NordVPN a Linux bloqueja la LAN: llista d’excepcions i DNS

Tot sembla normal fins que intentes arribar a alguna cosa sobre la teva taula. El túnel està actiu, les pàgines carreguen i la unitat de xarxa esgota el temps d’espera. Desconnecta i la unitat torna abans que acabis la frase, cosa que et diu més que qualsevol registre: el client rebutja deliberadament el trànsit que no entra al túnel, i la teva xarxa local és al costat equivocat d’aquesta línia.

L’interruptor d’aturada fa la seva feina

Un interruptor d’aturada existeix per impedir que el trànsit s’escapi quan el túnel no està disponible. Els rangs d’adreces privades compten com a trànsit que no entra al túnel, així que una implementació estricta els bloqueja juntament amb tota la resta. Això no és un error en el sentit que la gent vol dir quan presenta l’informe.

Llegeix primer la visió del mateix client. Una ordre imprimeix la configuració actual i una segona mostra els objectes de tallafocs que el client ha creat. Busques un descart o un rebuig que aparegui abans de qualsevol excepció del túnel, perquè és aquest ordre el que fa inaccessible la xarxa local.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Després fes una prova que parteixi el problema en dos. Arriba al dispositiu per adreça i després pel nom. L’adreça funciona i el nom falla vol dir que el tallafocs és innocent i el resolutor no. Si fallen tots dos, el tallafocs està rebutjant el paquet i la resta d’aquest article s’aplica.

Llista d’excepcions: tria el tipus d’entrada segons el símptoma

El client ofereix una llista d’excepcions amb tres tipus d’entrada, i triar el tipus correcte és la major part de la feina. Una subxarxa cobreix amfitrions. Un port cobreix un servei independentment de la destinació. Un grup de multidifusió cobreix el trànsit de descoberta, que és una forma de trànsit diferent de qualsevol cosa adreçada a un sol amfitrió.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Els fallos de descoberta sorprenen la gent perquè una impressora o un servidor multimèdia es pot trobar amb una consulta adreçada al grup en lloc d’una cerca de la seva pròpia adreça. Afegir la subxarxa de l’amfitrió no cobreix automàticament aquest grup, així que el dispositiu continua invisible mentre la seva pàgina web carrega bé quan escrius l’adreça.

Mantingues l’excepció tan estreta com el símptoma permeti. Un prefix ampli escrit una vegada s’oblida durant anys i ningú no pot explicar després quines màquines havia d’admetre. Esborra les entrades quan acabi el projecte que les necessitava i comprova què queda després d’una actualització.

Les compilacions recents també exposen un únic paràmetre de descoberta de LAN. És convenient i interactua amb la llista d’excepcions en lloc d’apilar-s’hi a sobre: activar-lo pot esborrar entrades existents de subxarxes privades, i una regla manual de subxarxa privada es pot rebutjar mentre continuï activat.

Els noms d’amfitrió necessiten una decisió a part

Permetre una subxarxa restaura la connectivitat per adreça i deixa el nom intacte. Els noms d’amfitrió locals encara s’envien al resolutor que el client va configurar quan es va aixecar el túnel, així que un nom que abans es resolia ara no retorna res.

Apuntar el client al resolutor del router ho arregla en un pas i canvia en silenci allò que vas comprar. Llavors cada consulta, no només les locals, surt pel router, així que el túnel ja no protegeix la part de la teva navegació que revela intencions.

La ruta més estreta conserva el resolutor del túnel i afegeix els pocs noms que importen, ja sigui com a domini de cerca o com a entrades individuals. Costa més atenció i preserva la propietat per la qual vas pagar.

Comprova el resultat amb una crida al resolutor del sistema en lloc d’un navegador. Els navegadors cada cop fan la seva pròpia resolució xifrada i responen de bon grat per un camí que la teva consola no fa servir mai, així que la barra d’adreces pot semblar sana mentre el resolutor del sistema encara és trencat.

El problema d’instal·lació que arriba primer

Una bona part d’aquests informes no arriben mai al tallafocs, perquè l’ordre no hi és. El paquet d’arrencada del proveïdor registra un repositori i una clau de signatura. No instal·la el client, així que una ordre absent just després és el resultat esperat i no un fracàs.

Actualitza les llistes de paquets i instal·la pel nom. Si el gestor de paquets es queixa d’una clau pública absent, la clau no ha arribat on la busca, i la solució és posar-la-hi abans de tornar a actualitzar.

Si el nom d’amfitrió del repositori es resol a una adreça privada, atura’t i llegeix aquest resultat dues vegades. Potser ja estàs executant un túnel el resolutor del qual respon per noms públics, i reintentar la instal·lació produirà el mateix missatge indefinidament.

Escriu-ho abans de tancar la tapa

Estableix que el túnel és l’única cosa que ha canviat i després permet la cosa més petita que restaura el símptoma. Mantingues l’anomenament com una decisió pròpia amb la seva pròpia nota.

Anota quina excepció existeix per a quin dispositiu i qui la va demanar. Una xarxa local que només funciona perquè algú va escriure un prefix ampli és una decisió que ja ha sobreviscut a la raó que la va motivar.

Torna a provar-ho després que el client s’actualitzi. La disposició del tallafocs canvia entre versions, i la llista d’excepcions del mes passat no és un fet sobre aquest mes.