Linux पर NordVPN LAN को ब्लॉक करता है: अनुमति सूची और DNS

सब कुछ सामान्य लगता है जब तक आप अपने ही डेस्क पर किसी चीज़ तक पहुँचने की कोशिश नहीं करते। टनल चालू है, पेज लोड होते हैं, और नेटवर्क ड्राइव समय-सीमा पार कर जाती है। डिस्कनेक्ट करें और वाक्य पूरा करने से पहले ड्राइव वापस आ जाती है, जो आपको किसी भी लॉग से ज़्यादा बताता है: क्लाइंट जानबूझकर ऐसे ट्रैफ़िक को अस्वीकार कर रहा है जो टनल में नहीं जाता, और आपका स्थानीय नेटवर्क उस रेखा के गलत तरफ़ है।

किल स्विच अपना काम कर रहा है

किल स्विच इसलिए होता है ताकि टनल उपलब्ध न होने पर ट्रैफ़िक बाहर न निकल जाए। निजी पता रेंज ऐसे ट्रैफ़िक के रूप में गिनी जाती हैं जो टनल में नहीं जाता, इसलिए सख़्त कार्यान्वयन उन्हें बाकी सब के साथ ब्लॉक करता है। लोग रिपोर्ट दाखिल करते समय जिस अर्थ में बग कहते हैं, वह अर्थ यह नहीं है।

पहले क्लाइंट का अपना दृष्टिकोण पढ़ें। एक कमांड मौजूदा सेटिंग्स छापता है, और दूसरा क्लाइंट द्वारा बनाए गए फ़ायरवॉल ऑब्जेक्ट दिखाता है। आप ऐसा ड्रॉप या रिजेक्ट ढूँढ रहे हैं जो किसी भी टनल अपवाद से पहले आता है, क्योंकि यही क्रम स्थानीय नेटवर्क को अगम्य बनाता है।

nordvpn settings
sudo nft list ruleset
sudo iptables -S

फिर एक परीक्षण करें जो समस्या को आधा-आधा बाँटता है। डिवाइस तक पते से पहुँचें, और फिर नाम से पहुँचें। पता काम करे और नाम विफल हो का अर्थ है फ़ायरवॉल निर्दोष है और रिज़ॉल्वर नहीं। दोनों विफल हों का अर्थ है फ़ायरवॉल पैकेट अस्वीकार कर रहा है, और इस लेख का बाकी हिस्सा लागू होता है।

अनुमति सूची: लक्षण के अनुसार प्रविष्टि का प्रकार चुनें

क्लाइंट तीन प्रकार की प्रविष्टियों वाली अनुमति सूची देता है, और सही प्रकार चुनना ही काम का बड़ा हिस्सा है। सबनेट होस्ट को कवर करता है। पोर्ट गंतव्य की परवाह किए बिना एक सेवा को कवर करता है। मल्टीकास्ट समूह डिस्कवरी ट्रैफ़िक को कवर करता है, जो एक ही होस्ट को संबोधित किसी भी चीज़ से अलग आकार का ट्रैफ़िक है।

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

डिस्कवरी विफलताएँ लोगों को चौंकाती हैं क्योंकि प्रिंटर या मीडिया सर्वर अपने पते की खोज के बजाय समूह को संबोधित क्वेरी से मिल सकता है। होस्ट का सबनेट जोड़ना उस समूह को अपने आप कवर नहीं करता, इसलिए डिवाइस अदृश्य रहता है जबकि पता टाइप करने पर उसका वेब पेज ठीक लोड होता है।

अपवाद को उतना ही संकीर्ण रखें जितना लक्षण अनुमति देता है। एक बार लिखा चौड़ा प्रीफ़िक्स वर्षों तक भुला दिया जाता है, और बाद में कोई नहीं बता सकता कि उसे किन मशीनों को अंदर आने देना था। जिस परियोजना को प्रविष्टियों की ज़रूरत थी वह खत्म होने पर उन्हें हटाएँ, और अपडेट के बाद जो बचा है उसे जाँचें।

हाल के बिल्ड एक ही LAN डिस्कवरी सेटिंग भी दिखाते हैं। यह सुविधाजनक है, और यह अनुमति सूची पर थपथपाने के बजाय उसके साथ अंतःक्रिया करता है: इसे चालू करने से मौजूदा निजी सबनेट प्रविष्टियाँ हट सकती हैं, और इसे चालू रहने तक मैन्युअल निजी सबनेट नियम अस्वीकार हो सकता है।

होस्टनाम के लिए अलग निर्णय चाहिए

सबनेट की अनुमति देने से पते से कनेक्टिविटी लौट आती है और नामकरण अछूता रहता है। स्थानीय होस्टनाम अभी भी उसी रिज़ॉल्वर को भेजे जाते हैं जो क्लाइंट ने टनल उठते समय सेट किया था, इसलिए पहले हल होने वाला नाम अब कुछ भी नहीं लौटाता।

क्लाइंट को राउटर के रिज़ॉल्वर की ओर इंगित करना इसे एक कदम में ठीक करता है और चुपचाप वह बदल देता है जो आपने खरीदा था। तब हर लुकअप, केवल स्थानीय ही नहीं, राउटर से बाहर जाता है, इसलिए टनल अब आपकी ब्राउज़िंग के उस हिस्से की रक्षा नहीं करता जो इरादे ज़ाहिर करता है।

संकीर्ण मार्ग टनल रिज़ॉल्वर रखता है और उन कुछ नामों को जोड़ता है जो मायने रखते हैं, या तो खोज डोमेन के रूप में या अलग प्रविष्टियों के रूप में। इसमें ज़्यादा ध्यान लगता है और वह गुण सुरक्षित रहता है जिसके लिए आपने भुगतान किया।

परिणाम को ब्राउज़र के बजाय सिस्टम रिज़ॉल्वर कॉल से जाँचें। ब्राउज़र तेज़ी से अपना एन्क्रिप्टेड रिज़ॉल्यूशन चलाते हैं और आपके शेल द्वारा कभी न इस्तेमाल होने वाले रास्ते से खुशी-खुशी जवाब देते हैं, इसलिए पता पट्टी स्वस्थ दिख सकती है जबकि सिस्टम रिज़ॉल्वर अभी भी टूटा है।

वह इंस्टॉल समस्या जो पहले आती है

इन रिपोर्टों का अच्छा-खासा हिस्सा कभी फ़ायरवॉल तक नहीं पहुँचता, क्योंकि कमांड वहाँ है ही नहीं। विक्रेता का बूटस्ट्रैप पैकेज एक रिपॉज़िटरी और हस्ताक्षर कुंजी दर्ज करता है। यह क्लाइंट इंस्टॉल नहीं करता, इसलिए ठीक उसके बाद कमांड का गायब होना विफलता नहीं बल्कि अपेक्षित परिणाम है।

पैकेज सूचियाँ ताज़ा करें और नाम से इंस्टॉल करें। अगर पैकेज मैनेजर गायब सार्वजनिक कुंजी की शिकायत करे, तो कुंजी वहाँ नहीं पहुँची जहाँ वह उसे ढूँढता है, और समाधान है दोबारा ताज़ा करने से पहले उसे वहाँ रखना।

अगर रिपॉज़िटरी का होस्टनाम निजी पते में हल हो, तो रुकें और वह परिणाम दो बार पढ़ें। हो सकता है आप पहले से ऐसा टनल चला रहे हों जिसका रिज़ॉल्वर सार्वजनिक नामों के लिए जवाब दे रहा है, और इंस्टॉल दोहराने पर वही संदेश अनंत काल तक आएगा।

ढक्कन बंद करने से पहले इसे लिख लें

सुनिश्चित करें कि केवल टनल ही बदला है, फिर उस सबसे छोटी चीज़ की अनुमति दें जो लक्षण लौटाती है। नामकरण को उसके अपने नोट के साथ अलग निर्णय रखें।

दर्ज करें कि कौन-सा अपवाद किस डिवाइस के लिए है और किसने मांगा। ऐसा स्थानीय नेटवर्क जो केवल इसलिए काम करता है कि किसी ने चौड़ा प्रीफ़िक्स लिखा, वह निर्णय है जो अपने कारण से पहले ही आगे बढ़ चुका है।

क्लाइंट अपडेट होने के बाद फिर परीक्षण करें। फ़ायरवॉल का लेआउट संस्करणों के बीच बदलता है, और पिछले महीने की अनुमति सूची इस महीने के बारे में तथ्य नहीं है।