Qu'est-ce qu'un kill switch VPN ?

Un kill switch VPN est une fonction qui bloque le trafic reseau si le tunnel VPN se deconnecte de maniere inattendue. Cet article explique ce que fait reellement un kill switch, comment il est mis en oeuvre au niveau du systeme d'exploitation, et comment verifier que la fonction marche correctement.

Definition

Un kill switch est un controle au niveau du reseau qui empeche le trafic de quitter l'appareil par une interface non protegee pendant que le VPN est nominalement actif. Si le tunnel VPN se deconnecte — que ce soit a cause de changements de reseau, d'une panne de serveur ou pour toute autre raison — le kill switch garantit que le trafic ne bascule pas silencieusement vers l'interface reseau par defaut.

Cette fonction est parfois aussi appelee « verrou reseau », « protection toujours active » ou « kill switch internet ». Le comportement est le meme quel que soit le nom.

Pourquoi les kill switches existent

Les tunnels VPN ne sont pas toujours parfaitement stables. Les changements de reseau — passer du Wi-Fi a la connexion cellulaire, se deplacer entre points d'acces, traverser des tunnels — peuvent interrompre brievement la connexion. La maintenance des serveurs, des problemes de peering intermittents ou de rares erreurs de protocole peuvent aussi provoquer des deconnexions.

Sans kill switch, le systeme d'exploitation achemine le trafic par l'interface qui reste disponible. Du point de vue de l'utilisateur, l'appareil semble continuer a fonctionner normalement — les pages web se chargent, les applications se connectent — mais le trafic transite desormais par le reseau local et le fournisseur d'acces plutot que par le VPN.

Pour les utilisateurs qui comptent sur le VPN pour leur confidentialite ou pour acceder a des services lies a une localisation, cette bascule silencieuse va a l'encontre de l'objectif du VPN. Le kill switch garantit que la connectivite est suspendue plutot que redirigee en silence.

Comment il est mis en oeuvre

Les implementations de kill switch varient selon la plateforme. Il existe deux approches generales.

Mise en oeuvre au niveau du systeme

Sur les plateformes dotees d'un support VPN integre, le kill switch est applique par le systeme d'exploitation. Sur iOS, le framework Network Extension propose une option « includeAllNetworks » qui, combinee a des regles de routage appropriees, empeche le trafic de quitter l'appareil par toute interface autre que le tunnel. Cela est applique au niveau du noyau et concerne toutes les applications, y compris celles qui s'executent en arriere-plan.

Sur Linux, les kill switches sont generalement mis en oeuvre a l'aide de regles de pare-feu — iptables ou nftables — qui bloquent tout le trafic a l'exception des paquets destines a l'adresse du serveur VPN. Les regles sont ajoutees lorsque le tunnel est etabli et supprimees lorsqu'il est deconnecte intentionnellement.

Mise en oeuvre au niveau de l'application

Certaines applications VPN mettent en oeuvre le kill switch au sein de l'application elle-meme, en surveillant le tunnel et en ajustant le routage ou les regles de pare-feu en reponse a une deconnexion. Les implementations au niveau de l'application sont plus souples mais dependent du maintien en activite de l'application pour appliquer la politique.

L'application au niveau du systeme est generalement plus fiable car elle continue de fonctionner meme si l'application VPN plante ou est fermee.

Types de kill switches

Les kill switches peuvent etre configures selon plusieurs modes qui different par leur degre d'agressivite dans le blocage du trafic.

• Kill switch permanent.Le trafic est bloque des que le VPN n'est pas activement connecte, y compris lorsque l'application n'a pas ete lancee. Cela offre la garantie la plus forte mais necessite une action explicite pour le desactiver.
• Kill switch de session.Le trafic n'est bloque que pendant une session VPN active. Si l'utilisateur se deconnecte manuellement, le kill switch se desactive et le trafic normal reprend.
• Kill switch propre a une application. Disponible sur certaines plateformes de bureau, ce mode bloque des applications specifiques lorsque le VPN est coupe tout en laissant les autres continuer normalement. Cette configuration est utile pour les outils qui manipulent des donnees sensibles, mais cette granularite ajoute de la complexite.

Quand le kill switch se declenche

Le kill switch est concu pour gerer des situations que le systeme d'exploitation ne traiterait pas normalement comme des defaillances. Les declencheurs courants incluent :

• Le serveur VPN devient injoignable a cause de coupures reseau ou d'une maintenance cote serveur.
• L'interface reseau de l'appareil change — par exemple, lors du passage du Wi-Fi a la connexion cellulaire — et le tunnel ne se retablit pas rapidement.
• Une erreur au niveau du protocole entraine l'arret du tunnel.
• Le reseau local perd des paquets a destination ou en provenance du serveur VPN, y compris dans certains scenarios de portail captif.

Dans chacune de ces situations, le kill switch suspend le trafic jusqu'a ce que le tunnel soit retabli ou que l'utilisateur desactive explicitement le kill switch.

Limites

Un kill switch est une fonction defensive, pas une solution complete. Deux limites meritent d'etre soulignees.

La transition n'est pas toujours instantanee.Entre le moment ou le tunnel echoue et le moment ou le kill switch s'active pleinement, une petite fenetre peut exister pendant laquelle le trafic pourrait theoriquement fuir. Sur les systemes bien concus, cette fenetre est suffisamment courte pour etre pratiquement negligeable — generalement quelques millisecondes — mais elle n'est pas toujours nulle. Les implementations au niveau du systeme referment cette fenetre plus fiablement que celles au niveau de l'application.

Les fuites DNS sont un probleme distinct.Un kill switch empeche le trafic IP de quitter l'appareil par des interfaces non protegees, mais les requetes DNS peuvent parfois contourner le tunnel via les parametres par defaut du systeme. Une configuration complete utilise a la fois un kill switch et un routage DNS a travers le tunnel. Snap VPN configure les deux par defaut.

Verification

Un kill switch peut etre verifie en simulant une defaillance du tunnel et en confirmant que le trafic est bloque.

1. Connectez le VPN et confirmez qu'un service de rapport d'adresse IP affiche l'adresse du serveur.
2. Sans vous deconnecter via l'application, desactivez l'interface reseau utilisee par le VPN — par exemple, en coupant le Wi-Fi pendant que le tunnel est actif.
3. Essayez de charger une page web. Avec un kill switch fonctionnel, la page ne devrait pas se charger tant que le tunnel n'est pas retabli ou que le kill switch n'est pas desactive intentionnellement.

Sur iOS, le kill switch est applique au niveau du systeme lorsque le profil VPN est configure avec les options appropriees. Snap VPN active le kill switch par defaut et ne l'expose pas comme un reglage facultatif — la fonction fait partie de la configuration standard plutot que d'un reglage qui pourrait etre desactive par inadvertance.

Pour en savoir plus sur la configuration d'un VPN et ce que l'on peut attendre d'un VPN, consultez notre introduction aux VPN et le guide de configuration sur iPhone.