NordVPN di Linux memblokir LAN: daftar izin dan DNS

Semuanya tampak normal sampai Anda mencoba menjangkau sesuatu di meja Anda sendiri. Terowongan aktif, halaman termuat, dan drive jaringan kehabisan waktu. Putuskan koneksi dan drive kembali sebelum Anda menyelesaikan kalimat, yang memberi tahu Anda lebih banyak daripada log mana pun: klien sengaja menolak lalu lintas yang tidak masuk ke terowongan, dan jaringan lokal Anda ada di sisi yang salah dari garis itu.

Sakelar pengaman menjalankan tugasnya

Sakelar pengaman ada untuk mencegah lalu lintas keluar saat terowongan tidak tersedia. Rentang alamat privat dihitung sebagai lalu lintas yang tidak masuk ke terowongan, jadi implementasi ketat memblokirnya bersama semua yang lain. Itu bukan bug dalam pengertian yang dimaksud orang saat mengirim laporan.

Baca dulu sudut pandang klien itu sendiri. Satu perintah mencetak pengaturan saat ini, dan yang kedua menampilkan objek firewall yang dibuat klien. Anda mencari drop atau reject yang muncul sebelum pengecualian terowongan mana pun, karena urutan itulah yang membuat jaringan lokal tidak dapat dijangkau.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Lalu jalankan satu uji yang membelah masalah menjadi dua. Jangkau perangkat lewat alamat, lalu lewat nama. Alamat berfungsi dan nama gagal berarti firewall tidak bersalah dan resolver-lah yang bersalah. Keduanya gagal berarti firewall menolak paket, dan sisa artikel ini berlaku.

Daftar izin: pilih jenis entri menurut gejalanya

Klien menawarkan daftar izin dengan tiga jenis entri, dan memilih jenis yang tepat adalah sebagian besar pekerjaannya. Subnet mencakup host. Port mencakup satu layanan tanpa memandang tujuan. Grup multicast mencakup lalu lintas penemuan, yang merupakan bentuk lalu lintas berbeda dari apa pun yang dialamatkan ke satu host.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Kegagalan penemuan mengejutkan orang karena printer atau server media dapat ditemukan melalui kueri yang dialamatkan ke grup alih-alih pencarian alamatnya sendiri. Menambahkan subnet host tidak otomatis mencakup grup itu, sehingga perangkat tetap tidak terlihat sementara halaman webnya termuat dengan baik saat Anda mengetik alamatnya.

Jaga pengecualian tetap sesempit yang gejala izinkan. Prefiks lebar yang diketik sekali dilupakan selama bertahun-tahun, dan tak seorang pun nanti bisa menjelaskan mesin mana yang seharusnya diizinkan. Hapus entri saat proyek yang membutuhkannya berakhir, dan periksa apa yang tersisa setelah pembaruan.

Build terbaru juga menampilkan satu pengaturan penemuan LAN. Itu praktis, dan itu berinteraksi dengan daftar izin alih-alih menumpuk di atasnya: mengaktifkannya dapat menghapus entri subnet privat yang ada, dan aturan subnet privat manual dapat ditolak selama pengaturan itu tetap aktif.

Nama host memerlukan keputusan terpisah

Mengizinkan subnet memulihkan konektivitas lewat alamat dan membiarkan penamaan tidak tersentuh. Nama host lokal masih dikirim ke resolver mana pun yang dikonfigurasi klien saat terowongan naik, jadi nama yang dulu terurai sekarang tidak mengembalikan apa pun.

Mengarahkan klien ke resolver router memperbaikinya dalam satu langkah dan diam-diam mengubah apa yang Anda beli. Setiap pencarian, bukan hanya yang lokal, lalu keluar melalui router, sehingga terowongan tidak lagi melindungi bagian penjelajahan Anda yang mengungkap niat.

Jalur yang lebih sempit mempertahankan resolver terowongan dan menambahkan beberapa nama yang penting, baik sebagai domain pencarian maupun sebagai entri individual. Itu menuntut lebih banyak perhatian dan mempertahankan properti yang Anda bayar.

Periksa hasilnya dengan panggilan resolver sistem alih-alih browser. Browser semakin sering menjalankan resolusi terenkripsi mereka sendiri dan dengan senang hati menjawab dari jalur yang tidak pernah digunakan shell Anda, sehingga bilah alamat bisa tampak sehat sementara resolver sistem masih rusak.

Masalah pemasangan yang datang lebih dulu

Sebagian besar laporan ini tidak pernah mencapai firewall, karena perintahnya sama sekali tidak ada. Paket bootstrap vendor mendaftarkan repositori dan kunci penandatangan. Paket itu tidak memasang klien, jadi perintah yang hilang tepat sesudahnya adalah hasil yang diharapkan, bukan kegagalan.

Segarkan daftar paket dan pasang berdasarkan nama. Jika manajer paket mengeluh tentang kunci publik yang hilang, kunci itu tidak mendarat di tempat ia mencarinya, dan perbaikannya adalah meletakkannya di sana sebelum menyegarkan lagi.

Jika nama host repositori terurai ke alamat privat, berhentilah dan baca hasil itu dua kali. Anda mungkin sudah menjalankan terowongan yang resolver-nya menjawab untuk nama publik, dan mengulangi pemasangan akan menghasilkan pesan yang sama tanpa akhir.

Catat sebelum Anda menutup tutupnya

Pastikan terowongan adalah satu-satunya yang berubah, lalu izinkan hal terkecil yang memulihkan gejala. Pertahankan penamaan sebagai keputusan sendiri dengan catatannya sendiri.

Catat pengecualian mana yang ada untuk perangkat mana dan siapa yang memintanya. Jaringan lokal yang hanya berfungsi karena seseorang mengetik prefiks lebar adalah keputusan yang sudah hidup lebih lama daripada alasannya.

Uji ulang setelah klien diperbarui. Tata letak firewall berubah antar rilis, dan daftar izin bulan lalu bukan fakta tentang bulan ini.