NordVPN op Linux blokkeer die LAN: toelaatlys en DNS

Alles lyk normaal totdat jy iets op jou eie lessenaar probeer bereik. Die tonnel is op, bladsye laai, en die netwerkry hou op antwoord. Ontkoppel en die ry is terug voordat jy die sin klaar gesê het, wat jou meer vertel as enige logboek: die kliënt weier doelbewus verkeer wat nie die tonnel binnegaan nie, en jou plaaslike netwerk is aan die verkeerde kant van daardie lyn.

Die doodskakelaar doen sy werk

’n Doodskakelaar bestaan om te keer dat verkeer ontsnap wanneer die tonnel onbeskikbaar is. Private adresreekse tel as verkeer wat nie die tonnel binnegaan nie, so ’n streng implementering blokkeer hulle saam met alles anders. Dit is nie ’n fout in die sin wat mense bedoel wanneer hulle die verslag indien nie.

Lees eers die kliënt se eie siening. Een opdrag druk die huidige instellings, en ’n tweede wys die vuurmuurobjekte wat die kliënt geskep het. Jy soek ’n blokkering of verwerping wat voor enige tonnel-uitsondering verskyn, want dit is daardie ordening wat die plaaslike netwerk onbereikbaar maak.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Voer dan een toets uit wat die probleem in twee verdeel. Bereik die toestel per adres, en bereik dit per naam. Adres werk en naam misluk beteken die vuurmuur is onskuldig en die oplosser nie. Albei misluk beteken die vuurmuur weier die pakket, en die res van hierdie artikel geld.

Toelaatlys: kies die tipe inskrywing volgens simptoom

Die kliënt bied ’n toelaatlys met drie soorte inskrywings, en om die regte soort te kies is die meeste van die werk. ’n Subnet dek gashere. ’n Poort dek een diens ongeag die bestemming. ’n Multidiffusiegroep dek ontdekkingsverkeer, wat ’n ander vorm van verkeer is as enigiets wat aan ’n enkele gasheer gerig is.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Ontdekkingsfoute vang mense uit omdat ’n drukker of mediabediener dalk deur ’n groepgerigte navraag gevind word eerder as deur ’n opsoek van sy eie adres. Om die gasheer se subnet by te voeg dek nie outomaties daardie groep nie, so die toestel bly onsigbaar terwyl sy webblad goed laai wanneer jy die adres tik.

Hou die uitsondering so smal as wat die simptoom toelaat. ’n Wye voorvoegsel wat een keer getik is, word jare lank vergeet, en niemand kan later verduidelik watter masjiene dit bedoel was om in te laat nie. Skrap inskrywings wanneer die projek wat hulle nodig gehad het eindig, en kyk wat oorbly ná ’n opdatering.

Onlangse weergawes bied ook ’n enkele instelling vir LAN-ontdekking. Dit is gerieflik, en dit werk saam met die toelaatlys eerder as om daarbo te stapel: om dit aan te skakel kan bestaande inskrywings vir privaat subnette skrap, en ’n handmatige reël vir ’n privaat subnet kan geweier word terwyl dit aangeskakel bly.

Gasheername verg ’n aparte besluit

Om ’n subnet toe te laat herstel verbinding per adres en laat naamgewing onaangeraak. Plaaslike gasheername word steeds na watter oplosser ook al gestuur wat die kliënt opgestel het toe die tonnel opgekom het, so ’n naam wat vroeër opgelos het, gee nou niks terug nie.

Om die kliënt na die router se oplosser te wys, regstel dit in een stap en verander stilweg wat jy gekoop het. Elke opsoek, nie net plaaslike nie, gaan dan deur die router, so die tonnel beskerm nie meer die deel van jou blaaiery wat bedoelings verraai nie.

Die smaller roete hou die tonnel-oplosser en voeg die paar name by wat saak maak, hetsy as ’n soekdomein of as individuele inskrywings. Dit kos meer aandag en bewaar die eienskap waarvoor jy betaal het.

Kontroleer die resultaat met ’n stelseloplosser-oproep eerder as met ’n blaaier. Blaaiers hardloop toenemend hul eie geënkripteerde oplossing en sal graag antwoord uit ’n pad wat jou dop nooit gebruik nie, so die adresbalk kan gesond lyk terwyl die stelseloplosser steeds stukkend is.

Die installasieprobleem wat eerste kom

’n Redelike deel van hierdie verslae bereik nooit die vuurmuur nie, want die opdrag is glad nie daar nie. Die verskaffer se opstartpakket registreer ’n bewaarplek en ’n ondertekeningsleutel. Dit installeer nie die kliënt nie, so ’n ontbrekende opdrag onmiddellik daarna is die verwagte uitkoms eerder as ’n mislukking.

Verfris die pakketlyste en installeer by naam. As die pakketbestuurder kla oor ’n ontbrekende openbare sleutel, het die sleutel nie beland waar hy daarvoor soek nie, en die regstelling is om dit daar te plaas voordat jy weer verfris.

As die bewaarplek se gasheernaam na ’n private adres oplos, stop en lees daardie resultaat twee keer. Jy hardloop dalk reeds ’n tonnel wie se oplosser vir openbare name antwoord, en om die installasie weer te probeer sal dieselfde boodskap onbepaald lewer.

Skryf dit neer voordat jy die deksel toemaak

Stel vas dat die tonnel die enigste ding is wat verander het, en laat dan die kleinste ding toe wat die simptoom herstel. Hou naamgewing as sy eie besluit met sy eie nota.

Teken aan watter uitsondering vir watter toestel bestaan en wie daarvoor gevra het. ’n Plaaslike netwerk wat net werk omdat iemand ’n wye voorvoegsel getik het, is ’n besluit wat die rede daarvoor al oorleef het.

Toets weer ná die kliënt opdateer. Vuurmuur-uitleg verander tussen weergawes, en verlede maand se toelaatlys is nie ’n feit oor hierdie maand nie.