Linux'ta NordVPN LAN'ı engelliyor: izin listesi ve DNS

Kendi masanızdaki bir şeye erişmeye çalışana kadar her şey normal görünür. Tünel ayakta, sayfalar yükleniyor ve ağ sürücüsü zaman aşımına uğruyor. Bağlantıyı kesin, sürücü cümleyi bitirmeden geri gelir; bu size herhangi bir günlükten daha fazlasını söyler: istemci tünele girmeyen trafiği bilerek reddediyor ve yerel ağınız o çizginin yanlış tarafında.

Kill switch işini yapıyor

Kill switch, tünel kullanılamadığında trafiğin dışarı kaçmasını önlemek için vardır. Özel adres aralıkları tünele girmeyen trafik sayılır, bu yüzden katı bir uygulama onları da her şeyle birlikte engeller. Bu, insanların raporu gönderirken kastettiği anlamda bir hata değildir.

Önce istemcinin kendi görüşünü okuyun. Bir komut mevcut ayarları yazdırır, ikincisi istemcinin oluşturduğu güvenlik duvarı nesnelerini gösterir. Herhangi bir tünel istisnasından önce görünen bir drop veya reject arıyorsunuz, çünkü yerel ağı erişilemez yapan tam olarak bu sıralamadır.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Ardından sorunu ikiye bölen bir test yapın. Cihaza adresle ulaşın, sonra adla ulaşın. Adres çalışıp ad başarısız olursa güvenlik duvarı masumdur, çözümleyici değildir. İkisi de başarısız olursa güvenlik duvarı paketi reddediyor demektir ve bu makalenin geri kalanı geçerlidir.

İzin listesi: girdi türünü belirtiye göre seçin

İstemci üç tür girdisi olan bir izin listesi sunar ve doğru türü seçmek işin büyük kısmıdır. Alt ağ ana makineleri kapsar. Bağlantı noktası hedeften bağımsız olarak tek bir hizmeti kapsar. Multicast grubu keşif trafiğini kapsar; bu, tek bir ana makineye yönelen her şeyden farklı biçimde bir trafiktir.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Keşif hataları insanları şaşırtır çünkü bir yazıcı veya medya sunucusu kendi adresinin aranması yerine gruba yöneltilmiş bir sorguyla bulunabilir. Ana makinenin alt ağını eklemek o grubu otomatik olarak kapsamaz, bu yüzden adresi yazdığınızda web sayfası düzgün yüklenirken cihaz görünmez kalır.

İstisnayı belirtinin izin verdiği kadar dar tutun. Bir kez yazılan geniş bir önek yıllarca unutulur ve kimse sonradan hangi makinelerin içeri alınması gerektiğini açıklayamaz. Onlara ihtiyaç duyan proje bittiğinde girdileri silin ve güncellemeden sonra ne kaldığını kontrol edin.

Yeni derlemeler tek bir LAN keşif ayarı da sunar. Kullanışlıdır ve izin listesinin üstüne yığılmak yerine onunla etkileşir: açmak mevcut özel alt ağ girdilerini temizleyebilir ve açık kaldığı sürece elle yapılmış özel alt ağ kuralı reddedilebilir.

Ana makine adları ayrı bir karar gerektirir

Bir alt ağa izin vermek bağlantıyı adresle geri getirir ve adlandırmayı olduğu gibi bırakır. Yerel ana makine adları hâlâ tünel açılırken istemcinin yapılandırdığı çözümleyiciye gönderilir, bu yüzden eskiden çözülen bir ad artık hiçbir şey döndürmez.

İstemciyi yönlendiricinin çözümleyicisine yöneltmek bunu tek adımda düzeltir ve satın aldığınız şeyi sessizce değiştirir. O zaman yalnızca yerel değil her sorgu yönlendiriciden çıkar, böylece tünel taramaınızın niyeti açığa vuran kısmını artık korumaz.

Daha dar yol tünel çözümleyicisini korur ve önemli olan birkaç adı ekler; ister arama alanı ister tek tek girdiler olarak. Daha fazla dikkat ister ve ödediğiniz özelliği korur.

Sonucu tarayıcı yerine sistem çözümleyici çağrısıyla kontrol edin. Tarayıcılar kendi şifreli çözümlemelerini giderek daha çok çalıştırır ve kabuğunuzun hiç kullanmadığı bir yoldan memnuniyetle yanıt verir, bu yüzden adres çubuğu sağlıklı görünürken sistem çözümleyicisi hâlâ bozuk olabilir.

Önce gelen kurulum sorunu

Bu raporların önemli bir kısmı güvenlik duvarına hiç ulaşmaz, çünkü komut orada değildir. Sağlayıcının önyükleme paketi bir depo ve imzalama anahtarı kaydeder. İstemciyi kurmaz, bu yüzden hemen ardından eksik bir komut beklenen sonuçtur, başarısızlık değil.

Paket listelerini yenileyin ve adla kurun. Paket yöneticisi eksik bir genel anahtardan şikâyet ediyorsa, anahtar aradığı yere inmemiştir ve düzeltme, yeniden yenilemeden önce onu oraya koymaktır.

Deponun ana makine adı özel bir adrese çözülüyorsa durun ve bu sonucu iki kez okuyun. Zaten çözümleyicisi genel adlara yanıt veren bir tünel çalıştırıyor olabilirsiniz ve kurulumu yeniden denemek aynı mesajı sonsuza kadar üretir.

Kapağı kapatmadan önce yazın

Tünelin değişen tek şey olduğunu doğrulayın, sonra belirtiyi geri getiren en küçük şeye izin verin. Adlandırmayı kendi notuyla ayrı bir karar olarak tutun.

Hangi istisnanın hangi cihaz için olduğunu ve kimin istediğini kaydedin. Yalnızca birinin geniş bir önek yazması sayesinde çalışan yerel bir ağ, nedenini çoktan geride bırakmış bir karardır.

İstemci güncellendikten sonra yeniden test edin. Güvenlik duvarı düzeni sürümler arasında değişir ve geçen ayın izin listesi bu ay hakkında bir olgu değildir.