NordVPN v Linuxu blokira LAN: seznam dovoljenih in DNS

Vse je videti normalno, dokler ne poskusite doseči nečesa na svoji lastni mizi. Tunel je vzpostavljen, strani se nalagajo, omrežni pogon pa poteče. Prekinite povezavo in pogon se vrne, preden dokončate stavek, kar vam pove več kot kateri koli dnevnik: odjemalec namerno zavrača promet, ki ne vstopa v tunel, in vaše lokalno omrežje je na napačni strani te meje.

Stikalo za izklop opravlja svoje delo

Stikalo za izklop obstaja zato, da prepreči uhajanje prometa, ko tunel ni na voljo. Zasebni naslovni razponi štejejo kot promet, ki ne vstopa v tunel, zato jih stroga izvedba blokira skupaj z vsem drugim. To ni napaka v smislu, ki ga imajo ljudje v mislih, ko vložijo poročilo.

Najprej preberite pogled samega odjemalca. En ukaz izpiše trenutne nastavitve, drugi pa prikaže objekte požarnega zidu, ki jih je ustvaril odjemalec. Iščete drop ali reject, ki se pojavi pred katero koli izjemo tunela, saj prav ta vrstni red naredi lokalno omrežje nedosegljivo.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Nato izvedite en test, ki problem razdeli na pol. Dosezite napravo po naslovu in nato po imenu. Naslov deluje, ime pa ne, pomeni, da je požarni zid nedolžen, razreševalnik pa ne. Oboje ne deluje, pomeni, da požarni zid zavrača paket, in preostanek tega članka velja.

Seznam dovoljenih: izberite vrsto vnosa glede na simptom

Odjemalec ponuja seznam dovoljenih s tremi vrstami vnosov, izbira prave vrste pa je večji del dela. Podomrežje pokriva gostitelje. Vrata pokrivajo eno storitev ne glede na cilj. Skupina multicast pokriva promet odkrivanja, kar je drugačna oblika prometa kot vse, kar je naslovljeno na enega gostitelja.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Napake pri odkrivanju presenetijo ljudi, ker je tiskalnik ali medijski strežnik mogoče najti s poizvedbo, naslovljeno na skupino, namesto z iskanjem lastnega naslova. Dodajanje podomrežja gostitelja te skupine ne pokrije samodejno, zato naprava ostane nevidna, čeprav se njena spletna stran ob vnosu naslova naloži brez težav.

Izpustitev naj bo tako ozka, kot simptom dopušča. Široka predpona, vnesena enkrat, se pozabi za leta, in nihče pozneje ne more pojasniti, katerim strojem naj bi dovolila dostop. Brišite vnose, ko se projekt, ki jih je potreboval, konča, in preverite, kaj ostane po posodobitvi.

Novejše različice ponujajo tudi eno nastavitev odkrivanja v LAN. Je priročna in deluje skupaj s seznamom dovoljenih, namesto da bi se nanj nalagala: vklop lahko izbriše obstoječe vnose za zasebna podomrežja, ročno pravilo za zasebno podomrežje pa je lahko zavrnjeno, dokler ostaja vklopljeno.

Imena gostiteljev zahtevajo ločeno odločitev

Dovolitev podomrežja obnovi povezljivost po naslovu in pusti poimenovanje nedotaknjeno. Lokalna imena gostiteljev se še vedno pošiljajo razreševalniku, ki ga je odjemalec nastavil ob vzpostavitvi tunela, zato ime, ki se je prej razrešilo, zdaj ne vrne ničesar.

Usmeritev odjemalca na usmerjevalnikov razreševalnik to popravi v enem koraku in tiho spremeni, kar ste kupili. Tedaj vsaka poizvedba, ne le lokalna, odide skozi usmerjevalnik, zato tunel ne ščiti več tistega dela brskanja, ki razkriva namere.

Ožja pot ohrani tunelski razreševalnik in doda nekaj pomembnih imen, bodisi kot iskalno domeno bodisi kot posamezne vnose. Zahteva več pozornosti in ohrani lastnost, za katero ste plačali.

Rezultat preverite s klicem sistemskega razreševalnika, ne z brskalnikom. Brskalniki vse pogosteje izvajajo lastno šifrirano razreševanje in rade odgovarjajo po poti, ki je vaša lupina nikoli ne uporablja, zato je naslovna vrstica lahko videti zdrava, medtem ko je sistemski razreševalnik še vedno pokvarjen.

Težava z namestitvijo, ki pride prva

Precejšen del teh poročil nikoli ne doseže požarnega zidu, ker ukaza preprosto ni. Zagonski paket ponudnika registrira repozitorij in podpisni ključ. Odjemalca ne namesti, zato je manjkajoč ukaz takoj zatem pričakovan izid in ne okvara.

Osvežite sezname paketov in namestite po imenu. Če se upravitelj paketov pritožuje zaradi manjkajočega javnega ključa, ključ ni pristal tam, kjer ga išče, popravek pa je, da ga tja postavite pred ponovnim osveževanjem.

Če se ime gostitelja repozitorija razreši v zasebni naslov, se ustavite in ta rezultat preberite dvakrat. Morda že izvajate tunel, katerega razreševalnik odgovarja za javna imena, in ponovni poskus namestitve bo neskončno dajal isto sporočilo.

Zapišite, preden zaprete pokrov

Ugotovite, da se je spremenil le tunel, nato dovolite najmanjšo stvar, ki obnovi simptom. Poimenovanje obdržite kot ločeno odločitev z lastno opombo.

Zabeležite, katera izjema obstaja za katero napravo in kdo jo je zahteval. Lokalno omrežje, ki deluje samo zato, ker je nekdo vnesel široko predpono, je odločitev, ki je že preživela svoj razlog.

Ponovno preizkusite po posodobitvi odjemalca. Postavitev požarnega zidu se med izdajami spreminja, seznam dovoljenih od prejšnjega meseca pa ni dejstvo o tem mesecu.