Guide
Comment tester le kill switch d'un VPN
Trois façons de faire tomber le tunnel sans le demander au client, ce qui doit s'arrêter quand vous le faites, et comment tester le seul cas que la plupart des kill switch ignorent : l'intervalle entre le démarrage de la machine et la connexion du client. Rédigé pour les clients de fin 2026.
Ce que cela permet d'établir
Un kill switch est la promesse que lorsque le tunnel tombe, rien ne repasse par le réseau ordinaire. La page des réglages du client indique si cette promesse a été faite ; le test ci-dessous indique si elle est tenue, et face à quelles défaillances. Exécutez-le une fois sur tout appareil qui quitte le domicile, puis de nouveau après une mise à jour du client. L'utilité du kill switch est expliquée sur la page consacrée au kill switch.
Trois interruptions, dans l'ordre de leur fréquence. Il est courant qu'un kill switch résiste à la première mais pas à la deuxième, et encore plus courant qu'il résiste aux trois sans résister à l'intervalle au démarrage.
Avant de commencer
- Activez le kill switch dans le client et, s'il propose un second mode plus strict — permanent, toujours actif, au démarrage du système — notez celui que vous avez choisi. Les deux modes sont testés séparément ci-dessous.
- Lancez quelque chose qui progresse en continu et affiche sa propre progression : un téléchargement volumineux, une longue vidéo, un ping continu dans un terminal. Une page déjà chargée ne prouve rien, puisqu'elle n'a plus rien à récupérer.
- Ouvrez une page d'adresse dans une seconde fenêtre et notez l'adresse de sortie pendant la connexion. Vous la rechargerez après chaque interruption.
Les trois interruptions
1. Coupez le réseau
Désactivez le Wi-Fi ou débranchez le câble, attendez quelques secondes, puis réactivez-le. Le tunnel tombe parce que son chemin a été interrompu ; la question est de savoir ce que fait le client dans les secondes qui suivent le retour du réseau et précèdent celui du tunnel. Le transfert doit rester arrêté jusqu'à ce que le client affiche de nouveau l'état connecté ; un transfert qui reprend avant cela passe par le réseau sans protection.
2. Tuez le tunnel sans le demander au client
Terminez directement le processus en arrière-plan du client : son service dans le Gestionnaire des tâches sous Windows, son processus dans le Moniteur d'activité sous macOS, un arrêt forcé depuis les réglages de l'application sous Android, ou l'arrêt de son processus depuis un terminal sous Linux. Le client n'a pas reçu l'ordre de se déconnecter ; un kill switch qui n'agit que lors d'une déconnexion normale n'entre donc pas en jeu. Le transfert doit s'arrêter net et rester arrêté jusqu'à ce que vous redémarriez le client.
3. Changez de réseau sous le tunnel
Sur un téléphone, désactivez le Wi-Fi alors que les données mobiles sont activées, afin que l'appareil passe d'un réseau à un autre ; sur un ordinateur portable, rejoignez un second réseau Wi-Fi ou le point d'accès d'un téléphone. Les systèmes mobiles reconstruisent le tunnel sur un nouveau réseau, et c'est pendant cette reconstruction qu'un kill switch faible laisse échapper du trafic. Rechargez la page d'adresse dès que le nouveau réseau est actif : l'adresse de sortie, ou l'absence totale de réponse, indique une réussite ; votre propre adresse indique un échec.
L'intervalle au démarrage
Le kill switch fourni par la plupart des clients s'applique lorsque le client est en cours d'exécution. Entre le démarrage de la machine et la connexion du client, rien ne s'applique ; sur un ordinateur portable qui reprend son activité sur le réseau d'un hôtel, cet intervalle est assez long pour que chaque application lancée avec le système contacte ses serveurs via la connexion ouverte.
- Configurez le client pour qu'il démarre avec le système et se connecte au lancement. Ce sont généralement deux options distinctes, la seconde étant désactivée par défaut.
- Redémarrez la machine et, avant que le client n'affiche l'état connecté, rechargez la page d'adresse que vous aviez laissée ouverte. Une page chargée avec votre propre adresse correspond à une fuite pendant l'intervalle ; une erreur, ou une page qui attend la connexion du client avant d'afficher l'adresse de sortie, signifie que l'intervalle est couvert.
- Si la page s'est chargée, cherchez le mode plus strict du kill switch — celui décrit comme permanent ou appliqué au démarrage du système — et recommencez. Sous Android, le réglage propre au système couvre ce cas quel que soit le client, comme indiqué ci-dessous.
Le kill switch propre au système sous Android
Android dispose de son propre kill switch, dans les réglages système du VPN plutôt que dans le client : Always-on VPN, avec Block connections without VPN en dessous. Appliqué par le système d'exploitation, il couvre à la fois l'arrêt forcé du client, le changement de réseau et l'intervalle au démarrage, ce que ne font pas la plupart des kill switch propres aux clients. Activez les deux options, puis exécutez de nouveau les trois interruptions et le redémarrage. Le kill switch du client peut également rester activé ; les deux ne se contredisent pas, et celui du système est celui qui s'applique lorsque l'application ne le fait pas.
Ce que signifie une réussite
Ce que ces vérifications prouvent
+Un tunnel qui tombe, quelle qu'en soit la cause, devient une connexion inactive plutôt qu'une connexion ouverte
+Les secondes entre le retour du réseau et celui du tunnel ne transportent rien
+Sur un appareil qui démarre sur des réseaux inconnus, l'intervalle avant la connexion du client est couvert
Ce qu'elles ne prouvent pas
−Elles ne disent rien de ce que le fournisseur conserve pendant que le tunnel est actif — cela est traité sur les pages consacrées à la conservation
−Un kill switch qui tient ne corrige pas un tunnel qui laisse fuiter du trafic : le DNS et IPv6 sont vérifiés séparément, dans comment vérifier que votre VPN fonctionne
−Une réussite concerne cette version du client ; une mise à jour peut déplacer ou réinitialiser le kill switch
Quand le résultat n'est pas clair
Le téléchargement s'est interrompu quelques secondes, puis a repris
Consultez le client avant de déterminer ce qui s'est passé. S'il s'est reconnecté et que le téléchargement a repris par le tunnel, le kill switch a tenu et la pause correspondait à la reconnexion. Si le client affiche toujours l'état déconnecté alors que le téléchargement progresse, le kill switch a ouvert le réseau après un délai d'attente : il ne tient pas.
Une vérification d'adresse pendant la reprise permet de trancher : l'adresse de sortie signifie que le tunnel est de retour ; votre propre adresse signifie que ce n'est pas le cas.
Rien ne s'est arrêté, mais le client indique que le kill switch est activé
Le périmètre du kill switch est alors plus limité que vous ne le pensiez. De nombreux clients ne l'appliquent que lorsqu'ils se considèrent comme connectés ; un tunnel auquel ils ont demandé de se fermer, ou qui a disparu avec le processus, ne le déclenche donc pas. Cherchez un second mode nommé par exemple permanent, toujours actif ou au démarrage du système, puis recommencez le test avec ce mode activé.
S'il n'existe aucun mode de ce type, le kill switch est décoratif lors des interruptions qui comptent, et le kill switch propre au système d'exploitation, lorsque la plateforme en possède un, est celui sur lequel il faut compter.
Tout s'est arrêté et rien n'est revenu
C'est le kill switch qui fonctionne. Un kill switch qui tient laisse une connexion inactive jusqu'au retour du tunnel, et un client incapable de se reconnecter vous laisse hors ligne jusqu'à ce que vous lui demandiez de se déconnecter correctement ou que vous désactiviez le kill switch. Sur un ordinateur portable, c'est le comportement que vous avez demandé ; cela ne ressemble à une défaillance que parce que celle qu'il empêche est silencieuse.
Seuls certains éléments se sont arrêtés
Quelque chose est exempté. Une règle de split tunneling, une extension de navigateur avec son propre proxy, ou une application qui maintient ouverte une connexion établie avant l'activation du tunnel continuera à fonctionner malgré un kill switch actif ; chacun de ces cas relève de la configuration et non d'une défaillance du kill switch. Vérifiez les exemptions dans le client, puis le réglage qui régit les connexions établies avant l'activation du tunnel, que certains clients laissent désactivé par défaut.
Mêmes étapes, autres appareils
Le reste des plateformes
Chaque plateforme a son propre guide plutôt qu'un onglet sur celui-ci. Les étapes divergent dès que l'installateur s'ouvre, et une page qui répond à trois plateformes à la fois ne répond correctement à aucune d'elles.