Только что столкнулся с этим на последней версии Release Candidate. В моей бывшей сети PFSense, если VPN отключалась, машина становилась неработоспособной — именно поэтому нужен Kill Switch. Не понимаю, почему на UDM Pro устройство на принудительном VLAN просто паузирует на пару секунд, а потом решает: а почему бы не выйти через WAN? Я уверен, что это не то, чего хотел мой коллега. НЕТ, это совсем не то. Я новичок в экосистеме Unifi, но это должно быть простым: Kill значит Kill, а не поиск альтернативного маршрута и его использование. Если это работает так, то зачем вообще добавлять эту функцию? Я потратил несколько часов с Chat и Claude на это, и оба сдались. Я могу настроить правила, которые перекроют сеть, но не смогу воспроизвести поведение, которое было в PFSense. Странно то, что когда я выполняю curl ipinfo.io из терминала через подключённый VPN, я вижу страну (Enter Country Here), а через несколько секунд смотрю на IP-адрес, выданный моим провайдером... это совершенно не то, как это должно работать. Надеюсь, это где-то уже в очереди... OS 5.0.16 / Network RC 10.2.105

Kill switch по-прежнему не работает в версии 10.1.85, трафик, предназначенный только для VPN, всё ещё идёт через WAN, когда VPN недоступен. Это опасное поведение, так как функция, которая должна повышать безопасность, на самом деле не защищает трафик.

Я тоже углубился в эту кроличью нору и обнаружил, что реализация "kill switch" командой @UI-Team — одна из самых глупых вещей, которые я когда-либо видел. Вы не можете заявлять о "enterprise grade" и при этом допускать такие явные недостатки. Если я выбрал включение опции "kill switch", то совершенно без разницы, включен мой VPN-клиент, отключен, находится в режиме ожидания или вообще не в сети — трафик ни в коем случае не должен произвольно перенаправляться куда-то еще. Я тоже использовал обход SNAT, но в итоге я не должен был бы применять костыли только для того, чтобы продукт работал так, как указано в интерфейсе, в документации и просто здравом смысле. Серьезно, ребята. Это тянется уже слишком долго. Пожалуйста, исправьте это.

Спасибо, @astrobboy, у меня получилось это запустить. Просто чтобы убедиться, что я правильно понял этот обходной путь: использование SNAT делает эти запросы так, чтобы они казались идущими с другого IP-адреса, чем маршрутизатор, поэтому вышестоящее устройство (в этом случае кабельный модем) их игнорирует. Если бы ты не доверял вышестоящему устройству, ты бы всё равно «пропускал» некоторые запросы?

Привет, я тоже замечаю, что Kill Switch работает неправильно. UCG Max 5.4.9 / Network 9.4.19. Если я изменю один символ в своём имени пользователя, я получаю ошибку подключения, но трафик от клиентов в исходной VLAN просто маршрутизируется через WLAN, что видно на прикреплённом скриншоте с разными временами пинга. Как это можно сделать более надёжным? Спасибо, Пол