A NordVPN Linuxon blokkolja a LAN-t: engedélylista és DNS

Minden normálisnak tűnik, amíg meg nem próbál elérni valamit a saját asztalán. A tunel él, az oldalak betöltenek, és a hálózati meghajtó időtúllépést ad. Kapcsolódjon le, és a meghajtó visszatér, mielőtt befejezné a mondatot, ami többet mond bármely naplónál: a kliens szándékosan elutasítja a forgalmat, amely nem lép be a tunelbe, és a helyi hálózata annak a vonalnak a rossz oldalán van.

A lekapcsolásvédő végzi a dolgát

A lekapcsolásvédő azért létezik, hogy megakadályozza a forgalom kijutását, amikor a tunel nem elérhető. A privát címtartományok olyan forgalomnak számítanak, amely nem lép be a tunelbe, ezért egy szigorú megvalósítás minden mással együtt blokkolja őket. Ez nem hiba abban az értelemben, ahogy az emberek értik, amikor beadják a jelentést.

Először olvassa el magának a kliensnek a nézetét. Az egyik parancs kiírja az aktuális beállításokat, a második pedig a kliens által létrehozott tűzfalobjektumokat mutatja. Olyan dropot vagy rejectet keres, amely bármely tunelkivétel előtt megjelenik, mert ez a sorrend teszi elérhetetlenné a helyi hálózatot.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Ezután végezzen egy tesztet, amely kettéosztja a problémát. Érje el az eszközt cím alapján, majd név alapján. Ha a cím működik és a név nem, a tűzfal ártatlan, a feloldó pedig nem. Ha mindkettő nem működik, a tűzfal elutasítja a csomagot, és a cikk többi része érvényes.

Engedélylista: a tünet alapján válassza ki a bejegyzés típusát

A kliens háromféle bejegyzésű engedélylistát kínál, és a megfelelő típus kiválasztása a munka nagy része. Az alhálózat gazdagépeket fed le. A port egy szolgáltatást fed le a céltól függetlenül. A multicast csoport a felderítési forgalmat fedi le, ami más formájú forgalom, mint bármi, ami egyetlen gazdagépnek címzett.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

A felderítési hibák meglepik az embereket, mert egy nyomtató vagy médiaszerver csoporthoz címzett lekérdezéssel is megtalálható, nem csak a saját címének keresésével. A gazdagép alhálózatának hozzáadása nem fedi le automatikusan azt a csoportot, ezért az eszköz láthatatlan marad, miközben a weboldala szépen betölt, amikor beírja a címet.

Tartsa a kivételt olyan szűken, amennyire a tünet engedi. Az egyszer beírt széles előtag évekig feledésbe merül, és senki nem tudja később megmagyarázni, mely gépeket kellett volna beengednie. Törölje a bejegyzéseket, amikor a rájuk szoruló projekt véget ér, és ellenőrizze, mi marad egy frissítés után.

Az újabb buildek egyetlen LAN-felderítési beállítást is kínálnak. Kényelmes, és az engedélylistával együtt működik, nem rátelepül: bekapcsolása törölheti a meglévő privát alhálózati bejegyzéseket, és a kézi privát alhálózati szabály elutasítható, amíg bekapcsolva marad.

A gazdagépnevek külön döntést igényelnek

Egy alhálózat engedélyezése helyreállítja a cím szerinti kapcsolatot, és érintetlenül hagyja a névadást. A helyi gazdagépnevek továbbra is ahhoz a feloldóhoz mennek, amelyet a kliens a tunel felállásakor beállított, ezért egy korábban feloldott név most semmit nem ad vissza.

A kliens átirányítása az útválasztó feloldójára egy lépésben megoldja ezt, és csendesen megváltoztatja azt, amit vásárolt. Ekkor minden lekérdezés, nem csak a helyi, az útválasztón keresztül megy ki, így a tunel már nem védi a böngészésének azt a részét, amely felfedi a szándékokat.

A szűkebb útvonal megtartja a tunel feloldóját, és hozzáadja a fontos néhány nevet, akár keresési domainként, akár egyedi bejegyzésként. Több figyelmet igényel, és megőrzi azt a tulajdonságot, amiért fizetett.

Ellenőrizze az eredményt a rendszer feloldójának hívásával, ne böngészővel. A böngészők egyre gyakrabban futtatják saját titkosított feloldásukat, és szívesen válaszolnak olyan útvonalról, amelyet a héja soha nem használ, ezért a címsor egészségesnek tűnhet, miközben a rendszer feloldója még mindig törött.

A telepítési probléma, amely előbb jön

E jelentések jelentős része soha nem éri el a tűzfalat, mert a parancs egyáltalán nincs ott. A szállító bootstrap csomagja regisztrál egy tárolót és egy aláírókulcsot. Nem telepíti a klienst, ezért a közvetlenül utána hiányzó parancs a várt eredmény, nem hiba.

Frissítse a csomaglistákat, és telepítsen név szerint. Ha a csomagkezelő hiányzó nyilvános kulcsra panaszkodik, a kulcs nem oda került, ahol keresi, és a javítás az, hogy oda helyezze, mielőtt újra frissít.

Ha a tároló gazdagépneve privát címre oldódik fel, álljon meg, és olvassa el kétszer azt az eredményt. Lehet, hogy már olyan tunelt futtat, amelynek feloldója nyilvános nevekre válaszol, és a telepítés újrapróbálása ugyanazt az üzenetet adja a végtelenségig.

Írja le, mielőtt lecsukja a fedelet

Állapítsa meg, hogy csak a tunel változott, majd engedélyezze a legkisebb dolgot, amely helyreállítja a tünetet. Tartsa a névadást saját döntésként, saját megjegyzéssel.

Jegyezze fel, melyik kivétel melyik eszközhöz tartozik, és ki kérte. Az a helyi hálózat, amely csak azért működik, mert valaki beírt egy széles előtagot, olyan döntés, amely már túlélte a saját okát.

A kliens frissítése után teszteljen újra. A tűzfal elrendezése kiadások között változik, és a múlt havi engedélylista nem tény erről a hónapról.