Kill switch: co dělá, kdy chybí a proč ho vypíná ‚povolit místní síť‘.
Stav k 19. 10. 2026: Pevnost je v soukromé betě. První server prg1 v Hluboké nad Vltavou (datacentrum WEDOS) běží od 18. října; první krátký test naměřil kolem 300 Mbit/s. Každý nový účet má dvě hodiny zdarma (jedna zkouška na připojení, jedno zařízení), pak 120 Kč za 30 dní nebo 1 200 Kč za rok. Platit jde Bitcoinem on-chain (preferujeme), kartou přes Stripe nebo převodem; Lightning plánujeme, Monero se chystá. Aplikace pro Windows 0.3.1 beta, pro Android 0.1.0 beta. Naposledy revidováno 19. 10. 2026.
Kill switch je ta část VPN, která zabrání, aby váš provoz odešel mimo tunel ve chvíli, kdy ho tunel nést nemůže. Nejde o reakci, která se spustí, když se něco rozbije. Je to pravidlo firewallu, které platí po celou dobu, kdy je VPN zapnutá: provoz do tunelu a na VPN server projde, všechno ostatní se zablokuje. Proto funguje, a proto ho některá nastavení, včetně jednoho v naší vlastní aplikaci, potichu odstraní.
Proč na něm záleží
Bez kill switche stačí krátký výpadek a systém pošle provoz obyčejnou sítí, jako by VPN nebyla. Weby uvidí vaši skutečnou adresu, síť uvidí vaše DNS dotazy a aplikace, které zrovna synchronizují na pozadí, se připojí mimo tunel. Nic z toho nepoznáte, protože ikona VPN dál svítí. Výpadky přitom nejsou vzácné: přechod z Wi‑Fi na mobilní data, uspání notebooku, restart aplikace, chvilkový výpadek serveru.
WireGuard sám kill switch nemá
WireGuard šifruje a směruje. S AllowedIPs = 0.0.0.0/0, ::/0 se veškerý provoz směruje do tunelu, a když server přestane odpovídat, pakety pořád jdou do tunelu a tam zahynou. Únik nastane, když rozhraní tunelu zmizí: aplikace spadne nebo se restartuje, změní se síť, systém nastartuje dřív než tunel, nebo si nějaká aplikace vybere síťové rozhraní sama. Tyto případy musí pokrýt platforma nebo aplikace.
Windows: jen s trasou /0
Oficiální WireGuard pro Windows i tunelový kód uvnitř naší aplikace pro Windows instalují pravidla firewallu, která blokují provoz mimo tunel a DNS dotazy na jiné resolvery. Udělají to ale jen tehdy, když konfigurace směruje do tunelu všechno: peer, jehož AllowedIPs obsahuje 0.0.0.0/0 nebo ::/0. Kdo místo toho napíše 0.0.0.0/1, 128.0.0.0/1, dostane stejné směrování bez kill switche.
Dvě věci, které je dobré vědět. Pravidla existují, dokud je tunel aktivní; když tunel vypnete, provoz zase teče normálně. A blokují i místní síť, takže tiskárna, NAS nebo televize jsou po dobu připojení nedostupné.
Co dělá „Allow local network“ v naší aplikaci
Právě kvůli tomu má naše aplikace pro Windows v nastavení volbu Allow local network (povolit místní síť) s popiskem „Turns off the kill switch: traffic can leave outside the tunnel when the server is unreachable“. Ve výchozím stavu je vypnutá. Když ji zapnete, aplikace pošle do tunelu všechno kromě privátních a místních rozsahů: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 169.254.0.0/16, multicast a jejich obdoby pro IPv6. V konfiguraci tím zmizí trasa /0, takže tunelový kód pravidla firewallu nezapne, a s nimi zmizí i ochrana proti úniku DNS. Místní síť funguje; když ale tunel spadne, všechno ostatní může odcházet běžnou sítí, dokud ho aplikace znovu nenahodí.
Jiné VPN si píší vlastní pravidla firewallu, která místní síť povolí a zbytek blokují. My stavíme na oficiálním tunelovém kódu WireGuardu, který nabízí jen všechno, nebo nic, a zatím tomu dáváme přednost před vlastní, méně prověřenou vrstvou firewallu. Doporučení: nechte volbu vypnutou. Když potřebujete tisknout, zapněte ji na chvíli nebo se na minutu odpojte. Na veřejné Wi‑Fi ji nezapínejte nikdy, protože „místní síť“ tam tvoří cizí lidé.
Android: systémové nastavení
Android má nejsilnější kill switch ze všech telefonních platforem a najdete ho v nastavení systému: Nastavení → Síť a internet → VPN → ozubené kolo u aplikace → Trvalá VPN a Blokovat připojení bez VPN (přesné názvy se podle výrobce liší). Platí pro všechny aplikace, i po startu telefonu, než se VPN aplikace vůbec spustí. Naše aplikace pro Android na něj spoléhá a vlastní nenahrazuje.
Dvě výhrady. Zveřejněný výzkum z roku 2022 ukázal, že Android i v tomto režimu posílá mimo VPN některé kontroly konektivity; Google to označil za záměr. A captive portál hotelové Wi‑Fi se při zapnutém blokování nemusí načíst; vypněte ho jen na dobu přihlášení.
iPhone, iPad a Mac
Oficiální aplikace WireGuard nabízí On‑demand activation, která tunel na každé síti znovu nahodí. Úplné blokování provozu mimo VPN nezpřístupňuje, takže krátké mezery při přechodu mezi Wi‑Fi a mobilními daty jsou možné. Podle zveřejněných zjištění navíc iOS při zapnutí VPN neukončí spojení, která už běžela. Tunel proto zapínejte dřív, než otevřete aplikace, na kterých vám záleží.
Linux
S wg-quick a trasou /0 zůstává provoz v tunelu, dokud rozhraní existuje. Aby ho aplikace nemohly obejít jiným rozhraním, navrhuje manuál wg-quick tato pravidla:
PostUp = iptables -I OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT && ip6tables -I OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT PreDown = iptables -D OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT && ip6tables -D OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT
Pravidla zmizí s wg-quick down. Kdo chce ochranu i ve chvíli, kdy tunel neběží, potřebuje trvalá pravidla nftables.
Jak kill switch otestovat
Spusťte nepřetržitý ping (ping -t 9.9.9.9 na Windows) a přepněte síť, třeba z Wi‑Fi na hotspot telefonu. S funkčním kill switchem ping selhává, dokud se tunel nevrátí, a stránka s IP adresou nikdy neukáže vaši vlastní adresu. Na Androidu se zapnutými oběma volbami vypněte tunel v aplikaci: telefon by měl přijít o internet. Pak udělejte celý test úniku DNS a IP.
Kdy ho vypnout, a kdy ne
Rozumné důvody jsou tři: přihlášení přes captive portál, krátká práce s tiskárnou nebo jiným zařízením v domácí síti a hledání chyby. Po každém z nich ho zapněte zpátky. Proč na tom záleží zvlášť v hotelech a kavárnách, popisuje článek VPN na veřejné Wi‑Fi, a co v té chvíli vidí váš operátor, článek co uvidí váš operátor.