NordVPN trên Linux chặn LAN: danh sách cho phép và DNS

Mọi thứ có vẻ bình thường cho đến khi bạn thử truy cập thứ gì đó trên chính bàn làm việc của mình. Đường hầm đang hoạt động, trang web tải được, còn ổ đĩa mạng thì hết thời gian chờ. Ngắt kết nối và ổ đĩa trở lại trước khi bạn nói hết câu, điều này cho bạn biết nhiều hơn bất kỳ nhật ký nào: ứng dụng khách đang cố ý từ chối lưu lượng không đi vào đường hầm, và mạng cục bộ của bạn nằm ở phía sai của ranh giới đó.

Công tắc an toàn đang làm đúng việc của nó

Công tắc an toàn tồn tại để ngăn lưu lượng thoát ra khi đường hầm không khả dụng. Các dải địa chỉ riêng được tính là lưu lượng không đi vào đường hầm, nên một triển khai nghiêm ngặt sẽ chặn chúng cùng với mọi thứ khác. Đó không phải lỗi theo nghĩa mọi người muốn nói khi gửi báo cáo.

Trước tiên hãy đọc góc nhìn của chính ứng dụng khách. Một lệnh in các cài đặt hiện tại, lệnh thứ hai hiển thị các đối tượng tường lửa mà ứng dụng đã tạo. Bạn đang tìm một drop hoặc reject xuất hiện trước mọi ngoại lệ đường hầm, vì chính thứ tự đó khiến mạng cục bộ không thể truy cập.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Sau đó chạy một phép thử chia đôi vấn đề. Truy cập thiết bị bằng địa chỉ, rồi truy cập bằng tên. Địa chỉ chạy được còn tên thất bại nghĩa là tường lửa vô can và trình phân giải mới là thủ phạm. Cả hai đều thất bại nghĩa là tường lửa đang từ chối gói tin, và phần còn lại của bài viết này áp dụng.

Danh sách cho phép: chọn loại mục theo triệu chứng

Ứng dụng cung cấp danh sách cho phép với ba loại mục, và chọn đúng loại là phần lớn công việc. Subnet bao phủ các máy chủ. Cổng bao phủ một dịch vụ bất kể đích đến. Nhóm multicast bao phủ lưu lượng khám phá, đây là dạng lưu lượng khác với bất cứ thứ gì hướng tới một máy chủ duy nhất.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Lỗi khám phá khiến người ta bất ngờ vì máy in hoặc máy chủ media có thể được tìm thấy bằng truy vấn gửi tới nhóm thay vì tìm địa chỉ của chính nó. Thêm subnet của máy chủ không tự động bao phủ nhóm đó, nên thiết bị vẫn vô hình trong khi trang web của nó vẫn tải tốt khi bạn gõ địa chỉ.

Giữ ngoại lệ hẹp nhất có thể theo triệu chứng. Một tiền tố rộng gõ một lần sẽ bị lãng quên trong nhiều năm, và sau này không ai giải thích được nó định cho những máy nào đi vào. Xóa các mục khi dự án cần chúng kết thúc, và kiểm tra những gì còn lại sau khi cập nhật.

Các bản dựng gần đây cũng cung cấp một cài đặt khám phá LAN duy nhất. Nó tiện lợi, và nó tương tác với danh sách cho phép thay vì chồng lên trên: bật nó có thể xóa các mục subnet riêng hiện có, và một quy tắc subnet riêng thủ công có thể bị từ chối khi nó còn bật.

Tên máy chủ cần một quyết định riêng

Cho phép một subnet khôi phục kết nối theo địa chỉ và để nguyên việc đặt tên. Tên máy chủ cục bộ vẫn được gửi tới trình phân giải mà ứng dụng đã cấu hình khi đường hầm khởi động, nên một cái tên từng phân giải được giờ không trả về gì.

Trỏ ứng dụng tới trình phân giải của router khắc phục điều đó trong một bước và thay đổi một cách lặng lẽ thứ bạn đã mua. Khi đó mọi truy vấn, không chỉ cục bộ, đều đi qua router, nên đường hầm không còn bảo vệ phần duyệt web của bạn vốn tiết lộ ý định.

Con đường hẹp hơn giữ trình phân giải của đường hầm và thêm vài cái tên quan trọng, hoặc dưới dạng miền tìm kiếm hoặc dưới dạng mục riêng lẻ. Nó đòi hỏi nhiều sự chú ý hơn và giữ lại thuộc tính bạn đã trả tiền.

Kiểm tra kết quả bằng lệnh gọi trình phân giải hệ thống thay vì trình duyệt. Trình duyệt ngày càng tự chạy phân giải mã hóa riêng và sẵn sàng trả lời từ một con đường mà shell của bạn không bao giờ dùng, nên thanh địa chỉ có thể trông khỏe mạnh trong khi trình phân giải hệ thống vẫn hỏng.

Vấn đề cài đặt đến trước

Phần lớn các báo cáo này không bao giờ chạm tới tường lửa, vì lệnh hoàn toàn không có ở đó. Gói khởi tạo của nhà cung cấp đăng ký một kho và một khóa ký. Nó không cài đặt ứng dụng, nên việc thiếu lệnh ngay sau đó là kết quả mong đợi chứ không phải sự cố.

Làm mới danh sách gói và cài đặt theo tên. Nếu trình quản lý gói phàn nàn về khóa công khai bị thiếu, khóa đã không đến nơi nó tìm, và cách khắc phục là đặt nó ở đó trước khi làm mới lại.

Nếu tên máy chủ của kho phân giải thành địa chỉ riêng, hãy dừng lại và đọc kết quả đó hai lần. Có thể bạn đang chạy một đường hầm mà trình phân giải của nó trả lời cho các tên công cộng, và thử cài lại sẽ tạo ra cùng thông báo mãi mãi.

Ghi lại trước khi đóng nắp

Xác nhận rằng đường hầm là thứ duy nhất đã thay đổi, rồi cho phép thứ nhỏ nhất khôi phục triệu chứng. Giữ việc đặt tên như một quyết định riêng với ghi chú riêng.

Ghi lại ngoại lệ nào tồn tại cho thiết bị nào và ai đã yêu cầu. Một mạng cục bộ chỉ hoạt động vì ai đó đã gõ một tiền tố rộng là quyết định đã sống lâu hơn lý do của nó.

Kiểm tra lại sau khi ứng dụng cập nhật. Bố cục tường lửa thay đổi giữa các bản phát hành, và danh sách cho phép của tháng trước không phải là sự thật về tháng này.