NordVPN på Linux blockerar LAN: tillåtelselista och DNS

Allt ser normalt ut tills du försöker något på ditt eget skrivbord. Tunneln är uppe, sidorna laddas och nätverksdisken får timeout. Koppla från och disken är tillbaka innan du hinner avsluta meningen, vilket säger dig mer än någon logg: klienten vägrar medvetet trafik som inte går in i tunneln, och ditt lokala nätverk är på fel sida av den gränsen.

Kill switchen gör sitt jobb

En kill switch finns för att hindra trafik från att läcka ut när tunneln inte är tillgänglig. Privata adressintervall räknas som trafik som inte går in i tunneln, så en strikt implementering blockerar dem tillsammans med allt annat. Det är inte en bugg i den mening folk menar när de skickar in rapporten.

Läs först klientens egen syn. Ett kommando skriver ut de aktuella inställningarna, och ett andra visar brandväggsobjekten som klienten skapade. Du letar efter en drop eller reject som dyker upp före något tunnelundantag, eftersom det är den ordningen som gör det lokala nätverket onåbart.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Kör sedan ett test som delar problemet i två. Nå enheten via adress och sedan via namn. Adress fungerar och namn misslyckas betyder att brandväggen är oskyldig och resolvern inte. Båda misslyckas betyder att brandväggen nekar paketet, och resten av den här artikeln gäller.

Tillåtelselista: välj posttyp efter symptomet

Klienten erbjuder en tillåtelselista med tre typer av poster, och att välja rätt typ är det mesta av arbetet. Ett subnät täcker värdar. En port täcker en tjänst oavsett destination. En multicastgrupp täcker upptäcktstrafik, vilket är en annan form av trafik än något som adresseras till en enda värd.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Upptäcktsfel överraskar folk eftersom en skrivare eller medieserver kan hittas via en gruppadresserad fråga i stället för en uppslagning av sin egen adress. Att lägga till värdens subnät täcker inte den gruppen automatiskt, så enheten förblir osynlig medan dess webbsida laddas fint när du skriver in adressen.

Håll undantaget så smalt som symptomet tillåter. Ett brett prefix som skrivs in en gång glöms bort i åratal, och ingen kan senare förklara vilka maskiner det skulle släppa in. Ta bort poster när projektet som behövde dem är slut, och kontrollera vad som finns kvar efter en uppdatering.

Nyare byggen exponerar också en enda inställning för LAN-upptäckt. Den är praktisk, och den samverkar med tillåtelselistan i stället för att staplas ovanpå den: att slå på den kan rensa befintliga poster för privata subnät, och en manuell regel för ett privat subnät kan nekas så länge den är på.

Värdnamn kräver ett eget beslut

Att tillåta ett subnät återställer anslutningen via adress och lämnar namngivningen orörd. Lokala värdnamn skickas fortfarande till den resolver som klienten konfigurerade när tunneln kom upp, så ett namn som förut gick att slå upp returnerar nu ingenting.

Att peka klienten mot routerns resolver fixar det i ett steg och ändrar tyst det du köpte. Varje uppslagning, inte bara lokala, går då genom routern, så tunneln skyddar inte längre den del av ditt surfande som avslöjar avsikter.

Den smalare vägen behåller tunnelresolvern och lägger till de få namn som spelar roll, antingen som sökdomän eller som enskilda poster. Det kostar mer uppmärksamhet och bevarar egenskapen du betalade för.

Kontrollera resultatet med ett systemresolveranrop i stället för en webbläsare. Webbläsare kör allt oftare sin egen krypterade uppslagning och svarar gärna från en väg som ditt skal aldrig använder, så adressfältet kan se friskt ut medan systemresolvern fortfarande är trasig.

Installationsproblemet som kommer först

En stor del av dessa rapporter når aldrig brandväggen, eftersom kommandot helt enkelt inte finns. Leverantörens bootstrap-paket registrerar ett arkiv och en signeringsnyckel. Det installerar inte klienten, så ett saknat kommando direkt efteråt är det förväntade resultatet och inte ett fel.

Uppdatera paketlistorna och installera efter namn. Om pakethanteraren klagar på en saknad offentlig nyckel har nyckeln inte hamnat där den letar, och rättelsen är att placera den där innan du uppdaterar igen.

Om arkivets värdnamn resolvas till en privat adress, stanna och läs det resultatet två gånger. Du kanske redan kör en tunnel vars resolver svarar för offentliga namn, och ett nytt installationsförsök kommer att ge samma meddelande i oändlighet.

Skriv ner det innan du stänger locket

Fastställ att tunneln är det enda som har ändrats, och tillåt sedan den minsta sak som återställer symptomet. Håll namngivningen som ett eget beslut med en egen anteckning.

Anteckna vilket undantag som finns för vilken enhet och vem som bad om det. Ett lokalt nätverk som bara fungerar för att någon skrev ett brett prefix är ett beslut som redan har överlevt sitt skäl.

Testa igen efter att klienten uppdateras. Brandväggens layout ändras mellan versioner, och förra månadens tillåtelselista är inte ett faktum om den här månaden.