断网保护

#Windows

在 Windows 上，断网保护默认开启。如需查看或更改，请使用 设置 → 连接 → 断网保护。

• 独立的服务。 Colitu 会在安装应用的同时安装一个名为 ColituKillSwitch 的 Windows 服务。它保留持久的 Windows 筛选平台规则（Windows 内置的安全层），因此保护不再依赖应用持续运行。规则生效期间，只有 VPN 核心、Colitu 应用、环回、TUN 适配器和 DHCP 可以通过，其他一切都会被阻断。通过分流设置为不走 VPN 的流量也会被放行。
• 本地网络。 访问本地网络 (LAN) 是一项设置，默认开启。
• 如果应用或 VPN 核心崩溃，或在崩溃或断电之后，互联网会一直被阻断，直到 Colitu 重新连接。您绝不会因为崩溃而失去保护。
• 代理模式下同样有效。 断网保护在系统代理模式下同样生效。这也意味着，在您已连接期间，不使用代理的应用将无法上网。如果希望所有应用都能正常工作并受到保护，请使用 TUN 模式。
• 正常的 Windows 关机或重启会解除阻断。 这是有意为之，以免您在重启后被锁在互联网之外。例外情况是 自动连接 和 随 Windows 启动 同时开启（请参阅自动连接）：此时阻断会在重启期间持续，直到 Colitu 启动并自行重新连接。
• 断网保护启动时，主屏幕会告知您，并且 Colitu 会自动重新连接。如果您不想等待，可以在设置中关闭断网保护。
• 当您自己点击 断开连接 时，断网保护不会启动，互联网可正常使用。
• 如果缺少该服务，应用会回退到较旧的应用内断网保护，并向您发出警告。较旧的方案依附于应用的进程：如果 Colitu 崩溃或被强制关闭，Windows 会移除它的规则，流量将在没有保护的情况下通过。
• 卸载 Colitu 会移除所有规则。
• 应用按设计直接路由的流量，例如内置列表中的部分地区性网站（请参阅分流），不会被阻断。

#Android

Android 应用没有自己的断网保护；保护来自 Android 的系统设置，这两项在您开启之前都是关闭的。Colitu 会带您进入正确的界面，功能 下的 始终保护 一行会显示它是否已开启：

1. 1
   在 Colitu 中打开 账户 标签页，点击 功能 下的 始终保护。Android 的 VPN 设置随即打开。
2. 2
   点击 Colitu 旁边的设置（齿轮）图标。
3. 3
   开启 始终开启的 VPN。
4. 4
   开启 阻止没有 VPN 的连接。

从此以后，在 Colitu 未连接时，任何应用都无法访问互联网。这些设置的名称和位置在不同厂商之间可能略有差异；在大多数手机上，它们位于 设置 → 网络和互联网 → VPN。同一时间只能有一个 VPN 应用处于“始终开启”状态。

切换服务器不会泄漏。 切换服务器期间，VPN 接口保持启用，因此不会有任何流量在隧道之外发出。我们实测泄漏的请求数为 0，切换期间流量被阻断约 1.5 秒。

如果您在开启 阻止没有 VPN 的连接 的同时使用分流，被您排除的应用将无法上网，而被排除的网站仍可正常访问。

#iOS

iOS 在 账户 → 功能 下有两个独立的开关：

• 没有 VPN 时阻止上网

  就是断网保护。它默认关闭。开启后，没有任何流量会在 VPN 之外离开手机，即使 VPN 正在重新连接时也是如此。它使用 iOS 的 includeAllNetworks 设置。因此，VPN 开启时无法打开 Wi-Fi 登录页面（酒店、机场）；请先关闭 VPN 完成登录，然后再重新连接。

• 始终保护

  保持不变：如果 VPN 因网络变化而中断，或在控制中心被关闭，iOS 会立即将其恢复。它只负责重新连接，期间不会阻断流量。

IPv6 在 iOS 上不再泄漏。本地网络被保留在隧道之外，以便您可以访问本地设备。

#Linux

在 Linux 上，断网保护使用 nftables 规则：

1. 1
   在 设置 → 连接 → 模式 下选择 所有流量 (TUN)。TUN 模式是推荐的模式；在代理模式下，应用会显示警告，因为代理模式不能覆盖所有流量。
2. 2
   在同一部分确认 断网保护 已开启。
3. 3
   确认已安装 nftables 软件包。

当断网保护生效而 VPN 中断时，只有本地网络、VPN 服务器和 Colitu 账户服务仍可访问。通过分流设置为不走 VPN 的流量会被放行；如果 VPN 中断，只有您列表中的 IP 地址仍可访问。

• 应用崩溃后规则仍会保留

  （保护以“失效即阻断”的方式运作）。下次启动时，应用会提供 重新连接 或 关闭保护 选项。

• 如需手动移除规则

  ，请运行 colitu-vpn --colitu-cleanup。移除 Colitu 软件包也会移除这些规则，重启后规则也会被清除。

• Linux 无界面和 Raspberry Pi

  (colitud)：连接期间，带严格路由的 sing-box TUN 会防止流量在隧道之外离开。

#热备用与服务器切换

开启热备用后，第二条路径可能通向另一台服务器，断网保护会允许这一点：

• Windows： ColituKillSwitch 也会放行备用服务器。
• Linux： 备用服务器会被加入允许列表。
• 开启断网保护后，自动重试会沿着服务器列表依次向下，而不是重复同一台服务器（Colitu Adaptive Connect 的工作原理）。

因此，在服务器切换期间，流量不会离开隧道。

#如何检查它是否生效？

1. 1
   连接到 Colitu，并打开 VPN 连接测试。IP 地址和位置应显示 Colitu 服务器，并且不应出现任何泄漏。
2. 2
   在已连接状态下，将 Wi-Fi 或移动数据关闭几秒钟，再重新打开。
3. 3
   在 Colitu 重新连接之前，页面不应加载。恢复后，再次运行测试；应再次显示 Colitu 服务器。
4. 4
   在 Android 上，还可以在 Colitu 中断开连接：开启 阻止没有 VPN 的连接 后，任何网站都不应打开。在 iOS 上，开启 没有 VPN 时阻止上网 后同样如此。

更多测试：连接测试。

#故障排除