Mac'те PF VPN кулпу: сайт саясаты, таратылуучу функция эмес

Ал сиздин Mac'те иштейт, ошондуктан колдонуучуларга берсе боло турган нерседей көрүнөт. Ушул божомол — эң оболу баш тартуу керек нерсе. Apple'дын TN3165 документи Packet Filter жалпы таратылуучу продукттар үчүн колдоого алынган API эмес экенин так айтат жана артыкчылыктуу, көзөмөлдөнгөн сайт администрациялоону акылга сыярлык учур деп эсептейт. Ошондуктан PF негизинде курулган VPN кулпу — ээси бар жергиликтүү операциялык саясат, колдонмонун ичинде таратууга боло турган функция эмес.

PF таңуу бети эмес

Айырма академиялык эмес. PF'ке көз каранды таратылуучу продукт Apple ага жасаган ар бир өзгөртүүнү, эреже жазуучу башка курал менен ар бир кагылышууну мураска алат жана бул түзүлүш иштей берет деген колдоо милдеттенмесин албайт. Өз машиналарын администрациялаган сайттын мамилеси башка: ал көз карандылыкты документтештире алат, аны ар бир ОС чыгарылышына каршы текшере алат жана тейлөөнү кабыл ала алат.

Кээ бир орнотуу кеңештери атап өтүүгө татыктуу чектен ашат. Бир якорь жүктөлүшү үчүн бүт системалык эрежелер топтомун кайра жазуу, Apple'дын системалык иштетилүү конфигурациясын оңдоо же System Integrity Protection'ды өчүрүү кайра пайдаланууга боло турган рецепт үчүн жарактуу талаптар эмес. Эгер жарыяланган жетектеме ушулардын бирин талап кылса, ал лабораторияны сүрөттөйт, жайылтууга боло турган саясатты эмес.

Синтаксистен мурун чыгуу ниетин жазыңыз

Бир ачкыч сөздү тандаардан мурун эмнеге жол берилгенин чечиңиз. Адатта үч жол болушу керек: VPN кардарынын өз серверине ташуусу, туннелдин ичиндеги корголгон колдонмо трафиги жана конфигурация же жергиликтүү кызматтар чын эле түз жолду талап кылган бардык нерсе.

Ар бир сунушталган өзгөчөлүккө багыт, ташуу жана ээсин бериңиз. Бир акыркы чекитке бардык портторго жол берүү туннель колдонгон жалгыз ташуудан алда канча көбүрөөк жол берет, ал эми кошумча таасир эч ким анын болушу керек деп чечпей эле келет. Коомдук resolver'ге жол берүү — достук кейиптеги ошол эле тузак: ал туннель өчүп турганда да түз DNS жолун түзөт, ошондуктан аттарды издөө дагы эле агып кетет.

Өзгөчөлүк үчүн пайдалуу текшерүү — аны сураган адамды жана ал алдын алган бузулууну атай аласызбы. Эгер эки жооптун бири да жок болсо, эреже башка учурда көрүнбөй кала турган туура эмес конфигурациянын айланып өтүү жолу болушу мүмкүн.

utun номерлери — инсандык эмес

MacOS туннель интерфейстерин utun түзмөктөрү катары түзөт, жана сиздин VPN'ге берилген номер туруктуу эмес кайра жүктөөлөр, кайра туташуулар же башка кардардын болушу арасында. Бир нече божомолдонгон номерди тизмелеген эреже саясат эмес; ал бир түштөн кийинки сүрөт.

Эрежени болжолдонгон провайдерди аныктаган нерсеге бекитиңиз: туннель берген дарек планы, интерфейске ээ болгон процесс же VPN кардары өзү кармаган конфигурация. Андан кийин бул идентификациянын кантип иштээрин жазып коюңуз, анткени бир жылдан кийин эрежени карап чыгуучу адамда сиздин shell тарыхыңыз болбойт.

Жүктөлгөн саясатты ээлеп болуучу кылыңыз

Якордун аталышы эрежелерди уюштурат; ал натыйжалуу саясат сиз ойлогон нерсе экенин далилдебейт. Якорлордун ортосундагы артыкчылык, башка программа жүктөгөн эрежелер жана учурдагы абал натыйжаны өзгөртө алат. Натыйжалуу топтомду ошол машинада PF'ке ээ болгон ар ким менен бирге карап чыгыңыз жана ээликти конфигурация менен бир жерде документтештириңиз. Ар башка божомолдор менен ар башка якорлорду оңдогон эки ээ — кулпуга тешик пайда болуучу кадимки жол.

Эрежелер топтомун сайттын колдоого алынган конфигурация жолунда кармаңыз, ага версия берүүнү жүргүзүңүз жана кайсы macOS чыгарылыштары текшерилгенин белгилеңиз. Кол менен колдонулган жана бир адам эстеп калган өзгөртүү — файл аталышы эмне десе да, тейленүүчү инфраструктура эмес.

Туташкан абалды эмес, өтүүлөрдү текшериңиз

Туннель күйүп турганда тартылган скриншот дээрлик эч нерсени далилдебейт. Анын ордуна абалдарды аралаңыз: кандайдыр бир туташууга чейинки баштоо, иштеген туннель, эскертүүсүз кулап түшкөн туннель, атайылаш ажыратуу жана Wi-Fi'ден hotspot'ко өтүү. Ар бир абалдын өз жообу бар, ал эми кызыктуулары — ийгиликсиздиктер, бактылуу жол эмес.

Ар бир абалда атайылаш эмне жеткиликтүү экенин жазыңыз. IPv4 жана IPv6'ны өз-өзүнчө текшериңиз, аттарды чечүүнү текшериңиз жана өтүүгө чейин орнотулган агымды кошуңуз, анткени бар туташуулар жаңы саясатты дайыма ээрчибейт. Туннель өчүп турганда ийгиликсиз болгон браузер — бир маалымат чекити, калган бардык жолдордун жабылганынын далили эмес.

Акырында, өзгөртүп жаткан тармак жолуна көз каранды эмес калыбына келтирүү ыкмасын кармаңыз. Жергиликтүү сактоочу жайдагы белгилүү жакшы конфигурация жана аны жүктөөнүн документтелген жолу кулпуну саясатка айландырат; аларсыз бир жаман ревизия администраторду корголушу керек болгон машинадан кулпулайт.