Mac-ზე PF VPN ბლოკირება: საიტის პოლიტიკა და არა გასავრცელებელი ფუნქცია
Packet Filter არ არის მხარდაჭერილი API გავრცელებული პროდუქტებისთვის. მიეცით წესების ნაკრებს მფლობელი, დაასახელეთ ყველა გამონაკლისი და შეამოწმეთ გადასვლები.
ის მუშაობს თქვენს Mac-ზე, ამიტომ გგონიათ, რომ ეს ის არის, რაც მომხმარებლებს შეიძლება გადასცეთ. ეს ვარაუდი პირველია, რაც უნდა დაკარგოთ. Apple-ის TN3165 ცხადად ამბობს, რომ Packet Filter არ არის მხარდაჭერილი API ზოგადად გავრცელებული პროდუქტებისთვის და პრივილეგირებულ, კონტროლირებულ საიტის ადმინისტრირებას გონივრულ შემთხვევად მიიჩნევს. ამიტომ PF-ზე აგებული VPN ბლოკირება მფლობელის მქონე ლოკალური ოპერატიული პოლიტიკაა და არა ფუნქცია, რომელიც აპლიკაციაში შეიძლება გაავრცელოთ.
PF შეფუთვის ზედაპირი არ არის
განსხვავება აკადემიური არ არის. PF-ზე დამოკიდებული გავრცელებული პროდუქტი მემკვიდრეობით იღებს Apple-ის ყველა ცვლილებას, ყველა კონფლიქტს სხვა ხელსაწყოსთან, რომელიც წესებსაც წერს, და არანაირ მხარდაჭერის ვალდებულებას, რომ ეს წყობა გააგრძელებს მუშაობას. საიტს, რომელიც საკუთარ მანქანებს მართავს, სხვა ურთიერთობა აქვს: მას შეუძლია დამოკიდებულების დოკუმენტირება, მისი შემოწმება OS-ის ყოველ გამოშვებაზე და ტექნიკური მომსახურების აღება.
ზოგიერთი ინსტალაციის რჩევა გადალახავს ზღვარს, რომლის დასახელებაც ღირს. მთელი სისტემური წესების ნაკრების გადაწერა ერთი ანკერის ჩასატვირთად, Apple-ის სისტემური გაშვების კონფიგურაციის რედაქტირება ან System Integrity Protection-ის გამორთვა არ არის მისაღები მოთხოვნები ხელახლა გამოყენებადი რეცეპტისთვის. თუ გამოქვეყნებულ სახელმძღვანელოს რომელიმე ეს სჭირდება, ის ლაბორატორიას აღწერს და არა განსათავსებელ პოლიტიკას.
დაწერეთ გასვლის განზრახვა სინტაქსამდე
გადაწყვიტეთ, რა არის ნებადართული, სანამ ერთ საკვანძო სიტყვას აირჩევთ. ჩვეულებრივ სამი გზა უნდა არსებობდეს: VPN კლიენტის საკუთარი ტრანსპორტი მის სერვერამდე, დაცული აპლიკაციის ტრაფიკი გვირაბის შიგნით და ყველაფერი, რაც კონფიგურაციას ან ლოკალურ სერვისებს ნამდვილად პირდაპირი გზა სჭირდება.
ყოველ შემოთავაზებულ გამონაკლისს მიეცით დანიშნულება, ტრანსპორტი და მფლობელი. ერთ ბოლო წერტილამდე ყველა პორტის დაშვება ბევრად მეტს უშვებს, ვიდრე გვირაბის მიერ გამოყენებული ერთადერთი ტრანსპორტი, და დამატებითი ექსპოზიცია მოდის იმის გარეშე, რომ ვინმემ გადაწყვიტა, ის უნდა არსებობდეს. საჯარო resolver-ის დაშვება იგივე ხაფანგია უფრო მეგობრულ სამოსში: ის ქმნის პირდაპირ DNS გზას მაშინაც, როცა გვირაბი გამორთულია, ამიტომ სახელების ძებნა მაინც ჟონავს.
| Path | Destination | Owner |
|---|---|---|
| VPN transport | Gateway address, one UDP port | Network team |
| Tunnel traffic | Internal prefixes | Application owner |
| Resolver exception | Named internal resolver | Security team |
გამონაკლისის სასარგებლო ტესტია, შეგიძლიათ თუ არა დაასახელოთ ის პირი, ვინც ის ითხოვა, და ის უკმარისობა, რომელსაც ის ხელს უშლის. თუ არც ერთი პასუხი არ არსებობს, წესი სავარაუდოდ არასწორი კონფიგურაციის გვერდის ავლაა, რომელიც სხვაგვარად უხილავი დარჩებოდა.
utun ნომრები იდენტობა არ არის
MacOS გვირაბის ინტერფეისებს utun მოწყობილობებად ქმნის, და თქვენი VPN-ისთვის მინიჭებული ნომერი არ არის სტაბილური გადატვირთვებს, ხელახლა დაკავშირებებს ან სხვა კლიენტის არსებობას შორის. წესი, რომელიც რამდენიმე გამოცნობილ ნომერს ჩამოთვლის, პოლიტიკა არ არის; ეს ერთი შუადღის სურათია.
მიამაგრეთ წესი იმას, რაც განსაზღვრულ მომწოდებელს იდენტიფიცირებს: გვირაბის მიერ გამოყოფილი მისამართების გეგმა, ინტერფეისის მფლობელი პროცესი ან კონფიგურაცია, რომელსაც თავად VPN კლიენტი ინახავს. შემდეგ ჩაწერეთ, როგორ მუშაობს ეს იდენტიფიკაცია, რადგან ერთი წლის შემდეგ წესის გადამხილველს თქვენი shell-ის ისტორია არ ექნება.
ჩატვირთული პოლიტიკა მიკუთვნებადი გახადეთ
ანკერის სახელი აწყობს წესებს; ის არ ამტკიცებს, რომ ეფექტური პოლიტიკა სწორედ თქვენი განზრახულია. ანკერებს შორის უპირატესობა, სხვა პროგრამის მიერ ჩატვირთული წესები და არსებული მდგომარეობა — ყველა მათგანს შეუძლია შედეგის შეცვლა. გადახედეთ ეფექტურ ნაკრებს ყველასთან ერთად, ვისაც იმ მანქანაზე PF აქვს, და დააფიქსირეთ მფლობელობა იმავე ადგილას, სადაც კონფიგურაციაა. ორი მფლობელი, რომლებიც სხვადასხვა დაშვებით სხვადასხვა ანკერს არედაქტირებენ, ჩვეულებრივი გზაა, რომლითაც ბლოკირებას ხვრელი უჩნდება.
შეინახეთ წესების ნაკრები საიტის მხარდაჭერილ კონფიგურაციის გზაზე, დაარეგისტრირეთ ვერსიები და აღნიშნეთ, რომელი macOS გამოშვებები შემოწმდა. ხელით გამოყენებული და ერთი ადამიანის მიერ დამახსოვრებული ცვლილება არ არის მოვლილი ინფრასტრუქტურა, რაც არ უნდა თქვას ფაილის სათაურმა.
შეამოწმეთ გადასვლები და არა დაკავშირებული მდგომარეობა
გვირაბის ჩართულობისას გადაღებული ეკრანის სურათი თითქმის არაფერს ამტკიცებს. სამაგიეროდ გაიარეთ მდგომარეობები: გაშვება ნებისმიერ კავშირამდე, მოქმედი გვირაბი, გაფრთხილების გარეშე ჩამოვარდნილი გვირაბი, განზრახ გათიშვა და Wi-Fi-იდან hotspot-ზე გადასვლა. ყოველ მდგომარეობას თავისი პასუხი აქვს და საინტერესო სწორედ წარუმატებლობებია და არა ბედნიერი გზა.
ყოველ მდგომარეობაში ჩაწერეთ, რა არის განზრახ მისაწვდომი. ცალკე შეამოწმეთ IPv4 და IPv6, გამოსცადეთ სახელების ამოხსნა და ჩართეთ ნაკადი, რომელიც გადასვლამდე უკვე დამყარებული იყო, რადგან არსებული კავშირები ყოველთვის არ მიჰყვება ახალ პოლიტიკას. ბრაუზერი, რომელიც გვირაბის გამორთვისას ფუჭდება, ერთი მონაცემია და არა მტკიცება, რომ ყველა სხვა გზა დაბლოკილია.
დაბოლოს, შეინარჩუნეთ აღდგენის მეთოდი, რომელიც არ არის დამოკიდებული იმ ქსელურ გზაზე, რომელსაც ცვლით. ცნობილი-კარგი კონფიგურაცია ლოკალურ საცავზე და მისი ჩატვირთვის დოკუმენტირებული გზა ბლოკირებას პოლიტიკად აქცევს; მათ გარეშე ერთი ცუდი რევიზია ადმინისტრატორს კეტავს გარეთ იმ მანქანიდან, რომელიც უნდა დაცულიყო.