à la route par défaut tombe dans un trou noir.

L'alternative fragile — une boucle d'interrogation qui surveille le processus VPN et désactive le réseau lorsqu'elle voit le processus planter — présente une fenêtre de vulnérabilité entre la déconnexion réelle et le tick d'interrogation. Les clients VPN réputés utilisent l'approche pare-feu.

killswitches au niveau de l'application ou au niveau du système

Certains clients VPN proposent des killswitchs par application : "tuez ces applications spécifiques si le VPN tombe, mais laissez le reste du réseau fonctionner." Ceci est utile pour un client torrent qui ne doit jamais toucher à la véritable adresse IP tout en laissant votre navigateur utilisable. L'inconvénient est que cela nécessite que le système d'exploitation soit capable de tuer les processus de manière sélective, ce qui est plus difficile que de simplement bloquer le trafic - et les hooks du système d'exploitation pour cela sont spécifiques à la plate-forme.

Les kill switch au niveau du système sont plus simples et plus fiables : rien ne s'éteint tant que le tunnel n'est pas opérationnel. Le compromis est que lors de la reconnexion, rien ne fonctionne du tout.

VPN toujours activé : la version mobile

Android, iOS et macOS prennent tous en charge le "VPN toujours activé" : le système d'exploitation lui-même refuse d'envoyer du trafic jusqu'à ce que le VPN configuré soit connecté. C'est encore plus puissant qu'un kill switch au niveau de l'application, car la pile réseau du système d'exploitation est l'exécuteur, et non le client VPN. Android Always-On + Bloquer les connexions sans VPN est la référence en matière de mobile et c'est ce que la plupart des utilisateurs conscients des modèles de menaces utilisent.

Tester votre kill switch

Le test rapide : connectez votre VPN, démarrez un ping continu ou un flux de trafic vers un serveur connu, et arrêtez de force le processus VPN (ou tirez sur votre câble réseau et ramenez-le). Le flux doit s’arrêter et ne pas revenir silencieusement à votre véritable adresse IP. Confirmez en visitant notre page de recherche IP pendant l'intervalle - elle devrait être inaccessible et ne pas afficher votre véritable IP.

Caveats

Kill les commutateurs protègent votre trafic . Ils ne résolvent pas les problèmes liés à la destination : un service qui sait déjà qui vous êtes ne le désapprend pas parce que vous êtes sur un VPN. Ils ne facilitent pas non plus les empreintes digitales du navigateur, les cookies de suivi tiers ou tout autre élément situé au-dessus de la couche réseau. Un kill switch ferme une catégorie spécifique de fuite : la fuite temporaire IP/DNS lors des transitions de tunnel.

Questions fréquemment posées

Tous les VPN ont-ils un kill switch ?: Non. Certaines applications VPN gratuites ou bas de gamme n'en incluent pas ou le cachent derrière un paramètre non documenté. Avant de compter sur un VPN pour quelque chose de grave, vérifiez que le kill switch existe et fonctionne sur votre plateforme. Mullvad, ProtonVPN, NordVPN et ExpressVPN en expédient tous un ; de nombreux fournisseurs gratuits ne le font pas.
Un kill switch va-t-il couper complètement mon Internet ?: Oui, c'est le point. Lorsque le tunnel tombe en panne, le kill switch bloque tout le trafic non VPN. Internet semble "cassé" jusqu'à ce que vous reconnectiez le VPN ou désactiviez le kill switch. Pour la plupart des utilisateurs, il s’agit du bon compromis ; pour certains, c'est frustrant lors de longues tempêtes de reconnexion sur des réseaux instables.
Un kill switch est-il la même chose qu'un « VPN toujours actif » ?: Ils se chevauchent. Le VPN permanent indique au système d'exploitation de connecter automatiquement le VPN et de refuser le trafic jusqu'à ce qu'il réussisse. Un kill switch réagit à la chute du VPN. Android moderne combine les deux : « VPN toujours activé + Bloquer les connexions sans VPN » est en fait un kill switch appliqué au système d'exploitation.
Puis-je créer mon propre kill switch avec iptables ou pf ?: Oui, facilement. Le modèle est le suivant : autoriser le bouclage, autoriser le trafic vers l'adresse IP de votre serveur VPN sur son port, autoriser le trafic sur l'interface du tunnel (par exemple, tun0 ou wg0), supprimer tout le reste. De nombreuses configurations WireGuard auto-hébergées utilisent exactement cet extrait de pare-feu.
Un kill switch protège-t-il contre les fuites DNS ?: S'il est correctement mis en œuvre, oui, car les paquets DNS qui tentent de s'échapper en dehors du tunnel sont bloqués avec tout le reste. Mais cela suppose que le client VPN configure DNS pour utiliser un résolveur accessible uniquement via le tunnel. Vérifiez avec notre test d'étanchéité <a href="/dns-leak-test">DNS</a>.