Tunnel Enforcer — Windows-клиент, который не доверяет сети. Туннель, kill-switch на уровне брандмауэра и перехват DNS работают как одна система: если безопасность нельзя доказать — трафик не идёт.
Большинство клиентов исходят из того, что туннель всегда работает. На деле связь обрывается, адаптеры переключаются, приложения идут мимо. Оборвите туннель сами и сравните два поведения.
Схема упрощена. В реальности Enforcer ставит DefaultOutboundAction=Block на всех трёх профилях Windows Firewall и добавляет allow-правила только для sing-box, самого приложения, TUN-адаптера, DHCP, NTP и LAN. Block-правила по интерфейсу не используются: в Windows Block всегда побеждает Allow и блокировал бы сам sing-box.
Каждая функция опирается на другую: kill-switch поднимается только после готового TUN, DNS перехватывается внутри туннеля, диагностика проверяет всё это независимо.
Три режима: off, standard, strict. В strict при аварийном восстановлении блокировка сохраняется до явного действия пользователя. Манифест отката пишется атомарно, после сбоя приложение восстанавливает состояние само.
Весь DNS из TUN перехватывается и уходит в резолвер sing-box. DoH — через туннель.
Госсервисы и .ru идут напрямую и видят реальный российский адрес, остальное — через туннель.
Для каждого приложения — direct, vpn или none. Применяется без снятия защиты.
Активный self-test: пробует выйти в сеть через физический адаптер в обход туннеля. Вышло — это утечка.
ETW-сессия с пятью провайдерами показывает, куда и почему пошёл пакет. Только метаданные: 5-tuple и DNS-имена, не содержимое. Экспорт — с обезличиванием.
Окна подключения по расписанию, ротация серверов с интервалом 5–1440 минут, failover по соседним ключам группы при падении.
Порядок правил взят из sing-box-конфига клиента. Введите адрес и посмотрите, какое правило сработает первым.
Список упрощён: полный порядок включает пользовательские доменные правила и health-пробы.
Enforcer — клиент, а не сервис: вы приносите свои подписки и ключи, а он превращает их в защищённое соединение. Серверы мы не продаём, а ваши данные не храним.
Города на глобусе — иллюстрация, а не список наших узлов.
| Возможность | Tunnel Enforcer | Типичный VPN-клиент |
|---|---|---|
| Поведение при обрыве | Блокировка всего трафика вне VPN | Зависит от настройки |
| Перехват DNS внутри туннеля | hijack-dns + DoH через туннель | Часто оставляет системный DNS |
| Политика IPv6 | IPv4-only TUN, IPv6 закрыт lockdown и WFP | Частый источник утечек |
| Самопроверка на утечки | Активный тест через физический адаптер | Нет |
| Split tunneling | По процессу, с горячей перезагрузкой | Чаще всего по подсетям |
| Форензика трафика | ETW-сайдкар, вердикты, экспорт с redaction | Нет |
| Исходный код | Открыт, MIT | Как правило закрыт |
«Типичный клиент» — обобщение, а не конкретный продукт. Поведение конкретных клиентов отличается.
Установщик для Windows 10 и 11. Права администратора нужны только для Hard Mode, запрос UAC встроен в приложение.
