NordVPN på Linux blokerer LAN: tilladelsesliste og DNS

Alt ser normalt ud, indtil du prøver at nå noget på dit eget skrivebord. Tunnelen er oppe, siderne indlæses, og netværksdrevet timeouter. Afbryd forbindelsen, og drevet er tilbage, før du har talt færdig, hvilket fortæller dig mere end nogen log: klienten afviser bevidst trafik, der ikke går ind i tunnelen, og dit lokale netværk er på den forkerte side af den grænse.

Kill switchen gør sit arbejde

En kill switch findes for at forhindre trafik i at slippe ud, når tunnelen ikke er tilgængelig. Private adresseområder tæller som trafik, der ikke går ind i tunnelen, så en streng implementering blokerer dem sammen med alt andet. Det er ikke en fejl i den betydning, folk mener, når de indsender rapporten.

Læs først klientens eget syn. Én kommando udskriver de aktuelle indstillinger, og en anden viser de firewall-objekter, klienten har oprettet. Du leder efter et drop eller reject, der vises før nogen tunnel-undtagelse, for det er netop den rækkefølge, der gør det lokale netværk utilgængeligt.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Kør derefter én test, der deler problemet på midten. Nå enheden via adresse, og nå den via navn. Adresse virker, og navn fejler, betyder, at firewallaen er uskyldig, og opløseren ikke er. Begge fejler, betyder, at firewallaen afviser pakken, og resten af denne artikel gælder.

Tilladelsesliste: vælg posttypen efter symptomet

Klienten tilbyder en tilladelsesliste med tre slags poster, og at vælge den rigtige slags er det meste af arbejdet. Et subnet dækker værter. En port dækker én tjeneste uanset destination. En multicast-gruppe dækker opdagelsestrafik, som er en anden form for trafik end noget, der er adresseret til en enkelt vært.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Opdagelsesfejl overrasker folk, fordi en printer eller medieserver kan findes via en gruppeadresseret forespørgsel i stedet for et opslag af dens egen adresse. At tilføje værtens subnet dækker ikke automatisk den gruppe, så enheden forbliver usynlig, mens dens webside indlæses fint, når du skriver adressen.

Hold undtagelsen så smal, som symptomet tillader. Et bredt præfiks, der er skrevet én gang, glemmes i årevis, og ingen kan senere forklare, hvilke maskiner det skulle lukke ind. Slet poster, når det projekt, der havde brug for dem, slutter, og kontrollér, hvad der er tilbage efter en opdatering.

Nyere builds har også én indstilling til LAN-opdagelse. Den er praktisk, og den interagerer med tilladelseslisten i stedet for at lægge sig oven på den: at slå den til kan rydde eksisterende poster for private subnets, og en manuel regel for private subnets kan blive afvist, så længe den er slået til.

Værtsnavne kræver en særskilt beslutning

At tillade et subnet genskaber forbindelse via adresse og lader navngivningen være urørt. Lokale værtsnavne sendes stadig til den opløser, klienten konfigurerede, da tunnelen kom op, så et navn, der før blev opløst, nu ikke returnerer noget.

At pege klienten mod routerens opløser retter det i ét trin og ændrer stille det, du købte. Hvert opslag, ikke kun lokale, går derefter gennem routeren, så tunnelen beskytter ikke længere den del af din browsing, der røber hensigter.

Den smallere rute beholder tunnelopløseren og tilføjer de få navne, der betyder noget, enten som søgedomæne eller som individuelle poster. Det koster mere opmærksomhed og bevarer den egenskab, du betalte for.

Kontrollér resultatet med et systemopløserkald i stedet for en browser. Browsere kører i stigende grad deres egen krypterede opløsning og svarer gerne fra en vej, din shell aldrig bruger, så adresselinjen kan se sund ud, mens systemopløseren stadig er i stykker.

Installationsproblemet, der kommer først

En pæn del af disse rapporter når aldrig firewallaen, fordi kommandoen slet ikke er der. Leverandørens bootstrap-pakke registrerer et repository og en signeringsnøgle. Den installerer ikke klienten, så en manglende kommando lige bagefter er det forventede resultat snarere end en fejl.

Opdater pakkelisterne, og installer ved navn. Hvis pakkehåndteringen klager over en manglende offentlig nøgle, er nøglen ikke landet, hvor den leder efter den, og rettelsen er at placere den der, før du opdaterer igen.

Hvis repositoryets værtsnavn opløses til en privat adresse, så stop og læs det resultat to gange. Du kører måske allerede en tunnel, hvis opløser svarer på offentlige navne, og et nyt installationsforsøg vil producere den samme meddelelse i det uendelige.

Skriv det ned, før du lukker låget

Fastslå, at tunnelen er det eneste, der er ændret, og tillad derefter den mindste ting, der genskaber symptomet. Hold navngivning som sin egen beslutning med sin egen note.

Notér, hvilken undtagelse der findes for hvilken enhed, og hvem der bad om den. Et lokalt netværk, der kun virker, fordi nogen skrev et bredt præfiks, er en beslutning, der allerede har overlevet grunden til den.

Test igen, efter klienten opdateres. Firewallopsætningen ændrer sig mellem versioner, og sidste måneds tilladelsesliste er ikke et faktum om denne måned.