NordVPN på Linux blokkerer LAN: tillatelsesliste og DNS

Alt ser normalt ut helt til du prøver å nå noe på din egen skrivebord. Tunnelen er oppe, sider lastes, og nettverksdisken får tidsavbrudd. Koble fra, og disken er tilbake før du har fullført setningen, noe som forteller deg mer enn noen logg: klienten nekter bevisst trafikk som ikke går inn i tunnelen, og ditt lokale nettverk er på feil side av den grensen.

Kill switchen gjør jobben sin

En kill switch finnes for å hindre trafikk i å slippe ut når tunnelen ikke er tilgjengelig. Private adresseområder regnes som trafikk som ikke går inn i tunnelen, så en streng implementasjon blokkerer dem sammen med alt annet. Det er ikke en feil i den betydningen folk mener når de sender inn rapporten.

Les klientens eget syn først. Én kommando skriver ut gjeldende innstillinger, og en annen viser brannmur-objektene klienten har opprettet. Du ser etter et drop eller reject som vises før noen tunnel-unntak, fordi det er den rekkefølgen som gjør det lokale nettverket utilgjengelig.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Kjør deretter én test som deler problemet i to. Nå enheten via adresse, og nå den via navn. Adresse virker og navn feiler betyr at brannmuren er uskyldig og oppløseren ikke. Begge feiler betyr at brannmuren avviser pakken, og resten av denne artikkelen gjelder.

Tillatelsesliste: velg oppføringstypen etter symptomet

Klienten tilbyr en tillatelsesliste med tre typer oppføringer, og å velge riktig type er det meste av arbeidet. Et subnett dekker verter. En port dekker én tjeneste uansett destinasjon. En multicast-gruppe dekker oppdagelsestrafikk, som er en annen form for trafikk enn noe som er adressert til én enkelt vert.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Oppdagelsesfeil overrasker folk fordi en skriver eller medieserver kan finnes via en gruppeadressert forespørsel i stedet for et oppslag av sin egen adresse. Å legge til vertens subnett dekker ikke den gruppen automatisk, så enheten forblir usynlig mens nettsiden laster fint når du skriver inn adressen.

Hold unntaket så smalt som symptomet tillater. Et bredt prefiks som skrives inn én gang glemmes i årevis, og ingen kan senere forklare hvilke maskiner det skulle slippe inn. Slett oppføringer når prosjektet som trengte dem er over, og kontroller hva som er igjen etter en oppdatering.

Nyere bygg har også én innstilling for LAN-oppdagelse. Den er praktisk, og den samvirker med tillatelseslisten i stedet for å stable seg på den: å slå den på kan tømme eksisterende oppføringer for private subnett, og en manuell regel for private subnett kan bli avvist så lenge den er på.

Vertsnavn trenger en egen beslutning

Å tillate et subnett gjenoppretter tilkobling via adresse og lar navngivningen være urørt. Lokale vertsnavn sendes fortsatt til den oppløseren klienten konfigurerte da tunnelen kom opp, så et navn som før ble oppløst returnerer nå ingenting.

Å peke klienten mot ruteren sin oppløser fikser det i ett trinn og endrer stille det du kjøpte. Hvert oppslag, ikke bare lokale, går da gjennom ruteren, så tunnelen beskytter ikke lenger den delen av nettsurfingen din som røper hensikter.

Den smalere veien beholder tunneloppløseren og legger til de få navnene som betyr noe, enten som søkedomene eller som individuelle oppføringer. Det koster mer oppmerksomhet og bevarer egenskapen du betalte for.

Kontroller resultatet med et systemoppløserkall i stedet for en nettleser. Nettlesere kjører stadig mer av sin egen krypterte oppløsning og svarer gjerne fra en vei skallet ditt aldri bruker, så adressefeltet kan se sunt ut mens systemoppløseren fortsatt er ødelagt.

Installasjonsproblemet som kommer først

En god del av disse rapportene når aldri brannmuren, fordi kommandoen rett og slett ikke finnes. Leverandørens bootstrap-pakke registrerer et depot og en signeringsnøkkel. Den installerer ikke klienten, så en manglende kommando rett etterpå er det forventede resultatet og ikke en feil.

Oppdater pakkelistene og installer ved navn. Hvis pakkebehandleren klager over en manglende offentlig nøkkel, har ikke nøkkelen havnet der den leter, og rettelsen er å legge den der før du oppdaterer igjen.

Hvis depotets vertsnavn oppløses til en privat adresse, stopp og les det resultatet to ganger. Du kjører kanskje allerede en tunnel hvis oppløser svarer for offentlige navn, og et nytt installasjonsforsøk vil gi samme melding i det uendelige.

Skriv det ned før du lukker lokket

Fastslå at tunnelen er det eneste som har endret seg, og tillat deretter den minste tingen som gjenoppretter symptomet. Hold navngivning som sin egen beslutning med sin egen notat.

Noter hvilket unntak som finnes for hvilken enhet og hvem som ba om det. Et lokalt nettverk som bare virker fordi noen skrev inn et bredt prefiks, er en beslutning som allerede har overlevd grunnen til den.

Test på nytt etter at klienten oppdateres. Brannmur-oppsettet endres mellom versjoner, og forrige måneds tillatelsesliste er ikke et faktum om denne måneden.