Το NordVPN στο Linux μπλοκάρει το LAN: λίστα επιτρεπόμενων και DNS

Όλα φαίνονται φυσιολογικά μέχρι να προσπαθήσετε να φτάσετε κάτι στο δικό σας γραφείο. Το τούνελ είναι ενεργό, οι σελίδες φορτώνουν και ο δίσκος δικτύου λήγει. Αποσυνδεθείτε και ο δίσκος επιστρέφει πριν ολοκληρώσετε την πρόταση, κάτι που σας λέει περισσότερα από κάθε αρχείο καταγραφής: ο πελάτης αρνείται σκόπιμα την κίνηση που δεν εισέρχεται στο τούνελ, και το τοπικό σας δίκτυο βρίσκεται στη λάθος πλευρά αυτής της γραμμής.

Ο διακόπτης ασφαλείας κάνει τη δουλειά του

Ένας διακόπτης ασφαλείας υπάρχει για να εμποδίζει την κίνηση να διαφύγει όταν το τούνελ δεν είναι διαθέσιμο. Οι ιδιωτικές περιοχές διευθύνσεων θεωρούνται κίνηση που δεν εισέρχεται στο τούνελ, οπότε μια αυστηρή υλοποίηση τις μπλοκάρει μαζί με όλα τα υπόλοιπα. Αυτό δεν είναι σφάλμα με την έννοια που εννοούν οι άνθρωποι όταν υποβάλλουν την αναφορά.

Διαβάστε πρώτα τη δική του άποψη του πελάτη. Μια εντολή εκτυπώνει τις τρέχουσες ρυθμίσεις και μια δεύτερη δείχνει τα αντικείμενα τείχους προστασίας που δημιούργησε ο πελάτης. Ψάχνετε για απόρριψη ή άρνηση που εμφανίζεται πριν από οποιαδήποτε εξαίρεση του τούνελ, γιατί αυτή η σειρά είναι που καθιστά το τοπικό δίκτυο μη προσβάσιμο.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Στη συνέχεια εκτελέστε μια δοκιμή που χωρίζει το πρόβλημα στη μέση. Φτάστε τη συσκευή με διεύθυνση και μετά με όνομα. Η διεύθυνση λειτουργεί και το όνομα αποτυγχάνει σημαίνει ότι το τείχος προστασίας είναι αθώο και ο επιλυτής όχι. Αν αποτύχουν και τα δύο, το τείχος προστασίας απορρίπτει το πακέτο και το υπόλοιπο άρθρο ισχύει.

Λίστα επιτρεπόμενων: διαλέξτε τον τύπο καταχώρισης με βάση το σύμπτωμα

Ο πελάτης προσφέρει λίστα επιτρεπόμενων με τρεις τύπους καταχωρίσεων, και η επιλογή του σωστού τύπου είναι το μεγαλύτερο μέρος της δουλειάς. Ένα υποδίκτυο καλύπτει κεντρικούς υπολογιστές. Μια θύρα καλύπτει μία υπηρεσία ανεξάρτητα από τον προορισμό. Μια ομάδα multicast καλύπτει κίνηση ανακάλυψης, που είναι διαφορετική μορφή κίνησης από οτιδήποτε απευθύνεται σε έναν μόνο κεντρικό υπολογιστή.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Οι αποτυχίες ανακάλυψης ξαφνιάζουν τον κόσμο επειδή ένας εκτυπωτής ή διακομιστής πολυμέσων μπορεί να βρεθεί με ερώτημα που απευθύνεται σε ομάδα αντί με αναζήτηση της δικής του διεύθυνσης. Η προσθήκη του υποδικτύου του κεντρικού υπολογιστή δεν καλύπτει αυτόματα αυτή την ομάδα, οπότε η συσκευή παραμένει αόρατη ενώ η ιστοσελίδα της φορτώνει καλά όταν πληκτρολογείτε τη διεύθυνση.

Κρατήστε την εξαίρεση τόσο στενή όσο επιτρέπει το σύμπτωμα. Ένα ευρύ πρόθεμα που πληκτρολογήθηκε μία φορά ξεχνιέται για χρόνια και κανείς δεν μπορεί αργότερα να εξηγήσει ποιες μηχανές έπρεπε να δεχτεί. Διαγράψτε καταχωρίσεις όταν τελειώσει το έργο που τις χρειαζόταν και ελέγξτε τι απομένει μετά από ενημέρωση.

Οι πρόσφατες εκδόσεις εκθέτουν επίσης μία μόνο ρύθμιση ανακάλυψης LAN. Είναι βολική και αλληλεπιδρά με τη λίστα επιτρεπόμενων αντί να στοιβάζεται πάνω της: η ενεργοποίησή της μπορεί να διαγράψει υπάρχουσες καταχωρίσεις ιδιωτικών υποδικτύων, και ένας χειροκίνητος κανόνας ιδιωτικού υποδικτύου μπορεί να απορριφθεί όσο αυτή παραμένει ενεργή.

Τα ονόματα κεντρικών υπολογιστών χρειάζονται ξεχωριστή απόφαση

Η άδεια σε ένα υποδίκτυο αποκαθιστά τη συνδεσιμότητα με διεύθυνση και αφήνει την ονοματοδοσία άθικτη. Τα τοπικά ονόματα κεντρικών υπολογιστών εξακολουθούν να στέλνονται στον επιλυτή που διαμόρφωσε ο πελάτης όταν σηκώθηκε το τούνελ, οπότε ένα όνομα που παλιότερα επιλυόταν τώρα δεν επιστρέφει τίποτα.

Το να στρέψετε τον πελάτη στον επιλυτή του δρομολογητή το διορθώνει σε ένα βήμα και αλλάζει ήσυχα αυτό που αγοράσατε. Κάθε αναζήτηση, όχι μόνο οι τοπικές, βγαίνει τότε μέσω του δρομολογητή, οπότε το τούνελ δεν προστατεύει πλέον το μέρος της περιήγησής σας που αποκαλύπτει προθέσεις.

Η στενότερη διαδρομή κρατά τον επιλυτή του τούνελ και προσθέτει τα λίγα ονόματα που μετράνε, είτε ως τομέα αναζήτησης είτε ως μεμονωμένες καταχωρίσεις. Κοστίζει περισσότερη προσοχή και διατηρεί την ιδιότητα για την οποία πληρώσατε.

Ελέγξτε το αποτέλεσμα με κλήση του επιλυτή συστήματος αντί με πρόγραμμα περιήγησης. Τα προγράμματα περιήγησης τρέχουν όλο και περισσότερο τη δική τους κρυπτογραφημένη επίλυση και απαντούν ευχαρίστως από μια διαδρομή που το κέλυφός σας δεν χρησιμοποιεί ποτέ, οπότε η γραμμή διευθύνσεων μπορεί να φαίνεται υγιής ενώ ο επιλυτής συστήματος είναι ακόμη χαλασμένος.

Το πρόβλημα εγκατάστασης που έρχεται πρώτο

Ένα καλό μερίδιο από αυτές τις αναφορές δεν φτάνει ποτέ στο τείχος προστασίας, επειδή η εντολή απλώς δεν υπάρχει. Το πακέτο εκκίνησης του προμηθευτή καταχωρεί ένα αποθετήριο και ένα κλειδί υπογραφής. Δεν εγκαθιστά τον πελάτη, οπότε μια εντολή που λείπει αμέσως μετά είναι το αναμενόμενο αποτέλεσμα και όχι αποτυχία.

Ανανεώστε τις λίστες πακέτων και εγκαταστήστε με όνομα. Αν ο διαχειριστής πακέτων παραπονιέται για κλειδί δημόσιου κλειδιού που λείπει, το κλειδί δεν προσγειώθηκε εκεί που το ψάχνει, και η διόρθωση είναι να το τοποθετήσετε εκεί πριν ανανεώσετε ξανά.

Αν το όνομα κεντρικού υπολογιστή του αποθετηρίου επιλύεται σε ιδιωτική διεύθυνση, σταματήστε και διαβάστε αυτό το αποτέλεσμα δύο φορές. Μπορεί να τρέχετε ήδη τούνελ του οποίου ο επιλυτής απαντά για δημόσια ονόματα, και η επανάληψη της εγκατάστασης θα παράγει το ίδιο μήνυμα επ' άπειρον.

Γράψτε το πριν κλείσετε το καπάκι

Βεβαιωθείτε ότι το τούνελ είναι το μόνο που άλλαξε, και μετά επιτρέψτε το μικρότερο πράγμα που αποκαθιστά το σύμπτωμα. Κρατήστε την ονοματοδοσία ως δική της απόφαση με δική της σημείωση.

Καταγράψτε ποια εξαίρεση υπάρχει για ποια συσκευή και ποιος τη ζήτησε. Ένα τοπικό δίκτυο που λειτουργεί μόνο επειδή κάποιος πληκτρολόγησε ένα ευρύ πρόθεμα είναι μια απόφαση που έχει ήδη επιβιώσει από τον λόγο της.

Δοκιμάστε ξανά μετά την ενημέρωση του πελάτη. Η διάταξη του τείχους προστασίας αλλάζει μεταξύ εκδόσεων, και η λίστα επιτρεπόμενων του περασμένου μήνα δεν είναι γεγονός για αυτόν τον μήνα.