NordVPN บน Linux บล็อก LAN: รายการที่อนุญาตและ DNS

ทุกอย่างดูปกติจนกว่าคุณจะลองเข้าถึงอะไรบางอย่างบนโต๊ะของคุณเอง อุโมงค์ทำงานอยู่ หน้าเว็บโหลดได้ และไดรฟ์เครือข่ายหมดเวลา ถ้าตัดการเชื่อมต่อ ไดรฟ์ก็กลับมาก่อนที่คุณจะพูดจบ ซึ่งบอกคุณได้มากกว่าบันทึกใด ๆ: ไคลเอนต์กำลังปฏิเสธทราฟฟิกที่ไม่เข้าสู่อุโมงค์อย่างจงใจ และเครือข่ายภายในของคุณอยู่อีกฝั่งที่ไม่ถูกต้องของเส้นแบ่งนั้น

สวิตช์ตัดการเชื่อมต่อกำลังทำหน้าที่ของมัน

สวิตช์ตัดการเชื่อมต่อมีไว้เพื่อไม่ให้ทราฟฟิกรั่วออกไปเมื่ออุโมงค์ใช้งานไม่ได้ ช่วงที่อยู่ส่วนตัวนับเป็นทราฟฟิกที่ไม่เข้าสู่อุโมงค์ การใช้งานที่เข้มงวดจึงบล็อกช่วงเหล่านั้นพร้อมกับทุกอย่างอื่น นั่นไม่ใช่บั๊กในความหมายที่ผู้คนพูดถึงเมื่อส่งรายงาน

อ่านมุมมองของไคลเอนต์เองก่อน คำสั่งหนึ่งพิมพ์การตั้งค่าปัจจุบัน และอีกคำสั่งแสดงอ็อบเจ็กต์ไฟร์วอลล์ที่ไคลเอนต์สร้างขึ้น คุณกำลังมองหาการดรอปหรือการปฏิเสธที่ปรากฏก่อนข้อยกเว้นของอุโมงค์ใด ๆ เพราะลำดับนั้นเองทำให้เครือข่ายภายในเข้าถึงไม่ได้

nordvpn settings
sudo nft list ruleset
sudo iptables -S

จากนั้นทำการทดสอบหนึ่งอย่างที่แบ่งปัญหาเป็นสองส่วน เข้าถึงอุปกรณ์ด้วยที่อยู่ แล้วเข้าถึงด้วยชื่อ ที่อยู่ใช้ได้แต่ชื่อล้มเหลวหมายความว่าไฟร์วอลล์ไม่ได้ผิดและตัวแปลงชื่อเป็นตัวปัญหา ทั้งสองอย่างล้มเหลวหมายความว่าไฟร์วอลล์กำลังปฏิเสธแพ็กเก็ต และส่วนที่เหลือของบทความนี้ใช้ได้

รายการที่อนุญาต: เลือกชนิดของรายการตามอาการ

ไคลเอนต์มีรายการที่อนุญาตพร้อมรายการสามชนิด และการเลือกชนิดที่ถูกต้องคือส่วนใหญ่ของงาน ซับเน็ตครอบคลุมโฮสต์ พอร์ตครอบคลุมบริการหนึ่งโดยไม่สนใจปลายทาง กลุ่มมัลติแคสต์ครอบคลุมทราฟฟิกการค้นพบ ซึ่งเป็นทราฟฟิกรูปแบบอื่นจากสิ่งที่ส่งถึงโฮสต์เดียว

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

ความล้มเหลวในการค้นพบทำให้คนประหลาดใจ เพราะเครื่องพิมพ์หรือเซิร์ฟเวอร์สื่ออาจถูกค้นพบด้วยคำถามที่ส่งถึงกลุ่มแทนการค้นหาที่อยู่ของตัวเอง การเพิ่มซับเน็ตของโฮสต์ไม่ได้ครอบคลุมกลุ่มนั้นโดยอัตโนมัติ อุปกรณ์จึงยังมองไม่เห็นในขณะที่หน้าเว็บโหลดได้ดีเมื่อคุณพิมพ์ที่อยู่

เก็บข้อยกเว้นให้แคบเท่าที่อาการอนุญาต คำนำหน้าที่กว้างซึ่งพิมพ์ครั้งเดียวจะถูกลืมไปหลายปี และภายหลังไม่มีใครอธิบายได้ว่ามันตั้งใจให้เครื่องใดผ่านเข้าได้ ลบรายการเมื่อโครงการที่ต้องการมันสิ้นสุดลง และตรวจสอบว่าอะไรเหลืออยู่หลังการอัปเดต

บิลด์ล่าสุดยังมีตั้งค่าการค้นพบใน LAN เพียงรายการเดียว สะดวก และมันทำงานร่วมกับรายการที่อนุญาตแทนที่จะซ้อนทับกัน: การเปิดใช้สามารถล้างรายการซับเน็ตส่วนตัวที่มีอยู่ และกฎซับเน็ตส่วนตัวที่ทำด้วยมืออาจถูกปฏิเสธตราบใดที่ยังเปิดอยู่

ชื่อโฮสต์ต้องการการตัดสินใจแยกต่างหาก

การอนุญาตซับเน็ตคืนการเชื่อมต่อด้วยที่อยู่และปล่อยการตั้งชื่อไว้เหมือนเดิม ชื่อโฮสต์ภายในยังถูกส่งไปยังตัวแปลงชื่อที่ไคลเอนต์กำหนดค่าเมื่ออุโมงค์ขึ้นมา ชื่อที่เคยแปลงได้จึงไม่คืนอะไรเลยในตอนนี้

การชี้ไคลเอนต์ไปที่ตัวแปลงชื่อของเราเตอร์แก้ปัญหานั้นในขั้นตอนเดียวและเปลี่ยนสิ่งที่คุณซื้อไปอย่างเงียบ ๆ จากนั้นทุกการค้นหาจะไม่ใช่แค่ภายในจะออกผ่านเราเตอร์ อุโมงค์จึงไม่ปกป้องส่วนของการท่องเว็บที่เปิดเผยเจตนาอีกต่อไป

เส้นทางที่แคบกว่ายังคงใช้ตัวแปลงชื่อของอุโมงค์และเพิ่มชื่อไม่กี่ชื่อที่สำคัญ ไม่ว่าจะเป็นโดเมนค้นหาหรือรายการแยก ต้องใช้ความใส่ใจมากกว่าและรักษาคุณสมบัติที่คุณจ่ายไป

ตรวจสอบผลลัพธ์ด้วยการเรียกตัวแปลงชื่อของระบบแทนเบราว์เซอร์ เบราว์เซอร์หันมารันการแปลงชื่อแบบเข้ารหัสของตัวเองมากขึ้นเรื่อย ๆ และยินดีตอบจากเส้นทางที่เชลล์ของคุณไม่เคยใช้ แถบที่อยู่อาจดูปกติในขณะที่ตัวแปลงชื่อของระบบยังพังอยู่

ปัญหาการติดตั้งที่มาก่อน

รายงานเหล่านี้จำนวนมากไม่เคยไปถึงไฟร์วอลล์ เพราะไม่มีคำสั่งอยู่เลย แพ็กเกจบูตสแตรปของผู้ให้บริการลงทะเบียนรีโพซิทอรีและคีย์ลงนาม มันไม่ได้ติดตั้งไคลเอนต์ คำสั่งที่หายไปทันทีหลังจากนั้นจึงเป็นผลลัพธ์ที่คาดไว้ ไม่ใช่ความล้มเหลว

รีเฟรชรายการแพ็กเกจและติดตั้งตามชื่อ ถ้าตัวจัดการแพ็กเกจบ่นเรื่องคีย์สาธารณะที่หายไป แสดงว่าคีย์ไม่ได้ไปอยู่ที่ที่มันค้นหา และวิธีแก้คือวางไว้ที่นั่นก่อนรีเฟรชอีกครั้ง

ถ้าชื่อโฮสต์ของรีโพซิทอรีแปลงเป็นที่อยู่ส่วนตัว ให้หยุดและอ่านผลลัพธ์นั้นสองครั้ง คุณอาจกำลังรันอุโมงค์ที่ตัวแปลงชื่อตอบคำถามสำหรับชื่อสาธารณะอยู่แล้ว และการติดตั้งซ้ำจะให้ข้อความเดิมไม่รู้จบ

จดบันทึกก่อนปิดฝา

ยืนยันว่าอุโมงค์เป็นสิ่งเดียวที่เปลี่ยนไป จากนั้นอนุญาตสิ่งเล็กที่สุดที่คืนอาการ เก็บการตั้งชื่อไว้เป็นการตัดสินใจแยกต่างหากพร้อมบันทึกของมันเอง

บันทึกว่าข้อยกเว้นใดมีไว้สำหรับอุปกรณ์ใดและใครเป็นผู้ขอ เครือข่ายภายในที่ทำงานได้เพียงเพราะมีคนพิมพ์คำนำหน้าที่กว้างเป็นการตัดสินใจที่อยู่มานานกว่าเหตุผลของมันแล้ว

ทดสอบอีกครั้งหลังไคลเอนต์อัปเดต เลย์เอาต์ไฟร์วอลล์เปลี่ยนไประหว่างรีลีส และรายการที่อนุญาตของเดือนที่แล้วไม่ใช่ข้อเท็จจริงเกี่ยวกับเดือนนี้