NordVPN লিনাক্সে LAN ব্লক করে: অনুমোদন তালিকা ও DNS

সবকিছু স্বাভাবিক মনে হয় যতক্ষণ না আপনি নিজের ডেস্কে কিছুতে পৌঁছানোর চেষ্টা করেন। টানেল চালু আছে, পেজ লোড হয়, কিন্তু নেটওয়ার্ক ড্রাইভ সাড়া দেয় না। সংযোগ কেটে দিলে বাক্যটি শেষ করার আগেই ড্রাইভ ফিরে আসে, যা যেকোনো লগের চেয়ে বেশি বলে: ক্লায়েন্ট সচেতনভাবেই এমন ট্রাফিক প্রত্যাখ্যান করছে যা টানেলে ঢোকে না, আর আপনার লোকাল নেটওয়ার্ক সেই রেখার ভুল পাশে আছে।

কিল সুইচ তার কাজ করছে

টানেল অনুপলব্ধ থাকলে ট্রাফিক বেরিয়ে যাওয়া আটকানোর জন্যই কিল সুইচ থাকে। প্রাইভেট অ্যাড্রেস রেঞ্জ এমন ট্রাফিক হিসেবে গণ্য হয় যা টানেলে ঢোকে না, তাই কঠোর বাস্তবায়ন সেগুলোকে অন্য সবকিছুর সঙ্গে ব্লক করে। মানুষ রিপোর্ট জমা দেওয়ার সময় যে অর্থে বাগ বোঝায়, সেটি এ নয়।

প্রথমে ক্লায়েন্টের নিজস্ব দৃষ্টিভঙ্গি পড়ুন। একটি কমান্ড বর্তমান সেটিংস ছাপে, আর দ্বিতীয়টি ক্লায়েন্ট যে ফায়ারওয়াল অবজেক্ট তৈরি করেছে তা দেখায়। আপনি এমন ড্রপ বা রিজেক্ট খুঁজছেন যা যেকোনো টানেল ব্যতিক্রমের আগে আসে, কারণ এই ক্রমটাই লোকাল নেটওয়ার্ককে অপ্রাপ্য করে তোলে।

nordvpn settings
sudo nft list ruleset
sudo iptables -S

তারপর একটি পরীক্ষা চালান যা সমস্যাটিকে দুই ভাগে ভাগ করে। অ্যাড্রেস দিয়ে ডিভাইসে পৌঁছান, তারপর নাম দিয়ে পৌঁছান। অ্যাড্রেস কাজ করে আর নাম ব্যর্থ হয় মানে ফায়ারওয়াল নির্দোষ এবং রিজলভার নয়। দুটোই ব্যর্থ হলে ফায়ারওয়াল প্যাকেট প্রত্যাখ্যান করছে, এবং এই নিবন্ধের বাকি অংশ প্রযোজ্য।

অনুমোদন তালিকা: উপসর্গ অনুযায়ী এন্ট্রির ধরন বাছুন

ক্লায়েন্ট তিন ধরনের এন্ট্রিসহ একটি অনুমোদন তালিকা দেয়, আর সঠিক ধরন বাছাই করাই কাজের বড় অংশ। একটি সাবনেট হোস্ট কভার করে। একটি পোর্ট গন্তব্য নির্বিশেষে একটি পরিষেবা কভার করে। একটি মাল্টিকাস্ট গ্রুপ ডিসকভারি ট্রাফিক কভার করে, যা একক হোস্টে ঠিকানা করা যেকোনো কিছুর চেয়ে ভিন্ন আকারের ট্রাফিক।

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

ডিসকভারি ব্যর্থতা মানুষকে অবাক করে, কারণ প্রিন্টার বা মিডিয়া সার্ভার তার নিজের অ্যাড্রেস খোঁজার বদলে গ্রুপ-ঠিকানার কোয়েরি দিয়ে পাওয়া যেতে পারে। হোস্টের সাবনেট যোগ করা স্বয়ংক্রিয়ভাবে সেই গ্রুপ কভার করে না, তাই ডিভাইসটি অদৃশ্য থাকে, যদিও অ্যাড্রেস টাইপ করলে তার ওয়েব পেজ ভালো লোড হয়।

উপসর্গ যতটা অনুমতি দেয় ততটা সংকীর্ণ রাখুন ব্যতিক্রমটি। একবার টাইপ করা প্রশস্ত প্রিফিক্স বছরের পর বছর ভুলে থাকে, আর পরে কেউ ব্যাখ্যা করতে পারে না কোন মেশিনগুলোকে ঢোকার অনুমতি দেওয়ার কথা ছিল। যে প্রকল্পের জন্য এন্ট্রি দরকার ছিল তা শেষ হলে সেগুলো মুছুন, এবং আপডেটের পরে কী থাকে তা পরীক্ষা করুন।

সাম্প্রতিক বিল্ডগুলো একটি একক LAN ডিসকভারি সেটিংও দেখায়। এটি সুবিধাজনক, এবং এটি অনুমোদন তালিকার ওপর স্তূপ না করে তার সঙ্গে আন্তঃক্রিয়া করে: এটি চালু করলে বিদ্যমান প্রাইভেট সাবনেট এন্ট্রি মুছে যেতে পারে, আর এটি চালু থাকা অবস্থায় ম্যানুয়াল প্রাইভেট সাবনেট নিয়ম প্রত্যাখ্যাত হতে পারে।

হোস্টনেমের জন্য আলাদা সিদ্ধান্ত দরকার

সাবনেট অনুমোদন করলে অ্যাড্রেস দিয়ে সংযোগ ফিরে আসে এবং নামকরণ অপরিবর্তিত থাকে। লোকাল হোস্টনেম এখনও টানেল ওঠার সময় ক্লায়েন্ট যে রিজলভার কনফিগার করেছে সেখানে পাঠানো হয়, তাই আগে যে নাম রিজলভ হতো এখন কিছুই ফেরায় না।

ক্লায়েন্টকে রাউটারের রিজলভারের দিকে নির্দেশ করলে এটি এক ধাপে ঠিক হয় এবং আপনি কী কিনেছেন তা নিঃশব্দে বদলে দেয়। তখন প্রতিটি লুকআপ, কেবল লোকাল নয়, রাউটার দিয়ে বেরোয়, তাই টানেল আর আপনার ব্রাউজিংয়ের সেই অংশ রক্ষা করে না যা উদ্দেশ্য ফাঁস করে।

সংকীর্ণ পথটি টানেল রিজলভার রাখে এবং গুরুত্বপূর্ণ কয়েকটি নাম যোগ করে, হয় সার্চ ডোমেইন হিসেবে বা আলাদা এন্ট্রি হিসেবে। এটি বেশি মনোযোগ দাবি করে এবং আপনি যে বৈশিষ্ট্যের জন্য টাকা দিয়েছেন তা সংরক্ষণ করে।

ফলাফলটি ব্রাউজার দিয়ে নয়, সিস্টেম রিজলভার কল দিয়ে পরীক্ষা করুন। ব্রাউজারগুলো ক্রমশ নিজেদের এনক্রিপ্টেড রিজলিউশন চালায় এবং আপনার শেল কখনো যে পথ ব্যবহার করে না সেখান থেকেই আনন্দে উত্তর দেয়, তাই অ্যাড্রেস বার সুস্থ দেখাতে পারে অথচ সিস্টেম রিজলভার এখনও ভাঙা।

যে ইনস্টল সমস্যাটি আগে আসে

এই রিপোর্টের যথেষ্ট অংশ ফায়ারওয়াল পর্যন্ত পৌঁছায়ই না, কারণ কমান্ডটাই নেই। ভেন্ডরের বুটস্ট্র্যাপ প্যাকেজ একটি রিপোজিটরি আর একটি সাইনিং কী নিবন্ধন করে। এটি ক্লায়েন্ট ইনস্টল করে না, তাই ঠিক তার পরেই কমান্ড অনুপস্থিত থাকা ব্যর্থতা নয় বরং প্রত্যাশিত ফল।

প্যাকেজ তালিকা রিফ্রেশ করুন এবং নাম দিয়ে ইনস্টল করুন। প্যাকেজ ম্যানেজার অনুপস্থিত পাবলিক কী নিয়ে অভিযোগ করলে, কীটি যে জায়গায় খোঁজা হয় সেখানে পৌঁছায়নি, আর ঠিক করা হলো আবার রিফ্রেশ করার আগে সেখানে এটি রেখে দেওয়া।

রিপোজিটরির হোস্টনেম প্রাইভেট অ্যাড্রেসে রিজলভ হলে থামুন এবং সেই ফলটি দুবার পড়ুন। আপনি হয়তো ইতিমধ্যেই এমন টানেল চালাচ্ছেন যার রিজলভার পাবলিক নামের উত্তর দিচ্ছে, এবং ইনস্টল আবার চেষ্টা করলে একই বার্তা অনন্তকাল আসবে।

ঢাকনা বন্ধ করার আগে লিখে রাখুন

নিশ্চিত করুন যে কেবল টানেলই বদলেছে, তারপর উপসর্গ ফেরানো সবচেয়ে ছোট জিনিসটির অনুমতি দিন। নামকরণকে নিজস্ব নোটসহ আলাদা সিদ্ধান্ত হিসেবে রাখুন।

কোন ব্যতিক্রম কোন ডিভাইসের জন্য আছে এবং কে চেয়েছিল তা লিখে রাখুন। যে লোকাল নেটওয়ার্ক কেবল কাজ করে কারণ কেউ একটি প্রশস্ত প্রিফিক্স টাইপ করেছিল, সেটি এমন সিদ্ধান্ত যা ইতিমধ্যেই তার কারণকে ছাড়িয়ে গেছে।

ক্লায়েন্ট আপডেটের পরে আবার পরীক্ষা করুন। ফায়ারওয়ালের বিন্যাস সংস্করণের মধ্যে বদলায়, আর গত মাসের অনুমোদন তালিকা এই মাসের কোনো সত্য নয়।