Lascth diallta pf macOS do OpenVPN: rialacha a dhúnann

Ar macOS, níl lascth diallta níos fearr ná an polasaí scagaire paicéad atá taobh thiar de, agus is é pf an chuid a fhorfheidhmíonn an polasaí sin. Caithfidh an polasaí dhá rud contrártha a dhéanamh ag an am céanna: ligean don chliant a fhreastalaí a shroicheadh ionas gur féidir tollán a bheith ann, agus stopadh gach rud eile ó dhul amach go díreach. Éiríonn le formhór na dtacar rialacha foilsithe leis an dara rud agus déantar dearmad den chéad cheann, mar sin cailleann an meaisín nascacht in ionad cosaint a fháil. Ainmníonn an leagan a oibríonn an deireadhphointe, an réiteoir agus an tollán, agus ní dhéanann sé níos mó.

Cad is féidir le scagaire paicéad a shocrú, agus cad nach féidir

Féachann pf ar chomhéadain, seoltaí, uimhreacha prótacail agus calafoirt, agus stadann sé ansin. Ní fhoghlaimíonn sé riamh cén próiseas a d’oscail soicéad, mar sin déantar cead a scríobhtar do chlár amháin ina chead do gach clár ar féidir leis an gcalafort céanna a shroicheadh. Sin mar a dhéanann eisceacht UDP fhlaithiúil lascth diallta a iompú ar ais ina ghnáthlíonra. Baineann bacadh atá feasach ar an bhfeidhmchlár leis an chliant nó le síneadh córais, ní leis an gcomhad seo.

Ní chruthaíonn an scagaire bealaí ach an oiread. Nuair a thiteann an cliant, féadfaidh an bealach réamhshocraithe a bheith fós ag pointeáil chuig tollán marbh, agus iompaíonn pf é sin ina phaicéid bhactha seachas ina fhilleadh ciúin ar Wi-Fi. Is é an bac an toradh atá beartaithe, ní mífheidhm atá le seachaint.

Socraíonn an t-ordú an toradh níos minice ná téacs an rialach. Gan quick, leanann pf ag meastóireacht tar éis meaitseála agus buaíonn an riail mheaitseála deireanach, mar sin sáraíonn bealach leathan in aice na bun na heisceachtaí cúramacha os a chionn. Má dhéantar na bealaí a mharcáil le quick, déantar an chéad mheaitseáil críochnaitheach, agus sin a bhíonn i gceist ag údar polasaí de ghnáth.

Léigh fíricí an chomhéadain agus an deireadhphointe ar dtús

Ní dhéantar comhéadain gan sreang a uimhriú ar an mbealach céanna ar gach Mac, agus faigheann gléas an tolláin uimhir a fhéadfaidh athrú idir amanna tosaigh. Teipeann ar riail a ainmníonn gléas nach bhfuil ann agus í á parsáil, rud atá glórach agus furasta a ghabháil, ach parsáiltear go glan riail a ainmníonn an gléas mícheart atá ann agus ceadaítear trácht a raibh tú ag iarraidh a stopadh.

Bailigh na fíricí fad a bhíonn an cliant nasctha, mar ní bhíonn gléas an tolláin ann ach ansin. Teastaíonn an comhéadan a choinníonn an bealach réamhshocraithe, an gléas a chruthaigh an cliant, agus seoladh agus calafort an fhreastalaí a dhéanann sé dhiailiú. Is é an luach deireanach sin an ceann a fhágtar ar lár i bhformhór na dtacar rialacha, agus is é a fhágáil ar lár an fáth a gcuireann tacar cóipeáilte bac ar a thollán féin.

route -n get default
ifconfig -l
scutil --nc list

Ainmníonn an chéad ordú an comhéadan a bhuann faoi láthair, liostaíonn an dara ceann gach gléas atá ar eolas ag an eithne, agus taispeánann an tríú ceann na cumraíochtaí VPN is féidir leis an gcóras a thosú. Scríobh síos na freagraí sin, ansin léigh seoladh agus calafort an fhreastalaí ó chumraíocht an chliaint féin.

Scríobh an tacar rialacha timpeall chosán an tolláin

Diúltaíonn an comhad thíos de réir réamhshocraithe agus athligeann sé cúig rud: loopback, gléas an tolláin, cosán an chliaint chuig a fhreastalaí, an réiteoir a úsáidtear sula mbíonn tollán ann, agus an dá mhalartú a choinníonn nasc gan sreang inúsáidte. Tagann ainmneacha comhéadain agus seoladh an fhreastalaí ó do mheaisín, mar sin cuir na luachanna a dhearbhaigh tú ina n-ionad. Ní bheidh uimhir an tolláin ag teacht le do cheannsa ach an oiread.

set skip on lo0
block all
pass out quick on utun0
# maintain this line when the server address changes
pass out quick on en1 inet proto udp to 203.0.113.10 port 1194
# only the resolver the client uses before the tunnel exists
pass out quick on en1 inet proto udp to 192.0.2.53 port 53
pass out quick on en1 inet proto udp from any port 68 to any port 67
pass out quick on en1 inet proto udp to 224.0.0.251 port 5353

Tá líne DHCP ann toisc go n-iarrann Mac seoladh sula mbíonn ceann aige, mar sin fágann an t-iarratas calafort 68 i dtreo calafort 67 gan seoladh foinse inúsáidte. Ligeann líne multicast don chóras breithiúnas a dhéanamh ar fiú an nasc gan sreang a úsáid, agus má bhaintear í cruthaítear meaisín a thuairiscíonn gan aon nasc ar líonra atá ag obair. Is í líne an deireadhphointe an rud a ligeann do OpenVPN a fhreastalaí a shroicheadh ar chor ar bith; gan í, caitheann block all an chroitheadh láimhe amuigh agus ní éiríonn an tollán riamh. Tá líne an réiteora níos cúinge ná cead DNS ginearálta, mar ainmníonn sí seoladh amháin agus calafort amháin in ionad gach fiosraithe a dhéanann an meaisín.

Is iad na heisceachtaí deireadhphointe agus réiteora sin an dá cheann a chaithfidh a bheith ann; fanann gach rud eile bactha. Má dhiailíonn an cliant seoladh liteartha, fág líne an réiteora ar lár agus coinnigh líne an deireadhphointe. Má athraíonn seoladh an fhreastalaí, nuashonraigh an líne sin roimh an gcéad nasc eile, nó líon tábla pf ó chrúca an chliaint féin agus déan an tábla a mheaitseáil ina ionad.

Tóg an tollán síos, ansin atosaigh

Déan parsáil roimh lódáil, mar tá earráid chomhréire saor i rith tirim agus daor i seisiún cianda. Ansin lódáil an comhad, cumasaigh an scagaire má bhí sé as, agus léigh ar ais cad atá i bhfeidhm i ndáiríre. Ní searmanas é an léamh ar ais: féadann ancaire eile rialacha nach scríobh tú a chur leis, mar sin cuir an tacar clóite i gcomparáid le do chomhad.

sudo pfctl -n -v -f /etc/pf.conf
sudo pfctl -f /etc/pf.conf
sudo pfctl -e
sudo pfctl -s rules
sudo pfctl -s Anchors
sudo pfctl -a <anchor> -s rules
sudo pfctl -s info

Agus na rialacha lódáilte, tóg an tollán síos agus déan iarracht leathanach a lódáil. Ba chóir do ghnáththrácht stopadh, agus ba chóir dó fanacht stoptha tar éis don mheaisín codladh agus dúiseacht, mar is ag an aistriú sin a thagann seanriocht ar ais. Athnasc agus dearbhaigh go n-athchromann an trácht gan an tacar rialacha a bhaint. Má oibríonn brabhsálaí fós agus an tollán síos, tá riail níos leithne ná mar a cheap tú, agus is iondúil go n-ainmníonn an léamh ar ais í.

Is é an t-atosú an chuid a scipeálann daoine. Léann macOS /etc/pf.conf ag am tosaithe, ach ní hionann comhad a léamh agus an scagaire a chumasú, mar sin féadann tacar rialacha a oibríonn anois a bheith neamhghníomhach tar éis atosaigh. Rith sudo pfctl -s info ina dhiaidh sin agus dearbhaigh go dtuairiscíonn an líne stádais an scagaire mar chumasaithe.

Coinnigh an t-ealú agus cosán an atosaigh macánta

Féadann tacar rialacha a chuireann bac ar gach rud tú a chur amach as meaisín a riarann tú go cianda. Cuir in eagar ó sheisiún áitiúil nuair is féidir, coinnigh an comhad roimhe seo in aice leis an gceann nua, agus bíodh a fhios agat an t-aisiompú sula mbíonn sé uait. Díchumasaíonn na horduithe thíos an scagaire agus athlódálann siad an chóip a choinnigh tú, agus is é sin an seicheamh le rith ó chonsól seachas tríd an tollán a ghearr tú díreach. Buaíonn aisiompú cúig soicind riail chliste gach uair.

sudo pfctl -d
sudo pfctl -f /etc/pf.conf.previous
sudo pfctl -s rules

Teastaíonn deamhan seolta le haghaidh marthanachta a ritheann pfctl -e agus a lódálann do chomhad ag am tosaithe. Caith leis mar aon phost pribhléideach eile: cosáin iomlána, logáil is féidir leat a léamh ina dhiaidh, agus tástáil ar mheaisín is féidir leat a shroicheadh go fisiciúil. Fágann deamhan a theipeann go ciúin an meaisín gan chosaint agus ag breathnú go normálta.

Déan doiciméadú ar na bearnaí, ag tosú le dara cliant VPN a chruthaíonn a ghléas tolláin féin. Ainmníonn do rialacha comhéadan tolláin amháin, mar sin fanann an dara ceann bactha nó tagann riail leathan a chuirtear leis níos déanaí air. Ní thagann comhéadain tethering agus hotspot chun solais ach uaireanta agus tá an nóta céanna tuillte acu. Ní cúis ar bith de na bearnaí sin chun an polasaí a scipeáil; is iad na coinníollacha faoina bhfuil sé fós bailí.