Mac PF VPN blokeoa: guneko politika, ez banatzeko funtzioa
Packet Filter ez da banatutako produktuetarako onartutako API bat. Eman arau-multzoari jabe bat, izenda ezazu salbuespen bakoitza eta probatu trantsizioak.
Zure Mac-en funtzionatzen du, beraz erabiltzaileei eman diezaiekezun zerbait dirudi. Suposizio hori da galdu beharreko lehen gauza. Apple-ren TN3165ek argi dio Packet Filter ez dela banatzen diren produktuetarako onartutako API bat, eta pribilegiatutako, kontrolatutako gune-administrazioa kasu arrazoizko gisa aurkezten du. Beraz, PFren gainean eraikitako VPN blokeoa jabe bat duen tokiko eragiketa-politika da, ez aplikazio baten barruan banatu dezakezun funtzioa.
PF ez da enpaketatze-azalera bat
Bereizketa ez da akademikoa. PFren menpe dagoen banatutako produktu batek Applek egiten duen aldaketa bakoitza heredatzen du, arauak ere idazten dituen beste tresna batekin gatazka bakoitza, eta ez du inolako laguntza-konpromisorik konponbideak funtzionatzen jarraituko duela. Bere makinak administratzen dituen gune batek harreman desberdina du: mendekotasuna dokumentatu, OS bertsio bakoitzaren aurka probatu eta mantentze-lana onar dezake.
Instalazio-aholku batzuek izendatzea merezi duen muga bat zeharkatzen dute. Sistema osoaren arau-multzoa gainidaztea anbura bat karga dadin, Apple-ren sistemaren abio-konfigurazioa editatzea edo System Integrity Protection desgaitzea ez dira errezeta berrerabilgarri baterako baldintza onargarriak. Argitaratutako gida batek horietako edozein behar badu, laborategi bat deskribatzen ari da, ez zabal daitekeen politika bat.
Idatzi irteera-asmoa sintaxia baino lehen
Erabaki zer den baimenduta gako-hitz bakarra aukeratu aurretik. Normalean hiru bide egon behar dira: VPN bezeroaren beraren garraioa bere zerbitzarira, tunelaren barneko aplikazio babestuaren trafikoa eta konfigurazioak edo tokiko zerbitzuek benetan bide zuzena behar duten guztia.
Eman proposatutako salbuespen bakoitzari helmuga, garraio eta jabe bat. Mutur batera portu guztiak baimentzeak tunelak erabiltzen duen garraio bakarra baino askoz gehiago baimentzen du, eta estaldura gehigarria inork hala izan behar zuela erabaki gabe iristen da. Resolver publiko bat baimentzea tranpa bera da jantzi atseginagoan: DNS bide zuzena sortzen du tunela behera dagoen bitartean ere, beraz izenen bilaketek oraindik ihes egiten dute.
| Path | Destination | Owner |
|---|---|---|
| VPN transport | Gateway address, one UDP port | Network team |
| Tunnel traffic | Internal prefixes | Application owner |
| Resolver exception | Named internal resolver | Security team |
Salbuespen baterako proba erabilgarria da eskatu zuen pertsona eta saihesten duen hutsegitea izenda ditzakezun. Bi erantzunetako bat ere ez badago, araua ziurrenik bestela ikusezin geldituko litzatekeen konfigurazio oker baten inguru-bidea da.
utun zenbakiak ez dira identitate bat
MacOSek tunel-interfazeak utun gailu gisa sortzen ditu, eta zure VPNri esleitutako zenbakia ez da egonkorra berrabiarazte, berriz konektatze edo beste bezero bat egotearen artean. Zenbait zenbaki asmatu zerrendatzen dituen araua ez da politika bat; arratsalde bateko argazkia da.
Ainguratu araua aurreikusitako hornitzailea identifikatzen duen zerbaiti: tunelak esleitzen duen helbide-plana, interfazearen jabe den prozesua edo VPN bezeroak berak mantentzen duen konfigurazioa. Ondoren, idatzi identifikazio horrek nola funtzionatzen duen, urtebete barru araua berrikusiko duen pertsonak ez baitu zure shell historia izango.
Egin kargatutako politika egotzigarri
Anbura-izen batek arauak antolatzen ditu; ez du frogatzen politika eraginkorra zure asmoa zena denik. Anburen arteko lehentasunak, beste software batek kargatutako arauek eta lehendik dagoen egoerak emaitza alda dezakete. Berrikusi multzo eraginkorra makinan PF ere baduen edonorekin, eta dokumentatu jabetza konfigurazioaren leku berean. Bi jabe anbura desberdinak suposizio desberdinekin editatzen ari dira blokeo batek zulo bat garatzen duen modu arrunta.
Eduki arau-multzoa guneko konfigurazio-bide onartuan, bertsionatu eta idatzi zein macOS bertsio probatu ziren. Eskuz aplikatzen den eta pertsona batek gogoratzen duen aldaketa ez da mantendutako azpiegitura, fitxategiaren goiburuak zer esan ere.
Probatu trantsizioak, ez konektatutako egoera
Tunela martxan dagoela egindako pantaila-argazkiak ia ezer ez du frogatzen. Ibili egoerak: edozein konexio aurretik abiaraztea, funtzionatzen duen tunela, abisurik gabe erortzen den tunela, nahita deskonektatzea eta Wi-Fi-tik hotspot-era pasatzea. Egoera bakoitzak bere erantzuna du, eta interesgarriak hutsegiteak dira, ez bide zoriontsua.
Egoera bakoitzean, erregistratu zer den nahita irisgarri. Egiaztatu IPv4 eta IPv6 bereizita, probatu izenen ebazpena eta sartu trantsizioa baino lehen ezarrita zegoen fluxu bat, lehendik dauden konexioek ez baitute beti politika berria jarraitzen. Tunela behera dagoenean huts egiten duen nabigatzailea datu-puntu bat da, ez beste bide guztiak blokeatuta dauden froga.
Azkenez, mantendu aldatzeko ari zaren sare-bidearen mende ez dagoen berreskuratze-metodo bat. Biltegiratze lokaleko konfigurazio ezagun ona eta hura kargatzeko modu dokumentatu batek blokeo bat politik bihurtzen dute; horiek gabe, berrikuspen txar batek administratzailea babestu behar zen makinatik kanpo uzten du.