NordVPN на Linux блакуе лакальную сетку: спіс дазволаў і DNS

Усё выглядае нармальна, пакуль вы не паспрабуеце дабрацца да чагосьці на ўласным стале. Тунель падняты, старонкі грузяцца, а сеткавы дыск спыняе адказ па часе чакання. Адключыцеся, і дыск вернецца перш, чым вы скончыце сказ, і гэта скажа вам больш за любы журнал: кліент наўмысна адхіляе трафік, які не ўваходзіць у тунель, а ваша лакальная сетка знаходзіцца па няправільны бок гэтай мяжы.

Сеткавы выключальнік робіць сваю справу

Сеткавы выключальнік існуе, каб не даць трафіку ўцячы, калі тунель недаступны. Прыватныя дыяпазоны адрасоў лічацца трафікам, які не ўваходзіць у тунель, таму строгая рэалізацыя блакуе іх разам з усім астатнім. Гэта не дэфект у тым сэнсе, які маюць на ўвазе людзі, калі падаюць справаздачу.

Спачатку прачытайце ўласны погляд кліента. Адна каманда выводзіць бягучыя налады, другая паказвае аб'екты міжсеткавага экрана, якія стварыў кліент. Вы шукаеце скід або адмову, якія з'яўляюцца раней за любое выключэнне тунеля, бо менавіта гэты парадак робіць лакальную сетку недаступнай.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Затым праведзіце адзін тэст, які дзеліць праблему напалову. Дабярыцеся да прылады па адрасе, а потым па імені. Адрас працуе, а імя не — значыць, міжсеткавы экран невінаваты, а развязальнік імёнаў не. Калі не працуе ні тое, ні другое, міжсеткавы экран адхіляе пакет, і ўсё астатняе ў гэтым артыкуле датычыцца вас.

Спіс дазволаў: выбірайце тып запісу па сімптоме

Кліент прапануе спіс дазволаў з трыма тыпамі запісаў, і выбар правільнага тыпу — гэта большая частка працы. Падсетка ахоплівае хасты. Порт ахоплівае адну паслугу незалежна ад прызначэння. Група множнага вяшчання ахоплівае трафік выяўлення, а гэта іншая форма трафіку, чым усё, што адрасавана аднаму хасту.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Збоі выяўлення застаюць людзей знянацку, бо прынтар або медыясервер можа быць знойдзены запытам да групы, а не пошукам уласнага адраса. Даданне падсеткі хаста не ахоплівае гэтую групу аўтаматычна, таму прылада застаецца нябачнай, хаця яе вэб-старонка добра грузіцца, калі вы ўводзіце адрас.

Трымайце выключэнне настолькі вузкім, наколькі дазваляе сімптом. Шырокі прэфікс, уведзены адзін раз, забываецца на гады, і ніхто пазней не можа растлумачыць, якія машыны ён павінен быў дапусціць. Выдаляйце запісы, калі праект, якому яны былі патрэбны, сканчаецца, і правярайце, што засталося пасля абнаўлення.

Апошнія зборкі таксама прапануюць адзін параметр выяўлення LAN. Ён зручны і ўзаемадзейнічае са спісам дазволаў, а не накладаецца на яго: уключэнне можа выдаліць існуючыя запісы прыватных падсетак, а ручное правіла прыватнай падсеткі можа быць адхілена, пакуль ён уключаны.

Імёны хастаў патрабуюць асобнага рашэння

Дазвол падсеткі аднаўляе злучнасць па адрасе і не кранае назвы. Лакальныя імёны хастаў па-ранейшаму накіроўваюцца да таго развязальніка, які кліент наладзіў, калі тунель падняўся, таму імя, якое раней развязвалася, цяпер нічога не вяртае.

Направіць кліента на развязальнік роўтара выпраўляе гэта адным крокам і ціха змяняе тое, што вы купілі. Тады кожны пошук, не толькі лакальны, выходзіць праз роўтар, і тунель больш не абараняе тую частку вашага аглядання, якая выдае намеры.

Вузкі шлях захоўвае тунельны развязальнік і дадае некалькі важных імёнаў — як пошукавы дамен або як асобныя запісы. Гэта патрабуе больш увагі і захоўвае ўласцівасць, за якую вы заплацілі.

Праверце вынік выклікам сістэмнага развязальніка, а не браўзерам. Браўзеры ўсё часцей запускаюць уласнае шыфраванае развязанне і ахвотна адказваюць з шляху, які ваша абалонка ніколі не выкарыстоўвае, таму адрасны радок можа выглядаць здаровым, пакуль сістэмны развязальнік усё яшчэ зламаны.

Праблема ўсталявання, якая ідзе першай

Значная частка гэтых справаздач ніколі не даходзіць да міжсеткавага экрана, бо каманды проста няма. Пачатковы пакет пастаўшчыка рэгіструе рэпазіторый і ключ подпісу. Ён не ўсталёўвае кліент, таму адсутнасць каманды адразу пасля гэтага — чаканы вынік, а не збой.

Абнавіце спісы пакетаў і ўсталюйце па імені. Калі менеджэр пакетаў скардзіцца на адсутны публічны ключ, ключ не трапіў туды, дзе яго шукаюць, і выпраўленне — пакласці яго туды перад паўторным абнаўленнем.

Калі імя хаста рэпазіторыя развязваецца ў прыватны адрас, спыніцеся і прачытайце гэты вынік двойчы. Магчыма, вы ўжо запускаеце тунель, чый развязальнік адказвае за публічныя імёны, і паўторная спроба ўсталявання будзе даваць тое ж паведамленне бясконца.

Запішыце гэта, перш чым зачыніць вечка

Упэўніцеся, што змяніўся толькі тунель, затым дазвольце найменшае, што аднаўляе сімптом. Трымайце назвы асобным рашэннем з асобнай нататкай.

Запішыце, якое выключэнне існуе для якой прылады і хто яго папрасіў. Лакальная сетка, якая працуе толькі таму, што нехта ўвёў шырокі прэфікс, — гэта рашэнне, якое ўжо перажыло сваю прычыну.

Праверце яшчэ раз пасля абнаўлення кліента. Разметка міжсеткавага экрана змяняецца паміж выпускамі, і спіс дазволаў мінулага месяца не з'яўляецца фактам пра гэты месяц.