macOS pf makullin kashewa don OpenVPN: ka’idoji da ke rufewa

A macOS, makullin kashewa bai fi manufar matatar fakiti da ke bayansa kyau ba, kuma pf shine sashin da ke aiwatar da wannan manufar. Manufar dole ta yi abubuwa biyu masu sabani a lokaci ɗaya: bar abokin ciniki ya isa sabar sa domin rami ya kasance, kuma hana duk sauran fita kai tsaye. Yawancin saitin ka’idojin da aka wallafa suna iya na biyu kuma suna manta na farko, saboda haka na’urar tana rasa haɗi maimakon samun kariya. Sigar da ke aiki tana ambaton ƙarshen wuri, mai warwarewa da ramin, kuma babu wani abu fiye da haka.

Abin da matatar fakiti za ta iya yanke hukunci, da abin da ba za ta iya ba

pf yana duba mu’amaloli, adireshi, lambobin ka’ida da tashoshi, kuma ya tsaya a nan. Ba ya taɓa sanin wace tsari ta buɗe soket, saboda haka izinin da aka rubuta wa shiri ɗaya ya zama izini ga kowane shiri da zai iya isa wannan tashar. Haka ne ke sa keɓancewar UDP mai karimci ya mayar da makullin kashewa zuwa gama-garin cibiyar sadarwa. Toshewar da ta san aikace-aikace na abokin ciniki ne ko na ƙari na tsarin, ba na wannan fayil ɗin ba.

Matatar ba ta ƙirƙirar hanyoyi kuma. Lokacin da abokin ciniki ya faɗi, hanyar da ta saba na iya nuni ga mataccen rami, kuma pf yana mai da hakan zuwa fakiti da aka toshe maimakon komawa Wi-Fi cikin shiru. Toshewar ita ce sakamakon da ake so, ba lahani da za a kewaye ba.

Tsari yana yanke sakamako sau da yawa fiye da rubutun ka’ida. Ba tare da quick pf yana ci gaba da kimantawa bayan an samu daidaito kuma ka’idar ƙarshe da ta dace ce ke cin nasara, saboda haka faffadan wucewa kusa da ƙasa yana soke keɓancewar da aka yi a hankali a sama. Yiwa wucewar alama da quick yana sa daidaiton farko ya zama na ƙarshe, wanda marubucin manufa yawanci yake nufi.

Fara karanta gaskiyar mu’amala da ƙarshen wuri

Ba a ƙidaya mu’amalolin mara waya iri ɗaya a kowane Mac ba, kuma na’urar rami tana samun lamba da za ta iya canzawa tsakanin tashoshi. Ka’idar da ke ambaton na’urar da babu ita tana kasawa a lokacin nazari, wanda yake da ƙarfi kuma mai sauƙin kamawa, yayin da ka’idar da ke ambaton na’urar da ba daidai ba tana wucewa cikin tsafta kuma tana ba da izinin zirga-zirgar da kake so ka tsayar.

Tattara gaskiyar yayin da abokin ciniki ke haɗe, domin na’urar rami tana kasancewa ne kawai a lokacin. Kana buƙatar mu’amalar da ke riƙe hanyar da ta saba, na’urar da abokin ciniki ya ƙirƙira, da adireshi da tashar sabar da yake bugawa. Wannan ƙimar ta ƙarshe ita ce yawancin saitin ka’idoji ke watsi da ita, kuma watsi da ita shine dalilin da yasa saitin da aka kwafa ke toshe ramin nasa.

route -n get default
ifconfig -l
scutil --nc list

Umarni na farko yana ambaton mu’amalar da ke cin nasara a yanzu, na biyu yana lissafin kowace na’urar da kernel ya sani, na uku kuma yana nuna tsarin VPN da tsarin zai iya farawa. Rubuta waɗannan amsoshi, sannan karanta adireshi da tashar sabar daga tsarin abokin ciniki da kansa.

Rubuta saitin ka’idoji a kewayen hanyar rami

Fayil ɗin da ke ƙasa yana ƙin bisa ga tsoho kuma yana sake karɓar abubuwa biyar: loopback, na’urar rami, hanyar abokin ciniki zuwa sabar sa, mai warwarewar da ake amfani da shi kafin rami ya kasance, da musanya biyu da ke riƙe hanyar mara waya mai amfani. Sunayen mu’amala da adireshin sabar suna fitowa daga na’uraka, saboda haka maye gurbin ƙimar da ka tabbatar. Lambar ramin kuma ba za ta dace da taka ba.

set skip on lo0
block all
pass out quick on utun0
# maintain this line when the server address changes
pass out quick on en1 inet proto udp to 203.0.113.10 port 1194
# only the resolver the client uses before the tunnel exists
pass out quick on en1 inet proto udp to 192.0.2.53 port 53
pass out quick on en1 inet proto udp from any port 68 to any port 67
pass out quick on en1 inet proto udp to 224.0.0.251 port 5353

Layin DHCP yana kasancewa ne saboda Mac yana neman adireshi kafin ya samu ɗaya, don haka buƙatar tana barin tasha 68 zuwa tasha 67 ba tare da adireshin tushe mai amfani ba. Layin multicast yana barin tsarin ya yi hukunci ko hanyar mara waya ta cancanci amfani, kuma cire shi yana haifar da na’urar da ke ba da rahoton babu haɗi a cibiyar sadarwa mai aiki. Layin ƙarshen wuri shine abin da ke barin OpenVPN ya isa sabar sa kwata-kwata; ba tare da shi ba block all yana watsar da musafaha na waje kuma ramin ba ya tashi. Layin mai warwarewa ya fi ƙunci fiye da izinin DNS na gama-gari, domin yana ambaton adireshi ɗaya da tasha ɗaya maimakon kowace tambaya da na’urar ke yi.

Waɗannan keɓancewar ƙarshen wuri da mai warwarewa su ne biyun da dole su kasance; duk sauran suna zama a toshe. Idan abokin ciniki yana buga adireshin zahiri, cire layin mai warwarewa ka riƙe layin ƙarshen wuri. Idan adireshin sabar ya canza, sabunta wannan layin kafin haɗi na gaba, ko cika teburin pf daga ƙugiya ta abokin ciniki kuma daidaita teburin maimakon haka.

Saukar da ramin, sannan sake yi

Yi nazari kafin lodawa, domin kuskuren rubutu yana da arha a gwajin busasshe kuma yana da tsada a zaman nesa. Sannan loda fayil ɗin, kunna matatar idan tana kashe, kuma karanta abin da ke aiki da gaske. Sake karantawa ba biki ba ne: wata anga na iya ƙara ka’idojin da ba ka rubuta ba, saboda haka kwatanta saitin da aka buga da fayil ɗinka.

sudo pfctl -n -v -f /etc/pf.conf
sudo pfctl -f /etc/pf.conf
sudo pfctl -e
sudo pfctl -s rules
sudo pfctl -s Anchors
sudo pfctl -a <anchor> -s rules
sudo pfctl -s info

Da ka’idoji a lodawa, saukar da ramin ka gwada loda shafi. Ya kamata zirga-zirgar talakawa ta tsaya, kuma ya kamata ta kasance a tsaye bayan na’urar ta yi barci ta farka, domin a wannan canjin ne tsohon yanayi ke dawowa. Sake haɗawa ka tabbatar zirga-zirga ta dawo ba tare da taɓa saitin ka’idoji ba. Idan burauza tana aiki har yanzu da ramin a kashe, wata ka’ida ta fi fadi fiye da yadda ka zata, kuma sake karantawa yawanci yana ambatonta.

Sake yi shine sashin da mutane ke tsallakewa. macOS yana karanta /etc/pf.conf lokacin tashi, amma karanta fayil ɗin ba daidai yake da kunna matatar ba, saboda haka saitin ka’idojin da ke aiki yanzu na iya zama mara aiki bayan sake yi. Gudanar da sudo pfctl -s info bayan haka ka tabbatar layin yanayi yana ba da rahoton an kunna matatar.

Riƙe hanyar fita da hanyar sake yi da gaskiya

Saitin ka’idojin da ke toshe komai na iya kulle ka daga na’urar da kake gudanarwa daga nesa. Gyara daga zama na gida lokacin da za ka iya, riƙe fayil ɗin da ya gabata kusa da sabon, kuma san hanyar komawa kafin ka buƙace ta. Umarnin da ke ƙasa suna kashe matatar kuma suna sake loda kwafin da ka riƙe, kuma wannan shine jerin da za a gudanar daga console ba ta ramin da ka yanke ba. Komawa cikin daƙiƙa biyar tana cin ka’idar wayo kowace rana.

sudo pfctl -d
sudo pfctl -f /etc/pf.conf.previous
sudo pfctl -s rules

Dorewa na buƙatar daemon na ƙaddamarwa wanda ke gudanar da pfctl -e kuma yana loda fayil ɗinka lokacin tashi. Ka ɗauke shi kamar kowane aiki mai gata: hanyoyi cikakke, log ɗin da za ka iya karantawa daga baya, da gwaji a kan na’urar da za ka iya isa ta jiki. Daemon da ke kasawa cikin shiru yana barin na’urar ba ta da kariya kuma tana kama da al’ada.

Rubuta gibin, farawa da abokin ciniki na biyu na VPN wanda ke ƙirƙirar na’urar ramin kansa. Ka’idojinka suna ambaton mu’amalar rami ɗaya, don haka na biyu yana zama a toshe ko wata faffadar ka’ida da aka ƙara daga baya ta same shi. Mu’amalolin tethering da hotspot suna bayyana lokaci-lokaci kawai kuma sun cancanci wannan bayanin. Babu ɗaya daga cikin waɗannan gibin da zai zama dalilin tsallake manufar; su ne sharuɗɗan da take aiki a ƙarƙashinsu har yanzu.