Автор: Александр Д.
08.09.2026 · 9 МИН ЧТЕНИЯ
ОБНОВЛЕНО

Kill Switch (рубильник: нет туннеля, нет интернета) в VPN работает как предохранитель: при обрыве соединения он полностью закрывает устройству выход в интернет, пока туннель не поднимется обратно.

Без неё телефон или ноутбук в момент обрыва тихо переключается на обычное соединение: сайты продолжают открываться, мессенджеры работают, а вы даже не замечаете, что VPN уже нет и весь трафик идёт напрямую через провайдера с вашим реальным IP-адресом.

Коротко:

  • Kill Switch при обрыве туннеля закрывает весь выход в интернет, иначе трафик тихо уходит через провайдера с вашим реальным IP.
  • На Android нужны обе системные настройки: «Постоянная VPN» переподключает туннель, а запрет соединений без VPN (трафик идёт только через туннель) и есть системный Kill Switch.
  • Для проверки смените сервер в приложении и сразу обновите страницу с IP: если она открылась с вашим реальным адресом, Kill Switch не работает.

Название буквальное: «аварийный выключатель». Он не ускоряет соединение и не делает его «более защищённым», пока всё работает. Его единственная задача в том, чтобы не дать трафику утечь в те несколько секунд или минут, когда VPN упал, а вы об этом ещё не знаете.

ЦЕНА ОДНОГО НЕЗАМЕЧЕННОГО ОБРЫВАРИС. 01чем заняты в момент обрывачто останется послесмотрю сериалничегокачаю торрентписьмо провайдеручитаю новостивидны адреса сайтовработаю с офисомоткрыт ресурс компанииразрыв: секундыпоследствия: надолго
Цена обрыва зависит не от его длины, а от того, чем вы в этот момент заняты. Сам разрыв проходит за секунды, а его последствия остаются надолго.

Что происходит без Kill Switch

VPN-туннель обрывается чаще, чем кажется. Телефон переходит из Wi-Fi в мобильную сеть, ноутбук просыпается после сна, роутер перезагружается, сервер VPN уходит на обслуживание, приложение обновляется. В каждом из этих случаев система на несколько секунд остаётся без туннеля.

ТУННЕЛЬ ОБОРВАЛСЯ НА 30 СЕКУНДРИС. 02без Kill SwitchСистемаобычный маршрутмимо туннеляреальный IPDNS провайдеравкладки, бэкапы, мессенджеры: всёс Kill SwitchСистемаинтернет закрытдо восстановлениянаружу не уходит ничеговыглядит как«пропал на 30 секунд»
Что делает система в те секунды, пока туннеля нет. Она устроена так, чтобы интернет работал всегда, и честно отправляет трафик мимо туннеля.

Операционные системы устроены так, чтобы интернет работал всегда. Поэтому, как только туннель исчез, система отправляет трафик по обычному маршруту. Открытые вкладки, фоновые синхронизации, мессенджеры, торрент-клиенты и облачные бэкапы продолжают работать как ни в чём не бывало, только уже с вашим реальным IP и через DNS-серверы провайдера.

ЧТО ВИДИТ ПРОВАЙДЕР В ЭТОТ МОМЕНТРИС. 03состояниепровайдер видиттуннель живадрес сервера VPNи больше ничегообрыв, есть KSKill Switch включёнтишина, запросов нетобрыв, нет KSKill Switch выключенкаждый домен, что вы открылии ваш IP

Для сайта, на котором вы были залогинены, это выглядит как один и тот же пользователь, который секунду назад заходил из Амстердама, а теперь из Воронежа. А для провайдера это обычный трафик без шифрования, содержимое которого он не видит благодаря HTTPS, но адреса сайтов видит.

ЧТО ВИДИТ САЙТ, ГДЕ ВЫ ЗАЛОГИНЕНЫсекунду назадпосле обрываВход из Амстердамачерез VPNВход из Воронежаваш реальный IPСайтодин и тот же пользовательБез Kill Switch город меняется за секунду, и вы этого не замечаете.
Для сайта обрыв выглядит как прыжок одного пользователя из города в город.

Как работает Kill Switch: два уровня

Реализаций две, и разница между ними важна.

Уровень приложения. Приложение VPN само следит за состоянием туннеля. Когда соединение обрывается, оно добавляет в системный файрвол правило «запретить всё, кроме VPN-сервера» или просто отключает сетевые интерфейсы. Плюс: работает на любой системе. Минус: если приложение зависло или его закрыли, следить некому, и трафик пойдёт напрямую.

Системный уровень. Правило «весь трафик только через VPN-интерфейс» живёт в самой операционной системе, независимо от приложения. На Android это настройка «Постоянная VPN» плюс запрет соединений без VPN в системных настройках, на iOS это режим Always On для управляемых профилей, на macOS и Windows правила файрвола, которые ставит приложение при установке. Такой вариант надёжнее: он работает, даже если приложение упало.

ДВА УРОВНЯРИС. 04Уровень приложенияклиент правит файрвол при обрывеработает вездеупало приложение, и всёотваливается вместе с приложениемСистемный уровеньправило живёт в ОС, клиент не нуженAndroid: запрет соединений без VPNпереживает падениенадёжнее: работает, даже если приложение упало
Два уровня с разной надёжностью. Верхний отваливается вместе с приложением, нижний переживает его падение.

В хороших клиентах используются оба уровня сразу: приложение управляет туннелем, а системное правило страхует на случай, если приложение перестанет отвечать.

ГДЕ ИСКАТЬ ПЕРЕКЛЮЧАТЕЛЬРИС. 05Androidсистема: Сеть → VPN → шестерёнкаи отдельно тумблер в приложенииiOSв приложенииWindowsв приложенииправило ставит оноmacOSв приложенииправило ставит онороутервручную, правилами файрвола

Когда Kill Switch срабатывает?

Типичные сценарии, в которых он спасает:

  • Переход между сетями: Wi-Fi в кафе → мобильный интернет → домашний Wi-Fi. Каждый переход это короткий разрыв.
  • Пробуждение ноутбука. Система поднимает сеть раньше, чем VPN успевает переподключиться.
  • Смена сервера внутри приложения: старый туннель закрыт, новый ещё не установлен.
  • Обслуживание или перегрузка сервера VPN. Соединение падает по инициативе другой стороны.
  • Нестабильная сеть в поезде или самолёте: туннель рвётся каждые несколько минут.
КОГДА РВЁТСЯ ЧАЩЕ ВСЕГОРИС. 06длина: как часто встречаетсяпереход Wi-Fi ↔ мобильныйпробуждение ноутбукасмена сервера в клиентеобслуживание серверапоезд, самолёт

Во всех этих случаях Kill Switch держит интернет закрытым до момента, когда туннель снова поднят. Внешне это выглядит как «пропал интернет на пять секунд», и это правильное поведение.

КАК ПОНЯТЬ, ЧТО ОБРЫВ УЖЕ БЫЛРИС. 07значок VPN мигнул и вернулсясайт вдруг показал язык вашей странывместо ошибки открылась заглушка провайдераприложение попросило войти зановолюбого одного хватаетчтобы проверить Kill Switch сегодня

Чем Kill Switch отличается от «постоянного VPN»

На Android есть две похожие настройки, и их часто путают. «Постоянная VPN» (Always-on) заставляет систему автоматически переподключать VPN после любого разрыва. Второй параметр, который пускает трафик только через VPN, и есть тот самый системный Kill Switch: пока туннель не установлен, ни одно приложение в интернет не выходит.

ДВЕ НАСТРОЙКИ ANDROID, НЕ ОДНАРИС. 08Постоянная VPNвключает туннельЗапрет без VPNдержит трафик+только перваяв момент обрыва утечкатрафик уходит напрямуюобе вместезащита без дырработают в паре

Первая настройка без второй ничего не защищает: между разрывом и переподключением трафик уходит напрямую. Работают они в паре. Найти их можно в системных настройках: Сеть и интернет → VPN → шестерёнка рядом с приложением.

ЧТО ДЕЛАЕТ КАЖДАЯ ПРИ ОБРЫВЕРИС. 09обрывПостоянная VPNподнимает туннель зановотрафик идёт всё это времяЗапрет без VPNдержит трафик до туннелянаружу не уходит ничего

На iPhone встроенного переключателя для обычных пользовательских приложений нет. Приложения VPN делают Kill Switch сами, через расширение Network Extension: оно держит туннель и останавливает трафик при обрыве. Поэтому на iOS важно, чтобы функция была именно в приложении.

Строгий режим на iPhone и iPad не означает «совсем ничего наружу». Документация Apple перечисляет, что система выпускает мимо туннеля всегда, независимо от настроек приложения.

ЧТО iOS ВЫПУСКАЕТ МИМО ТУННЕЛЯ ВСЕГДАРИС. 10Приложениявесь трафикТуннель VPNИнтернетмимо туннеля,всегдаDHCP и служебные запросы сетиавторизация в публичном Wi-Fiчасть сотовых служб, например VoLTEобмен с Apple Watchпоэтому «весь трафик» это почти весь, а не буквально весь

Как проверить, что Kill Switch работает

Проверять лучше до того, как он понадобится. Порядок такой:

ЧАСТОТА ОБРЫВОВ ПРОТИВ ЦЕНЫ ОШИБКИРИС. 11длина: доля от общегообрыв раз в деньиз них незаметныхзамеченных вамиKill Switch закрываеткак раз те, которыхвы не видите
  1. Подключитесь к VPN и откройте страницу What Is My IP. Запомните показанный адрес, это адрес сервера VPN.
  2. Убедитесь, что Kill Switch в приложении включён. У части клиентов он выключен по умолчанию.
  3. Разорвите туннель искусственно. Самый честный способ: в приложении сменить сервер на другой и в этот момент попробовать обновить страницу. Второй способ: на роутере или в файрволе на минуту запретить соединения с адресом VPN-сервера, чтобы туннель упал сам.
  4. Пока VPN восстанавливается, страницы не должны открываться вообще. Если страница обновилась и показала ваш реальный IP, значит Kill Switch не работает или не включён.
  5. После восстановления проверьте адрес ещё раз и прогоните тест утечки WebRTC: браузер может отдавать реальный IP через WebRTC даже при живом туннеле, и это отдельная от Kill Switch история.
ПРОВЕРКА ЗА ТРИ МИНУТЫРИС. 121What Is My IP: запомнить адрес2Kill Switch включён в приложении3сменить сервер и обновить страницустраница не открылась: работаетоткрылась с вашим IP: не работает4после: тест утечки WebRTC
Проверка занимает три минуты, и сделать её стоит до того, как функция понадобится. У части клиентов она выключена по умолчанию.

Если результат вас не устроил, сначала проверьте системную настройку, которая пускает трафик только через VPN, на Android или наличие функции в самом приложении на iOS, а уже потом меняйте сервис.

ЧТО ПОКАЗАЛА ПРОВЕРКАСменили серверобновили страницуНе открылась: Kill Switch работаетпока туннеля нет, интернет закрытОткрылась с вашим IPне работает или выключенСначала проверьтеAndroid: только через VPNiOS: есть ли в приложениипотом меняйте сервис
Страница с вашим IP значит, что защиты нет: начните с настройки системы или приложения.

Если разорвать туннель искусственно не выходит или непонятно, что именно искать в вашем клиенте, спросите про конкретное приложение.

Промт для нейросети
Помоги проверить Kill Switch в моём VPN-приложении.

Приложение: (название). Система: (Android 14 /
iOS 18 / Windows 11 / macOS).
В настройках я вижу пункты: (перечислите, что есть:
например «отключать интернет при обрыве»,
«разрешить локальную сеть», «автоподключение»).

Скажи: какой из этих пунктов и есть Kill Switch,
включён ли он по умолчанию и как безопасно
проверить его работу, не ломая сеть.
Если в этом приложении такой функции нет вообще,
скажи прямо, а не предлагай похожие названия.

Ответ сверяйте с тем, что видите на экране: модель знает старые версии приложений, и пункт мог переехать. Названия из ответа ищите в поиске по настройкам, а не глазами по всем вкладкам.

ЧТО KILL SWITCH ЗАКРЫВАЕТ, А ЧТО НЕТРИС. 13обрыв туннеля✓ закрываетутечка IPv6 мимо VPN✗ отдельная защитаDNS мимо туннеля✗ отдельная защитаWebRTC в браузере✗ отдельная защитаваши аккаунты и куки✗ вообще не про этокаждая из них: отдельнаяот Kill Switch история

Есть случай, который Kill Switch закрывает не всегда: трафик по IPv6, когда туннель несёт только IPv4. Система отправляет часть запросов мимо VPN, хотя соединение «есть». Как это проверить и что делать, разобрано в IPv4 и IPv6: как узнать свой адрес.

Kill Switch руками: роутер и Linux

Если туннель поднимает не приложение, а роутер или Linux-машина, отдельной кнопки не существует. Kill Switch там собирается правилом файрвола, и идея у правила ровно одна: не выпускать наружу ничего, что идёт мимо интерфейса туннеля.

ПРАВИЛО KILL SWITCH СЛОВАМИРИС. 14пакетуходит наружуне через интерфейс туннеля?не помечен меткой туннеля?адрес не из локальной сети?отброситьне отправлятьне выпускать наружу ничего, что идёт мимо интерфейса туннеля

Такой пример приводит сама документация WireGuard: две строки, PostUp и PreDown, ставят и снимают правило вместе с туннелем. Пока туннель жив, правило пропускает трафик через него; как только интерфейс исчезает, наружу не уходит ничего.

ПРАВИЛО ЖИВЁТ ВМЕСТЕ С ТУННЕЛЕМPostUpставит правило с туннелемПравилонаружу только через туннельPreDownснимает правило с туннелемТуннель живтрафик идёт через негоИнтерфейс исчезнаружу не уходит ничегоКоманду берите с man-страницы: одна перепутанная опция отрезает интернет и роутер.
Правило ставится и снимается вместе с туннелем, поэтому без туннеля наружу ничего не уходит.

Точную команду берите с man-страницы, а не из пересказов. Она завязана на версию iptables и на метку, которую WireGuard назначает сам, а одна перепутанная опция превращает Kill Switch в полное отключение интернета, включая доступ к самому роутеру.

Промт для нейросети
Хочу собрать kill switch на своём роутере.

Прошивка: (OpenWrt 23 / Keenetic / RouterOS /
заводская прошивка производителя).
Туннель поднят через: (WireGuard / OpenVPN).
Интерфейс туннеля называется: (например wg0).

Объясни по шагам, какими средствами это делается
именно в моей прошивке и какое правило нужно.
Отдельно предупреди, чем я рискую отрезать себе
доступ к самому роутеру и как откатиться, если
связь пропадёт.
Если для моей прошивки готового способа нет,
скажи прямо, а не подставляй команды от другой.

Перед тем как применять, обеспечьте себе путь назад: доступ к роутеру по кабелю или физическую кнопку сброса. Правило файрвола, отрезавшее панель управления, снимается только локально.

Когда Kill Switch мешает

У функции есть побочные эффекты, о которых честно предупредить.

  • Локальная сеть. Строгий Kill Switch может закрыть доступ к принтеру, NAS или телевизору в домашней сети. В нормальных клиентах есть исключение для локальных адресов: ищите пункт «Разрешить локальную сеть».
  • Нестабильная сеть. В поезде интернет и так пропадает каждые пару минут; с Kill Switch он будет пропадать чуть дольше, пока туннель переподключается. Это не поломка, а плата за защиту.
  • Приложения, которым VPN не нужен. Банковские приложения иногда отказываются работать через VPN. Решать это надо не выключением Kill Switch, а выносом таких приложений в split tunneling (часть приложений мимо туннеля), если он есть в клиенте.
  • Захват Wi-Fi в кафе. Страница авторизации в общественной сети (captive portal) может не открыться, пока весь трафик остановлен: приходится на минуту выключить VPN, авторизоваться и включить обратно. На iPhone и iPad этого обычно не происходит: система сама выпускает мимо туннеля запросы авторизации в сети, даже когда включён самый строгий режим.
ПОБОЧНЫЕ ЭФФЕКТЫРИС. 15что мешаетчто делатьпринтер, NAS, ТВзакрыт доступ в домашней сети«разрешить локальную сеть»поезд, самолёттуннель рвётсядольше «нет сети»плата за защиту, а не поломкабанк не работаетSplit Tunnelingне выключать KSWi-Fi в кафестраница авторизации не открыласьна минуту выключитьради входа в сеть
Четыре побочных эффекта и что с ними делать. Ни один из них не повод выключать функцию совсем.

Как включить Kill Switch?

  • Включите Kill Switch, если он выключен по умолчанию. Где: на Android надёжнее системный: Настройки → Сеть и интернет → VPN → шестерёнка рядом с приложением → параметр, который пускает трафик только через VPN. В самом приложении ищите раздел «Соединение» или «Безопасность»; если пункта нет ни под одним из этих названий, приложение этого не умеет.
  • На Android дополнительно включите в системных настройках параметр, который пускает трафик только через VPN.
  • Проверьте работу по шагам выше хотя бы один раз.
  • Добавьте исключение для локальной сети, если пользуетесь принтером или NAS.
ЕСЛИ KILL SWITCH В КЛИЕНТЕ НЕТРИС. 161Androidсистемный запрет без VPN2роутерправило файрвола на роутере3Windowsправило в брандмауэре вручную4iOSтолько смена приложенияпорядок сверху вниз:первый подходящийвам и есть ответ
  • Если VPN на роутере, помните: Kill Switch на роутере защищает всю сеть сразу, но настраивается отдельно, подробнее в статье VPN на роутере.
  • При частых обрывах сначала разберитесь с их причиной, порядок проверки описан в статье VPN не подключается: что проверить.
ЧЕКЛИСТРИС. 17Kill Switch включён в приложениина Android: запрет без VPNпроверен по трём шагам вышелокальная сеть в исключенияхIPv6 не течёт мимо туннеля

В 404 VPN Kill Switch включён: при обрыве туннеля трафик останавливается полностью, а не переключается на открытое соединение. Как устроена защита в целом, можно прочитать на странице безопасности, а попробовать сервис можно с главной.

Частые вопросы

Что значит Kill Switch в VPN простыми словами?

Это аварийный выключатель: при обрыве VPN он закрывает устройству выход в интернет, пока туннель не поднимется снова. Без него в этот момент трафик идёт напрямую через провайдера с вашим реальным IP.

Нужно ли включать Kill Switch?

Да, если важно, чтобы при обрыве VPN трафик не ушёл напрямую с вашим реальным IP. Обрывы бывают при переходе с Wi-Fi на мобильную сеть, после сна ноутбука и при смене сервера, и обычно их не замечают.

Почему с Kill Switch пропадает интернет?

Так он и работает: пока туннель переподключается, выход в интернет закрыт, и это выглядит как пропажа сети на несколько секунд. В поезде и других нестабильных сетях интернет будет пропадать чуть дольше: это плата за защиту, а не поломка.

Почему с Kill Switch не работает принтер или телевизор?

Строгий Kill Switch может закрыть доступ к устройствам домашней сети: принтеру, NAS, телевизору. Ищите в приложении пункт «Разрешить локальную сеть».

Есть ли Kill Switch на айфоне?

Есть, но только в самом приложении VPN: отдельного переключателя в настройках iOS нет. Приложение делает Kill Switch само через Network Extension, поэтому проверьте, есть ли эта функция в нём.