NordVPN na Linuxu blokuje LAN: seznam povolených a DNS

Všechno vypadá normálně, dokud se nepokusíte dostat k něčemu na vlastním stole. Tunel je nahoře, stránky se načítají a síťový disk přestane odpovídat. Odpojte se a disk je zpátky dřív, než dokončíte větu, což vám řekne víc než jakýkoli log: klient záměrně odmítá provoz, který nevstupuje do tunelu, a vaše místní síť je na špatné straně té hranice.

Přepínač odpojení dělá svou práci

Přepínač odpojení existuje proto, aby zabránil úniku provozu, když je tunel nedostupný. Privátní rozsahy adres se počítají jako provoz, který nevstupuje do tunelu, takže je striktní implementace blokuje spolu se vším ostatním. To není chyba ve smyslu, který lidé mají na mysli, když podávají hlášení.

Nejprve si přečtěte vlastní pohled klienta. Jeden příkaz vypíše aktuální nastavení a druhý ukáže objekty firewallu, které klient vytvořil. Hledáte zahazování nebo odmítnutí, které se objeví před jakoukoli výjimkou pro tunel, protože právě toto pořadí činí místní síť nedostupnou.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Potom proveďte jeden test, který problém rozdělí na polovinu. Dostaňte se k zařízení podle adresy a potom podle jména. Adresa funguje a jméno selže — firewall je nevinný a překladač názvů ne. Selže obojí — firewall odmítá paket a zbytek tohoto článku platí.

Seznam povolených: vyberte typ záznamu podle příznaku

Klient nabízí seznam povolených se třemi typy záznamů a výběr správného typu je většina práce. Podsíť pokrývá hostitele. Port pokrývá jednu službu bez ohledu na cíl. Multicastová skupina pokrývá provoz zjišťování, což je jiný tvar provozu než cokoli adresovaného jednomu hostiteli.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Selhání zjišťování lidi zaskočí, protože tiskárna nebo mediální server může být nalezen dotazem adresovaným skupině místo hledáním vlastní adresy. Přidání podsítě hostitele tuto skupinu automaticky nepokryje, takže zařízení zůstává neviditelné, i když se jeho webová stránka při zadání adresy načte bez problémů.

Udržujte výjimku tak úzkou, jak příznak dovolí. Široký prefix zadaný jednou se na roky zapomene a nikdo později nevysvětlí, kterým strojům měl dovolit přístup. Mažte záznamy, když projekt, který je potřeboval, skončí, a po aktualizaci zkontrolujte, co zůstalo.

Nedávné buildy také nabízejí jediné nastavení zjišťování v LAN. Je pohodlné a sráží se se seznamem povolených, místo aby se na něj vrstvilo: zapnutí může vymazat existující záznamy privátních podsítí a ruční pravidlo pro privátní podsíť může být odmítnuto, dokud zůstává zapnuté.

Jména hostitelů potřebují samostatné rozhodnutí

Povolení podsítě obnoví konektivitu podle adresy a jmenování nechá nedotčené. Místní jména hostitelů se stále posílají překladači, který klient nastavil při vzestupu tunelu, takže jméno, které se dřív přeložilo, teď nevrací nic.

Nasměrování klienta na překladač routeru to opraví jedním krokem a tiše změní to, co jste koupili. Každé hledání, nejen místní, pak odchází přes router, takže tunel už nechrání tu část vašeho prohlížení, která prozrazuje záměry.

Užší cesta zachová překladač tunelu a přidá několik důležitých jmen, buď jako vyhledávací doménu, nebo jako jednotlivé záznamy. Stojí to víc pozornosti a zachovává vlastnost, za kterou jste zaplatili.

Výsledek ověřte voláním systémového překladače, ne prohlížečem. Prohlížeče stále častěji běží vlastní šifrované překládání a ochotně odpovídají cestou, kterou vaše konzole nikdy nepoužívá, takže adresní řádek může vypadat zdravě, zatímco systémový překladač je stále rozbitý.

Problém s instalací, který přichází první

Podstatná část těchto hlášení se k firewallu nikdy nedostane, protože příkaz prostě není. Zaváděcí balíček dodavatele zaregistruje repozitář a podepisovací klíč. Neinstaluje klienta, takže chybějící příkaz hned potom je očekávaný výsledek, ne selhání.

Obnovte seznamy balíčků a nainstalujte podle jména. Pokud si správce balíčků stěžuje na chybějící veřejný klíč, klíč nedorazil tam, kde ho hledá, a oprava je umístit ho tam před dalším obnovením.

Pokud se jméno hostitele repozitáře přeloží na privátní adresu, zastavte se a přečtěte si ten výsledek dvakrát. Možná už provozujete tunel, jehož překladač odpovídá za veřejná jména, a opakování instalace bude donekonečna dávat stejnou zprávu.

Zapište to, než zavřete víko

Ujistěte se, že se změnil jen tunel, a potom povolte nejmenší věc, která příznak obnoví. Držte jmenování jako samostatné rozhodnutí s vlastní poznámkou.

Zaznamenejte, která výjimka existuje pro které zařízení a kdo o ni požádal. Místní síť, která funguje jen proto, že někdo zadal široký prefix, je rozhodnutí, které už přežilo svůj důvod.

Po aktualizaci klienta otestujte znovu. Rozložení firewallu se mezi vydáními mění a seznam povolených z minulého měsíce není faktem o tomto měsíci.