NordVPN v Linuxe blokuje LAN: zoznam povolených a DNS

Všetko vyzerá normálne, kým sa nepokúsite dostať k niečomu na vlastnom stole. Tunel je hore, stránky sa načítavajú a sieťový disk prestane odpovedať. Odpojte sa a disk je späť skôr, než dokončíte vetu, čo vám povie viac než akýkoľvek log: klient zámerne odmieta prevádzku, ktorá nevstupuje do tunela, a vaša miestna sieť je na nesprávnej strane tej hranice.

Vypínač odpojenia robí svoju prácu

Vypínač odpojenia existuje preto, aby zabránil úniku prevádzky, keď je tunel nedostupný. Privátne rozsahy adries sa počítajú ako prevádzka, ktorá nevstupuje do tunela, takže prísna implementácia ich blokuje spolu so všetkým ostatným. To nie je chyba v zmysle, ktorý ľudia majú na mysli, keď podávajú hlásenie.

Najprv si prečítajte vlastný pohľad klienta. Jeden príkaz vypíše aktuálne nastavenia a druhý ukáže objekty firewallu, ktoré klient vytvoril. Hľadáte zahadzovanie alebo odmietnutie, ktoré sa objaví pred akoukoľvek výnimkou tunela, pretože práve toto poradie robí miestnu sieť nedostupnou.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Potom vykonajte jeden test, ktorý problém rozdelí na polovicu. Dostaňte sa k zariadeniu podľa adresy a potom podľa názvu. Adresa funguje a názov zlyhá — firewall je nevinný a prekladač názvov nie. Zlyhá oboje — firewall odmieta paket a zvyšok tohto článku platí.

Zoznam povolených: vyberte typ záznamu podľa príznaku

Klient ponúka zoznam povolených s tromi typmi záznamov a výber správneho typu je väčšina práce. Podsieť pokrýva hostiteľov. Port pokrýva jednu službu bez ohľadu na cieľ. Multicastová skupina pokrýva prevádzku zisťovania, čo je iný tvar prevádzky ako čokoľvek adresované jednému hostiteľovi.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Zlyhania zisťovania ľudí zaskočia, pretože tlačiareň alebo mediálny server sa dá nájsť dopytom adresovaným skupine namiesto hľadania vlastnej adresy. Pridanie podsiete hostiteľa túto skupinu automaticky nepokryje, takže zariadenie zostáva neviditeľné, hoci sa jeho webová stránka pri zadaní adresy načíta bez problémov.

Udržujte výnimku tak úzku, ako príznak dovolí. Široký prefix zadaný raz sa na roky zabudne a nikto neskôr nevysvetlí, ktorým strojom mal dovoliť prístup. Mažte záznamy, keď projekt, ktorý ich potreboval, skončí, a po aktualizácii skontrolujte, čo zostalo.

Nedávne buildy tiež ponúkajú jediné nastavenie zisťovania v LAN. Je pohodlné a zráža sa so zoznamom povolených, namiesto toho, aby sa naň vrstvilo: zapnutie môže vymazať existujúce záznamy privátnych podsietí a ručné pravidlo pre privátnu podsieť môže byť odmietnuté, kým zostáva zapnuté.

Mená hostiteľov potrebujú samostatné rozhodnutie

Povolenie podsiete obnoví konektivitu podľa adresy a pomenovanie nechá nedotknuté. Miestne mená hostiteľov sa stále posielajú prekladaču, ktorý klient nastavil pri vzostupe tunela, takže meno, ktoré sa predtým preložilo, teraz nevracia nič.

Nasmerovanie klienta na prekladač routera to opraví jedným krokom a potichu zmení to, čo ste kúpili. Každé hľadanie, nielen miestne, potom odchádza cez router, takže tunel už nechráni tú časť vášho prehliadania, ktorá prezrádza zámery.

Užšia cesta zachová prekladač tunela a pridá niekoľko dôležitých mien, buď ako vyhľadávaciu doménu, alebo ako jednotlivé záznamy. Stojí to viac pozornosti a zachováva vlastnosť, za ktorú ste zaplatili.

Výsledok overte volaním systémového prekladača, nie prehliadačom. Prehliadače stále častejšie bežia vlastné šifrované prekladanie a ochotne odpovedajú cestou, ktorú vaša konzola nikdy nepoužíva, takže riadok adresy môže vyzerať zdravo, zatiaľ čo systémový prekladač je stále rozbitý.

Problém s inštaláciou, ktorý prichádza prvý

Podstatná časť týchto hlásení sa k firewallu nikdy nedostane, pretože príkaz jednoducho nie je. Zavádzací balík dodavateľa zaregistruje repozitár a podpisový kľúč. Neinštaluje klienta, takže chýbajúci príkaz hneď potom je očakávaný výsledok, nie zlyhanie.

Obnovte zoznamy balíkov a nainštalujte podľa mena. Ak si správca balíkov sťažuje na chýbajúci verejný kľúč, kľúč sa nedostal tam, kde ho hľadá, a oprava je umiestniť ho tam pred ďalším obnovením.

Ak sa meno hostiteľa repozitára preloží na privátnu adresu, zastavte sa a prečítajte si ten výsledok dvakrát. Možno už prevádzkujete tunel, ktorého prekladač odpovedá za verejné mená, a opakovanie inštalácie bude donekonečna dávať rovnakú správu.

Zapíšte si to, kým zavriete veko

Uistite sa, že sa zmenil iba tunel, a potom povoľte najmenšiu vec, ktorá obnoví príznak. Držte pomenovanie ako samostatné rozhodnutie s vlastnou poznámkou.

Zaznamenajte, ktorá výnimka existuje pre ktoré zariadenie a kto o ňu požiadal. Miestna sieť, ktorá funguje len preto, že niekto zadal široký prefix, je rozhodnutie, ktoré už prežilo svoj dôvod.

Po aktualizácii klienta otestujte znova. Rozloženie firewallu sa medzi vydaniami mení a zoznam povolených z minulého mesiaca nie je faktom o tomto mesiaci.