NordVPN operētājsistēmā Linux bloķē LAN: atļauto saraksts un DNS

Viss izskatās normāli, līdz mēģināt sasniegt kaut ko savā darbvirsmā. Tunelis ir uzstādīts, lapas ielādējas, un tīkla disks pārtrauc atbildēt. Atvienojieties, un disks atgriežas pirms teikuma pabeigšanas, kas jums pasaka vairāk nekā jebkurš žurnāls: klients apzināti atsakās no datplūsmas, kas neieplūst tunelī, un jūsu vietējais tīkls ir nepareizajā šīs līnijas pusē.

Drošības slēdzis dara savu darbu

Drošības slēdzis pastāv, lai neļautu datplūsmai izkļūt, kad tunelis nav pieejams. Privātie adrešu diapazoni tiek uzskatīti par datplūsmu, kas neieplūst tunelī, tāpēc stingra ieviešana tos bloķē kopā ar visu pārējo. Tas nav kļūda tādā nozīmē, kādu cilvēki domā, iesniedzot ziņojumu.

Vispirms izlasiet paša klienta skatījumu. Viena komanda izdrukā pašreizējos iestatījumus, bet otrā parāda ugunsmūra objektus, ko klients izveidojis. Jūs meklējat drop vai reject, kas parādās pirms jebkāda tuneļa izņēmuma, jo tieši šī secība padara vietējo tīklu nesasniedzamu.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Pēc tam veiciet vienu testu, kas sadala problēmu uz pusēm. Sasniedziet ierīci pēc adreses un pēc tam pēc nosaukuma. Adrese darbojas, bet nosaukums neizdodas – ugunsmūris ir nevainīgs, bet izšķirējs nav. Abi neizdodas – ugunsmūris noraida paketi, un pārējais šajā rakstā attiecas.

Atļauto saraksts: izvēlieties ieraksta veidu pēc simptoma

Klients piedāvā atļauto sarakstu ar trīs veidu ierakstiem, un pareizā veida izvēle ir lielākā darba daļa. Apakštīkls aptver resursdatorus. Ports aptver vienu pakalpojumu neatkarīgi no galamērķa. Multicast grupa aptver atklāšanas datplūsmu, kas ir citādas formas datplūsma nekā jebkas, kas adresēts vienam resursdatoram.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Atklāšanas kļūmes pārsteidz cilvēkus, jo printeri vai multivides serveri var atrast ar grupai adresētu vaicājumu, nevis meklējot tā paša adresi. Resursdatora apakštīkla pievienošana automātiski neaptver šo grupu, tāpēc ierīce paliek neredzama, lai gan tās tīmekļa lapa labi ielādējas, kad ievadāt adresi.

Turiet izņēmumu tik šauru, cik simptoms atļauj. Vienreiz ievadīts plašs prefikss tiek aizmirsts gadiem ilgi, un neviens vēlāk nevar paskaidrot, kuras mašīnas tam bija jāielaiž. Dzēsiet ierakstus, kad projekts, kuram tie bija vajadzīgi, beidzas, un pārbaudiet, kas paliek pēc atjauninājuma.

Jaunākajos būvējumos ir arī viens LAN atklāšanas iestatījums. Tas ir ērts, un tas mijiedarbojas ar atļauto sarakstu, nevis kraujas tam virsū: to ieslēdzot, var notīrīt esošos privātā apakštīkla ierakstus, un manuālu privātā apakštīkla noteikumu var noraidīt, kamēr tas paliek ieslēgts.

Resursdatoru nosaukumiem vajadzīgs atsevišķs lēmums

Apakštīkla atļaušana atjauno savienojamību pēc adreses un atstāj nosaukšanu neskartu. Vietējie resursdatoru nosaukumi joprojām tiek sūtīti uz to izšķirēju, kuru klients konfigurēja, kad tunelis pacēlās, tāpēc nosaukums, kas agrāk tika izšķirts, tagad neko neatgriež.

Klienta pavēršana uz maršrutētāja izšķirēju to izlabo vienā solī un klusi maina to, ko iegādājāties. Tad katrs vaicājums, ne tikai vietējais, iziet caur maršrutētāju, tāpēc tunelis vairs neaizsargā to pārlūkošanas daļu, kas atklāj nodomus.

Šaurākais ceļš saglabā tuneļa izšķirēju un pievieno dažus svarīgus nosaukumus – kā meklēšanas domēnu vai kā atsevišķus ierakstus. Tas prasa vairāk uzmanības un saglabā īpašību, par kuru samaksājāt.

Pārbaudiet rezultātu ar sistēmas izšķirēja izsaukumu, nevis pārlūku. Pārlūki arvien biežāk izpilda savu šifrēto izšķiršanu un labprāt atbild no ceļa, kuru jūsu čaula nekad neizmanto, tāpēc adreses josla var izskatīties vesela, kamēr sistēmas izšķirējs joprojām ir salūzis.

Instalēšanas problēma, kas nāk pirmā

Ievērojama daļa šo ziņojumu nekad nesasniedz ugunsmūri, jo komandas vienkārši nav. Piegādātāja sāknēšanas pakotne reģistrē krātuvi un parakstīšanas atslēgu. Tā neinstalē klientu, tāpēc uzreiz pēc tam trūkstošā komanda ir gaidītais rezultāts, nevis kļūme.

Atjauniniet pakotņu sarakstus un instalējiet pēc nosaukuma. Ja pakotņu pārvaldnieks sūdzas par trūkstošu publisko atslēgu, atslēga nav nokļuvusi tur, kur tas to meklē, un labojums ir to tur ievietot pirms atkārtotas atjaunināšanas.

Ja krātuves resursdatora nosaukums izšķiras privātā adresē, apstājieties un izlasiet šo rezultātu divreiz. Iespējams, jūs jau darbinat tuneli, kura izšķirējs atbild par publiskiem nosaukumiem, un atkārtots instalēšanas mēģinājums radīs to pašu ziņojumu bezgalīgi.

Pierakstiet to pirms vāka aizvēršanas

Pārliecinieties, ka mainījies tikai tunelis, un pēc tam atļaujiet mazāko lietu, kas atjauno simptomu. Turiet nosaukšanu kā atsevišķu lēmumu ar atsevišķu piezīmi.

Pierakstiet, kurš izņēmums ir kuram ierīcei un kas to lūdza. Vietējais tīkls, kas darbojas tikai tāpēc, ka kāds ievadīja plašu prefiksu, ir lēmums, kas jau ir pārdzīvojis savu iemeslu.

Pārbaudiet vēlreiz pēc klienta atjaunināšanas. Ugunsmūra izkārtojums mainās starp laidieniem, un pagājušā mēneša atļauto saraksts nav fakts par šo mēnesi.