--- title: "VPNs und Proxys | Kilobat-Dokumentation" url: "https://kilobat.app/de/docs/vpn" description: "Deine öffentliche IP und die VPN-Route, Proxy-Apps, der VPN-Kill-Switch und der Leak-Test." --- # VPNs und Proxys Deine öffentliche IP und die VPN-Route, Proxy-Apps, der VPN-Kill-Switch und der Leak-Test. ## VPN und öffentliche IP Zustand › Wo der Datenverkehr hinausgeht, das WLAN-Menü und `kilobat ip` zeigen die Schnittstelle, die die Standardroute nutzt, und ob das ein VPN ist – ausgelesen aus den Routen dieses Mac und den VPNs, die macOS als verbunden anzeigt. Ein VPN, das verbunden ist, während die Standardroute über WLAN läuft, etwa Tailscale ohne Exit-Node, erscheint als „Geteilt“: Nur manche Ziele laufen darüber. Schalte Einstellungen › Netzwerk › Öffentliche IP abfragen ein, um auch die Adresse zu sehen, die Websites sehen. Sie wird bei Netzwerkwechseln und alle 30 Minuten bei Cloudflare abgefragt, zusammen mit dem Land, in dem sie registriert ist, aus den DB-IP-Daten, die Kilobat mitbringt. Standardmäßig ist das aus, da Cloudflare diese Anfrage sieht; `kilobat ip --public` fragt einmal. Das Registrierungsland ist nicht der Ort, an dem du oder ein Server sich befinden, und weder es noch ein VPN zeigt, dass eine Verbindung privat oder anonym ist. Einstellungen › Menüleiste › VPN zeigt „Ein“, „Geteilt“ oder „Aus“ (mit Ländercode, wenn die Abfrage aktiv ist) neben der Fledermaus, und der Verlauf listet, wann ein VPN ein- oder ausgeschaltet wurde und wann sich die öffentliche IP geändert hat. ## Proxys und VPNs Kilobat arbeitet mit Proxy-Apps (Clash Verge, ClashX, mihomo, Mihomo Party, FlClash, Surge, sing-box, Stash, V2Ray, Xray, Shadowsocks) und VPNs zusammen. Es liest sie nur aus; es leitet nie Datenverkehr um und ändert nie ihre Einstellungen. - **Datenverkehr zählt für die richtige App.** Einer App, die über einen lokalen Proxy sendet, wird ihr eigener Datenverkehr angerechnet, und der Proxy-Kern oder VPN-Tunnel, der ihn weiterleitet, heißt „Leitet Datenverkehr anderer Apps“, statt doppelt gezählt zu werden. - **Welchen Weg jede App genommen hat.** Mit einer Clash-kompatiblen API (Clash Verge, ClashX, mihomo, Mihomo Party, FlClash, clash_api von sing-box) zeigt die Zeile einer App den Node, über den sie lief, etwa „über HK-01 · 2 direkt“, und ihr Tooltip listet jeden Host, jeden Node und jede Regel auf. Kilobat liest die API-Adresse und das Secret aus der Konfiguration der App selbst und zeigt das Secret nie an. - **Probleme, in „Zustand“ unter „Wo der Datenverkehr hinausgeht“:** - ein Systemproxy, der auf eine App zeigt, die nicht läuft – das legt jeden Browser lahm; - DNS oder IPv6 am VPN vorbei; - ein Proxy und ein VPN, die beide Datenverkehr übernehmen; - globaler Modus; - Blockieren, das Apps hinter einem Systemproxy nicht sieht. Filter von macOS sehen Verbindungen zu 127.0.0.1 nie, also schalte den TUN-Modus des Proxys ein oder blockiere die App in den Regeln des Proxys. - **Warum keine Verbindung?** ergänzt eine Ebene „Proxy-App“ mit dem Modus des Proxys und der Antwortzeit seiner aktuellen Nodes und sagt, wenn ein toter Node das Problem ist. Im Terminal: `kilobat proxy`, `kilobat proxy routes --app Telegram`, `kilobat proxy test` und `kilobat vpn`. Für einen Kern, den Kilobat nicht selbst findet, übergib `--controller 127.0.0.1:9090 --secret …`. Agents bekommen dasselbe über `get_proxy_status`, `test_proxy_nodes` und `check_vpn`. ## VPN-Kill-Switch Schalte mit Pro und aktivem Netzwerkfilter unter Einstellungen › Netzwerk *VPN-Kill-Switch* ein. Fällt dein VPN aus, blockiert Kilobat neue Verbindungen, bis es wieder da ist, sodass in der Zwischenzeit nichts über das WLAN im Café oder Hotel hinausgeht. Popover und Dashboard zeigen *Blockiert: VPN ist getrennt*, die Fledermaus in der Menüleiste bekommt ein Schloss, und eine Mitteilung bietet *5 Minuten erlauben* an. - **Er wird scharf, sobald dein VPN verbunden ist.** Der Kill Switch wartet, bis dein VPN seit dem Start des Mac einmal den gesamten Datenverkehr getragen hat, daher schneidet er dich nie ab, wenn du ihn ohne VPN einschaltest. Ab dann blockiert er bis zum nächsten Neustart, sobald das VPN getrennt ist, in jedem Netzwerk, denn genau beim Wechsel in ein neues Netzwerk würden Apps Daten preisgeben. Ein Split-VPN, das nur manche Ziele trägt, gilt als getrennt. - **Was sich weiterhin verbindet:** deine VPN-App, ihre Hilfsprogramme und ihre Netzwerkerweiterung (WireGuard, Tailscale, Mullvad, NordVPN, Proton VPN, ExpressVPN, Surfshark, Cisco Secure Client, GlobalProtect, OpenVPN Connect, Tunnelblick und andere, dazu jede VPN-App, für die macOS eine Konfiguration hat), die Netzwerkdienste von Apple (DNS, DHCP, Zertifikatsprüfungen, das Netzwerk-Anmeldefenster, integrierte VPNs), Kilobat und das lokale Netzwerk, sofern du das nicht ausschaltest. Alles andere wartet, egal welche Regeln oder welches Profil gelten, „Uneingeschränkt“ eingeschlossen. - **Der Ausweg.** *5 Minuten erlauben* im Banner, in der Mitteilung oder im Kontextmenü der Menüleiste lässt alles durch, etwa für eine Netzwerk-Anmeldeseite oder einen kurzen Check, und blockiert wieder, wenn das VPN dann noch getrennt ist. *Ausschalten* steht direkt daneben und in den Einstellungen. Was er nicht kann: Der Filter sieht nur neue Verbindungen, daher laufen bereits offene weiter, wenn das VPN ausfällt, auch wenn die meisten mit ihrem Tunnel abbrechen. DNS-Abfragen gehen weiterhin hinaus, damit das VPN seinen Server findet. Wird Kilobat beendet, behält der Filter den zuletzt erhaltenen Zustand und blockiert weiterhin, wenn die Tunnelschnittstelle des VPN verschwindet; öffne Kilobat, um Datenverkehr zu erlauben oder ihn auszuschalten. Im Terminal: `kilobat settings kill-switch on`; `kilobat vpn` oder `kilobat conditions` zeigen seinen Zustand; Agents lesen ihn über `check_vpn` und `get_conditions`, und `set_kill_switch` fragt dich vorher. ## VPN-Leak-Test Klicke bei aktivem VPN unter Zustand › Wo der Datenverkehr hinausgeht oder unter Einstellungen › Netzwerk auf *Auf Leaks prüfen*. In etwa zehn Sekunden prüft Kilobat drei Wege, auf denen Datenverkehr an einem VPN vorbeilaufen kann, und meldet für jeden bestanden oder nicht bestanden, mit der Einstellung, die das behebt – so benannt wie in deiner VPN-App, wenn Kilobat sie kennt (Mullvad, NordVPN, Proton VPN, ExpressVPN, Tailscale, WireGuard; bei Cisco, GlobalProtect und anderen Firmen-VPNs, worum du die IT bitten solltest). - **DNS.** Die Resolver, die macOS für normale Abfragen nutzt, und die Route zu jedem: Einer, der über WLAN oder Ethernet statt durch den Tunnel erreicht wird, verrät jeden Namen, den du abfragst. Kilobat fragt außerdem ein paar erfundene Namen über bash.ws ab, das die anfragenden Resolver meldet; einer, der weder zu deinem VPN noch zu einem öffentlichen DNS-Dienst wie Cloudflare oder Google gehört, gehört wahrscheinlich deinem Internetanbieter. - **IPv6.** Ein VPN, das nur IPv4 trägt, während der Mac eine IPv6-Route über WLAN hat, schickt IPv6-Websites deine echte Adresse. Kilobat fragt api6.ipify.org nach deiner IPv6-Adresse, um zu zeigen, was diese Websites sehen, und nennt die VPN-Einstellung oder wie du IPv6 für das Netzwerk ausschaltest (Systemeinstellungen › Netzwerk › WLAN › Details › TCP/IP › IPv6 konfigurieren › Nur lokale Verbindung). - **UDP und WebRTC.** WebRTC im Browser sendet UDP über jede Netzwerkschnittstelle. Kilobat sendet eine STUN-Anfrage (an den Server von Google oder Cloudflare) über das VPN und eine direkt über WLAN oder Ethernet: Bekommt die zweite eine Antwort oder kommt die erste von einer anderen Adresse als dem Ausgang des VPN zurück, kann eine Seite deine echte Adresse erfahren. Abhilfe schafft der Kill Switch oder Lockdown-Modus des VPN. Kilobat kann kein WebRTC im Browser ausführen, daher sagt es auch, wie du Browser davon abhältst, lokale Adressen preiszugeben: Safari verbirgt sie; Firefox mit `media.peerconnection.enabled` auf aus; Brave über seine WebRTC-IP-Verarbeitungsrichtlinie; Chrome mit Googles Erweiterung WebRTC Network Limiter. Der Leak-Test ist kostenlos. Er ändert nichts, und die Dienste, die er fragt, sehen deine Adresse wie jede Website. Ein bestandener Test gilt für diesen Mac in diesem Moment, nicht für jede App. Im Terminal: `kilobat vpn leaks` (endet mit 1, wenn etwas durchsickert, `--json` für Skripte); Agents nutzen `check_vpn_leaks`.