NordVPN w Linuksie blokuje LAN: lista dozwolonych i DNS

Wszystko wygląda normalnie, dopóki nie spróbujesz dotrzeć do czegoś na własnym biurku. Tunel działa, strony się ładują, a dysk sieciowy przekracza limit czasu. Rozłącz się, a dysk wróci, zanim skończysz zdanie, co mówi ci więcej niż jakikolwiek log: klient celowo odrzuca ruch, który nie wchodzi do tunelu, a twoja sieć lokalna jest po niewłaściwej stronie tej granicy.

Przełącznik bezpieczeństwa robi swoje

Przełącznik bezpieczeństwa istnieje po to, by ruch nie wydostał się, gdy tunel jest niedostępny. Prywatne zakresy adresów liczą się jako ruch, który nie wchodzi do tunelu, więc ścisła implementacja blokuje je razem ze wszystkim innym. To nie błąd w sensie, jaki ludzie mają na myśli, zgłaszając raport.

Najpierw przeczytaj punkt widzenia samego klienta. Jedno polecenie wypisuje bieżące ustawienia, a drugie pokazuje obiekty zapory, które utworzył klient. Szukasz drop lub reject, które pojawia się przed jakimkolwiek wyjątkiem tunelu, bo właśnie ta kolejność czyni sieć lokalną nieosiągalną.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Potem wykonaj jeden test, który dzieli problem na pół. Dotrzyj do urządzenia po adresie, a następnie po nazwie. Adres działa, a nazwa zawodzi, oznacza, że zapora jest niewinna, a resolver nie. Oba zawodzą oznacza, że zapora odrzuca pakiet, i reszta tego artykułu obowiązuje.

Lista dozwolonych: wybierz typ wpisu zależnie od objawu

Klient oferuje listę dozwolonych z trzech typów wpisów, a wybór właściwego typu to większość pracy. Podsieć obejmuje hosty. Port obejmuje jedną usługę niezależnie od celu. Grupa multicast obejmuje ruch wykrywania, który ma inną postać niż cokolwiek adresowane do jednego hosta.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Błędy wykrywania zaskakują ludzi, bo drukarkę lub serwer multimediów można znaleźć przez zapytanie adresowane do grupy, a nie przez wyszukanie jej własnego adresu. Dodanie podsieci hosta nie obejmuje automatycznie tej grupy, więc urządzenie pozostaje niewidoczne, choć jego strona internetowa ładuje się dobrze, gdy wpiszesz adres.

Utrzymuj wyjątek tak wąski, jak pozwala objaw. Szeroki prefiks wpisany raz zostaje zapomniany na lata i nikt później nie potrafi wyjaśnić, które maszyny miał wpuszczać. Usuwaj wpisy, gdy projekt, który ich potrzebował, się kończy, i sprawdzaj, co zostaje po aktualizacji.

Nowsze wersje udostępniają też jedno ustawienie wykrywania w LAN. Jest wygodne i współdziała z listą dozwolonych, zamiast nakładać się na nią: włączenie go może wyczyścić istniejące wpisy prywatnych podsieci, a ręczna reguła prywatnej podsieci może zostać odrzucona, dopóki pozostaje włączone.

Nazwy hostów wymagają osobnej decyzji

Zezwolenie na podsieć przywraca łączność po adresie i zostawia nazewnictwo nietknięte. Lokalne nazwy hostów nadal są wysyłane do resolvera, którego klient skonfigurował przy podnoszeniu tunelu, więc nazwa, która kiedyś się rozwiązywała, teraz nic nie zwraca.

Skierowanie klienta na resolver routera naprawia to w jednym kroku i po cichu zmienia to, co kupiłeś. Wtedy każde zapytanie, nie tylko lokalne, wychodzi przez router, więc tunel nie chroni już tej części przeglądania, która zdradza intencje.

Węższa droga zachowuje resolver tunelu i dodaje kilka nazw, które mają znaczenie, albo jako domenę wyszukiwania, albo jako osobne wpisy. Wymaga więcej uwagi i zachowuje właściwość, za którą zapłaciłeś.

Sprawdź wynik wywołaniem resolvera systemowego, a nie przeglądarką. Przeglądarki coraz częściej wykonują własne szyfrowane rozwiązywanie i chętnie odpowiadają ścieżką, której twoja powłoka nigdy nie używa, więc pasek adresu może wyglądać zdrowo, podczas gdy resolver systemowy wciąż jest zepsuty.

Problem z instalacją, który przychodzi pierwszy

Znaczna część tych zgłoszeń nigdy nie dociera do zapory, bo polecenia po prostu nie ma. Pakiet startowy dostawcy rejestruje repozytorium i klucz podpisujący. Nie instaluje klienta, więc brakujące polecenie zaraz potem jest oczekiwanym wynikiem, a nie awarią.

Odśwież listy pakietów i zainstaluj po nazwie. Jeśli menedżer pakietów narzeka na brakujący klucz publiczny, klucz nie trafił tam, gdzie go szuka, a poprawką jest umieszczenie go tam przed ponownym odświeżeniem.

Jeśli nazwa hosta repozytorium rozwiązuje się na adres prywatny, zatrzymaj się i przeczytaj ten wynik dwa razy. Być może już prowadzisz tunel, którego resolver odpowiada za nazwy publiczne, a ponowna próba instalacji będzie dawać ten sam komunikat w nieskończoność.

Zapisz to, zanim zamkniesz klapę

Ustal, że tunel to jedyna rzecz, która się zmieniła, a potem zezwól na najmniejszą rzecz, która przywraca objaw. Trzymaj nazewnictwo jako osobną decyzję z osobną notatką.

Zapisz, który wyjątek istnieje dla którego urządzenia i kto o niego poprosił. Sieć lokalna, która działa tylko dlatego, że ktoś wpisał szeroki prefiks, to decyzja, która już przeżyła swój powód.

Przetestuj ponownie po aktualizacji klienta. Układ zapory zmienia się między wydaniami, a lista dozwolonych z poprzedniego miesiąca nie jest faktem o tym miesiącu.