VPN-kill switch förklarad: vad den gör, varför den är viktig och hur du verifierar att din fungerar
En VPN-kill switch blockerar all icke-VPN-trafik när tunneln bryts och förhindrar att din verkliga IP läcker mitt i sessionen. Här är vad varje stort granskat VPN levererar och hur du testar det själv.
Vad en VPN-kill switch är
En VPN-kill switch är en funktion som blockerar all internettrafik på en enhet närhelst VPN-tunneln inte är aktiv. Syftet är att förhindra att din verkliga, ISP-tilldelade IP läcker till en måltjänst i det korta fönstret mellan att tunneln bryts och en återanslutning. Tunnlar bryts av helt vanliga skäl — nätverksbyte, omstart av server, datorns viloläge — och utan en kill switch faller operativsystemet tillbaka till öppet läge och dirigerar paket via det oskyddade gränssnittet tills VPN:et återansluter. Med en kill switch kastas dessa paket. Måltjänsten ser antingen VPN:ets utgångs-IP eller ingenting alls.
Vilka granskade VPN som levererar en kill switch
Alla fem stora granskade betal-VPN levererar en kill switch i sina officiella klientappar: Mullvad (brandväggsläget är kill switch-implementeringen; dokumenterat på mullvad.net), Proton VPN (alternativ för kill switch och permanent kill switch på varje plattform), NordVPN (systemomfattande kill switch på macOS / Windows / Linux; iOS använder Apples Always-On VPN-profil), ExpressVPN (Network Lock — den varumärkesskyddade kill switchen) och Surfshark (kill switch dokumenterad i appinställningarna). Implementeringen skiljer sig åt mellan plattformar: på macOS / Windows / Linux är en brandväggsregel på operativsystemnivå den starkaste implementeringen; på iOS beror kill switch-beteendet på om konfigurationen är installerad som ett Per-App-VPN eller en Always-On-profil.
Kill switch-beteende är en del av granskningsomfattningen
Kill switch-beteende är inte bara en funktion — det är ett standardtestmål i de publicerade infrastrukturgranskningarna. Cure53:s Mullvad-granskning (juni 2024) omfattade white-box-säkerhetstester som täckte 'allt som påverkar integriteten' på produktions-OpenVPN- och WireGuard-servrarna; ett misslyckande att återhämta sig från en bruten anslutning utan att läcka vore en iakttagelse. Praetorian och Cure53 granskade ExpressVPN:s omskrivning av Lightway i Rust under sep–okt 2024; resultatet av efterkontrollen i december 2024 bekräftade att alla rapporterade problem hade åtgärdats. Kill switchens korrekthet är implicit en del av varje 'no-logs / no-leak'-påstående — om ett kill switch-fel avslöjar den verkliga IP:n är no-logs-egenskapen meningslös för den anslutningen.
Hur kill switch-implementeringar skiljer sig åt
Det finns tre mönster. (1) Brandväggsregler på operativsystemnivå — starkast. VPN-klienten installerar PF-/iptables-/Windows-brandväggsregler som kastar all icke-tunneltrafik. Mullvads brandväggsläge tillhör denna kategori. (2) Kill switchar på appnivå — svagare. VPN-klienten stoppar bara trafik från en konfigurerad applista. Användbart för att selektivt stoppa en torrentklient när tunneln bryts, men skyddar inte bakgrundstrafik från andra appar. (3) iOS Always-On VPN — stark men villkorad. Always-On-konfigurationen på operativsystemnivå säkerställer att ingen trafik flödar utan VPN, men fungerar bara när den konfigureras som en hanterad profil, inte som en konsumentinstallation med ett tryck. Dokumentationen för Always-On VPN finns på Apples utvecklarsida (developer.apple.com).
Hur du verifierar att din kill switch fungerar
Anslut till ditt VPN, öppna en terminal och kör `curl ifconfig.me` för att bekräfta att VPN:ets utgångs-IP visas. Inaktivera sedan ditt nätverksgränssnitt (Wi-Fi av / Ethernet urkopplat) och aktivera det igen. Medan nätverket återupprättas kör du samma curl-kommando i en snäv loop. Om du under återanslutningsfönstret ser din verkliga ISP-IP har kill switchen misslyckats. Om du inte ser något (curl ger fel som 'no route to host' eller liknande) tills VPN:et återansluter har kill switchen fungerat. Detta test är destruktivt endast för den pågående VPN-sessionen — det kräver varken ett konto eller en testuppställning. Upprepa det för varje VPN-protokoll som din klient stöder (WireGuard och OpenVPN beter sig olika vid återanslutning).
När kill switchen räcker — och när den inte gör det
En kill switch skyddar det korta fönstret när tunneln bryts. Den skyddar inte mot DNS-läckor medan tunneln är uppe (det är en separat fråga som täcks av VPN:ets DNS-konfiguration), och den gör inte data som flödade innan tunneln var uppe oläckt i efterhand. Starta alltid VPN:et innan du påbörjar den aktivitet som är beroende av VPN:et — kill switchar har inget minne.
Källor
Mullvad-granskning (Cure53 juni 2024): mullvad.net/en/blog/fourth-infrastructure-audit-completed-by-cure53. Proton VPN no-logs-granskningar: protonvpn.com/blog/no-logs-audit. NordVPN-granskningar: nordvpn.com/blog/nordvpn-no-logs-audit-2024. ExpressVPN Lightway-granskningar: expressvpn.com/blog/lightway-audits-cure53-praetorian. Apple Always-On VPN: developer.apple.com (sök efter 'Always-On VPN'). Alla webbadresser hämtade 2026-04-30.