NordVPN-ը Linux-ում արգելափակում է LAN-ը՝ թույլատրելի ցանկ և DNS

Ամեն ինչ նորմալ է թվում, մինչև փորձեք հասնել ձեր սեփական սեղանի վրա ինչ-որ բանի։ Թունելը աշխատում է, էջերը բեռնվում են, և ցանցային սկավառակը ժամկետանց է դառնում։ Անջատեք կապը, և սկավառակը վերադառնում է նախքան նախադասությունը վերջացնելը, ինչը ձեզ ավելին է ասում, քան ցանկացած մատյան՝ հաճախորդը միտումնավոր մերժում է թրաֆիկը, որը չի մտնում թունել, և ձեր տեղական ցանցը այդ գծի սխալ կողմում է։

Անջատման պաշտպանը կատարում է իր գործը

Անջատման պաշտպանը գոյություն ունի, որպեսզի թրաֆիկը չփախչի, երբ թունելը հասանելի չէ։ Մասնավոր հասցեների միջակայքերը համարվում են թրաֆիկ, որը չի մտնում թունել, ուստի խիստ իրականացումը արգելափակում է դրանք բոլորի հետ միասին։ Սա թերություն չէ այն իմաստով, որը մարդիկ նկատի ունեն, երբ ներկայացնում են հաշվետվությունը։

Նախ կարդացեք հենց հաճախորդի տեսակետը։ Մեկ հրամանը տպում է ընթացիկ կարգավորումները, իսկ երկրորդը ցույց է տալիս հաճախորդի ստեղծած հրադադարի օբյեկտները։ Դուք փնտրում եք drop կամ reject, որը հայտնվում է ցանկացած թունելային բացառությունից առաջ, քանի որ հենց այդ կարգն է տեղական ցանցը անհասանելի դարձնում։

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Ապա անցկացրեք մեկ թեստ, որը խնդիրը կիսում է երկուսի։ Հասեք սարքին հասցեով, ապա անունով։ Հասցեն աշխատում է, իսկ անունը ձախողվում է, նշանակում է հրադադարը անմեղ է, իսկ լուծիչը՝ ոչ։ Երկուսն էլ ձախողվում են, նշանակում է հրադադարը մերժում է փաթեթը, և այս հոդվածի մնացած մասը վերաբերում է։

Թույլատրելի ցանկ. ընտրեք գրառման տեսակը ըստ ախտանիշի

Հաճախորդն առաջարկում է թույլատրելի ցանկ երեք տեսակի գրառումներով, և ճիշտ տեսակն ընտրելը աշխատանքի մեծ մասն է։ Ենթացանցը ծածկում է հոսթերին։ Պորտը ծածկում է մեկ ծառայություն՝ անկախ նպատակակետից։ Multicast խումբը ծածկում է հայտնաբերման թրաֆիկը, որը տարբեր ձևի թրաֆիկ է, քան մեկ հոսթին ուղղված ամեն ինչ։

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Հայտնաբերման ձախողումները զարմացնում են մարդկանց, քանի որ տպիչը կամ մեդիա սերվերը կարող է գտնվել խմբին ուղղված հարցմամբ, այլ ոչ իր սեփական հասցեի որոնմամբ։ Հոսթի ենթացանցն ավելացնելը ինքնաշխատ չի ծածկում այդ խումբը, ուստի սարքը մնում է անտեսանելի, մինչդեռ նրա վեբ էջը լավ բեռնվում է, երբ մուտքագրում եք հասցեն։

Պահեք բացառությունը այնքան նեղ, որքան ախտանիշը թույլ է տալիս։ Մեկ անգամ մուտքագրված լայն նախադիրը մոռացվում է տարիներով, և ոչ ոք ավելի ուշ չի կարող բացատրել, թե որ մեքենաներին պետք է թույլ տար։ Ջնջեք գրառումները, երբ ավարտվի դրանք պահանջող նախագիծը, և ստուգեք, թե ինչ է մնում թարմացումից հետո։

Վերջին տարբերակները նաև առաջարկում են LAN-ի հայտնաբերման մեկ կարգավորում։ Այն հարմար է և փոխազդում է թույլատրելի ցանկի հետ, այլ ոչ թե դրա վրա շերտավորվում. այն միացնելը կարող է ջնջել գոյություն ունեցող մասնավոր ենթացանցի գրառումները, և ձեռքով մասնավոր ենթացանցի կանոնը կարող է մերժվել, քանի դեռ այն միացված է։

Հոսթերի անունները պահանջում են առանձին որոշում

Ենթացանց թույլատրելը վերականգնում է կապը հասցեով և անփոփոխ է թողնում անվանակոչումը։ Տեղական հոսթերի անունները դեռ ուղարկվում են այն լուծիչին, որը հաճախորդը կարգավորել էր թունելի բարձրանալիս, ուստի նախկինում լուծվող անունն այժմ ոչինչ չի վերադարձնում։

Հաճախորդին երթուղիչի լուծիչին ուղղելը լուծում է դա մեկ քայլով և լուռ փոխում է այն, ինչ գնել եք։ Այդ դեպքում ամեն հարցում, ոչ միայն տեղական, դուրս է գալիս երթուղիչով, ուստի թունելն այլևս չի պաշտպանում ձեր զննարկման այն մասը, որը բացահայտում է մտադրությունները։

Ավելի նեղ ուղին պահում է թունելի լուծիչը և ավելացնում է կարևոր մի քանի անունները՝ կա՛մ որպես որոնման տիրույթ, կա՛մ որպես առանձին գրառումներ։ Այն ավելի շատ ուշադրություն է պահանջում և պահպանում է այն հատկությունը, որի համար վճարել եք։

Ստուգեք արդյունքը համակարգի լուծիչի կանչով, այլ ոչ զննարկիչով։ Զննարկիչները գնալով գործարկում են իրենց սեփական գաղտնագրված լուծումը և հաճույքով պատասխանում են այն ուղուց, որը ձեր shell-ը երբեք չի օգտագործում, ուստի հասցեների տողը կարող է առողջ թվալ, մինչդեռ համակարգի լուծիչը դեռ կոտրված է։

Տեղադրման խնդիրը, որն առաջինն է գալիս

Այս հաշվետվությունների զգալի մասը երբեք չի հասնում հրադադարին, որովհետև հրամանն ընդհանրապես չկա։ Մատակարարի bootstrap փաթեթը գրանցում է պահոց և ստորագրության բանալի։ Այն չի տեղադրում հաճախորդը, ուստի անմիջապես դրանից հետո բացակայող հրամանը սպասված արդյունքն է, ոչ թե ձախողում։

Թարմացրեք փաթեթների ցանկերը և տեղադրեք անունով։ Եթե փաթեթների կառավարիչը բողոքում է բացակայող հանրային բանալուց, բանալին չի իջել այնտեղ, որտեղ նա փնտրում է, և ուղղումը այն այնտեղ դնելն է նախքան նորից թարմացնելը։

Եթե պահոցի հոսթի անունը լուծվում է մասնավոր հասցեի, կանգ առեք և երկու անգամ կարդացեք այդ արդյունքը։ Հնարավոր է՝ դուք արդեն գործարկում եք թունել, որի լուծիչը պատասխանում է հանրային անուններին, և տեղադրման կրկնումը նույն հաղորդագրությունը կտա անվերջ։

Գրեք այն նախքան կափարիչը փակելը

Հաստատեք, որ թունելն է միակ փոփոխվածը, ապա թույլատրեք ամենափոքրը, որ վերականգնում է ախտանիշը։ Պահեք անվանակոչումը որպես առանձին որոշում՝ իր առանձին նշումով։

Գրանցեք, թե որ բացառությունն է որ սարքի համար և ով է խնդրել այն։ Տեղական ցանցը, որն աշխատում է միայն այն պատճառով, որ ինչ-որ մեկը լայն նախադիր է գրել, որոշում է, որն արդեն ապրել է իր պատճառից ավելի։

Կրկին փորձարկեք հաճախորդի թարմացումից հետո։ Հրադադարի դասավորությունը փոխվում է տարբերակների միջև, և անցած ամսվա թույլատրելի ցանկը այս ամսվա մասին փաստ չէ։