Linux'төгү NordVPN LAN'ды бөгөттөйт: уруксат тизмеси жана DNS

Баары кадимкидей көрүнөт, сиз өз столуңуздагы бир нерсеге жетүүгө аракет кылганга чейин. Туннель күйүп турат, барактар жүктөлөт, ал эми тармактык диск жооп берүүнү токтотот. Туташууну үзүңүз, сүйлөмдү бүтүрө электе диск кайтып келет, бул сизге кандайдыр бир журналдан көбүрөөк айтат: кардар туннелге кирбеген трафикти атайын четке кагат, ал эми жергиликтүү тармагыңыз ошол чектин туура эмес тарабында.

Өчүрүү коргоочусу өз ишин аткарып жатат

Өчүрүү коргоочусу туннель жеткиликсиз болгондо трафиктин сыртка кетишин болтурбоо үчүн бар. Жеке дарек диапазондору туннелге кирбеген трафик катары эсептелет, ошондуктан катуу ишке ашыруу аларды калгандары менен бирге бөгөттөйт. Бул адамдар отчёт бергенде айта турган маанидеги кемчилик эмес.

Алгач кардардын өз көз карашын окуңуз. Бир буйрук учурдагы жөндөөлөрдү басып чыгарат, экинчиси кардар түзгөн тармактык калкан объектилерин көрсөтөт. Сиз кандайдыр бир туннель өзгөчөлүгүнөн мурун пайда болгон drop же reject издейсиз, анткени так ушул тартип жергиликтүү тармакты жеткиликсиз кылат.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Андан кийин маселени экиге бөлгөн бир тест жүргүзүңүз. Түзмөккө дарек менен жетиңиз, анан ат менен жетиңиз. Дарек иштеп, ат ишке ашпаса, тармактык калкан күнөөсүз, ал эми чечүүчү эмес. Экөө тең ишке ашпаса, тармактык калкан пакетти четке кагууда, жана бул макаланын калган бөлүгү колдонулат.

Уруксат тизмеси: белгиге жараша жазуу түрүн тандаңыз

Кардар үч түрдүү жазуусу бар уруксат тизмесин сунуштайт, туура түрдү тандоо иштин көп бөлүгү. Ички тармак хостторду камтыйт. Порт бара турган жерге карабастан бир кызматты камтыйт. Multicast тобу аныктоо трафигин камтыйт, бул бир хостко багытталган кандайдыр бир нерседен башка формадагы трафик.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Аныктоо ийгиликсиздиктери адамдарды таң калтырат, анткени принтер же медиа сервер өз дарегин издөөнүн ордуна топко багытталган суроо аркылуу табылышы мүмкүн. Хосттун ички тармагын кошуу бул топту автоматтык түрдө камтыбайт, ошондуктан даректи тергенде веб баракчасы жакшы жүктөлгөнүнө карабастан түзмөк көрүнбөй калат.

Өзгөчөлүктү белги уруксат бергенче тар кармаңыз. Бир жолу тергизилген кең префикс жылдар бою унутулат, ал эми кийин анын кайсы машиналарды киргизүүсү керек болгонун эч ким түшүндүрө албайт. Аларды талап кылган долбоор бүткөндө жазууларды жок кылыңыз жана жаңыртуудан кийин эмне калганын текшериңиз.

Акыркы курулуштар LAN аныктоосунун бир жөндөөсүн да сунуштайт. Ал ыңгайлуу жана уруксат тизмесинин үстүнө катмарлануунун ордуна аны менен өз ара аракеттенишет: аны күйгүзүү бар жеке ички тармак жазууларын тазалашы мүмкүн, ал эми кол менен жасалган жеке ички тармак эрежеси ал күйүп турганда четке кагылышы мүмкүн.

Хост аттары өзүнчө чечим талап кылат

Ички тармакка уруксат берүү дарек боюнча байланышты калыбына келтирет жана ат коюуга тийбейт. Жергиликтүү хост аттары дагы эле туннель көтөрүлгөндө кардар конфигурациялаган чечүүчүгө жөнөтүлөт, ошондуктан мурун чечилген ат эми эч нерсе кайтарбайт.

Кардарды маршрутизатордун чечүүчүсүнө багыттоо муну бир кадамда оңдойт жана сиз сатып алган нерсени унчукпай өзгөртөт. Андан кийин ар бир издөө, жергиликтүү гана эмес, маршрутизатор аркылуу чыгат, ошондуктан туннель ниетти ачыкка чыгарган серептөө бөлүгүңүздү мындан ары коргобойт.

Тар жол туннелдин чечүүчүсүн сактап, маанилүү бир нече атты кошот, же издөө домени катары, же өзүнчө жазуулар катары. Ал көбүрөөк көңүл талап кылат жана сиз төлөгөн касиетти сактайт.

Жыйынтыкты браузер менен эмес, системанын чечүүчүсүн чакыруу менен текшериңиз. Браузерлер өздөрүнүн шифрленген чечилишин көбүрөөк иштетип, сиздин кабыгыңыз эч качан колдонбогон жолдон кубаныч менен жооп берет, ошондуктан дарек тилкеси соо көрүнүшү мүмкүн, бирок системанын чечүүчүсү дагы эле бузулган.

Биринчи келген орнотуу маселеси

Бул отчёттордун кыйла бөлүгү тармактык калканга такыр жетпейт, анткени буйрук таптакыр жок. Жеткирүүчүнүн жүктөө пакети кампа жана кол коюу ачкычын каттайт. Ал кардарды орнотпойт, ошондуктан андан кийинки буйруктун жоктугу ийгиликсиздик эмес, күтүлгөн жыйынтык.

Пакет тизмелерин жаңыртып, аты боюнча орнотуңуз. Эгер пакет менеджери жок ачык ачкычка капаланса, ачкыч ал издеген жерге түшкөн эмес, ал эми оңдоо — кайра жаңыртуудан мурун аны ошол жерге коюу.

Эгер кампанын хост аты жеке дарекке чечилсе, токтоп, бул жыйынтыкты эки жолу окуңуз. Сиз чечүүчүсү ачык аттарга жооп берген туннелди мурунтан эле иштетип жаткан болушуңуз мүмкүн, ал эми орнотууну кайталоо ошол эле билдирүүнү чексиз чыгарат.

Капкакты жаппастан мурун жазып коюңуз

Туннель гана өзгөргөнүн ырастаңыз, анан белгини калыбына келтирген эң кичине нерсеге уруксат бериңиз. Ат коюуну өз жазуусу бар өзүнчө чечим катары кармаңыз.

Кайсы өзгөчөлүк кайсы түзмөк үчүн экенин жана ким сураганын жазыңыз. Бирөө кең префиксти тергендиктен гана иштеген жергиликтүү тармак — өз себебинен мурун эле ашып кеткен чечим.

Кардар жаңыртылгандан кийин кайра текшериңиз. Тармактык калкандын түзүлүшү чыгарылыштар арасында өзгөрөт, ал эми өткөн айдын уруксат тизмеси бул ай жөнүндө факт эмес.