Linux'da NordVPN LAN'ni bloklaydi: ruxsat ro'yxati va DNS

Hamma narsa normal ko'rinadi, to o'z stolingizdagi biror narsaga yetishga urinmaguningizcha. Tunnel ishlayapti, sahifalar yuklanadi, tarmoq diski esa javob berishdan to'xtaydi. Ulanishni uzing va jumlani tugatmasdan diskingiz qaytadi, bu sizga har qanday jurnaldan ko'proq narsani aytadi: mijoz tunnelga kirmaydigan trafikni ataylab rad etmoqda, va sizning mahalliy tarmog'ingiz o'sha chegaraning noto'g'ri tomonida.

Kill switch o'z ishini qilmoqda

Kill switch tunnel mavjud bo'lmaganda trafik chiqib ketishini to'sish uchun bor. Shaxsiy manzil diapazonlari tunnelga kirmaydigan trafik hisoblanadi, shuning uchun qat'iy amalga oshirish ularni ham qolgan hamma narsa bilan bloklaydi. Bu odamlar hisobot topshirayotganda nazarda tutadigan ma'noda xato emas.

Avval mijozning o'z nuqtai nazarini o'qing. Bitta buyruq joriy sozlamalarni chiqaradi, ikkinchisi mijoz yaratgan xavfsizlik devori obyektlarini ko'rsatadi. Siz har qanday tunnel istisnosidan oldin paydo bo'ladigan drop yoki reject ni qidiryapsiz, chunki aynan shu tartib mahalliy tarmoqni yetib bo'lmaydigan qiladi.

nordvpn settings
sudo nft list ruleset
sudo iptables -S

Keyin muammoni ikkiga bo'ladigan bitta test o'tkazing. Qurilmaga manzil bo'yicha yeting, so'ng nom bo'yicha yeting. Manzil ishlaydi-yu nom muvaffaqiyatsiz bo'lsa, xavfsizlik devori aybsiz, nom hal qiluvchi esa aybdor. Ikkisi ham muvaffaqiyatsiz bo'lsa, xavfsizlik devori paketni rad etyapti, va ushbu maqolaning qolgan qismi amal qiladi.

Ruxsat ro'yxati: belgiga qarab yozuv turini tanlang

Mijoz uch turdagi yozuvli ruxsat ro'yxatini taklif qiladi va to'g'ri turni tanlash ishning katta qismi. Subnet xostlarni qamrab oladi. Port manzilga qaramay bitta xizmatni qamrab oladi. Multicast guruhi kashfiyot trafigini qamrab oladi, bu esa bitta xostga yo'naltirilgan har qanday narsadan boshqa shakldagi trafik.

nordvpn allowlist add subnet 192.168.1.0/24
nordvpn allowlist add port 22
nordvpn allowlist add subnet 239.255.255.250/32
sudo nft list ruleset | grep -i allow

Kashfiyot muvaffaqiyatsizliklari odamlarni hayratda qoldiradi, chunki printer yoki media server o'z manzilini qidirish o'rniga guruhga yuborilgan so'rov orqali topilishi mumkin. Xostning subnetini qo'shish bu guruhni avtomatik qamrab olmaydi, shuning uchun manzilni yozganingizda veb-sahifasi yaxshi yuklansa-da, qurilma ko'rinmas bo'lib qoladi.

Istisnoni belgi ruxsat berganicha tor saqlang. Bir marta yozilgan keng prefiks yillar davomida unutiladi va keyin uning qaysi mashinalarni kiritish uchun mo'ljallanganini hech kim tushuntira olmaydi. Ularni talab qilgan loyiha tugagach yozuvlarni o'chiring va yangilashdan keyin nima qolganini tekshiring.

So'nggi buildlar bitta LAN kashfiyot sozlamasini ham taklif qiladi. Bu qulay va u ruxsat ro'yxati ustiga qatlamlanish o'rniga u bilan o'zaro ishlaydi: uni yoqish mavjud shaxsiy subnet yozuvlarini tozalashi mumkin, qo'lda kiritilgan shaxsiy subnet qoidasi esa u yoniq turganda rad etilishi mumkin.

Xost nomlari alohida qaror talab qiladi

Subnetga ruxsat berish manzil bo'yicha ulanishni tiklaydi va nomlashni tegmasdan qoldiradi. Mahalliy xost nomlari hali ham tunnel ko'tarilganda mijoz sozlagan hal qiluvchiga yuboriladi, shuning uchun ilgari hal qilinadigan nom endi hech narsa qaytarmaydi.

Mijozni routerning hal qiluvchisiga yo'naltirish buni bir qadamda tuzatadi va siz sotib olgan narsani jimgina o'zgartiradi. Shundan keyin har bir qidiruv, nafaqat mahalliy, router orqali chiqadi, shuning uchun tunnel sizning ko'rishning niyatlarni oshkor qiladigan qismini endi himoya qilmaydi.

Torroq yo'l tunnel hal qiluvchisini saqlaydi va muhim bo'lgan bir nechta nomni qo'shadi, yo qidiruv domeni sifatida, yo alohida yozuvlar sifatida. Bu ko'proq e'tibor talab qiladi va siz to'lagan xususiyatni saqlaydi.

Natijani brauzer o'rniga tizim hal qiluvchisi chaqiruvi bilan tekshiring. Brauzerlar tobora o'z shifrlangan hal qilishini ishga tushiradi va sizning shell hech qachon ishlatmaydigan yo'ldan mamnuniyat bilan javob beradi, shuning uchun manzil satri sog'lom ko'rinishi mumkin, tizim hal qiluvchisi esa hali ham buzilgan.

Birinchi keladigan o'rnatish muammosi

Bu hisobotlarning katta qismi xavfsizlik devoriga hech qachon yetib bormaydi, chunki buyruq umuman yo'q. Yetkazib beruvchining yuklash paketi repozitoriy va imzo kalitini ro'yxatdan o'tkazadi. U mijozni o'rnatmaydi, shuning uchun darhol keyin buyruq yo'qligi kutilgan natija, muvaffaqiyatsizlik emas.

Paket ro'yxatlarini yangilang va nom bo'yicha o'rnating. Agar paket menejeri yetishmayotgan ochiq kalitdan shikoyat qilsa, kalit u izlayotgan joyga tushmagan, tuzatish esa qayta yangilashdan oldin uni o'sha yerga qo'yishdir.

Agar repozitoriyning xost nomi shaxsiy manzilga hal bo'lsa, to'xtang va bu natijani ikki marta o'qing. Ehtimol siz allaqachon hal qiluvchisi ochiq nomlarga javob beradigan tunnel ishlatyapsiz, va o'rnatishni qayta urinish o'sha xabarni cheksiz chiqaradi.

Qopqoqni yopishdan oldin yozib qo'ying

Faqat tunnel o'zgarganiga ishonch hosil qiling, so'ng belgini tiklaydigan eng kichik narsaga ruxsat bering. Nomlashni o'z eslatmasi bilan alohida qaror sifatida saqlang.

Qaysi istisno qaysi qurilma uchun va kim so'raganini yozib qo'ying. Faqat kimdir keng prefiks yozgani uchun ishlaydigan mahalliy tarmoq o'z sababidan allaqachon oshib ketgan qarordir.

Mijoz yangilangandan keyin qayta sinovdan o'tkazing. Xavfsizlik devori tartibi versiyalar orasida o'zgaradi, va o'tgan oyning ruxsat ro'yxati bu oy haqida fakt emas.