NordVPN en Linux bloquea a LAN: lista de permitidos e DNS

Todo parece normal ata que intentas chegar a algo no teu propio escritorio. O túnel está activo, as páxinas cargan e a unidade de rede esgota o tempo de espera. Desconecta e a unidade volve antes de que remates a frase, o que che di máis que calquera rexistro: o cliente rexeita a propósito o tráfico que non entra no túnel, e a túa rede local está no lado equivocado desa liña.

O interruptor de seguridade fai o seu traballo

Un interruptor de seguridade existe para evitar que o tráfico escape cando o túnel non está dispoñible. Os rangos de enderezos privados contan como tráfico que non entra no túnel, así que unha implementación estrita bloquéaos xunto con todo o demais. Iso non é un fallo no sentido que a xente quere dicir cando presenta o informe.

Le primeiro a visión do propio cliente. Un comando imprime a configuración actual e outro mostra os obxectos de devasas que o cliente creou. Buscas un descarte ou un rexeitamento que apareza antes de calquera excepción do túnel, porque é esa orde a que fai inalcanzable a rede local.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Despois executa unha proba que parta o problema en dous. Chega ao dispositivo por enderezo e despois por nome. Que o enderezo funcione e o nome falle significa que a devasa é inocente e o resolutor non. Que fallen ambos significa que a devasa rexeita o paquete, e o resto deste artigo aplícase.

Lista de permitidos: escolle o tipo de entrada segundo o síntoma

O cliente ofrece unha lista de permitidos con tres tipos de entrada, e escoller o tipo correcto é a maior parte do traballo. Unha subrede cobre hosts. Un porto cobre un servizo independentemente do destino. Un grupo de multidifusión cobre o tráfico de descuberta, que é unha forma de tráfico distinta de calquera cousa dirixida a un só host.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Os fallos de descuberta sorprenden porque unha impresora ou un servidor multimedia pode atoparse mediante unha consulta dirixida ao grupo en lugar dunha busca do seu propio enderezo. Engadir a subrede do host non cobre automaticamente ese grupo, así que o dispositivo segue invisible mentres a súa páxina web carga ben cando escribes o enderezo.

Mantén a excepción tan estreita como o síntoma permita. Un prefixo amplo escrito unha vez esquécese durante anos, e ninguén pode explicar despois que máquinas debía admitir. Borra as entradas cando remate o proxecto que as necesitaba e comproba que queda despois dunha actualización.

As compilacións recentes tamén expoñen un único axuste de descuberta de LAN. É cómodo, e relaciona coa lista de permitidos en lugar de apilarse sobre ela: activalo pode borrar entradas existentes de subredes privadas, e unha regra manual de subrede privada pode rexeitarse mentres siga activado.

Os nomes de host necesitan unha decisión aparte

Permitir unha subrede restaura a conectividade por enderezo e deixa o nomeado intacto. Os nomes de host locais séguense enviando ao resolutor que o cliente configurou cando se levantou o túnel, así que un nome que antes se resolvía agora non devolve nada.

Apuntar o cliente ao resolutor do router arranxa iso nun paso e cambia en silencio o que compraches. Entón cada consulta, non só as locais, sae polo router, así que o túnel xa non protexe a parte da túa navegación que revela intencións.

A ruta máis estreita conserva o resolutor do túnel e engade os poucos nomes que importan, xa sexa como dominio de busca ou como entradas individuais. Custa máis atención e preserva a propiedade pola que pagaches.

Comproba o resultado cunha chamada ao resolutor do sistema en lugar de cun navegador. Os navegadores cada vez executan a súa propia resolución cifrada e responden de bo grado por un camiño que a túa consola nunca usa, así que a barra de enderezos pode parecer san mentres o resolutor do sistema segue roto.

O problema de instalación que chega primeiro

Unha boa parte destes informes nunca chegan á devasa, porque o comando non está aí. O paquete de arranque do provedor rexistra un repositorio e unha clave de sinatura. Non instala o cliente, así que un comando ausente xusto despois é o resultado esperado e non un fallo.

Actualiza as listas de paquetes e instala por nome. Se o xestor de paquetes se queixa dunha clave pública ausente, a clave non chegou onde a busca, e o arranxo é colocala alí antes de actualizar de novo.

Se o nome de host do repositorio resolve a un enderezo privado, detente e le ese resultado dúas veces. Pode que xa esteas executando un túnel cuxo resolutor responde por nomes públicos, e reintentar a instalación producirá a mesma mensaxe indefinidamente.

Anótao antes de pechar a tapa

Establece que o túnel é o único que cambiou e despois permite o máis pequeno que restaure o síntoma. Mantén o nomeado como a súa propia decisión coa súa propia nota.

Rexistra que excepción existe para que dispositivo e quen a pediu. Unha rede local que só funciona porque alguén escribiu un prefixo amplo é unha decisión que xa sobreviviu á razón que a motivou.

Volve probar despois de que o cliente se actualice. A disposición da devasa cambia entre versións, e a lista de permitidos do mes pasado non é un feito sobre este mes.