NordVPN på Linux blokkerer LAN-et: tillatingsliste og DNS

Alt ser normalt ut heilt til du prøver å nå noko på din eigen skrivebord. Tunnelen er oppe, sider lastar, og nettverksdisken får tidsavbrot. Kople frå, og disken er tilbake før du har fullført setninga, noko som fortel deg meir enn nokon logg: klienten nektar med vilje trafikk som ikkje går inn i tunnelen, og det lokale nettet ditt er på feil side av den grensa.

Kill switchen gjer jobben sin

Ein kill switch finst for å hindre trafikk i å sleppe ut når tunnelen ikkje er tilgjengeleg. Private adresseområde blir rekna som trafikk som ikkje går inn i tunnelen, så ein streng implementasjon blokkerer dei saman med alt anna. Det er ikkje ein feil i den tydinga folk meiner når dei sender inn rapporten.

Les klienten sitt eige syn først. Éin kommando skriv ut gjeldande innstillingar, og ein annan viser brannmur-objekta klienten har oppretta. Du ser etter eit drop eller reject som viser seg før noko tunnelunntak, fordi det er den rekkjefølgja som gjer det lokale nettet utilgjengeleg.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Køyr deretter éin test som deler problemet i to. Nå eininga via adresse, og nå henne via namn. Adresse verkar og namn feilar betyr at brannmuren er uskuldig og oppløysaren ikkje. Begge feilar betyr at brannmuren avviser pakken, og resten av denne artikkelen gjeld.

Tillatingsliste: vel oppføringstypen etter symptomet

Klienten tilbyr ei tillatingsliste med tre typar oppføringar, og å velje rett type er det meste av arbeidet. Eit subnett dekkjer vertar. Ein port dekkjer éin teneste uansett destinasjon. Ei multicast-gruppe dekkjer oppdagingstrafikk, som er ei anna form for trafikk enn noko som er adressert til éin einaste vert.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Oppdagingsfeil overraskar folk fordi ein skrivar eller medieserver kan finnast via ein gruppeadressert førespurnad i staden for eit oppslag av si eiga adresse. Å leggje til subnettet til verten dekkjer ikkje den gruppa automatisk, så eininga blir verande usynleg medan nettsida hennar lastar fint når du skriv inn adressa.

Hald unntaket så smalt som symptomet tillèt. Eit breitt prefiks som blir skrive inn éin gong blir gløymt i årevis, og ingen kan seinare forklare kva maskiner det skulle sleppe inn. Slett oppføringar når prosjektet som trong dei er over, og kontroller kva som er att etter ei oppdatering.

Nyare bygg har òg éi innstilling for LAN-oppdaging. Ho er praktisk, og ho samverkar med tillatingslista i staden for å stable seg på henne: å slå henne på kan tømme eksisterande oppføringar for private subnett, og ein manuell regel for private subnett kan bli avvist så lenge ho er på.

Vertnamn treng ein eigen avgjerd

Å tillate eit subnett gjenopprettar tilkopling via adresse og lèt namngjevinga vere urørt. Lokale vertnamn blir framleis sende til den oppløysaren klienten konfigurerte då tunnelen kom opp, så eit namn som før vart oppløyst returnerer no ingenting.

Å peike klienten mot oppløysaren til rutaren fiksar det i eitt steg og endrar stille det du kjøpte. Kvart oppslag, ikkje berre lokale, går då gjennom rutaren, så tunnelen vernar ikkje lenger den delen av nettsurfinga di som røpar hensikter.

Den smalare vegen held på tunneloppløysaren og legg til dei få namna som betyr noko, anten som søkjedomene eller som individuelle oppføringar. Det kostar meir merksemd og bevarer eigenskapen du betalte for.

Kontroller resultatet med eit systemoppløysarkall i staden for ein nettlesar. Nettlesarar køyrer stadig meir av si eiga krypterte oppløysing og svarar gjerne frå ein veg skalet ditt aldri brukar, så adressefeltet kan sjå sunt ut medan systemoppløysaren framleis er øydelagd.

Installasjonsproblemet som kjem først

Ein god del av desse rapportane når aldri brannmuren, fordi kommandoen rett og slett ikkje finst. Bootstrap-pakka til leverandøren registrerer eit depot og ein signeringsnøkkel. Ho installerer ikkje klienten, så ein manglande kommando rett etterpå er det venta resultatet og ikkje ein feil.

Oppdater pakkelistene og installer ved namn. Viss pakkehandsamaren klagar over ein manglande offentleg nøkkel, har ikkje nøkkelen hamna der han leitar, og rettinga er å leggje han der før du oppdaterer igjen.

Viss vertnamnet til depotet blir oppløyst til ei privat adresse, stopp og les det resultatet to gonger. Du køyrer kanskje allereie ein tunnel der oppløysaren svarar for offentlege namn, og eit nytt installasjonsforsøk vil gje same meldinga i det uendelege.

Skriv det ned før du lukkar lokket

Fastslå at tunnelen er det einaste som har endra seg, og tillat deretter den minste tingen som gjenopprettar symptomet. Hald namngjevinga som si eiga avgjerd med sitt eige notat.

Noter kva unntak som finst for kva eining og kven som bad om det. Eit lokalt nett som berre verkar fordi nokon skreiv inn eit breitt prefiks, er ei avgjerd som allereie har overlevd grunnen til ho.

Test på nytt etter at klienten blir oppdatert. Brannmur-oppsettet endrar seg mellom versjonar, og tillatingslista frå førre månad er ikkje eit faktum om denne månaden.