如何在 Windows 上使用 VPN Kill Switch

Kill Switch 的含义很简单：一旦 VPN 连接断开，你的流量就会停止，而不是悄悄地继续走普通的网络连接。在手机上或某些 VPN 应用里，它只是设置里的一个开关。但在 Windows 上情况更麻烦，因为自带的 VPN 客户端没有这个功能，答案取决于你实际使用的是哪个客户端。

本文讲解在 Windows 上如何实际使用 VPN Kill Switch，包括自带客户端在隧道失败时会怎样、如何在你的应用中找到 Kill Switch、用 Windows 防火墙做一个谨慎的手动方案、如何测试你设置的内容，以及即使很好的 Kill Switch 也留下的空档。关于这个功能的通用概念，请先读 VPN Kill Switch 是什么，本文是 Windows 专用版。

在 Windows 上 VPN 断开时会发生什么

使用 Windows 自带的 VPN 客户端时，没有 Kill Switch 开关。当隧道失败，例如 Wi-Fi 闪断或笔记本从睡眠中唤醒，VPN 连接就直接消失，网络设置恢复正常。从那一刻起，你的应用再次使用普通连接。Windows 也许会弹出通知，但不会拦住你的流量。

下面是在咖啡馆办公的人可能经历的典型时间线。

时间	发生了什么	用户看到什么
10:00	VPN 已连接，工作文件在同步	一切正常
10:12	咖啡馆 Wi-Fi 断了几秒	可能出现短暂的转圈
10:12	隧道丢失，Windows 在没有 VPN 的情况下重新连上 Wi-Fi	页面又能加载，似乎没出问题
10:12 至 10:20	应用继续通过咖啡馆的网络发送数据，没有保护	错过通知就没有明显警告
10:20	用户发现 VPN 图标不见了	重新连接

这八分钟就是 Kill Switch 想要堵住的空档。八分钟是否要紧，取决于这段时间里你的应用做了什么。受 HTTPS 保护的银行页面在线路上仍然受保护；而文件同步工具、不加密的邮件应用或聊天应用可能暴露更多。VPN 能保护什么、不能保护什么一文把这一点放进了更完整的背景中。

第 1 步：在你的 VPN 应用中查找 Kill Switch

最简单的办法是直接用现成的开关。有些 VPN 应用带有 Kill Switch，通常在安全或连接相关的设置里。名称各不相同，例如 kill switch、网络锁定、断开时阻止流量或始终保护。并非所有应用都有，免费应用也可能把它放在付费方案里。

1. 打开 VPN 应用，浏览它的设置。
2. 搜索上面那些词。如果找到，请阅读它的说明，因为有的选项只在意外断开时保护，有的则在你连接之前一直阻止流量。
3. 打开它，并看看它是否在开机启动时就生效。
4. 用本文的方法测试。不要因为开关是开着的就认为它有效。

如果你使用的是 XPASS 通行证配套的免费 VPNclient 应用，请查看它的设置页面里有没有与安全或连接相关的选项。由于界面会随版本变化，这里不描述它的具体菜单名称。如果找不到这样的开关，不要想当然地认为它存在；请使用下面的手动方案，或者接受保护存在空档并自己留意连接。下载页面列出了官方链接。

第 2 步：应用没有开关时选择策略

如果你的客户端没有 Kill Switch，你有几种选择，每种都有取舍。

方案	工作方式	难度	主要风险
应用内 Kill Switch	VPN 应用自己阻止流量	低	并非每个应用都有，必须测试
手动防火墙规则	阻止除 VPN 之外的出站流量	高	容易把自己锁在网外，设置变化时会失效
发现断线就手动断网的习惯	你发现断线后关闭 Wi-Fi	中	依赖你及时发现
受管理的始终在线配置	雇主策略强制只走 VPN 流量	由 IT 处理	仅限公司设备
少用敏感应用	敏感操作留到已连接时再做	低	取决于自律

对多数人来说，最好的答案是挑选一款 Kill Switch 做得好的应用，打开它并测试。手动防火墙规则适合熟悉 Windows 设置的人，下面会把它的局限明明白白地写出来。

第 3 步：用 Windows 防火墙做一个谨慎的手动方案

Windows Defender 防火墙可以阻止出站连接。手动 Kill Switch 的原理很简单：只在流量经过 VPN 时放行，其余全部阻止。但执行起来比原理难，所以请先读完这一节再改动任何设置。

开始之前

• 创建还原点：搜索 创建还原点，选中系统盘，然后选择 创建。
• 确保你可以撤销所做的更改，见本节末尾。
• 不要在雇主或学校管理的电脑上这样做。
• 知道你的连接使用的 VPN 服务器地址，因为 VPN 仍然需要能访问它。

分步思路

1. 打开 Windows 安全中心 > 防火墙和网络保护 > 高级设置，这会打开“高级安全 Windows Defender 防火墙”。
2. 创建一条 出站规则，允许 VPN 应用（或 Windows 的 VPN 组件）连接。没有它，出站流量被阻止后隧道本身都无法建立。如果你知道 VPN 服务器地址，可以把规则限制到该地址。
3. 创建一条 出站规则，允许 经过 VPN 适配器的流量。在规则的 高级 选项卡中，可以按接口类型加以限制。VPN 适配器报告为哪种接口类型取决于客户端，你可能需要测试 远程访问 或其他类型是否能涵盖它。
4. 只放行你在普通网络上真正需要的本地基础功能，例如从路由器获取地址。跳过一切不必要的内容。
5. 在 Windows Defender 防火墙属性 中，把你所用配置文件（域、专用或公用）的出站默认设为 阻止。
6. 连接 VPN 并测试。网页应能加载。然后断开 VPN：网页应当停止加载。

如果已连接时网页也不加载，说明缺了某条规则，或接口类型不对。请把默认值改回允许，再调整。

必须接受的局限

• 规则列表是静态的。如果 VPN 服务器地址变化，或你切换了位置，放行规则可能不再匹配，连接会失败，直到你更新规则。
• 在 VPN 未连接时，它会影响所有程序，包括 Windows 更新和登录工具。
• 它不同于专门设计的 Kill Switch，后者会监视隧道并立即反应。隧道失败到阻止生效之间的空档很小，但不能保证为零。
• 出错会把你切断在互联网之外。这正是撤销步骤很重要的原因。

如何撤销

1. 打开“高级安全 Windows Defender 防火墙”，选择 Windows Defender 防火墙属性，把每个配置文件的 出站连接 改回 允许（默认值）。
2. 删除或禁用你添加的规则。
3. 如果卡住了，使用你创建的系统还原点。

第 4 步：信任之前先测试 Kill Switch

没测试过的 Kill Switch 只是一种猜测。设置完成后做一次这个检查，在重大 Windows 或应用更新之后再做一次。

1. 连接 VPN，并打开命令提示符。
2. 开始持续 ping。输入 ping -t 1.1.1.1 并让它一直运行，应该能看到回复。
3. 中断隧道。根据你想测试的故障情形，从应用里断开 VPN，或者把 Wi-Fi 关掉再打开。
4. 观察 ping 窗口。如果 Kill Switch 有效，回复会停止（你会看到请求超时），直到 VPN 恢复。如果没有 VPN 时回复仍在继续，说明 Kill Switch 没起作用。
5. 重新连接并检查公网地址。使用公网地址查询工具，确认连接期间互联网看到的是你预期的结果。
6. 睡眠后再来一遍。合上盖子，等一分钟再打开，看连接如何恢复。睡眠与唤醒是常见的薄弱环节。

如何测试 VPN一文把泄漏、速度和 Kill Switch 放在一起讲解。如果你的 VPN 经常断开，VPN 断开时怎么办是个很好的搭配阅读。

Kill Switch 没有覆盖的内容

即使运行良好的 Kill Switch，也只是其中一层。要清楚它没管什么。

• 连接期间的 DNS 和 IPv6 泄漏：Kill Switch 在隧道断开时起作用。连接正常时发生的泄漏是另一回事，参见 DNS 泄漏是什么。
• VPN 连接之前的流量：如果应用随 Windows 启动，在 VPN 起来之前，它们可能在那段时间通过普通网络发送数据，除非开关在启动时也生效。
• 其他网络适配器：第二块 Wi-Fi 网卡、网线或通过 USB 连接的手机会形成另一条路径，简单的规则未必能处理。
• 绕开隧道的应用：有些工具使用自己的网络设置，或使用分应用隧道。
• 对其他一切的防护：Kill Switch 不能阻止钓鱼、恶意软件或你在网站上输入的内容。

谁真正需要它

并非所有人都需要同等程度的谨慎。几个简要画像会有帮助。

• 在咖啡馆 Wi-Fi 上远程办公的人，后台有客户文件和登录：值得启用并测试 Kill Switch。
• 在酒店查邮件和地图的旅行者：有用，但 HTTPS 已经保护了他们做的大部分事情，VPN 增加的是一致性。参见在酒店 Wi-Fi 上使用 VPN。
• 家里用来浏览和看视频的家庭电脑：最多算锦上添花，不要冒险因手动防火墙规则让全家上不了网。
• 处理敏感资料的人：使用 Kill Switch 并仔细测试，同时对 VPN 失效时怎么办有清晰计划。

如果拿不准，先从应用里的开关开始并测试它，这本身就能覆盖大多数实际需求。

常见错误

• 没测试就认定开关有效：务必运行 ping 测试。
• 全部阻止，却忘了 VPN 自己：如果 VPN 连不上它的服务器，就无法连接。
• 规则用在错误的配置文件上：Windows 有域、专用和公用三种配置文件，请确认你的网络用的是哪一个。
• 更换网络或位置时仍保留严格设置：设置变化时请更新放行规则。
• 没有预案：在出问题之前就要知道怎么撤销规则。
• 把它当作完整防护：它只是在多个空档里堵上了一个。

总结

Windows 自带 VPN 没有 Kill Switch，因此实际有三条路：在 VPN 应用里找到一个并测试它；如果熟悉 Windows，就搭建一个谨慎且可撤销的防火墙方案；或者自己留意连接状态。无论怎么选，都要用持续 ping 测试，在睡眠和更新后重复测试，并记住 Kill Switch 针对的是隧道断开，而不是泄漏或钓鱼。如果你想要一份配合应用使用的短期通行证，可以在价格页面查看选项。