NordVPN na Linuxu blokira LAN: lista dozvola i DNS

Sve izgleda normalno dok ne pokušate doći do nečega na vlastitom stolu. Tunel je podignut, stranice se učitavaju, a mrežni disk prestaje odgovarati. Prekinite vezu i disk se vraća prije nego što dovršite rečenicu, što vam kaže više od bilo kojeg dnevnika: klijent namjerno odbija promet koji ne ulazi u tunel, a vaša lokalna mreža je na pogrešnoj strani te granice.

Prekidač radi svoj posao

Prekidač postoji da spriječi bijeg prometa kada tunel nije dostupan. Privatni rasponi adresa računaju se kao promet koji ne ulazi u tunel, pa ih stroga implementacija blokira zajedno sa svim ostalim. To nije greška u smislu koji ljudi imaju na umu kada podnose prijavu.

Najprije pročitajte vlastiti pogled klijenta. Jedna naredba ispisuje trenutne postavke, a druga prikazuje objekte vatrozida koje je klijent stvorio. Tražite odbacivanje ili odbijanje koje se pojavljuje prije bilo kakvog izuzetka za tunel, jer upravo taj redoslijed čini lokalnu mrežu nedostupnom.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Zatim izvedite jedan test koji problem dijeli na pola. Dođite do uređaja po adresi, a zatim po imenu. Adresa radi, a ime ne — vatrozid je nevin, a razrješivač nije. Oboje ne radi — vatrozid odbija paket i ostatak ovog članka se primjenjuje.

Lista dozvola: odaberite vrstu unosa prema simptomu

Klijent nudi listu dozvola s tri vrste unosa, a odabir prave vrste je veći dio posla. Podmreža pokriva hostove. Port pokriva jednu uslugu bez obzira na odredište. Multicast grupa pokriva promet otkrivanja, a to je drukčiji oblik prometa od svega što je upućeno jednom hostu.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Neuspjesi otkrivanja iznenade ljude jer se pisač ili medijski poslužitelj može pronaći upitom upućenim grupi, a ne traženjem vlastite adrese. Dodavanje podmreže hosta ne pokriva automatski tu grupu, pa uređaj ostaje nevidljiv dok se njegova web stranica lijepo učitava kada upišete adresu.

Držite izuzetak uskim koliko simptom dopušta. Širok prefiks upisan jednom zaboravi se godinama i nitko kasnije ne može objasniti kojim je strojevima trebao dopustiti pristup. Brišite unose kada projekt kojemu su trebali završi i provjerite što ostaje nakon ažuriranja.

Novije verzije također izlažu jednu postavku za otkrivanje na LAN-u. Zgodna je i djeluje s listom dozvola umjesto da se slaže povrh nje: uključivanje može obrisati postojeće unose za privatne podmreže, a ručno pravilo za privatnu podmrežu može biti odbijeno dok je uključena.

Imena hostova traže zasebnu odluku

Dopuštanje podmreže vraća povezivost po adresi i ostavlja imenovanje netaknutim. Lokalna imena hostova i dalje se šalju onom razrješivaču koji je klijent postavio kad se tunel podigao, pa ime koje se prije razrješavalo sada ne vraća ništa.

Usmjeravanje klijenta na razrješivač usmjerivača to popravlja u jednom koraku i tiho mijenja ono što ste kupili. Tada svako traženje, ne samo lokalno, izlazi kroz usmjerivač, pa tunel više ne štiti onaj dio vašeg pregledavanja koji odaje namjere.

Uži put zadržava tunelski razrješivač i dodaje nekoliko važnih imena, bilo kao domenu pretraživanja bilo kao pojedinačne unose. Traži više pažnje i čuva svojstvo koje ste platili.

Provjerite rezultat pozivom sistemskog razrješivača, a ne preglednikom. Preglednici sve više pokreću vlastito šifrirano razrješavanje i rado odgovaraju putem kojim vaša ljuska nikada ne ide, pa adresna traka može izgledati zdravo dok je sistemski razrješivač još pokvaren.

Problem s instalacijom koji dolazi prvi

Znatan dio ovih prijava nikada ne stigne do vatrozida jer naredbe jednostavno nema. Početni paket dobavljača registrira repozitorij i ključ za potpisivanje. On ne instalira klijenta, pa je naredba koja odmah nakon toga nedostaje očekivani ishod, a ne kvar.

Osvježite popise paketa i instalirajte po imenu. Ako se upravitelj paketa žali na javni ključ koji nedostaje, ključ nije dospio tamo gdje ga traži, a popravak je staviti ga ondje prije ponovnog osvježavanja.

Ako se ime hosta repozitorija razrješava na privatnu adresu, zaustavite se i pročitajte taj rezultat dvaput. Možda već vodite tunel čiji razrješivač odgovara za javna imena, a ponovni pokušaj instalacije davat će istu poruku u nedogled.

Zapišite to prije nego što zatvorite poklopac

Utvrdite da je tunel jedino što se promijenilo, pa dopustite najmanju stvar koja vraća simptom. Držite imenovanje kao zasebnu odluku s vlastitom bilješkom.

Zabilježite koji izuzetak postoji za koji uređaj i ko je to tražio. Lokalna mreža koja radi samo zato što je netko upisao širok prefiks odluka je koja je već nadživjela svoj razlog.

Ponovno testirajte nakon ažuriranja klijenta. Raspored vatrozida mijenja se između izdanja, a prošlomjesečna lista dozvola nije činjenica o ovom mjesecu.