NordVPN בלינוקס חוסם את ה-LAN: רשימת היתרים ו-DNS

הכול נראה רגיל עד שאתם מנסים להגיע למשהו על השולחן שלכם. המנהרה פעילה, הדפים נטענים, וכונן הרשת מפסיק להגיב. התנתקו והכונן חוזר לפני שתסיימו את המשפט, וזה אומר לכם יותר מכל יומן: הלקוח מסרב בכוונה לתעבורה שאינה נכנסת למנהרה, והרשת המקומית שלכם נמצאת בצד הלא נכון של הקו הזה.

מתג הרג עושה את עבודתו

מתג הרג קיים כדי למנוע מתעבורה להימלט כשהמנהרה אינה זמינה. טווחי כתובות פרטיים נחשבים לתעבורה שאינה נכנסת למנהרה, ולכן מימוש קפדני חוסם אותם יחד עם כל השאר. זו אינה תקלה במובן שאנשים מתכוונים אליו כשהם מגישים את הדוח.

קודם כל קראו את נקודת המבט של הלקוח עצמו. פקודה אחת מדפיסה את ההגדרות הנוכחיות, והשנייה מציגה את אובייקטי חומת האש שהלקוח יצר. אתם מחפשים drop או reject שמופיע לפני כל חריגת מנהרה, כי הסדר הזה הוא שהופך את הרשת המקומית לבלתי נגישה.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

אחר כך הריצו בדיקה אחת שמפצלת את הבעיה לשניים. הגיעו להתקן לפי כתובת, ואחר כך לפי שם. כתובת עובדת ושם נכשל פירושו שחומת האש חפה מפשע והפותר לא. שניהם נכשלים פירושו שחומת האש דוחה את החבילה, ושאר המאמר חל.

רשימת היתרים: בחרו את סוג הרשומה לפי התסמין

הלקוח מציע רשימת היתרים עם שלושה סוגי רשומות, ובחירת הסוג הנכון היא רוב העבודה. תת-רשת מכסה מארחים. יציאה מכסה שירות אחד ללא תלות ביעד. קבוצת multicast מכסה תעבורת גילוי, וזו צורה אחרת של תעבורה מכל דבר שממוען למארח בודד.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

כשלי גילוי מפתיעים אנשים כי מדפסת או שרת מדיה עשויים להימצא באמצעות שאילתה הממוענת לקבוצה ולא באמצעות חיפוש של הכתובת של עצמם. הוספת תת-הרשת של המארח אינה מכסה את הקבוצה הזו אוטומטית, ולכן ההתקן נשאר בלתי נראה בעוד דף האינטרנט שלו נטען היטב כשאתם מקלידים את הכתובת.

השאירו את החריגה צרה ככל שהתסמין מאפשר. קידומת רחבה שהוקלדה פעם אחת נשכחת לשנים, ואיש לא יכול להסביר אחר כך אילו מכונות היא נועדה להכניס. מחקו רשומות כשהפרויקט שהיה זקוק להן מסתיים, ובדקו מה נשאר אחרי עדכון.

גרסאות אחרונות חושפות גם הגדרה אחת לגילוי LAN. היא נוחה, והיא מתקשרת עם רשימת ההיתרים במקום להתווסף עליה: הפעלתה יכולה למחוק רשומות קיימות של תת-רשת פרטית, וכלל ידני של תת-רשת פרטית עשוי להידחות כל עוד היא מופעלת.

שמות מארחים דורשים החלטה נפרדת

התרת תת-רשת משחזרת קישוריות לפי כתובת ומשאירה את השמות ללא שינוי. שמות מארחים מקומיים עדיין נשלחים לפותר שהלקוח הגדיר כשהמנהרה עלתה, ולכן שם שבעבר נפתר אינו מחזיר דבר כעת.

הפניית הלקוח לפותר של הנתב מתקנת זאת בצעד אחד ומשנה בשקט את מה שקניתם. אז כל חיפוש, לא רק מקומי, יוצא דרך הנתב, ולכן המנהרה כבר אינה מגנה על החלק בגלישה שלכם שמסגיר כוונות.

המסלול הצר יותר שומר על פותר המנהרה ומוסיף את השמות המעטים שחשובים, ככתב גלישה או כרשומות בודדות. הוא עולה יותר תשומת לב ומשמר את התכונה שעבורה שילמתם.

בדקו את התוצאה בקריאה לפותר המערכת ולא בדפדפן. דפדפנים מריצים יותר ויותר פתרון מוצפן משלהם ועונים בשמחה ממסלול שהמעטפת שלכם אף פעם לא משתמשת בו, ולכן שורת הכתובת יכולה להיראות בריאה בעוד פותר המערכת עדיין שבור.

בעיית ההתקנה שמגיעה ראשונה

חלק נכבד מהדוחות האלה לא מגיעים לעולם לחומת האש, כי הפקודה פשוט אינה שם. חבילת האתחול של הספק רושמת מאגר ומפתח חתימה. היא אינה מתקינה את הלקוח, ולכן פקודה חסרה מיד לאחר מכן היא התוצאה הצפויה ולא כשל.

רעננו את רשימות החבילות והתקינו לפי שם. אם מנהל החבילות מתלונן על מפתח ציבורי חסר, המפתח לא נחת במקום שבו הוא מחפש אותו, והתיקון הוא להציב אותו שם לפני רענון נוסף.

אם שם המארח של המאגר נפתר לכתובת פרטית, עצרו וקראו את התוצאה הזו פעמיים. ייתכן שאתם כבר מריצים מנהרה שהפותר שלה עונה עבור שמות ציבוריים, וניסיון התקנה חוזר יפיק את אותה הודעה בלי סוף.

רשמו את זה לפני שתסגרו את המכסה

ודאו שהמנהרה היא הדבר היחיד שהשתנה, ואז התירו את הדבר הקטן ביותר שמשחזר את התסמין. השאירו את השמות כהחלטה משל עצמה עם הערה משל עצמה.

תעדו איזו חריגה קיימת לאיזה התקן ומי ביקש אותה. רשת מקומית שעובדת רק כי מישהו הקליד קידומת רחבה היא החלטה שכבר האריכה ימים מעבר לסיבה שלה.

בדקו שוב לאחר שהלקוח מתעדכן. פריסת חומת האש משתנה בין גרסאות, ורשימת ההיתרים של החודש שעבר אינה עובדה על החודש הזה.