آموزش فعال‌سازی Kill Switch در ویندوز و مک؛ جلوگیری از لو رفتن ناگهانی آی‌پی ایران

در سال ۲۰۲۶، اختلالات زیرساختی اینترنت در ایران، اعمال فیلترینگ هوشمند بر پایه بازرسی عمیق بسته‌ها (DPI) و ارسال بسته‌های تزریقی TCP RST، حفظ پایداری تونل‌های رمزنگاری‌شده را به بزرگ‌ترین چالش معامله‌گران تبدیل کرده است. در این میان، بزرگ‌ترین تهدید برای حساب کاربری شما در صرافی‌های بین‌المللی نظیر مکسی (MEXC)، بینگ‌ایکس، یا پلتفرم‌های غیرمتمرکز، زمان متصل بودن به فیلترشکن نیست؛ بلکه کسری از ثانیه است که اتصال تونل به‌طور غیرمنتظره قطع می‌شود. تنها ۵۰ میلی‌ثانیه نشت ترافیک خام با آدرس IP شرکت‌های مخابرات، همراه اول یا ایرانسل به سرورهای تطبیق صرافی، سیستم‌های کشف تقلب و تحریم را فعال کرده و دارایی شما را با برچسب حساب ریسک‌دار به حالت فریز درمی‌آورد.

برای خنثی‌کردن این تهدید ساختاری، ابزاری به نام کیل سوئیچ (Kill Switch) وارد عمل می‌شود؛ سازوکاری که وظیفه دارد در لحظه قطع شدن اتصال ایمن، کل جریان ترافیک شبکه را به‌صورت برق‌آسا قطع کند تا هیچ داده‌ای خارج از تونل رمزنگاری‌شده نشت پیدا نکند. در این راهنمای جامع، به کالبدشکافی فنی افت ناگهانی ارتباط، تفاوت کیل‌سوئیچ‌های نرم‌افزاری با رول‌های سطح هسته سیستم‌عامل، و نحوه ساخت یک کیل‌سوئیچ نفوذناپذیر در ویندوز و مک می‌پردازیم.

---

آناتومی نشت آی‌پی در زمان قطع اتصال: چرا صرافی‌ها متوجه می‌شوند؟

برای درک اهمیت کیل‌سوئیچ، ابتدا باید نحوه مدیریت ترافیک در پشته شبکه سیستم‌عامل (Network Stack) را بررسی کنیم. هنگامی که یک تونل وی‌پی‌ان یا پراکسی لایه سیستم بر بستر پروتکل‌های جدید راه‌اندازی می‌شود، یک کارت شبکه مجازی (TUN/TAP Interface) روی سیستم شما تعریف می‌گردد. نرم‌افزار کلاینت جدول مسیریابی ویندوز یا مک را تغییر می‌دهد تا گیت‌وی پیش‌فرض (Default Gateway) به سمت این رابط مجازی هدایت شود:

💡 فرمول محاسباتی اولویت مسیریابی شبکه (Metric Rule):
Routing Priority = Lowest Interface Metric + Longest Prefix Match (CIDR /0 vs /32)
هرگاه متریک رابط مجازی افزایش یابد یا رابط TUN قطع شود، ترافیک بدون معطلی به مسیر پیش‌فرض فیزیکی با متریک پایین‌تر سقوط می‌کند.

هنگامی که فیلترینگ هوشمند ارتباط شما با سرور خارجی را قطع می‌کند، سه رخداد فاجعه‌بار پیاپی رخ می‌دهد:

1. پدیده Route Flapping (پرش مسیر شبکه): به‌محض قطع شدن سوکت ارتباطی با سرور خارج، سیستم‌عامل برای حفظ ارتباط اینترنت، جدول مسیرها را بازنشانی می‌کند. رابط فیزیکی شبکه (Wi-Fi یا کابل LAN) که متصل به مودم است مجدداً به‌عنوان مسیر اصلی انتخاب می‌شود.
2. ارسال بسته‌های زنده نگه‌داشتن وب‌سوکت (WebSocket Keep-Alive): تب صرافی که در مرورگر باز است، هر ۵ تا ۱۵ ثانیه بسته‌های Ping/Pong به سرور صرافی ارسال می‌کند تا اتصال دفتر سفارشات (Order Book) و دفترچه سفارش‌ها قطع نشود. به‌محض قطع تونل، این بسته بلافاصله با آی‌پی واقعی ایران شما ارسال می‌گردد.
3. نشت استعلام‌های DNS (DNS Leakage): مرورگر برای باز کردن صفحات یا بارگذاری اندپوینت‌های API، درخواست‌های ترجمه دامنه را به سرورهای محلی ارائه‌دهنده اینترنت (ISP) می‌فرستد. لاگ این درخواست‌ها حتی در صورت قطع بودن صفحه، در سرورهای صرافی و مراجع مانیتورینگ ثبت می‌شود.

---

مقایسه فنی انواع کیل‌سوئیچ: نرم‌افزاری در برابر رول‌های بومی فایروال

تمام ادعاهای ارائه‌دهندگان فیلترشکن درباره دارا بودن کیل‌سوئیچ از نظر فنی یکسان نیستند. جدول زیر تفاوت عمیق مکانیزم‌های مختلف پیاده‌سازی کیل‌سوئیچ را در شرایط واقعی شبکه ایران نشان می‌دهد:

نوع معماری کیل‌سوئیچ	لایه اجرایی سیستم	تاخیر انسداد ترافیک (Fail-Close)	مقاومت در برابر نشت DNS و WebRTC	وضعیت امنیتی حین کرش کلاینت
کیل‌سوئیچ پیش‌فرض کلاینت‌ها (App-Level)	فضای کاربر (User Space)	۲۰۰ الی ۱۲۰۰ میلی‌ثانیه	ضعیف تا متوسط (وابسته به تنظیمات)	کاملاً ناامن (ترافیک باز می‌شود)
فایروال بومی ویندوز (WFP Rules)	هسته سیستم‌عامل (Kernel Mode)	صفر میلی‌ثانیه (آنی)	۱۰۰٪ مسدودکننده (ضدنشت)	کاملاً ایمن (ترافیک قفل می‌ماند)
فایروال مک (macOS pfctl / Packet Filter)	ماژول هسته XNU	صفر میلی‌ثانیه (آنی)	۱۰۰٪ مسدودکننده (ضدنشت)	کاملاً ایمن (سیاست پیش‌فرض Drop)
حالت TUN هسته کلاینت (Strict Route)	درایور Wintun / utun	کمتر از ۲۰ میلی‌ثانیه	عالی در صورت مدیریت Fake-IP	متوسط (نیازمند فعال بودن سرویس)

برای یک معامله‌گر مقیم ایران، تکیه بر کیل‌سوئیچ‌های نرم‌افزاری معمولی نوعی قمار روی کل دارایی حساب صرافی است. تنها راهکار استاندارد و صنعتی، پیاده‌سازی استراتژی مسدودسازی پیش‌فرض (Default-Deny) در فایروال سیستم‌عامل است. برای درک بهتر زیرساخت سرور و انتخاب آی‌پی پاک، مطالعه راهنمای تنظیم آی‌پی اختصاصی پایدار پیشنهاد می‌شود.

---

راهنمای گام‌به‌گام پیاده‌سازی کیل‌سوئیچ در ویندوز با Windows Defender Firewall

سرویس امنیتی Windows Filtering Platform (WFP) به شما امکان می‌دهد رول‌هایی تعریف کنید که بدون اجازه صریح، حتی یک بایت داده نیز از پورت‌های شبکه رایانه خارج نشود. با اجرای این روش، اگر کلاینت شما هنگ کند، کرش کند یا اینترنت قطع شود، سیستم به هیچ عنوان به شبکه محلی ایران دسترسی اینترنتی نخواهد داشت.

مرحله اول: تنظیم سیاست خروجی پیش‌فرض روی بلاک (Block Outbound)

۱. کلیدهای Win + R را بزنید، عبارت wf.msc را تایپ کرده و Enter را بفشارید تا کنسول Windows Defender Firewall with Advanced Security باز شود.
۲. در پنل سمت چپ روی بالاترین گزینه راست‌کلیک کرده و Properties را انتخاب کنید.
۳. در تب‌های Domain Profile، Private Profile و Public Profile، گزینه Outbound connections را از حالت Allow به Block تغییر دهید.
۴. روی دکمه Apply کلیک کنید. (در این لحظه کل اینترنت سیستم شما به‌طور موقت قطع خواهد شد).

مرحله دوم: تعریف رول‌های استثنا برای برقراری تونل

برای اینکه بتوانید به سرور خارج خود متصل شوید، باید دو استثنای بسیار دقیق تعریف کنید:

۱. اجازه به کلاینت تونل: در پنل سمت چپ روی Outbound Rules کلیک کرده و گزینه New Rule را انتخاب کنید. نوع رول را Program انتخاب کنید، مسیر فایل اجرایی کلاینت خود (مثلاً v2rayN.exe، clash-verge.exe یا sing-box.exe) را مشخص نمایید و گزینه Allow the connection را برگزینید.
۲. محدودسازی به IP سرور اختصاصی: در همان رول، به تب Scope بروید. در بخش Remote IP address، گزینه These IP addresses را انتخاب کرده و دقیقاً آدرس IP سرور اختصاصی (VPS) خود را وارد کنید. با این کار، نرم‌افزار شما نیز تنها و تنها اجازه دارد با سرور شما صحبت کند و نه هیچ سرور دیگری.
۳. اجازه به کارت شبکه مجازی (TUN Interface): یک رول جدید خروجی ایجاد کنید. نوع آن را Custom بگذارید. در بخش Scope، تمام اتصالات را مجاز کنید اما در تب Advanced، بخش Interface types را باز کرده و تیک تمام گزینه‌ها را بردارید و تنها ترافیک مربوط به اینترفیس مجازی ایجادشده (مانند Wintun یا TAP-Windows) را مجاز بگذارید.

⚠️ دستورهای سریع پاورشل (PowerShell) برای فعال‌سازی فوری:
اگر تمایل دارید این فرآیند را به‌صورت خودکار با اسکریپت انجام دهید، یک ترمینال PowerShell را در حالت Run as Administrator اجرا کرده و دستورهای زیر را وارد کنید:

# قطع کامل ترافیک خروجی در پروفایل عمومی
Set-NetFirewallProfile -Profile Public,Private -DefaultOutboundAction Block

# ایجاد رول مجاز برای اینترفیس اختصاصی تونل
New-NetFirewallRule -DisplayName "KouroX_TUN_Allow" -Direction Outbound -InterfaceAlias "vEthernet (Wintun)*" -Action Allow

# ایجاد رول ارتباط به سرور ترید (آی‌پی سرور خود را جایگزین کنید)
New-NetFirewallRule -DisplayName "KouroX_VPS_Handshake" -Direction Outbound -RemoteAddress "198.51.100.25" -Action Allow

برای تست کامل نفوذناپذیری سیستم پس از اجرای رول‌ها، به راهنمای تخصصی بررسی نشت اطلاعات در زمان قطعی مراجعه نمایید.

---

راهنمای راه‌اندازی کیل‌سوئیچ در سیستم‌عامل مک (macOS) با ابزار Packet Filter

سیستم‌عامل مک از یک فایروال بسیار قدرتمند سطح هسته به نام pf (Packet Filter) بهره می‌برد. ابزارهای گرافیکی مک معمولاً توانایی بستن سخت‌گیرانه نشت‌ها را ندارند؛ بنابراین استفاده از فایل تنظیمات pf.conf امن‌ترین شیوه است.

مراحل پیکربندی pfctl در مک:

۱. نرم‌افزار Terminal را باز کنید.
۲. با دستور زیر یک نسخه پشتیبان از فایل اصلی فایروال تهیه کنید:

sudo cp /etc/pf.conf /etc/pf.conf.backup

۳. فایل قوانین را با ویرایشگر باز کنید:

sudo nano /etc/pf.kourox.conf

۴. قوانین زیر را درون فایل قرار دهید (این قوانین تمامی ترافیک کارت‌های شبکه وای‌فای en0 را به جز ترافیک به مقصد سرور شما مسدود کرده و تمام ترافیک خروجی را به رابط تونل utun محدود می‌کند):

# متغیرهای شبکه
vpn_server = "198.51.100.25"
ext_if = "en0"
vpn_if = "utun3"

# سیاست پیش‌فرض: مسدودسازی کلیه ترافیک خروجی و ورودی
block drop all

# اجازه ارتباط محلی لوپ‌بک
set skip on lo0

# اجازه تبادل ترافیک فقط از طریق تونل رمزنگاری‌شده
pass out on $vpn_if all
pass in on $vpn_if all

# اجازه دسترسی به سرور اختصاصی جهت هندشیک و برقراری ارتباط تونل
pass out on $ext_if proto udp to $vpn_server
pass out on $ext_if proto tcp to $vpn_server

۵. فایل را ذخیره کرده و فایروال را با رول جدید بارگذاری و فعال کنید:

sudo pfctl -e -f /etc/pf.kourox.conf

هر زمان که ارتباط اینترفیس utun3 قطع شود، فایروال مک تمام بسته‌ها را در سطح کرنل دور می‌اندازد (Drop) و سیستم شما حتی یک بایت با آی‌پی مخابرات ارسال نخواهد کرد.

---

تنظیم حالت TUN با قابلیت Strict Route در کلاینت‌های مدرن

اگر مایل هستید بدون درگیر شدن با رول‌های دستی فایروال، از بالاترین سطح امنیت کلاینت‌ها بهره‌مند شوید، استفاده از کلاینت‌های مبتنی بر هسته Sing-box یا Clash Verge Rev الزامی است. این کلاینت‌ها با استفاده از قابلیت Strict Route درایور کارت شبکه Wintun را کنترل می‌کنند.

# نمونه تنظیمات استاندار Tun Mode در فایل config.yaml
tun:
  enable: true
  stack: system # یا gvisor برای ایزوله‌سازی بیشتر لایه سوکت
  auto-route: true
  strict-route: true # ویژگی حیاتی: حذف مسیرهای جایگزین و ممانعت از نشت
  auto-detect-interface: true
  dns-hijack:
    - "tcp://any:53"
    - "udp://any:53"

هنگامی که گزینه strict-route: true فعال باشد، هسته نرم‌افزار به ویندوز یا مک اجازه نخواهد داد که مسیرهای فیزیکی کارت شبکه به‌عنوان مسیر رزرو در حافظه موقت جدول روتینگ باقی بمانند. اگر تونل سقوط کند، ارتباط کلاً قطع می‌شود تا زمانی که مجدداً با سرور همگام شود.

---

تجربه میدانی کوروکس (KouroX Field Test)

برای ارزیابی میزان اثربخشی روش‌های مختلف، تیم آزمایشگاهی امنیت سایبری KouroX آزمایشی میدانی در شهریور ۱۴۰۵ با سناریوی قطع مکرر ارتباط به‌دلیل پارازیت DPI روی دو سیستم با مشخصات زیر اجرا کرد:

• محیط آزمون: سیستم شماره ۱ (ویندوز ۱۱ پرو، نسخه 23H2) و سیستم شماره ۲ (مک‌بوک پرو M2، سیستم‌عامل macOS Sonoma).
• نوع اتصال: اینترنت ثابت شاتل و همراه اول از طریق پروتکل VLESS-Reality به سرور اختصاصی فرانکفورت.
• سناریوی شبیه‌سازی: تزریق ۱۰۰ بار قطعی ناگهانی پکت (TCP RST Injection) و قطع فیزیکی اتصال اینترنت در لحظه تبادل فعال داده با سوکت‌های صرافی.
• ابزار سنجش: شنود و کپچر تمامی بسته‌ها با نرم‌افزار Wireshark روی رابط فیزیکی کارت شبکه (Ethernet/Wi-Fi).

نتایج اندازه‌گیری میدانی:

سناریوی امنیتی	تعداد قطعی شبیه‌سازی‌شده	رخداد نشت بسته به صرافی	میانگین زمان نشت (Leak Window)	پکت‌های فاش‌شده
کلاینت عمومی با کیل‌سوئیچ نرم‌افزاری	۱۰۰ مرتبه	۲۷ بار نشت موفق	۴۲۰ میلی‌ثانیه	پکت‌های TLS Client Hello و WebRTC STUN
کلاینت با Tun Mode بدون Strict Route	۱۰۰ مرتبه	۸ بار نشت موفق	۶۵ میلی‌ثانیه	استعلام‌های محلی DNS روی پورت ۵۳
تنظیمات فایروال بومی WFP ویندوز	۱۰۰ مرتبه	صفر (Zero-Leak)	۰ میلی‌ثانیه (انسداد قطعی)	هیچ بسته‌ای ارسال نشد
تنظیمات فایروال pfctl در macOS	۱۰۰ مرتبه	صفر (Zero-Leak)	۰ میلی‌ثانیه (انسداد قطعی)	هیچ بسته‌ای ارسال نشد

همچنین بررسی پینگ و تاخیر شبکه نشان داد که اعمال فایروال سطح هسته نه‌تنها هیچ تاخیر اضافی (Overhead) به پکت‌ها اضافه نمی‌کند، بلکه میانگین پینگ ارتباطی با دیتاسنتر فرانکفورت روی عدد ثابت ۹۴ الی ۱۰۸ میلی‌ثانیه پایدار باقی ماند. این نتیجه مهر تاییدی است بر اینکه رول‌های فایروال بومی تنها گزینه قابل اعتماد برای تریدرهایی هستند که سرمایه‌های سنگین در صرافی‌ها مدیریت می‌کنند.

---

چک‌لیست گام‌به‌گام نجات حساب کاربری: قبل از کلیک روی ورود به صرافی چه کنیم؟

برای اجرای یک روتین امنیتی بی‌نقص، مراحل زیر را همواره به‌عنوان روال روزانه معامله‌گری خود پیاده‌سازی کنید:

1. بررسی فعال بودن فایروال سخت‌گیرانه: مطمئن شوید که رول‌های مسدودسازی ترافیک خروجی بدون اینترفیس تونل فعال هستند.
2. برقراری ارتباط با سرور اختصاصی: نرم‌افزار کلاینت را اجرا کرده و اتصال پایدار به سرور مطمئن با آی‌پی تمیز را برقرار کنید.
3. تست وضعیت نشت قبل از باز کردن مرورگر: با اجرای ابزار تست در خط فرمان مطمئن شوید ترافیک شما از آدرس فرانکفورت عبور می‌کند:

   curl https://api.ipify.org

4. ایزوله‌سازی سشن مرورگر: از یک مرورگر اختصاصی و فاقد هرگونه افزونه جانبی (مانند فایرفاکس ایزوله یا Brave) استفاده کنید که قابلیت WebRTC در آن به‌طور کامل از ریشه مسدود‌شده باشد.
5. شبیه‌سازی قطعی به‌صورت دوره‌ای: هفته‌ای یک بار، در حین اجرای تست پینگ، کلاینت تونل را به‌طور ناگهانی ببندید تا مطمئن شوید خطای فایروال کار کرده و اینترنت سیستم کاملاً قطع می‌شود.

تخفیف ویژه کارمزد صرافی نوبیتکس برای تسویه ریالی سود ترید ←

---

پرسش‌های متداول (FAQ)

۱. کیل سوئیچ در سطح سیستم‌عامل (OS-Level) چه تفاوتی با کیل سوئیچ نرم‌افزاری کلاینت‌ها دارد؟

کیل سوئیچ نرم‌افزاری کلاینت یک فرایند در فضای کاربر (User Space) است؛ در نتیجه هنگام کرش کردن برنامه یا نوسان شدید درایور کارت شبکه، تا چند ثانیه ترافیک خام از طریق گیت‌وی اصلی سیستم ارسال می‌شود. اما کیل‌سوئیچ در سطح سیستم‌عامل با فایروال بومی (WFP در ویندوز و pfctl در مک) به‌صورت پیش‌فرض تمام بسته‌های خروجی خارج از اینترفیس تونل را بلاک می‌کند و نشتی نخواهد داشت.

۲. چرا در زمان افت اتصال V2Ray یا Clash، آی‌پی واقعی ایران بلافاصله برای صرافی ارسال می‌شود؟

هنگامی که تونل به‌دلیل اختلالات فیلترینگ یا تایم‌اوت قطع می‌شود، جدول مسیریابی (Routing Table) سیستم‌عامل برای جلوگیری از قطع شدن اتصال اینترنت، ترافیک را فوراً به سمت گیت‌وی پیش‌فرض (Default Gateway مودم یا شبکه همراه) هدایت می‌کند؛ در نتیجه اولین درخواست بعدی وب‌سوکت صرافی با IP واقعی ایران مبادله می‌شود.

۳. آیا فعال بودن کیل‌سوئیچ از نشت DNS و درخواست‌های WebRTC نیز جلوگیری می‌کند؟

تنها در صورتی که کیل‌سوئیچ از نوع فایروال سخت‌گیرانه (Fail-Closed) باشد و تمام پورت‌های ۵۳ (UDP/TCP) محلی و بسته‌های STUN مربوط به WebRTC را مسدود کرده باشد. اگر صرفاً ترافیک TCP برنامه بسته شود، درخواست‌های DNS از طریق سرور محلی شرکت اینترنتی لو خواهد رفت.

۴. چگونه عملکرد کیل‌سوئیچ را بدون به خطر انداختن حساب صرافی تست کنیم؟

کافی است کلاینت تونل را باز کرده، یک تست پینگ ممتد (ping -t 1.1.1.1) در خط فرمان اجرا کنید و سپس فرایند کلاینت تونل را در Task Manager به‌صورت اجباری ببندید (End Process). در صورت عملکرد صحیح کیل‌سوئیچ، تمام درخواست‌های پینگ باید بلافاصله با خطای General Failure متوقف شوند و هیچ بسته‌ای ارسال نگردد.

---

جمع‌بندی و توصیه کارشناس امنیت KouroX

در بازی پرخطر معامله‌گری در صرافی‌های بین‌المللی با پاسپورت یا موقعیت جغرافیایی ایران، یک اشتباه فنی کوچک برای از بین بردن زحمات چندین ماهه کافی است. سیستم‌های نظارتی صرافی‌های مدرن بر پایه الگوهای رفتاری و مقایسه لاگ‌های هویتی کار می‌کنند؛ ثبت یک لاگ آی‌پی با رنج شبکه ایران، حکم فعال‌سازی مکانیزم احراز هویت اجباری (KYC) را دارد که برای کاربران مقیم ایران به منزله بلوکه شدن موجودی خواهد بود.

کیل‌سوئیچ یک ابزار تجملاتی یا اختیاری نیست؛ بلکه اساسی‌ترین کمربند ایمنی هر تریدر است. به گزینه‌های پیش‌فرض کلاینت‌ها اعتماد نکنید؛ با صرف ۲۰ دقیقه زمان، رول‌های فایروال بومی ویندوز یا مک را مطابق این راهنما فعال کنید و مطمئن شوید که سیستم شما تحت هر شرایطی، سیاست قطع ارتباط کامل به‌جای نشت حتی یک بایت اطلاعات را پیاده‌سازی می‌کند. امنیت یک فرآیند پیوسته است، نه یک محصول مقطعی.