Linux의 NordVPN이 LAN을 차단할 때: 허용 목록과 DNS

자신의 책상 위에 있는 무언가에 접근하려고 할 때까지는 모든 것이 정상으로 보입니다. 터널은 올라가 있고 페이지는 로드되지만 네트워크 드라이브는 시간 초과가 납니다. 연결을 끊으면 문장을 끝내기 전에 드라이브가 돌아오며, 이는 어떤 로그보다 많은 것을 알려줍니다. 클라이언트가 터널로 들어가지 않는 트래픽을 의도적으로 거부하고 있고, 로컬 네트워크가 그 경계의 잘못된 쪽에 있다는 뜻입니다.

킬 스위치는 제 일을 하고 있습니다

킬 스위치는 터널을 사용할 수 없을 때 트래픽이 빠져나가지 않도록 하기 위해 존재합니다. 사설 주소 범위는 터널로 들어가지 않는 트래픽으로 간주되므로, 엄격한 구현은 그것을 다른 모든 것과 함께 차단합니다. 사람들이 보고서를 제출할 때 말하는 의미의 버그는 아닙니다.

먼저 클라이언트 자체의 관점을 읽으십시오. 한 명령은 현재 설정을 출력하고, 두 번째는 클라이언트가 만든 방화벽 객체를 보여 줍니다. 여러분은 터널 예외보다 먼저 나타나는 드롭이나 리젝트를 찾고 있는데, 바로 그 순서가 로컬 네트워크를 도달할 수 없게 만들기 때문입니다.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

그다음 문제를 둘로 나누는 테스트를 하나 실행하십시오. 주소로 장치에 접근하고, 다음으로 이름으로 접근하십시오. 주소는 되고 이름이 실패하면 방화벽은 무죄이고 리졸버가 문제입니다. 둘 다 실패하면 방화벽이 패킷을 거부하는 것이며, 이 글의 나머지가 적용됩니다.

허용 목록: 증상에 따라 항목 유형을 고르십시오

클라이언트는 세 가지 유형의 항목이 있는 허용 목록을 제공하며, 올바른 유형을 고르는 것이 작업의 대부분입니다. 서브넷은 호스트를 포함합니다. 포트는 목적지와 무관하게 서비스 하나를 포함합니다. 멀티캐스트 그룹은 검색 트래픽을 포함하며, 이는 단일 호스트로 향하는 어떤 것과도 다른 형태의 트래픽입니다.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

검색 실패가 사람들을 놀라게 하는 이유는 프린터나 미디어 서버가 자기 주소를 찾는 대신 그룹으로 향한 질의로 발견될 수 있기 때문입니다. 호스트의 서브넷을 추가해도 그 그룹이 자동으로 포함되지는 않으므로, 주소를 입력하면 웹 페이지는 잘 로드되는데 장치는 보이지 않는 상태로 남습니다.

예외는 증상이 허락하는 만큼 좁게 유지하십시오. 한 번 입력한 넓은 프리픽스는 몇 년씩 잊히고, 나중에 어느 머신을 들여보내려던 것인지 아무도 설명할 수 없습니다. 그 항목이 필요했던 프로젝트가 끝나면 항목을 삭제하고, 업데이트 후에 무엇이 남는지 확인하십시오.

최근 빌드는 LAN 검색 설정 하나도 제공합니다. 편리하며, 허용 목록 위에 쌓이는 대신 그것과 상호작용합니다: 켜면 기존 사설 서브넷 항목이 지워질 수 있고, 켜져 있는 동안 수동 사설 서브넷 규칙이 거부될 수 있습니다.

호스트 이름은 별도의 결정이 필요합니다

서브넷을 허용하면 주소로 연결이 복원되고 이름은 그대로 남습니다. 로컬 호스트 이름은 터널이 올라갈 때 클라이언트가 구성한 리졸버로 계속 전송되므로, 예전에 확인되던 이름이 이제는 아무것도 반환하지 않습니다.

클라이언트를 라우터의 리졸버로 돌리면 한 단계로 고쳐지고, 여러분이 산 것이 조용히 바뀝니다. 그러면 로컬뿐 아니라 모든 조회가 라우터를 통해 나가므로, 터널은 의도를 드러내는 브라우징 부분을 더 이상 보호하지 않습니다.

더 좁은 길은 터널 리졸버를 유지하고 중요한 몇 개의 이름을 검색 도메인이나 개별 항목으로 추가합니다. 더 많은 주의가 필요하지만 여러분이 돈을 낸 속성을 지켜 줍니다.

결과는 브라우저가 아니라 시스템 리졸버 호출로 확인하십시오. 브라우저는 점점 자체 암호화 확인을 실행하며 여러분의 셸이 절대 쓰지 않는 경로에서 기꺼이 응답하므로, 주소 표시줄은 건강해 보이는데 시스템 리졸버는 여전히 고장일 수 있습니다.

먼저 오는 설치 문제

이 보고서의 상당 부분은 명령이 아예 없기 때문에 방화벽에 도달하지 못합니다. 공급업체의 부트스트랩 패키지는 저장소와 서명 키를 등록합니다. 클라이언트는 설치하지 않으므로, 그 직후 명령이 없는 것은 실패가 아니라 예상된 결과입니다.

패키지 목록을 새로 고치고 이름으로 설치하십시오. 패키지 관리자가 공개 키가 없다고 항의하면, 키가 그것이 찾는 곳에 도착하지 않은 것이며, 고치는 방법은 다시 새로 고치기 전에 그곳에 키를 두는 것입니다.

저장소의 호스트 이름이 사설 주소로 확인되면 멈추고 그 결과를 두 번 읽으십시오. 이미 리졸버가 공개 이름에 응답하는 터널을 실행 중일 수 있으며, 설치를 다시 시도하면 같은 메시지가 끝없이 나옵니다.

덮개를 닫기 전에 적어 두십시오

터널만 바뀌었다는 것을 확인한 다음, 증상을 되돌리는 가장 작은 것만 허용하십시오. 이름은 자체 메모가 있는 별도 결정으로 유지하십시오.

어떤 예외가 어떤 장치를 위한 것이고 누가 요청했는지 기록하십시오. 누군가 넓은 프리픽스를 입력했기 때문에만 동작하는 로컬 네트워크는 이미 그 이유보다 오래 살아남은 결정입니다.

클라이언트가 업데이트된 후 다시 테스트하십시오. 방화벽 배치는 릴리스마다 바뀌며, 지난달의 허용 목록은 이번 달에 대한 사실이 아닙니다.