Anleitung
So testen Sie einen VPN-Kill-Switch
Drei Möglichkeiten, den Tunnel zu unterbrechen, ohne den Client dazu aufzufordern, was dabei stoppen muss und wie Sie den einen Fall testen, den die meisten Kill-Switches auslassen: die Lücke zwischen dem Start des Geräts und der Verbindung des Clients. Für den Stand Ende 2026 geschrieben.
Was damit geklärt wird
Ein Kill-Switch ist das Versprechen, dass bei einem Ausfall des Tunnels nichts auf das gewöhnliche Netzwerk zurückfällt. Die Einstellungsseite des Clients zeigt, ob dieses Versprechen gegeben wurde; der folgende Test zeigt, ob es eingehalten wird und bei welchen Ausfällen. Führen Sie ihn einmal auf jedem Gerät aus, das das Haus verlässt, und erneut nach einem Client-Update. Wofür der Kill-Switch gedacht ist, steht auf der Kill-Switch-Seite.
Drei Unterbrechungen, geordnet danach, wie häufig sie auftreten. Ein Kill-Switch, der die erste, aber nicht die zweite übersteht, ist häufig; ein Kill-Switch, der alle drei, aber nicht die Boot-Lücke übersteht, ist noch häufiger.
Bevor Sie beginnen
- Schalten Sie den Kill-Switch ein und notieren Sie, falls der Client einen zweiten, strengeren Modus anbietet — dauerhaft, immer, beim Systemstart —, welchen Sie gewählt haben. Die beiden Modi werden weiter unten getrennt getestet.
- Starten Sie etwas, das kontinuierlich läuft und seinen eigenen Fortschritt anzeigt: einen großen Download, ein langes Video oder einen kontinuierlichen Ping im Terminal. Eine bereits geladene Seite beweist nichts, weil sie nichts mehr abrufen muss.
- Öffnen Sie in einem zweiten Fenster eine Seite zur Adressanzeige und notieren Sie die Adresse des Exits, solange die Verbindung besteht. Nach jeder Unterbrechung laden Sie sie erneut.
Die drei Unterbrechungen
1. Das Netzwerk wegnehmen
Schalten Sie WLAN aus oder ziehen Sie das Kabel, warten Sie einige Sekunden und schalten Sie es wieder ein. Der Tunnel bricht ab, weil sein Pfad abgebrochen ist. Die Frage ist, was der Client in den Sekunden nach der Rückkehr des Netzwerks und vor der Rückkehr des Tunnels tut. Die Übertragung muss angehalten bleiben, bis der Client wieder „verbunden“ anzeigt; eine Übertragung, die vorher fortgesetzt wird, läuft über das ungeschützte Netzwerk.
2. Den Tunnel beenden, ohne den Client zu fragen
Beenden Sie den Hintergrundprozess des Clients direkt: seinen Dienst im Task-Manager unter Windows, seinen Prozess in der Aktivitätsanzeige unter macOS, mit Beenden erzwingen in den Anwendungseinstellungen unter Android oder indem Sie seinen Prozess über ein Terminal unter Linux beenden. Der Client wurde nicht zum Trennen aufgefordert. Ein Kill-Switch, der nur auf eine ordnungsgemäße Trennung reagiert, wird daher nicht ausgelöst. Die Übertragung muss sofort stoppen und angehalten bleiben, bis Sie den Client neu starten.
3. Das Netzwerk darunter wechseln
Schalten Sie auf einem Telefon das WLAN aus, während mobile Daten aktiviert sind, sodass das Gerät von einem Netzwerk in ein anderes wechselt. Verbinden Sie auf einem Laptop das Gerät mit einem zweiten WLAN oder dem Hotspot eines Telefons. Mobile Betriebssysteme bauen den Tunnel in einem neuen Netzwerk neu auf. Während dieses Wiederaufbaus kann ein schwacher Kill-Switch Daten durchsickern lassen. Laden Sie die Adressseite erneut, sobald das neue Netzwerk verfügbar ist: Die Adresse des Exits oder gar keine Adresse bedeutet bestanden, Ihre eigene Adresse bedeutet nicht bestanden.
Die Boot-Lücke
Der Kill-Switch, mit dem die meisten Clients ausgeliefert werden, gilt, solange der Client läuft. Zwischen dem Start des Geräts und der Verbindung des Clients gilt er nicht. Auf einem Laptop, der in einem Hotelnetzwerk aus dem Ruhezustand aufwacht, ist diese Lücke lang genug, damit jede mit dem System gestartete Anwendung über die offene Verbindung nach Hause telefonieren kann.
- Stellen Sie den Client so ein, dass er mit dem System startet und beim Start eine Verbindung herstellt. Beides sind normalerweise getrennte Schalter, und der zweite ist standardmäßig ausgeschaltet.
- Starten Sie das Gerät neu und laden Sie die offengelassene Adressseite erneut, bevor der Client „verbunden“ anzeigt. Eine geladene Seite mit Ihrer eigenen Adresse zeigt die Lücke; ein Fehler oder eine Seite, die wartet, bis der Client eine Verbindung herstellt, und dann den Exit anzeigt, bedeutet, dass die Lücke geschlossen ist.
- Wenn die Seite geladen wurde, suchen Sie nach dem strengeren Modus des Kill-Switches — dem Modus, der als dauerhaft oder für den Systemstart geltend beschrieben wird —, und wiederholen Sie den Test. Unter Android deckt die systemeigene Einstellung diesen Fall unabhängig vom Client ab; sie wird weiter unten beschrieben.
Der systemeigene Kill-Switch unter Android
Android verfügt über einen eigenen Kill-Switch in den Systemeinstellungen für das VPN und nicht im Client: Always-on VPN mit der darunterliegenden Option Verbindungen ohne VPN blockieren. Da er vom Betriebssystem erzwungen wird, deckt er gleichermaßen das Beenden des Clients, den Wechsel des Netzwerks und die Boot-Lücke ab. Das ist mehr, als die eigenen Kill-Switches der meisten Clients leisten. Schalten Sie beide Optionen ein und führen Sie die drei Unterbrechungen sowie den Neustart noch einmal durch. Der Kill-Switch des Clients kann ebenfalls aktiviert bleiben. Die beiden stehen nicht im Konflikt, und der systemeigene ist derjenige, der greift, wenn die Anwendung es nicht tut.
Was ein bestandener Test bedeutet
Was diese Prüfungen belegen
+Ein ausgefallener Tunnel wird unabhängig von der Ursache zu einer unterbrochenen statt zu einer offenen Verbindung
+Die Sekunden zwischen der Rückkehr des Netzwerks und der Rückkehr des Tunnels übertragen nichts
+Auf einem Gerät, das in unbekannten Netzwerken startet, ist die Lücke vor der Verbindung des Clients geschlossen
Was sie nicht belegen
−Sie sagen nichts darüber aus, was der Anbieter speichert, während der Tunnel aktiv ist — das wird auf den Seiten zur Speicherdauer beantwortet
−Ein greifender Kill-Switch behebt keinen undichten Tunnel: DNS und IPv6 werden separat geprüft, und zwar unter so prüfen Sie, ob Ihr VPN funktioniert
−Ein bestandener Test ist eine Aussage über diese Client-Version; ein Update kann den Kill-Switch verschieben oder zurücksetzen
Wenn das Ergebnis unklar ist
Der Download pausierte einige Sekunden und lief dann weiter
Prüfen Sie den Client, bevor Sie entscheiden, was passiert ist. Wenn er die Verbindung wiederhergestellt hat und der Download durch den Tunnel fortgesetzt wurde, hat der Kill-Switch gegriffen und die Pause war die erneute Verbindung. Wenn der Client weiterhin „getrennt“ anzeigt und der Download läuft, hat der Kill-Switch das Netzwerk nach einer Zeitüberschreitung freigegeben. Dieser Kill-Switch greift dann nicht.
Eine Adressprüfung während der fortgesetzten Übertragung klärt die Sache: Die Adresse des Exits bedeutet, dass der Tunnel wieder besteht; Ihre eigene bedeutet, dass dies nicht der Fall ist.
Nichts wurde angehalten, aber der Client meldet, dass der Kill-Switch aktiviert ist
Dann ist der Geltungsbereich des Kill-Switches enger, als Sie angenommen haben. Viele Clients setzen ihn nur durch, solange sie sich selbst als verbunden betrachten. Ein Tunnel, dessen Schließung ihnen mitgeteilt wurde, oder einer, der zusammen mit dem Prozess beendet wurde, löst ihn daher nicht aus. Suchen Sie nach einem zweiten Modus mit einer Bezeichnung wie dauerhaft, immer oder beim Systemstart, und wiederholen Sie den Test mit aktiviertem Modus.
Wenn kein solcher Modus vorhanden ist, ist der Kill-Switch bei den relevanten Unterbrechungen nur Dekoration. Dann sollten Sie sich auf den systemeigenen Kill-Switch des Betriebssystems verlassen, sofern die Plattform einen solchen bietet.
Alles wurde angehalten und kam nie zurück
Das bedeutet, dass der Kill-Switch funktioniert. Bei einem greifenden Kill-Switch bleibt die Verbindung unterbrochen, bis der Tunnel zurückkehrt. Ein Client, der keine neue Verbindung herstellen kann, lässt Sie offline, bis Sie ihn ordnungsgemäß zum Trennen auffordern oder den Kill-Switch ausschalten. Auf einem Laptop entspricht das dem Verhalten, das Sie angefordert haben. Es wirkt nur deshalb wie ein Fehler, weil der Fehler, den es verhindert, unbemerkt bleibt.
Nur einige Dinge wurden angehalten
Etwas ist ausgenommen. Eine Split-Tunneling-Regel, eine Browser-Erweiterung mit eigenem Proxy oder eine Anwendung, die bereits vor dem Aufbau des Tunnels eine Verbindung offen gehalten hat, läuft trotz eines greifenden Kill-Switches weiter. All das sind Konfigurationen und kein Versagen des Kill-Switches. Prüfen Sie die Ausnahmen im Client und anschließend die Einstellung, die Verbindungen regelt, die vor dem Aufbau des Tunnels hergestellt wurden. Einige Clients lassen diese standardmäßig unverändert.
Gleiche Schritte, andere Geräte
Die übrigen Plattformen
Jede Plattform hat eine eigene Anleitung statt eines Tabs auf dieser. Die Schritte weichen voneinander ab, sobald sich das Installationsprogramm öffnet, und eine Seite, die drei Plattformen auf einmal beantwortet, beantwortet keine davon richtig.