Почему при работе AmneziaVPN игнорируются правила Windows Firewall и как это исправить?

Question

[Drovosek01]

Есть Windows 11 Pro 25H2 и в стандартном Windows Firewall есть ряд правил.
Одно из них - блокировка исходящего трафика по определенным IP-адресам (скриптом определил IP-адреса сайтов, доступ к которым необходимо заблокировать).

Если я включаю AmneziaVPN (с бесплатным конфигом WARP), то запрещающие правила из Windows Firewall не действуют и трафик уходит на сайты, чьи IP-адреса заблокированы правилом в виндовом фаерволе.



Почему так происходит?
Можно ли решить проблему без занесения сайтов и IP-адресов в черный список в настройках маршрутизации AmneziaVPN и/или без установки стороннего фаервола?

P.S.
Разумеется, пробовал спрашивать у нейронок но они выдают что-то странное, типа в свойствах правила в файеровле открыть вкладку "Интерфейс" и выбрать виртуальный адаптер AmneziaVPN

Comments

[Zerg89]

На одном домене может быть несколько ip адресов
Наилучший вариант настраивать по домену, но так как виндовый брандмауер вроде так не умеет, лучше будет настаивать в клиенте/сервере котрорый под это сделан(3x-ui как пример)

Еще как вариант жестко привязать домены к ip( через dns static или hosts файл) но тут тоже не все так просто если поддомены не входят в список то определяются через внешний днс сервер
Ps особенно весело когда 80%сайта запрашивается с cloudflare и т.п.

Answer 1

[Пума Тайланд]

Тут стоит проверить, а не считать доказанным: сравни IP из скрипта с тем что реально резолвится при включённом VPN. CDN часто отдают разные адреса, у WARP-конфига DNS свой, так что если IP другой, вот и весь "обход". Скрин показывает что скоуп правила и так все интерфейсы и профили, дело не в этом.

Альтернатива блеклисту в Amnezia: Dynamic Keyword Address в винде 11 (New-NetFirewallDynamicKeywordAddress по FQDN + правило -RemoteDynamicKeywordAddresses), фаервол сам тянет IP под домен. Нужен Defender AV, Network Protection в block/audit, выключенный DoH. Microsoft пишет что с некоторыми VPN может не ловить DNS, так что проверь на живую.

Answer 2

[Юрий MikroTik]

Брандмауэр не надежная штука, попробуй TinyWall.