NordVPN Linuxis blokeerib LAN-i: lubatud loend ja DNS

Kõik tundub normaalne, kuni proovite jõuda millegini oma laual. Tunnel on üleval, lehed laadivad ja võrguketas lõpetab vastamise. Katkestage ühendus ja ketas on tagasi enne, kui jõuate lause lõpetada, mis ütleb teile rohkem kui ükski logi: klient keeldub teadlikult liiklusest, mis tunnelisse ei sisene, ja teie kohalik võrk on selle piiri valel poolel.

Kill-switch teeb oma tööd

Kill-switch on selleks, et takistada liiklust põgenemast, kui tunnel pole saadaval. Privaatsed aadressivahemikud loetakse liikluseks, mis tunnelisse ei sisene, nii et range teostus blokeerib need koos kõige muuga. See pole viga selles tähenduses, mida inimesed raportit esitades silmas peavad.

Lugege kõigepealt kliendi enda vaadet. Üks käsk prindib praegused seaded ja teine näitab tulemüüri objekte, mille klient lõi. Otsite drop'i või reject'i, mis ilmub enne mis tahes tunneli erandit, sest just see järjekord teeb kohaliku võrgu kättesaamatuks.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Seejärel tehke üks test, mis jagab probleemi pooleks. Jõudke seadmeni aadressi järgi ja seejärel nime järgi. Aadress töötab ja nimi ebaõnnestub tähendab, et tulemüür on süütu ja resolver mitte. Mõlemad ebaõnnestuvad tähendab, et tulemüür keeldub paketist ja ülejäänud artikkel kehtib.

Lubatud loend: valige sümptomi järgi kirje tüüp

Klient pakub lubatud loendit kolme tüüpi kirjetega ja õige tüübi valimine on suurem osa tööst. Alamvõrk katab hostid. Port katab ühe teenuse sõltumata sihtkohast. Multicast-grupp katab avastusliiklust, mis on erineva kujuga liiklus kui miski, mis on adresseeritud ühele hostile.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Avastuse tõrked üllatavad inimesi, sest printeri või meediaserveri võib leida grupile adresseeritud päringuga, mitte selle enda aadressi otsinguga. Hostile alamvõrgu lisamine ei kata seda gruppi automaatselt, nii et seade jääb nähtamatuks, samal ajal kui selle veebileht laadib aadressi sisestades hästi.

Hoidke erand nii kitsas, kui sümptom lubab. Üks kord sisestatud lai prefiks ununeb aastateks ja keegi ei suuda hiljem selgitada, milliseid masinaid see pidi sisse laskma. Kustutage kirjed, kui neid vajanud projekt lõpeb, ja kontrollige, mis jääb alles pärast uuendust.

Viimased buildid pakuvad ka üht LAN-avastuse seadet. See on mugav ja see mõjutab lubatud loendit, mitte ei kuhju selle peale: selle sisselülitamine võib kustutada olemasolevad privaatse alamvõrgu kirjed ja käsitsi privaatse alamvõrgu reegel võib tagasi lükata, kuni see on sisse lülitatud.

Hostinimed vajavad eraldi otsust

Alamvõrgu lubamine taastab ühenduvuse aadressi järgi ja jätab nimetamise puutumata. Kohalikud hostinimed saadetakse endiselt sellele resolverile, mille klient seadis tunneli püstitamisel, nii et nimi, mis varem lahenes, ei tagasta nüüd midagi.

Kliendi suunamine ruuteri resolverile parandab selle ühe sammuga ja muudab vaikselt seda, mille te ostsite. Siis väljub iga otsing, mitte ainult kohalik, ruuteri kaudu, nii et tunnel ei kaitse enam seda osa teie sirvimisest, mis paljastab kavatsusi.

Kitsam tee hoiab tunneli resolveri ja lisab need vähesed nimed, mis loevad, kas otsingudomeenina või üksikute kirjetena. See nõuab rohkem tähelepanu ja säilitab omaduse, mille eest te maksite.

Kontrollige tulemust süsteemi resolveri kutsega, mitte brauseriga. Brauserid käivitavad üha sagedamini oma krüpteeritud lahenduse ja vastavad hea meelega teel, mida teie kest kunagi ei kasuta, nii et aadressiriba võib tunduda terve, samal ajal kui süsteemi resolver on endiselt katki.

Paigaldusprobleem, mis tuleb esimesena

Märkimisväärne osa neist raportitest ei jõua kunagi tulemüüri, sest käsku pole lihtsalt olemas. Tarnija alglaadimispakett registreerib hoidla ja allkirjavõtme. See ei paigalda klienti, nii et kohe pärast seda puuduv käsk on oodatud tulemus, mitte tõrge.

Värskendage paketiloendeid ja paigaldage nime järgi. Kui paketihaldur kurdab puuduva avaliku võtme üle, ei ole võti maandunud sinna, kust see seda otsib, ja parandus on panna see sinna enne uuesti värskendamist.

Kui hoidla hostinimi laheneb privaatseks aadressiks, peatuge ja lugege seda tulemust kaks korda. Võib-olla juba käitate tunnelit, mille resolver vastab avalike nimede eest, ja paigalduse uus katse annab sama sõnumi lõputult.

Kirjutage see üles enne kaane sulgemist

Tehke kindlaks, et tunnel on ainus, mis muutus, ja seejärel lubage kõige väiksem asi, mis sümptomi taastab. Hoidke nimetamist omaette otsusena koos oma märkusega.

Märkige üles, milline erand on millise seadme jaoks ja kes seda palus. Kohalik võrk, mis töötab ainult sellepärast, et keegi sisestas laia prefiksi, on otsus, mis on oma põhjuse juba üle elanud.

Testige uuesti pärast kliendi uuendamist. Tulemüüri paigutus muutub versioonide vahel ja eelmise kuu lubatud loend ei ole fakt selle kuu kohta.