NordVPN под Linux блокира LAN: списък с разрешения и DNS

Всичко изглежда нормално, докато не опитате да стигнете до нещо на собственото си бюро. Тунелът е вдигнат, страниците се зареждат, а мрежовият диск изтича. Прекъснете връзката и дискът се връща, преди да довършите изречението, което ви казва повече от всеки журнал: клиентът умишлено отказва трафик, който не влиза в тунела, а локалната ви мрежа е от грешната страна на тази граница.

Прекъсвачът си върши работата

Прекъсвачът съществува, за да не избяга трафик, когато тунелът е недостъпен. Частните диапазони от адреси се броят за трафик, който не влиза в тунела, затова строгата реализация ги блокира заедно с всичко останало. Това не е дефект в смисъла, който хората влагат, когато подават доклада.

Прочетете първо гледната точка на самия клиент. Една команда отпечатва текущите настройки, а втора показва обектите на защитната стена, които клиентът е създал. Търсите отхвърляне или отказ, което се появява преди всяко изключение за тунела, защото точно тази подредба прави локалната мрежа недостъпна.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

След това направете един тест, който разделя проблема наполовина. Стигнете до устройството по адрес и после по име. Адресът работи, а името се проваля — значи защитната стена е невинна, а преобразувателят на имена не е. И двете се провалят — значи защитната стена отказва пакета и останалата част от тази статия важи.

Списък с разрешения: изберете типа запис според симптома

Клиентът предлага списък с разрешения с три вида записи и изборът на правилния вид е по-голямата част от работата. Подмрежата покрива хостове. Портът покрива една услуга независимо от дестинацията. Групата за многоадресно предаване покрива трафик за откриване, а това е различна форма на трафик от всичко, адресирано до един хост.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Провалите при откриване изненадват хората, защото принтер или медиен сървър може да бъде намерен чрез заявка към група, а не чрез търсене на собствения му адрес. Добавянето на подмрежата на хоста не покрива автоматично тази група, затова устройството остава невидимо, докато уеб страницата му се зарежда добре, когато въведете адреса.

Дръжте изключението толкова тясно, колкото позволява симптомът. Широк префикс, въведен веднъж, се забравя за години и никой по-късно не може да обясни кои машини е трябвало да допусне. Изтривайте записите, когато проектът, който ги е изисквал, приключи, и проверявайте какво остава след актуализация.

Последните версии също показват една настройка за откриване в LAN. Тя е удобна и взаимодейства със списъка с разрешения, вместо да се натрупва върху него: включването ѝ може да изчисти съществуващи записи за частни подмрежи, а ръчно правило за частна подмрежа може да бъде отказано, докато тя остава включена.

Имената на хостовете изискват отделно решение

Разрешаването на подмрежа възстановява свързаността по адрес и не пипа именуването. Локалните имена на хостове все още се изпращат до преобразувателя, който клиентът е настроил при вдигането на тунела, затова име, което преди се е преобразувало, сега не връща нищо.

Насочването на клиента към преобразувателя на рутера оправя това с една стъпка и тихо променя това, което сте купили. Тогава всяко търсене, не само локалното, излиза през рутера, така че тунелът вече не защитава частта от сърфирането ви, която издава намерения.

По-тесният път запазва тунелния преобразувател и добавя няколкото важни имена — като домейн за търсене или като отделни записи. Струва повече внимание и запазва свойството, за което сте платили.

Проверете резултата с извикване на системния преобразувател, а не с браузър. Браузърите все по-често пускат собствено шифровано преобразуване и с удоволствие отговарят по път, който вашата обвивка никога не използва, затова адресната лента може да изглежда здрава, докато системният преобразувател е все още счупен.

Проблемът с инсталирането, който идва пръв

Значителна част от тези доклади никога не стигат до защитната стена, защото командата просто я няма. Началният пакет на доставчика регистрира хранилище и ключ за подпис. Той не инсталира клиента, затова липсващата команда веднага след това е очакваният резултат, а не провал.

Обновете списъците с пакети и инсталирайте по име. Ако мениджърът на пакети се оплаква от липсващ публичен ключ, ключът не е попаднал там, където го търси, и поправката е да го поставите там, преди да обновите отново.

Ако името на хранилището се преобразува до частен адрес, спрете и прочетете този резултат два пъти. Възможно е вече да въртите тунел, чийто преобразувател отговаря за публични имена, и повторението на инсталацията ще дава същото съобщение безкрайно.

Запишете го, преди да затворите капака

Установете, че тунелът е единственото, което се е променило, и после разрешете най-малкото, което възстановява симптома. Дръжте именуването като отделно решение с отделна бележка.

Отбележете кое изключение съществува за кое устройство и кой го поиска. Локална мрежа, която работи само защото някой е въвел широк префикс, е решение, което вече е надживяло причината си.

Тествайте отново след актуализация на клиента. Подредбата на защитната стена се променя между версиите и списъкът с разрешения от миналия месец не е факт за този месец.