„NordVPN“ sistemoje „Linux“ blokuoja LAN: leidžiamųjų sąrašas ir DNS

Viskas atrodo normaliai, kol nepabandote pasiekti ko nors savo paties darbalaukyje. Tunelis veikia, puslapiai įkeliami, o tinklo diskas neatsako. Atjunkite ir diskas grįžta dar nebaigus sakinio, o tai pasako daugiau nei bet kuris žurnalas: klientas sąmoningai atmeta srautą, kuris nepatenka į tunelį, o jūsų vietinis tinklas yra neteisingoje tos linijos pusėje.

Apsauginis jungiklis daro savo darbą

Apsauginis jungiklis egzistuoja tam, kad srautas nepabėgtų, kai tunelis nepasiekiamas. Privatūs adresų diapazonai laikomi srautu, kuris nepatenka į tunelį, todėl griežta įgyvendinimo versija blokuoja juos kartu su viskuo kitu. Tai ne klaida ta prasme, kurią žmonės turi omenyje pateikdami ataskaitą.

Pirmiausia perskaitykite paties kliento požiūrį. Viena komanda išspausdina dabartinius nustatymus, o antroji parodo ugniasienės objektus, kuriuos sukūrė klientas. Jūs ieškote drop arba reject, kuris pasirodo prieš bet kokią tunelio išimtį, nes būtent ši tvarka daro vietinį tinklą nepasiekiamą.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Tada atlikite vieną testą, kuris padalija problemą pusiau. Pasiekite įrenginį pagal adresą, o paskui pagal vardą. Adresas veikia, o vardas nepavyksta – ugniasienė nekalta, o sprendiklis ne. Abu nepavyksta – ugniasienė atmeta paketą, o likusi šio straipsnio dalis galioja.

Leidžiamųjų sąrašas: pasirinkite įrašo tipą pagal simptomą

Klientas siūlo leidžiamųjų sąrašą su trijų tipų įrašais, o tinkamo tipo pasirinkimas yra didžioji darbo dalis. Potinklis apima mazgus. Prievadas apima vieną paslaugą nepriklausomai nuo paskirties. Multicast grupė apima aptikimo srautą, o tai yra kitokios formos srautas nei bet kas, adresuotas vienam mazgui.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Aptikimo gedimai nustebina žmones, nes spausdintuvą ar medijos serverį galima rasti pagal grupei adresuotą užklausą, o ne ieškant jo paties adreso. Mazgo potinklio pridėjimas automatiškai neapima tos grupės, todėl įrenginys lieka nematomas, nors jo tinklalapis gerai įkeliamas, kai įvedate adresą.

Laikykite išimtį tokią siaurą, kiek leidžia simptomas. Kartą įvestas platus priešdėlis pamirštamas metams, ir niekas vėliau negali paaiškinti, kuriuos kompiuterius jis turėjo įleisti. Ištrinkite įrašus, kai baigiasi juos reikėjęs projektas, ir patikrinkite, kas lieka po atnaujinimo.

Naujausi rinkiniai taip pat siūlo vieną LAN aptikimo nustatymą. Tai patogu, ir jis sąveikauja su leidžiamųjų sąrašu, o ne kraunasi ant jo: jį įjungus gali būti išvalyti esami privatūs potinklio įrašai, o rankinė privataus potinklio taisyklė gali būti atmesta, kol jis lieka įjungtas.

Mazgų vardams reikia atskiro sprendimo

Potinklio leidimas atkuria ryšį pagal adresą ir palieka vardų suteikimą nepaliestą. Vietiniai mazgų vardai vis dar siunčiami tam sprendikliui, kurį klientas sukonfigūravo, kai tunelis pakilo, todėl vardas, kuris anksčiau buvo sprendžiamas, dabar nieko negrąžina.

Kliento nukreipimas į maršrutizatoriaus sprendiklį tai ištaiso vienu žingsniu ir tyliai pakeičia tai, ką nusipirkote. Tada kiekviena užklausa, ne tik vietinė, išeina per maršrutizatorių, todėl tunelis nebeapsaugo tos naršymo dalies, kuri atskleidžia ketinimus.

Siauresnis kelias palieka tunelio sprendiklį ir prideda keletą svarbių vardų – kaip paieškos domeną arba kaip atskirus įrašus. Tai reikalauja daugiau dėmesio ir išsaugo savybę, už kurią sumokėjote.

Patikrinkite rezultatą sistemos sprendiklio iškvietimu, o ne naršykle. Naršyklės vis dažniau vykdo savo šifruotą sprendimą ir mielai atsako keliu, kurio jūsų apvalkalas niekada nenaudoja, todėl adreso juosta gali atrodyti sveika, o sistemos sprendiklis vis dar sulūžęs.

Diegimo problema, kuri ateina pirmoji

Didelė dalis šių ataskaitų niekada nepasiekia ugniasienės, nes komandos tiesiog nėra. Tiekėjo paleidimo paketas užregistruoja saugyklą ir parašo raktą. Jis neįdiegia kliento, todėl iškart po to trūkstanti komanda yra laukiamas rezultatas, o ne gedimas.

Atnaujinkite paketų sąrašus ir įdiekite pagal pavadinimą. Jei paketų tvarkyklė skundžiasi trūkstamu viešuoju raktu, raktas nepateko ten, kur jos ieškoma, o pataisa – įdėti jį ten prieš vėl atnaujinant.

Jei saugyklos mazgo vardas sprendžiamas į privatų adresą, sustokite ir perskaitykite tą rezultatą du kartus. Galbūt jau vykdote tunelį, kurio sprendiklis atsako už viešus vardus, o pakartotinis diegimas duos tą patį pranešimą be galo.

Užsirašykite tai prieš uždarydami dangtį

Įsitikinkite, kad pasikeitė tik tunelis, tada leiskite mažiausią dalyką, kuris atkuria simptomą. Laikykite vardų suteikimą atskiru sprendimu su atskiru užrašu.

Užrašykite, kuri išimtis yra kuriam įrenginiui ir kas jos paprašė. Vietinis tinklas, kuris veikia tik todėl, kad kas nors įvedė platų priešdėlį, yra sprendimas, kuris jau pergyveno savo priežastį.

Bandykite dar kartą po kliento atnaujinimo. Ugniasienės išdėstymas keičiasi tarp versijų, o praėjusio mėnesio leidžiamųjų sąrašas nėra faktas apie šį mėnesį.