Mac PF VPN užraktas: svetainės politika, o ne pristatoma funkcija

Tai veikia jūsų „Mac“, todėl atrodo, kad galite tai perduoti naudotojams. Šią prielaidą reikia pamesti pirmiausia. „Apple“ dokumentas TN3165 aiškiai nurodo, kad „Packet Filter“ nėra palaikoma API bendrai platinamiems produktams, ir privilegijuotą, kontroliuojamą svetainės administravimą laiko pagrįstu atveju. Todėl PF pagrįstas VPN užraktas yra vietinė operacinė politika, turinti savininką, o ne funkcija, kurią galima pristatyti programos viduje.

PF nėra paketavimo paviršius

Skirtumas nėra akademinis. Platinamas produktas, priklausantis nuo PF, paveldi kiekvieną „Apple“ atliktą jo pakeitimą, kiekvieną konfliktą su kita priemone, kuri taip pat rašo taisykles, ir jokio palaikymo įsipareigojimo, kad ši tvarka veiks. Svetainė, kuri administruoja savo mašinas, turi kitokį santykį: ji gali dokumentuoti priklausomybę, išbandyti ją su kiekviena OS versija ir priimti priežiūrą.

Kai kurie diegimo patarimai peržengia ribą, kurią verta įvardyti. Viso sistemos taisyklių rinkinio perrašymas, kad įsikeltų vienas ankoras, „Apple“ sistemos paleidimo konfigūracijos keitimas arba „System Integrity Protection“ išjungimas nėra priimtini daugkartinio recepto reikalavimai. Jei paskelbtam vadovui reikia bent vieno iš jų, jis aprašo laboratoriją, o ne diegiamą politiką.

Užrašykite išėjimo ketinimą prieš sintaksę

Nuspręskite, kas leidžiama, prieš pasirinkdami vieną raktinį žodį. Paprastai turi egzistuoti trys keliai: paties VPN kliento transportas į savo serverį, apsaugotas programos srautas tunelio viduje ir bet kokia sąranka ar vietinės paslaugos, kurioms tikrai reikia tiesioginio kelio.

Kiekvienai siūlomai išimčiai nurodykite paskirties vietą, transportą ir savininką. Leidimas naudoti visus prievadus iki galinio taško leidžia daug daugiau nei vieną transportą, kurį naudoja tunelis, o papildoma ekspozicija atsiranda niekam nenusprendus, kad taip turėtų būti. Viešojo resolverio leidimas yra ta pati spąsta draugiškesniu pavidalu: jis sukuria tiesioginį DNS kelią net tada, kai tunelis yra išjungtas, todėl vardų užklausos vis tiek nuteka.

Naudingas išimties testas yra tai, ar galite įvardyti žmogų, kuris jos paprašė, ir gedimą, kurio ji išvengia. Jei nė vieno atsakymo nėra, taisyklė greičiausiai yra neteisingos konfigūracijos apeiga, kuri kitaip liktų nematoma.

utun numeriai nėra tapatybė

„MacOS“ kuria tunelio sąsajas kaip utun įrenginius, o jūsų VPN priskirtas numeris nėra stabilus perkraunant, prisijungiant iš naujo ar esant kitam klientui. Taisyklė, išvardijanti kelis spėjamus numerius, nėra politika; tai vienos popietės momentinė nuotrauka.

Pririškite taisyklę prie to, kas identifikuoja numatytą teikėją: adresų plano, kurį priskiria tunelis, sąsają valdančio proceso arba konfigūracijos, kurią tvarko pats VPN klientas. Tada užrašykite, kaip tas identifikavimas veikia, nes žmogus, po metų peržiūrėsiantis taisyklę, neturės jūsų shell istorijos.

Padarykite įkeltą politiką priskiriamą

Ankoro pavadinimas tvarko taisykles; jis neįrodo, kad veiksminga politika yra tokia, kokios norėjote. Ankorų eiliškumas, kitos programinės įrangos įkeltos taisyklės ir esama būsena gali pakeisti rezultatą. Peržiūrėkite veiksmingą rinkinį su visais kitais, kurie valdo PF toje mašinoje, ir dokumentuokite nuosavybę toje pačioje vietoje kaip konfigūraciją. Du savininkai, redaguojantys skirtingus ankoras su skirtingomis prielaidomis, yra įprastas būdas, kuriuo užrakte atsiranda skylė.

Laikykite taisyklių rinkinį svetainės palaikomame konfigūracijos kelyje, versijuokite jį ir pažymėkite, kurios „macOS“ versijos buvo išbandytos. Pakeitimas, kuris taikomas rankiniu būdu ir kurį atsimena vienas žmogus, nėra prižiūrima infrastruktūra, kad ir ką sakytų failo antraštė.

Išbandykite perėjimus, o ne prisijungusią būseną

Ekrano kopija, padaryta tuneliui veikiant, beveik nieko neįrodo. Eikite per būsenas: paleidimas prieš bet kokį prisijungimą, veikiantis tunelis, tunelis, kuris nukrenta be įspėjimo, tyčinis atsijungimas ir perėjimas iš „Wi-Fi“ į mobilųjį hotspotą. Kiekviena būsena turi savo atsakymą, o įdomiausios yra nesėkmės, o ne sėkmės kelias.

Kiekvienoje būsenoje užrašykite, kas yra sąmoningai pasiekiama. Tikrinkite IPv4 ir IPv6 atskirai, išbandykite vardų skyrą ir įtraukite srautą, kuris jau buvo nustatytas prieš perėjimą, nes esami ryšiai ne visada laikosi naujos politikos. Naršyklė, kuri sugenda tuneliui esant išjungtam, yra vienas duomenų taškas, o ne įrodymas, kad visi kiti keliai užblokuoti.

Galiausiai palaikykite atkūrimo būdą, kuris nepriklauso nuo tinklo kelio, kurį keičiate. Žinoma gera konfigūracija vietinėje saugykloje ir dokumentuotas būdas ją įkelti užraktą paverčia politika; be jų viena bloga versija užrakina administratorių nuo mašinos, kurią reikėjo apsaugoti.