VPNs e proxies

Seu IP público e a rota da VPN, apps de proxy, o kill switch da VPN e o teste de vazamento.

VPN e IP público

Saúde › Por onde sai o tráfego, o menu Wi-Fi e kilobat ip mostram a interface usada pela rota padrão e se é uma VPN, lidas das rotas deste Mac e das VPNs que o macOS lista como conectadas. Uma VPN conectada enquanto a rota padrão permanece no Wi-Fi, como Tailscale sem nó de saída, aparece como Dividida: apenas alguns destinos passam por ela. Ative Ajustes › Rede › Consultar IP público para também ver o endereço que sites veem, consultado na Cloudflare quando a rede muda e a cada 30 minutos, com o país de registro dos dados DB-IP incluídos no Kilobat. Vem desativado, pois a Cloudflare vê essa solicitação; kilobat ip --public consulta uma vez. O país de registro não é onde você ou um servidor está, e nem ele nem uma VPN mostram que a conexão é privada ou anônima. Ajustes › Barra de menus › VPN adiciona Ativa, Dividida ou Inativa (com código do país quando a consulta está ativa) ao lado do morcego, e Histórico lista quando uma VPN ligou ou desligou e quando o IP público mudou.

Proxies e VPNs

O Kilobat funciona junto com apps de proxy (Clash Verge, ClashX, mihomo, Mihomo Party, FlClash, Surge, sing-box, Stash, V2Ray, Xray, Shadowsocks) e VPNs. Ele apenas os lê; nunca encaminha tráfego ou altera seus ajustes.

  • O tráfego conta para o app certo. Um app que envia por um proxy local recebe a contagem de seu próprio tráfego, e o núcleo de proxy ou túnel VPN que o encaminha é marcado como “Transporta tráfego de outros apps” em vez de ser contado duas vezes.
  • Qual rota cada app usou. Com uma API compatível com Clash (Clash Verge, ClashX, mihomo, Mihomo Party, FlClash, clash_api do sing-box), a linha do app mostra o nó usado, como “via HK-01 · 2 diretos”, e sua dica lista cada host, nó e regra. O Kilobat lê o endereço e o segredo da API na própria configuração do app e nunca mostra o segredo.
  • Problemas em Saúde › Por onde sai o tráfego:
    • um proxy do sistema que aponta para um app que não está em execução, interrompendo todos os navegadores;
    • DNS ou IPv6 que contornam a VPN;
    • um proxy e uma VPN capturando tráfego ao mesmo tempo;
    • modo global;
    • bloqueio que não enxerga apps atrás de um proxy do sistema. Filtros do macOS nunca veem conexões a 127.0.0.1, então ative o modo TUN do proxy ou bloqueie o app nas regras do proxy.
  • Por que não conecta? adiciona uma camada de app de proxy com seu modo e a velocidade de resposta dos nós atuais, e informa quando um nó inativo é o problema.

No Terminal: kilobat proxy, kilobat proxy routes --app Telegram, kilobat proxy test e kilobat vpn. Para um núcleo que o Kilobat não encontra sozinho, passe --controller 127.0.0.1:9090 --secret …. Agentes obtêm o mesmo por get_proxy_status, test_proxy_nodes e check_vpn.

Kill switch da VPN

Com o Pro e o filtro de rede ativo, ative Kill switch da VPN em Ajustes › Rede. Se a VPN cair, o Kilobat bloqueia novas conexões até ela voltar, para que nada saia pelo Wi-Fi do café ou hotel nesse meio-tempo. A janela e o painel dizem Bloqueado: VPN inativa, o morcego da barra de menus ganha um cadeado e uma notificação oferece Permitir por 5 minutos.

  • Ele é armado quando a VPN está ativa. O kill switch espera até a VPN transportar todo o tráfego uma vez desde a inicialização do Mac, para que ativá-lo sem VPN nunca corte sua conexão. A partir daí até reiniciar, bloqueia sempre que a VPN estiver inativa, em todas as redes, pois o momento de entrar em outra rede é quando apps poderiam vazar. Uma VPN dividida que transporta apenas alguns destinos conta como inativa.
  • O que ainda se conecta: seu app de VPN, seus auxiliares e extensão de rede (WireGuard, Tailscale, Mullvad, NordVPN, Proton VPN, ExpressVPN, Surfshark, Cisco Secure Client, GlobalProtect, OpenVPN Connect, Tunnelblick e outros, além de qualquer app de VPN configurado no macOS), serviços de rede da Apple (DNS, DHCP, verificações de certificado, janela de login da rede, VPNs integradas), Kilobat e rede local, a menos que você a desative. Todo o resto aguarda, independentemente de regras ou perfil, inclusive Sem restrições.
  • A saída. Permitir por 5 minutos no aviso, na notificação ou no menu de clique direito da barra de menus permite tudo, para uma página de login ou verificação rápida, e volta a bloquear se a VPN continuar inativa. Desativar fica ao lado e em Ajustes.

O que ele não faz: o filtro só vê novas conexões, então as já abertas quando a VPN caiu continuam, embora a maioria morra junto com o túnel usado. Consultas DNS ainda saem para que a VPN encontre seu servidor. Se o Kilobat encerrar, o filtro mantém o último estado recebido e ainda bloqueia quando a interface do túnel VPN desaparece; abra o Kilobat para permitir tráfego ou desativá-lo. No Terminal: kilobat settings kill-switch on, e kilobat vpn ou kilobat conditions mostram o estado; agentes o leem em check_vpn e get_conditions, e set_kill_switch pergunta antes.

Teste de vazamento da VPN

Com a VPN ativa, clique em Verificar vazamentos em Saúde › Por onde sai o tráfego ou em Ajustes › Rede. Em cerca de dez segundos, o Kilobat verifica três formas de tráfego contornar uma VPN e informa aprovação ou falha em cada uma, com o ajuste que corrige, usando o nome do app de VPN quando conhecido (Mullvad, NordVPN, Proton VPN, ExpressVPN, Tailscale, WireGuard; para Cisco, GlobalProtect e outras VPNs corporativas, o que perguntar à TI).

  • DNS. Os resolvedores que o macOS usa para consultas comuns e a rota até cada um: um acessado por Wi-Fi ou Ethernet em vez do túnel vaza cada nome consultado. O Kilobat também consulta alguns nomes inventados por bash.ws, que informa os resolvedores que perguntaram; um que não seja da VPN nem um serviço DNS público como Cloudflare ou Google provavelmente é da operadora.
  • IPv6. Uma VPN que transporta apenas IPv4 enquanto o Mac tem rota IPv6 pelo Wi-Fi envia seu endereço real a sites IPv6. O Kilobat consulta api6.ipify.org para mostrar seu endereço IPv6 como eles o veem e indica o ajuste da VPN ou como desativar IPv6 na rede (Ajustes do Sistema › Rede › Wi-Fi › Detalhes › TCP/IP › Configurar IPv6 › Apenas link local).
  • UDP e WebRTC. O WebRTC de um navegador envia UDP por cada interface de rede. O Kilobat envia uma solicitação STUN (servidor do Google ou Cloudflare) pela VPN e outra diretamente pelo Wi-Fi ou Ethernet: se a segunda receber resposta, ou a primeira voltar de endereço diferente da saída da VPN, uma página pode descobrir seu endereço real. A correção é o kill switch ou a opção de bloqueio da VPN. O Kilobat não pode executar o WebRTC de um navegador, então também informa como impedir que navegadores compartilhem endereços locais: Safari os oculta; Firefox com media.peerconnection.enabled desativado; política de tratamento de IP WebRTC do Brave; Chrome com a extensão WebRTC Network Limiter do Google.

O teste de vazamento é grátis. Ele não altera nada, e os serviços consultados veem seu endereço como qualquer site. Um resultado sem vazamentos cobre este Mac naquele momento, não todos os apps. No Terminal: kilobat vpn leaks (retorna 1 quando há vazamento, --json para scripts); agentes usam check_vpn_leaks.