NordVPN Linuxissa estää lähiverkon: sallittujen lista ja DNS

Kaikki näyttää normaalilta, kunnes yrität päästä johonkin omalla työpöydälläsi. Tunneli on pystyssä, sivut latautuvat ja verkkolevy aikakatkaisee. Katkaise yhteys ja levy on takaisin ennen kuin ehdit lopettaa lauseen, mikä kertoo sinulle enemmän kuin mikään loki: asiakas kieltäytyy tarkoituksella liikenteestä, joka ei mene tunneliin, ja paikallinen verkkosi on tuon rajan väärällä puolella.

Kill switch tekee tehtävänsä

Kill switch on olemassa estääkseen liikennettä karkaamasta, kun tunneli ei ole käytettävissä. Yksityiset osoitealueet lasketaan liikenteeksi, joka ei mene tunneliin, joten tiukka toteutus estää ne kaiken muun mukana. Tämä ei ole vika siinä merkityksessä, jonka ihmiset tarkoittavat jättäessään raportin.

Lue ensin asiakkaan oma näkemys. Yksi komento tulostaa nykyiset asetukset ja toinen näyttää palomuurin objektit, jotka asiakas loi. Etsit dropia tai rejectiä, joka ilmestyy ennen mitään tunnelipoikkeusta, sillä juuri tämä järjestys tekee paikallisesta verkosta tavoittamattoman.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Suorita sitten yksi testi, joka jakaa ongelman kahtia. Tavoita laite osoitteella ja sitten nimellä. Osoite toimii ja nimi epäonnistuu tarkoittaa, että palomuuri on syytön ja nimipalvelin ei. Molemmat epäonnistuvat tarkoittaa, että palomuuri hylkää paketin ja loput tästä artikkelista pätee.

Sallittujen lista: valitse merkinnän tyyppi oireen mukaan

Asiakas tarjoaa sallittujen listan, jossa on kolmenlaisia merkintöjä, ja oikean tyypin valitseminen on suurin osa työtä. Aliverkko kattaa isäntiä. Portti kattaa yhden palvelun kohteesta riippumatta. Multicast-ryhmä kattaa löytöliikennettä, joka on eri muotoista liikennettä kuin mikään yksittäiselle isännälle osoitettu.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Löytövirheet yllättävät ihmiset, koska tulostin tai mediapalvelin voidaan löytää ryhmälle osoitetulla kyselyllä eikä sen oman osoitteen haulla. Isännän aliverkon lisääminen ei kata tuota ryhmää automaattisesti, joten laite pysyy näkymättömänä, vaikka sen verkkosivu latautuu hyvin, kun kirjoitat osoitteen.

Pidä poikkeus niin kapeana kuin oire sallii. Kerran kirjoitettu leveä etuliite unohtuu vuosiksi, eikä kukaan voi myöhemmin selittää, mitkä koneet sen piti päästää sisään. Poista merkinnät, kun ne tarvinut projekti päättyy, ja tarkista, mitä päivityksen jälkeen jää jäljelle.

Uudet versiot tarjoavat myös yhden lähiverkon löytöasetuksen. Se on kätevä, ja se vaikuttaa sallittujen listaan sen sijaan että kerrostuisi sen päälle: sen päälle kytkeminen voi tyhjentää olemassa olevat yksityisen aliverkon merkinnät, ja manuaalinen yksityisen aliverkon sääntö voidaan hylätä, kun se pysyy päällä.

Isäntänimet vaativat erillisen päätöksen

Aliverkon salliminen palauttaa yhteyden osoitteella ja jättää nimeämisen koskemattomaksi. Paikalliset isäntänimet lähetetään edelleen sille nimipalvelimelle, jonka asiakas määritti, kun tunneli nousi, joten nimi, joka ennen selvisi, ei nyt palauta mitään.

Asiakkaan ohjaaminen reitittimen nimipalvelimelle korjaa tämän yhdessä vaiheessa ja muuttaa hiljaa sen, mitä ostit. Silloin jokainen haku, ei vain paikallinen, lähtee reitittimen kautta, joten tunneli ei enää suojaa sitä selaamisesi osaa, joka paljastaa aikomuksia.

Kapeampi reitti pitää tunnelin nimipalvelimen ja lisää ne harvat nimet, joilla on merkitystä, joko hakutoimialueena tai yksittäisinä merkintöinä. Se vaatii enemmän huomiota ja säilyttää sen ominaisuuden, josta maksoit.

Tarkista tulos järjestelmän nimipalvelimen kutsulla, älä selaimella. Selaimet ajavat yhä useammin omaa salattua selvitystään ja vastaavat mielellään polulta, jota kuoresi ei koskaan käytä, joten osoitepalkki voi näyttää terveeltä, vaikka järjestelmän nimipalvelin on yhä rikki.

Asennusongelma, joka tulee ensin

Merkittävä osa näistä raporteista ei koskaan saavuta palomuuria, koska komentoa ei yksinkertaisesti ole. Toimittajan käynnistyspaketti rekisteröi repositorion ja allekirjoitusavaimen. Se ei asenna asiakasta, joten heti sen jälkeen puuttuva komento on odotettu tulos eikä epäonnistuminen.

Päivitä pakettilistat ja asenna nimen mukaan. Jos paketinhallinta valittaa puuttuvasta julkisesta avaimesta, avain ei ole päätynyt sinne, mistä se sitä etsii, ja korjaus on sijoittaa se sinne ennen uutta päivitystä.

Jos repositorion isäntänimi selviää yksityiseksi osoitteeksi, pysähdy ja lue tulos kahdesti. Saatat jo ajaa tunnelia, jonka nimipalvelin vastaa julkisista nimistä, ja asennuksen uudelleenyritys tuottaa saman viestin loputtomiin.

Kirjoita se muistiin ennen kuin suljet kannen

Varmista, että tunneli on ainoa asia, joka muuttui, ja salli sitten pienin asia, joka palauttaa oireen. Pidä nimeäminen omana päätöksenään omalla muistiinpanollaan.

Kirjaa, mikä poikkeus on millekin laitteelle ja kuka sitä pyysi. Paikallisverkko, joka toimii vain siksi, että joku kirjoitti leveän etuliitteen, on päätös, joka on jo elänyt syynsä yli.

Testaa uudelleen, kun asiakas päivittyy. Palomuurin asettelu muuttuu versioiden välillä, eikä viime kuun sallittujen lista ole tämän kuun tosiasia.