NordVPN на Linux-у блокира LAN: листа дозвола и DNS

Све изгледа нормално док не покушате да дођете до нечега на сопственом столу. Тунел је подигнут, странице се учитавају, а мрежни диск престаје да одговара. Искључите се и диск се враћа пре него што завршите реченицу, што вам каже више од било ког дневника: клијент намерно одбија саобраћај који не улази у тунел, а ваша локална мрежа је на погрешној страни те линије.

Прекидач заштите ради свој посао

Прекидач заштите постоји да спречи саобраћај да побегне када тунел није доступан. Приватни опсези адреса сматрају се саобраћајем који не улази у тунел, па их строга имплементација блокира заједно са свим осталим. То није грешка у смислу који људи имају на уму када подносе извештај.

Најпре прочитајте сопствени поглед клијента. Једна команда исписује тренутна подешавања, а друга приказује објекте заштитног зида које је клијент направио. Тражите drop или reject који се појављује пре било ког изузетка тунела, јер управо тај редослед чини локалну мрежу недоступном.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Затим изведите један тест који проблем дели на пола. Дођите до уређаја по адреси, а затим по имену. Адреса ради, а име не успева значи заштитни зид је невин, а разрешивач није. Оба не успевају значи заштитни зид одбија пакет, и остатак овог текста важи.

Листа дозвола: изаберите тип записа према симптому

Клијент нуди листу дозвола са три врсте записа, а избор правог типа је највећи део посла. Подмрежа покрива домаћине. Порт покрива једну услугу без обзира на одредиште. Multicast група покрива саобраћај откривања, који је другачији облик саобраћаја од свега што је адресирано на једног домаћина.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Неуспеси при откривању изненађују људе јер се штампач или медијски сервер може наћи преко упита упућеног групи, а не преко тражења сопствене адресе. Додавање подмреже домаћина не покрива ту групу аутоматски, па уређај остаје невидљив док се његова веб страница добро учитава када упишете адресу.

Држите изузетак онолико уским колико симптом дозвољава. Широк префикс унет једном заборавља се годинама, и нико касније не може да објасни које је машине требало да прими. Бришите записе када се пројекат који их је захтевао заврши, и проверите шта остаје после ажурирања.

Нове верзије нуде и једну поставку откривања на LAN-у. Она је практична и сарађује са листом дозвола уместо да се на њу надовезује: њено укључивање може да обрише постојеће записе за приватну подмрежу, а ручно правило за приватну подмрежу може бити одбијено док она остаје укључена.

Имена домаћина захтевају одвојену одлуку

Дозвољавање подмреже враћа повезаност по адреси и оставља именовање нетакнутим. Локална имена домаћина и даље се шаљу разрешивачу који је клијент подесио када се тунел подигао, па име које се раније разрешавало сада не враћа ништа.

Усмеравање клијента на разрешивач рутера то поправља у једном кораку и тихо мења оно што сте купили. Тада свако претраживање, не само локално, излази кроз рутер, па тунел више не штити део вашег прегледања који открива намере.

Ужи пут задржава разрешивач тунела и додаје неколико важних имена, било као домен за претрагу или као појединачне записе. То захтева више пажње и чува својство за које сте платили.

Проверите резултат позивом системског разрешивача, а не прегледачем. Прегледачи све чешће извршавају сопствено шифровано разрешавање и радо одговарају путем који ваша љуска никада не користи, па адресна трака може изгледати здраво док је системски разрешивач још покварен.

Проблем са инсталацијом који долази први

Значајан део ових извештаја никада не стигне до заштитног зида, јер команде једноставно нема. Почетни пакет добављача региструје складиште и кључ за потпис. Он не инсталира клијента, па је команда која недостаје одмах затим очекивани исход, а не квар.

Освежите листе пакета и инсталирајте по имену. Ако се управник пакета жали на јавни кључ који недостаје, кључ није слетео тамо где га тражи, а поправка је да га тамо поставите пре поновног освежавања.

Ако се име домаћина складишта разреши у приватну адресу, зауставите се и прочитајте тај резултат двапут. Можда већ покрећете тунел чији разрешивач одговара за јавна имена, а понављање инсталације ће бескрајно давати исту поруку.

Запишите то пре него што затворите поклопац

Утврдите да је тунел једино што се променило, затим дозволите најмању ствар која враћа симптом. Држите именовање као сопствену одлуку са сопственом белешком.

Забележите који изузетак постоји за који уређај и ко га је тражио. Локална мрежа која ради само зато што је неко унео широк префикс је одлука која је већ надживела свој разлог.

Поново тестирајте после ажурирања клијента. Распоред заштитног зида се мења између издања, а листа дозвола од прошлог месеца није чињеница о овом месецу.