Mullvad Local sharing et imprimante

Mullvad Local sharing et imprimante

Notes

Local network sharing

« Local network sharing » (partage du réseau local / Allow LAN) sur Mullvad autorise votre appareil à communiquer avec les autres équipements de votre réseau local pendant que le VPN est connecté. Sans cette option, Mullvad bloque par défaut le trafic LAN pour maximiser la sécurité et la confidentialité

Ce qui devient accessible

Lorsque le paramètre est actif, vous pouvez généralement utiliser :

  • Imprimantes réseau et Wi‑Fi.
  • Partages de fichiers, NAS et serveurs SMB/NFS/AFP.
  • Serveurs multimédias locaux : Plex, Jellyfin, DLNA.
  • Chromecast, AirPlay et autres appareils de streaming locaux.
  • Interfaces d’administration de la box ou du routeur.
  • Appareils domotiques/IoT, caméras et serveurs de développement locaux.
  • Jeux multijoueurs sur le réseau local.

Ce que cela change niveau sécurité

L’option crée une exception dans le pare-feu de Mullvad pour les plages d’adresses IP privées, par exemple 192.168.0.0/16, 10.0.0.0/8 ou 172.16.0.0/12. Votre trafic Internet continue normalement de passer par le tunnel Mullvad ; ce sont les communications vers le LAN qui sont permises.

Cela réduit l’isolement de votre appareil : sur un Wi‑Fi public ou un réseau domestique partagé, d’autres appareils du même réseau peuvent potentiellement vous joindre, selon leur configuration et les services exposés sur votre machine.
Mullvad recommande donc de laisser cette option désactivée par défaut et de l’activer seulement sur un réseau de confiance, puis de la désactiver en sortant de chez vous.

Quand l’activer?

Activez-la si, VPN connecté, vous devez accéder à :

  • Votre NAS ou vos dossiers partagés.
  • Une imprimante réseau.
  • L’interface de votre box/routeur.
  • Un serveur local ou un appareil domotique.

Points d’attention

  • Le réglage se trouve dans Préférences de l’application Mullvad, sous « Local network sharing ».
  • La modification s’applique immédiatement, sans nécessiter de reconnexion au VPN.
  • Avec le mode Lockdown, activer le partage LAN est nécessaire si vous voulez conserver l’accès aux périphériques locaux ; sinon, le trafic LAN est bloqué.
  • Sur Android, des limitations de la plateforme peuvent faire que du trafic LAN entrant reste possible même lorsque l’option est désactivée ; c’est un comportement signalé dans le projet Mullvad.

En pratique : activez Lan sharing uniquement lorsque vous êtes sur votre réseau domestique ou un réseau local fiable, et désactivez-le sur les Wi‑Fi publics

Mullvad imprimante

Avec l’activation du Lan sharing les opérations qui suivent ne sont pas nécessaire

Si le VPN Mullvad est actif sur le portable connecté au réseau Cudy, imprimante non détectée

1
2
3

[yano@e6230 ~]$ ip route get 192.168.0.34
192.168.0.34 dev wg0-mullvad table 1836018789 src 10.141.101.252 uid 1000 
    cache

Hors VPN, imprimante est reconnue

1
2
3

[yano@e6230 ~]$ ip route get 192.168.0.34
192.168.0.34 via 192.168.10.1 dev wlan0 src 192.168.10.90 uid 1000 
    cache

Le blocage vient du fait que l’imprimante est dans un autre sous-réseau. Le partage LAN de Mullvad autorise le réseau local directement connecté, mais ne détourne pas forcément 192.168.0.0/24 du tunnel VPN. Votre ip route get le confirme : cette destination est encore envoyée dans la table Mullvad.

Pour tester une route d’exception temporaire vers la Freebox, utilisez la table 1836018789 indiquée par votre sortie :

1
2

sudo ip route replace 192.168.0.0/24 \
  via 192.168.10.1 dev wlan0 table 1836018789

Puis vérifiez :

1

ip route get 192.168.0.34

Réponse

1
2

192.168.0.34 via 192.168.10.1 dev wlan0 table 1836018789 src 192.168.10.90 uid 1000 
    cache

Test suivant

1

nc -vz -w 3 192.168.0.34 631

Connection to 192.168.0.34 631 port [tcp/ipp] succeeded!

Si la route fonctionne, ip route get devrait indiquer la passerelle 192.168.10.1 et l’interface wlan0, plutôt que wg0-mullvad. Cette modification de table est temporaire : Mullvad peut la remplacer lors d’une reconnexion ou d’un redémarrage.

Avec Mullvad, ajouter seulement une route dans sa table ne suffit pas toujours. Mullvad filtre aussi le trafic par marquage. Sa documentation Linux prévoit une règle nftables pour exclure une adresse IP précise du tunnel.

Pour ne sortir du VPN que le trafic destiné à l’imprimante 192.168.0.34, créez le fichier :

1

sudo nano /etc/mullvad-printer.nft

Mettez-y :

table inet excludePrinter {
    chain excludeOutgoing {
        type route hook output priority 0; policy accept;
        ip daddr 192.168.0.34 ct mark set 0x00000f41 meta mark set 0x6d6f6c65
    }
}

Créez ensuite un service systemd qui charge cette règle au démarrage :

1

sudo nano /etc/systemd/system/mullvad-printer-route.service

Contenu :

1
2
3
4
5
6
7
8
9
10
11
12

[Unit]
Description=Exclure imprimante du tunnel Mullvad
Wants=network-online.target
After=network-online.target mullvad-daemon.service

[Service]
Type=oneshot
ExecStart=/usr/bin/nft -f /etc/mullvad-printer.nft
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target

Activez-le et démarrez-le :

1
2

sudo systemctl daemon-reload
sudo systemctl enable --now mullvad-printer-route.service

Vérifiez que la règle est chargée, puis testez IPP :

1
2

sudo nft list table inet excludePrinter
nc -vz -w 3 192.168.0.34 631

La règle ne fait sortir du VPN que le trafic vers cette IP, pas tout le réseau Freebox. Si l’adresse réservée de l’imprimante change, il faudra modifier 192.168.0.34 dans le fichier puis redémarrer le service.