При разрыве или сбое VPN-соединения возникают критические утечки конфиденциальных данных:

• DNS-запросы продолжают уходить на DNS-серверы локального провайдера в открытом виде (DNS Leak).
• При кратковременном рестарте VPN клиентский софт на несколько секунд отправляет открытый рабочий трафик через публичный шлюз.
• Утечки IPv6 трафика в обход VPN-туннеля, если провайдер выдает нативный IPv6 префикс.
• WebRTC утечки реального IP-адреса в браузерах.

1. Архитектура надежного VPN Killswitch на базе Iptables (Linux)

Killswitch должен блокировать любой исходящий трафик через физический интерфейс (eth0), кроме самого зашифрованного UDP-туннеля, разрешая передачу данных только через интерфейс туннеля (wg0 / tun0):

#!/bin/bash
# Сброс правил
iptables -F
iptables -X

# Политика по умолчанию: ПОЛНЫЙ ДРОП ВСЕГО
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

# 1. Разрешаем трафик на Loopback
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# 2. Разрешаем установленные соединения внутри VPN туннеля (wg0):
iptables -A INPUT -i wg0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT

# 3. Разрешаем физическому интерфейсу (eth0) ТОЛЬКО связь с VPN-сервером:
iptables -A OUTPUT -o eth0 -p udp -d 198.51.100.1 --dport 51820 -j ACCEPT
iptables -A INPUT -i eth0 -p udp -s 198.51.100.1 --sport 51820 -m conntrack --ctstate ESTABLISHED -j ACCEPT

# 4. ПОЛНОЕ ОТКЛЮЧЕНИЕ IPv6 для предотвращения утечек:
sysctl -w net.ipv6.conf.all.disable_ipv6=1
sysctl -w net.ipv6.conf.default.disable_ipv6=1

2. Защита от утечек DNS в OpenVPN (.ovpn)

Добавьте директивы принудительной изоляции резолвера в конфигурацию клиента:

# Блокировка внешних DNS через Windows WFP (Windows Filtering Platform):
block-outside-dns

# Перенаправление всех шлюзов и DNS:
redirect-gateway def1 bypass-dhcp
dhcp-option DNS 10.8.0.1

3. Проверка на утечки (DNS & WebRTC Leak Test)

# Тест DNS через CLI:
curl https://raw.githubusercontent.com/macvk/dnsleaktest/master/dnsleaktest.sh | bash