Cloi VPN â PF ar Mac: polisi safle, nid nodwedd i'w chyflwyno

Mae'n gweithio ar eich Mac, felly mae'n edrych fel rhywbeth y gallwch ei roi i ddefnyddwyr. Y rhagdybiaeth honno yw'r peth cyntaf i'w golli. Mae TN3165 Apple yn datgan yn blaen nad yw Packet Filter yn API a gefnogir ar gyfer cynhyrchion a ddosberthir yn gyffredinol, ac mae'n fframio gweinyddiaeth safle freintiedig a rheoledig fel yr achos rhesymol. Felly mae clo VPN a adeiladwyd ar PF yn bolisi gweithredol lleol sydd â pherchennog, nid nodwedd y gallwch ei chyflwyno y tu mewn i ap.

Nid yw PF yn arwyneb pecynnu

Nid yw'r gwahaniaeth yn academaidd. Mae cynnyrch a ddosberthir sy'n dibynnu ar PF yn etifeddu pob newid a wna Apple iddo, pob gwrthdaro ag offeryn arall sy'n ysgrifennu rheolau hefyd, ac nid oes unrhyw ymrwymiad cymorth y bydd y trefniant yn parhau i weithio. Mae gan safle sy'n gweinyddu ei beiriannau ei hun berthynas wahanol: gall ddogfennu'r dibyniaeth, ei phrofi yn erbyn pob rhyddhau OS, a derbyn y gwaith cynnal.

Mae rhai cyngor gosod yn croesi llinell sy'n werth ei henwi. Nid yw trosysgrifo holl set rheolau'r system i wneud i un angor lwytho, golygu ffurfwedd lansio system Apple, nac analluogi System Integrity Protection yn ofynion derbyniol ar gyfer rysáit y gellir ei hailddefnyddio. Os oes angen unrhyw un o'r rheini ar ganllaw cyhoeddedig, mae'n disgrifio labordy, nid polisi y gellir ei ddefnyddio.

Ysgrifennwch y bwriad allanfa cyn y gystrawen

Penderfynwch beth a ganiateir cyn dewis un gair allweddol. Fel arfer mae angen tair llwybr: cludiant y cleient VPN ei hun i'w weinydd, traffig yr ap gwarchodedig y tu mewn i'r twnnel, a beth bynnag y mae'r gosodiadau neu'r gwasanaethau lleol ei wirioneddol angen fel llwybr uniongyrchol.

Rhowch gyrchfan, cludiant a pherchennog i bob eithriad a gynigir. Mae caniatáu pob porth i ben draw yn caniatáu llawer mwy na'r un cludiant y mae'r twnnel yn ei ddefnyddio, ac mae'r amlygiad ychwanegol yn dod heb i unrhyw un benderfynu y dylai fod. Mae caniatáu datryswr cyhoeddus yr un fagl mewn gwisg fwy cyfeillgar: mae'n creu llwybr DNS uniongyrchol hyd yn oed pan fydd y twnnel i lawr, felly mae chwiliadau enwau yn dal i ollwng.

Y prawf defnyddiol ar gyfer eithriad yw a allwch enwi'r person a ofynnodd amdano a'r methiant y mae'n ei atal. Os nad oes yr un ateb yn bodoli, mae'r rheol yn debygol o fod yn ateb dros dro i gamgyfluniad a fyddai fel arall yn aros yn anweledig.

Nid yw rhifau utun yn hunaniaeth

Mae MacOS yn creu rhyngwynebau twnnel fel dyfeisiau utun, ac nid yw'r rhif a roddir i'ch VPN yn sefydlog ar draws ailgychwyn, ailgysylltu, neu bresenoldeb cleient arall. Nid yw rheol sy'n rhestru sawl rhif a ddyfalwyd yn bolisi; mae'n gipolwg ar un prynhawn.

Ancorwch y rheol wrth rywbeth sy'n nodi'r darparwr a fwriadwyd: y cynllun cyfeiriadau y mae'r twnnel yn ei benodi, y broses sy'n berchen ar y rhyngwyneb, neu ffurfwedd y mae'r cleient VPN ei hun yn ei chynnal. Yna cofnodwch sut mae'r adnabyddiaeth honno'n gweithio, oherwydd ni fydd gan y person sy'n adolygu'r rheol ymhen blwyddyn eich hanes cragen.

Gwnewch y polisi a lwythwyd yn briodoladwy

Mae enw angor yn trefnu rheolau; nid yw'n profi mai'r polisi effeithiol yw'r hyn a fwriadwyd gennych. Gall blaenoriaeth rhwng angorau, rheolau a lwythwyd gan feddalwedd arall, a chyflwr presennol newid y canlyniad. Adolygwch y set effeithiol gyda phwy bynnag arall sy'n berchen ar PF ar y peiriant hwnnw, a dogfennwch y perchnogaeth yn yr un lle â'r ffurfwedd. Dau berchennog yn golygu angorau gwahanol â rhagdybiaethau gwahanol yw'r ffordd arferol y mae clo yn datblygu twll.

Cadwch y set rheolau yn llwybr ffurfweddu cefnogir y safle, fersiwnwch ef, a nodwch pa ryddhadau macOS a brofwyd. Nid yw newid a gymhwysir â llaw ac a gofir gan un person yn seilwaith a gynhelir, beth bynnag y dywed pennawd y ffeil.

Profwch y trawsnewidiadau, nid y cyflwr cysylltiedig

Nid yw sgrinlun a dynnwyd tra bo'r twnnel i fyny yn profi fawr ddim. Cerddwch drwy'r cyflyrau yn lle hynny: cychwyn cyn unrhyw gysylltiad, twnnel sy'n gweithio, twnnel sy'n cwympo heb rybudd, datgysylltiad bwriadol, a symud o Wi-Fi i hotspots. Mae gan bob cyflwr ei ateb ei hun, a'r rhai diddorol yw'r methiannau yn hytrach na'r llwybr hapus.

Ym mhob cyflwr, cofnodwch beth sy'n gyrraeddadwy yn fwriadol. Gwiriwch IPv4 ac IPv6 ar wahân, profwch ddatrysiad enwau, a chynhwyswch lif a sefydlwyd eisoes cyn y trawsnewidiad, gan nad yw cysylltiadau presennol bob amser yn dilyn y polisi newydd. Mae porwr sy'n methu tra bo'r twnnel i lawr yn un pwynt data, nid yn dystiolaeth bod pob llwybr arall wedi'i rwystro.

Yn olaf, cadwch ddull adfer nad yw'n dibynnu ar y llwybr rhwydwaith rydych yn ei newid. Mae ffurfwedd hysbys-dda ar storfa leol a ffordd ddogfenedig o'i llwytho yn troi clo yn bolisi; heb hynny, mae un adolygiad gwael yn cloi'r gweinyddwr allan o'r peiriant a oedd i fod i gael ei warchod.