NordVPN на Linux го блокира LAN: список за дозвола и DNS

Сѐ изгледа нормално додека не се обидете да достигнете нешто на сопствената маса. Тунелот е подигнат, страниците се вчитуваат, а мрежното диск престанува да одговара. Исклучете се и дискот се враќа пред да ја завршите реченицата, што ви кажува повеќе од секој дневник: клиентот намерно го одбива сообраќајот што не влегува во тунелот, а вашата локална мрежа е на погрешната страна од таа линија.

Прекинувачот за заштита ја работи својата работа

Прекинувачот за заштита постои за да спречи сообраќајот да избега кога тунелот не е достапен. Приватните опсези на адреси се сметаат за сообраќај што не влегува во тунелот, така што строгата имплементација ги блокира заедно со сѐ друго. Тоа не е дефект во смислата што луѓето ја имаат на ум кога го поднесуваат извештајот.

Најпрво прочитајте го сопствениот поглед на клиентот. Една команда ги печати тековните поставки, а втората ги покажува објектите на заштитниот ѕид што ги создал клиентот. Барате drop или reject што се појавува пред какво било изземање на тунелот, бидејќи токму тој редослед ја прави локалната мрежа недостапна.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Потоа направете еден тест што проблемот го дели на половина. Достигнете го уредот по адреса, а потоа по име. Адресата работи, а името не успева значи заштитниот ѕид е невин, а разрешувачот не. Двете не успеваат значи заштитниот ѕид го одбива пакетот, а остатокот од овој текст се однесува.

Список за дозвола: изберете го типот на записот според симптомот

Клиентот нуди список за дозвола со три вида записи, а изборот на правилниот вид е најголемиот дел од работата. Подмрежата опфаќа домаќини. Портата опфаќа една услуга без оглед на одредиштето. Multicast групата го опфаќа сообраќајот за откривање, што е различен облик на сообраќај од сѐ што е адресирано до еден домаќин.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Неуспесите при откривање ги изненадуваат луѓето бидејќи печатач или медиумски сервер може да се најде преку барање упатено до групата, а не преку пребарување на сопствената адреса. Додавањето на подмрежата на домаќинот не ја опфаќа таа група автоматски, така што уредот останува невидлив додека неговата веб-страница се вчитува добро кога ја пишувате адресата.

Држете го изземањето толку тесно колку што дозволува симптомот. Широк префикс внесен еднаш се заборава со години, и никој подоцна не може да објасни кои машини требало да ги прими. Бришете записи кога проектот што ги барал завршува, и проверете што останува по ажурирање.

Последните сборки нудат и една поставка за откривање на LAN. Таа е практична и соработува со списокот за дозвола наместо да се натрупува врз него: нејзиното вклучување може да ги избрише постоечките записи за приватна подмрежа, а рачното правило за приватна подмрежа може да биде одбиено додека таа останува вклучена.

Имињата на домаќините бараат одделна одлука

Дозволувањето подмрежа ја враќа поврзаноста по адреса и го остава именувањето недопрено. Локалните имиња на домаќини сѐ уште се праќаат до разрешувачот што клиентот го поставил кога тунелот се подигнал, така што име што порано се разрешувало сега не враќа ништо.

Насочувањето на клиентот кон разрешувачот на рутерот тоа го поправа во еден чекор и тивко го менува тоа што сте го купиле. Тогаш секое пребарување, не само локалното, излегува преку рутерот, така што тунелот повеќе не го штити делот од вашето прелистување што открива намери.

Потесниот пат го задржува разрешувачот на тунелот и ги додава неколкуте важни имиња, или како домен за пребарување или како поединечни записи. Тоа бара повеќе внимание и го зачувува својството за кое плативте.

Проверете го резултатот со повик на системскиот разрешувач наместо со прелистувач. Прелистувачите сѐ повеќе извршуваат сопствено шифрирано разрешување и со задоволство одговараат од пат што вашата обвивка никогаш не го користи, така што адресната лента може да изгледа здрава додека системскиот разрешувач сѐ уште е расипан.

Проблемот со инсталацијата што доаѓа прв

Значителен дел од овие извештаи никогаш не стигнуваат до заштитниот ѕид, бидејќи командата едноставно ја нема. Почетниот пакет на добавувачот регистрира складиште и клуч за потпис. Тој не го инсталира клиентот, така што командата што недостасува веднаш потоа е очекуваниот исход, а не дефект.

Освежете ги списоците со пакети и инсталирајте по име. Ако управувачот со пакети се жали на јавен клуч што недостасува, клучот не слетал таму каде што го бара, а поправката е да го поставите таму пред повторно да освежите.

Ако името на домаќинот на складиштето се разреши во приватна адреса, застанете и прочитајте го тој резултат двапати. Можеби веќе вртите тунел чиј разрешувач одговара за јавни имиња, а повторувањето на инсталацијата ќе ја дава истата порака бесконечно.

Запишете го пред да го затворите капакот

Утврдете дека тунелот е единственото нешто што се сменило, потоа дозволете го најмалото нешто што го враќа симптомот. Држете го именувањето како сопствена одлука со сопствена белешка.

Забележете кое изземање постои за кој уред и кој го побарал. Локална мрежа што работи само затоа што некој внел широк префикс е одлука што веќе ја надживеала својата причина.

Тестирајте повторно по ажурирањето на клиентот. Распоредот на заштитниот ѕид се менува меѓу изданијата, а списокот за дозвола од минатиот месец не е факт за овој месец.