NordVPN sa Linux, hinaharangan ang LAN: listahan ng pinapayagan at DNS

Mukhang normal ang lahat hanggang subukan mong maabot ang isang bagay sa sarili mong mesa. Nakaangat ang tunnel, naglo-load ang mga pahina, at nag-time out ang network drive. Idiskonekta at bumabalik ang drive bago mo pa matapos ang pangungusap, na nagsasabi sa iyo ng higit sa anumang log: sadyang tinatanggihan ng kliyente ang trapikong hindi pumapasok sa tunnel, at ang lokal na network mo ay nasa maling panig ng linyang iyon.

Ginagawa ng kill switch ang trabaho nito

Umiiral ang kill switch para pigilan ang trapiko sa pagtakas kapag hindi available ang tunnel. Itinuturing na trapikong hindi pumapasok sa tunnel ang mga pribadong saklaw ng address, kaya hinaharangan ito ng mahigpit na implementasyon kasama ng lahat ng iba pa. Hindi iyon bug sa kahulugang tinutukoy ng mga tao kapag naghain sila ng ulat.

Basahin muna ang pananaw ng kliyente mismo. Isang utos ang nagpi-print ng kasalukuyang mga setting, at ang pangalawa ay nagpapakita ng mga bagay sa firewall na ginawa ng kliyente. Hinahanap mo ang drop o reject na lumilitaw bago ang anumang pagbubukod ng tunnel, dahil ang pagkakasunod-sunod na iyon ang nagpapawalang-access sa lokal na network.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Pagkatapos ay magsagawa ng isang pagsubok na naghahati sa problema sa dalawa. Abutin ang device sa pamamagitan ng address, at pagkatapos ay sa pamamagitan ng pangalan. Gumagana ang address at nabigo ang pangalan ay nangangahulugang inosenteng ang firewall at hindi ang resolver. Nabigo ang dalawa ay nangangahulugang tinatanggihan ng firewall ang packet, at nalalapat ang natitirang bahagi ng artikulong ito.

Listahan ng pinapayagan: piliin ang uri ng entry ayon sa sintomas

Nag-aalok ang kliyente ng listahan ng pinapayagan na may tatlong uri ng entry, at ang pagpili ng tamang uri ang malaking bahagi ng trabaho. Sinasaklaw ng subnet ang mga host. Sinasaklaw ng port ang isang serbisyo anuman ang destinasyon. Sinasaklaw ng multicast group ang trapikong pagtuklas, na ibang hugis ng trapiko kaysa sa anumang nakasentro sa isang host.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Nagulat ang mga tao sa mga pagkabigo sa pagtuklas dahil maaaring matagpuan ang printer o media server sa pamamagitan ng query na nakasentro sa grupo kaysa sa paghahanap ng sarili nitong address. Ang pagdaragdag ng subnet ng host ay hindi awtomatikong sumasaklaw sa grupong iyon, kaya nananatiling di-nakikita ang device habang maayos na naglo-load ang web page nito kapag tina-type mo ang address.

Panatilihing kasing kitid ng pinapayagan ng sintomas ang pagbubukod. Ang malawak na prefix na na-type nang isang beses ay nakakalimutan nang maraming taon, at wala nang makakapagpaliwanag mamaya kung aling mga makina ang dapat nitong papasukin. Burahin ang mga entry kapag natapos ang proyektong nangailangan sa kanila, at tingnan kung ano ang natitira pagkatapos ng update.

Ang mga bagong build ay naglalabas din ng isang setting ng pagtuklas sa LAN. Maginhawa ito, at nakikipag-ugnayan ito sa listahan ng pinapayagan sa halip na magpatong dito: ang pag-on nito ay maaaring maglinis ng umiiral na mga entry ng pribadong subnet, at ang manual na patakaran ng pribadong subnet ay maaaring tanggihan habang nananatili itong naka-on.

Ang mga pangalan ng host ay nangangailangan ng hiwalay na desisyon

Ang pagpayag sa isang subnet ay nagbabalik ng koneksyon sa pamamagitan ng address at iniiwang hindi ginalaw ang pagpapangalan. Ipinapadala pa rin ang mga lokal na pangalan ng host sa alinmang resolver na itinakda ng kliyente nang umangat ang tunnel, kaya ang pangalang dating nagre-resolve ay wala nang ibinabalik ngayon.

Ang pagturo sa kliyente sa resolver ng router ay nag-aayos niyon sa isang hakbang at tahimik na binabago ang binili mo. Pagkatapos, ang bawat paghahanap, hindi lamang lokal, ay lumalabas sa router, kaya hindi na pinoprotektahan ng tunnel ang bahagi ng pagba-browse mo na nagbubunyag ng intensyon.

Pinapanatili ng mas makitid na ruta ang resolver ng tunnel at nagdaragdag ng kaunting pangalang mahalaga, alinman bilang search domain o bilang indibidwal na entry. Nangangailangan ito ng mas maraming atensyon at pinapanatili ang katangiang binayaran mo.

Suriin ang resulta gamit ang tawag sa resolver ng system sa halip na browser. Lalong nagpapatakbo ang mga browser ng sarili nilang naka-encrypt na resolusyon at masayang sumasagot mula sa landas na hindi kailanman ginagamit ng shell mo, kaya maaaring mukhang malusog ang address bar habang sira pa rin ang resolver ng system.

Ang problema sa pag-install na nauuna

Marami sa mga ulat na ito ay hindi umaabot sa firewall, dahil talagang wala ang utos. Ang bootstrap package ng vendor ay nagrerehistro ng repository at signing key. Hindi nito ini-install ang kliyente, kaya ang nawawalang utos kaagad pagkatapos ay inaasahang resulta at hindi kabiguan.

I-refresh ang mga listahan ng package at i-install ayon sa pangalan. Kung nagrereklamo ang package manager tungkol sa nawawalang public key, hindi nakarating ang key sa hinahanapan nito, at ang solusyon ay ilagay ito roon bago mag-refresh muli.

Kung ang pangalan ng host ng repository ay nagre-resolve sa pribadong address, huminto at basahin ang resultang iyon nang dalawang beses. Baka nagpapatakbo ka na ng tunnel na ang resolver ay sumasagot para sa mga pampublikong pangalan, at ang muling pagtatangkang mag-install ay maglalabas ng parehong mensahe nang walang hanggan.

Isulat ito bago isara ang takip

Tiakin na ang tunnel lang ang nabago, pagkatapos ay payagan ang pinakamaliit na bagay na nagbabalik ng sintomas. Panatilihing sariling desisyon ang pagpapangalan na may sariling tala.

Itala kung aling pagbubukod ang para sa aling device at sino ang humiling nito. Ang lokal na network na gumagana lang dahil may nag-type ng malawak na prefix ay desisyong nakalampas na sa sarili nitong dahilan.

Subukan muli pagkatapos ma-update ang kliyente. Nagbabago ang layout ng firewall sa pagitan ng mga release, at ang listahan ng pinapayagan noong nakaraang buwan ay hindi katotohanan tungkol sa buwang ito.