NordVPN у Linux блокує локальну мережу: список дозволів і DNS

Усе виглядає нормально, доки ви не спробуєте дістатися чогось на власному столі. Тунель піднято, сторінки завантажуються, а мережевий диск виходить за тайм-аут. Відключіться, і диск повертається раніше, ніж ви договорите речення, і це скаже вам більше за будь-який журнал: клієнт навмисно відмовляє трафіку, який не входить у тунель, а ваша локальна мережа перебуває з неправильного боку цієї межі.

Кіл-світч робить свою роботу

Кіл-світч існує, щоб не дати трафіку втекти, коли тунель недоступний. Приватні діапазони адрес вважаються трафіком, який не входить у тунель, тому сувора реалізація блокує їх разом з усім іншим. Це не помилка в тому сенсі, який люди мають на увазі, подаючи звіт.

Спочатку прочитайте погляд самого клієнта. Одна команда друкує поточні налаштування, а друга показує об'єкти міжмережевого екрана, які створив клієнт. Ви шукаєте drop або reject, що з'являється раніше за будь-який виняток тунелю, бо саме цей порядок робить локальну мережу недоступною.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Потім проведіть один тест, який ділить проблему навпіл. Дістаньтеся пристрою за адресою, а потім за іменем. Адреса працює, а ім'я ні — отже, міжмережевий екран не винний, а розв'язувач імен ні. Обидва не працюють — отже, міжмережевий екран відхиляє пакет, і решта цієї статті застосовна.

Список дозволів: обирайте тип запису за симптомом

Клієнт пропонує список дозволів із трьома типами записів, і вибір правильного типу — більша частина роботи. Підмережа охоплює вузли. Порт охоплює одну службу незалежно від призначення. Група multicast охоплює трафік виявлення, а це інша форма трафіку, ніж усе, що адресоване одному вузлу.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Збої виявлення застають людей зненацька, бо принтер або медіасервер може знаходитися запитом, адресованим групі, а не пошуком його власної адреси. Додавання підмережі вузла не охоплює цю групу автоматично, тому пристрій залишається невидимим, хоча його вебсторінка добре завантажується, коли ви вводите адресу.

Тримайте виняток таким вузьким, як дозволяє симптом. Широкий префікс, введений один раз, забувається на роки, і ніхто потім не може пояснити, які машини він мав пропускати. Видаляйте записи, коли проєкт, якому вони були потрібні, закінчується, і перевіряйте, що залишилося після оновлення.

Нові збірки також показують єдине налаштування виявлення в локальній мережі. Воно зручне, і воно взаємодіє зі списком дозволів, а не нашаровується на нього: його ввімкнення може очистити наявні записи приватних підмереж, а ручне правило для приватної підмережі може бути відхилене, поки воно залишається ввімкненим.

Імена вузлів потребують окремого рішення

Дозвіл підмережі відновлює зв'язність за адресою і залишає іменування недоторканим. Локальні імена вузлів і далі надсилаються тому розв'язувачу, який клієнт налаштував, коли тунель піднявся, тому ім'я, яке раніше розв'язувалося, тепер нічого не повертає.

Спрямування клієнта на розв'язувач маршрутизатора виправляє це одним кроком і тихо змінює те, що ви купили. Тоді кожен запит, не лише локальний, виходить через маршрутизатор, тому тунель більше не захищає ту частину вашого перегляду, яка видає наміри.

Вужчий шлях зберігає тунельний розв'язувач і додає кілька важливих імен — як домен пошуку або як окремі записи. Це вимагає більше уваги і зберігає властивість, за яку ви заплатили.

Перевірте результат викликом системного розв'язувача, а не браузером. Браузери дедалі частіше запускають власне зашифроване розв'язання і охоче відповідають шляхом, який ваша оболонка ніколи не використовує, тому адресний рядок може виглядати здоровим, поки системний розв'язувач усе ще зламаний.

Проблема з установленням, яка йде першою

Значна частина цих звітів ніколи не доходить до міжмережевого екрана, бо команди просто немає. Початковий пакет постачальника реєструє репозиторій і ключ підпису. Він не встановлює клієнт, тому відсутність команди одразу після цього — очікуваний результат, а не збій.

Оновіть списки пакетів і встановіть за іменем. Якщо менеджер пакетів скаржиться на відсутній відкритий ключ, ключ не потрапив туди, де його шукають, і виправлення — покласти його туди перед повторним оновленням.

Якщо ім'я вузла репозиторію розв'язується в приватну адресу, зупиніться і прочитайте цей результат двічі. Можливо, ви вже запускаєте тунель, чий розв'язувач відповідає за публічні імена, і повторна спроба встановлення буде нескінченно видавати те саме повідомлення.

Запишіть це, перш ніж закрити кришку

Переконайтеся, що змінився лише тунель, а потім дозвольте найменше, що відновлює симптом. Тримайте іменування окремим рішенням з окремою нотаткою.

Запишіть, який виняток існує для якого пристрою і хто його попросив. Локальна мережа, яка працює лише тому, що хтось ввів широкий префікс, — це рішення, яке вже пережило свою причину.

Перевірте знову після оновлення клієнта. Розкладка міжмережевого екрана змінюється між випусками, і список дозволів минулого місяця не є фактом про цей місяць.