Mac PF VPN түгжээ: нийлүүлэх функц биш, сайтын бодлого
Packet Filter нь түгээгддэг бүтээгдэхүүнд дэмжигддэг API биш. Дүрмийн багцад эзэмшигч томилж, бүх үл хамаарах зүйлийг нэрлэж, шилжилтүүдийг туршиж үзээрэй.
Энэ нь таны Mac дээр ажилладаг тул хэрэглэгчдэд өгч болох зүйл мэт санагддаг. Энэ таамаглал бол хамгийн түрүүнд орхих зүйл юм. Apple-ийн TN3165 нь ерөнхийдөө түгээгддэг бүтээгдэхүүнд Packet Filter нь дэмжигддэг API биш гэдгийг тодорхой заасан бөгөөд эрх мэдэлтэй, хяналттай сайтын удирдлагыг боломжийн тохиолдол гэж үздэг. Тиймээс PF дээр бүтээсэн VPN түгжээ нь эзэмшигчтэй орон нутгийн үйл ажиллагааны бодлого бөгөөд апп дотор нийлүүлж болох функц биш юм.
PF бол сав баглаа боодлын гадаргуу биш
Энэ ялгаа нь академик биш. PF-ээс хамааралтай түгээгддэг бүтээгдэхүүн нь Apple-ийн түүнд хийх бүх өөрчлөлт, мөн дүрэм бичдэг өөр хэрэгсэлтэй үүсэх бүх зөрчил, мөн энэ зохицуулалт үргэлжлүүлэн ажиллана гэсэн дэмжлэгийн амлалтгүйгээр өвлөнө. Өөрийн машинуудыг удирддаг сайт өөр харилцаатай: тэр хамаарлыг баримтжуулж, үйлдлийн системийн хувилбар бүр дээр туршиж, засвар үйлчилгээг хүлээн зөвшөөрч чадна.
Зарим суулгах зөвлөмж нэрлэх ёстой хил хязгаарыг давдаг. Нэг зангуу ачаалахын тулд бүхэл системийн дүрмийн багцыг дарж бичих, Apple-ийн системийн эхлүүлэх тохиргоог засах, эсвэл System Integrity Protection-ийг идэвхгүй болгох нь дахин ашиглах боломжтой жорын хүлээн зөвшөөрөх боломжгүй шаардлага юм. Хэрэв нийтлэгдсэн гарын авлагад эдгээрийн аль нэг нь хэрэгтэй бол тэр нь байршуулж болох бодлого биш, лабораторийг дүрсэлж байна.
Синтаксийн өмнө гарцын зорилгыг бич
Нэг түлхүүр үг сонгохын өмнө юу зөвшөөрөгдөхийг шийд. Ихэвчлэн гурван зам байх ёстой: VPN клиентийн сервер рүүгээ хийх өөрийн тээвэр, туннель доторх хамгаалагдсан аппын урсгал, мөн тохиргоо эсвэл орон нутгийн үйлчилгээнд үнэхээр шууд зам шаардлагатай бүхэн.
Санал болгож буй үл хамаарах зүйл бүрт очих газар, тээвэр, эзэмшигчийг өг. Бүх портыг нэг төгсгөлийн цэг рүү зөвшөөрөх нь туннелийн ашигладаг нэг тээврээс хамаагүй илүүг зөвшөөрдөг бөгөөд нэмэлт илрэл нь хэн ч үүнийг зөв гэж шийдээгүй байхад ирдэг. Нийтийн резолверыг зөвшөөрөх нь найрсаг дүр төрхтэй ижил урхи юм: энэ нь туннель унасан үед ч шууд DNS зам үүсгэдэг тул нэрийн хайлт одоо ч алдагддаг.
| Path | Destination | Owner |
|---|---|---|
| VPN transport | Gateway address, one UDP port | Network team |
| Tunnel traffic | Internal prefixes | Application owner |
| Resolver exception | Named internal resolver | Security team |
Үл хамаарах зүйлийн ашигтай шалгалт бол түүнийг хүссэн хүн болон түүнээс сэргийлж буй алдааг нэрлэж чадах эсэх юм. Хоёр хариулт байхгүй бол дүрэм нь өөрөөр үл үзэгдэх буруу тохиргооны тойрч гарах арга байх магадлалтай.
utun дугаарууд нь таних тэмдэг биш
MacOS нь туннелийн интерфейсийг utun төхөөрөмж болгон үүсгэдэг бөгөөд таны VPN-д өгөгдсөн дугаар нь тогтвортой биш дахин ачаалах, дахин холбогдох, эсвэл өөр клиент байх үед. Хэд хэдэн таамагласан дугаарыг жагсаасан дүрэм нь бодлого биш; энэ нь нэг үдээс хойшхи агшин юм.
Дүрмийг зорилтот нийлүүлэгчийг тодорхойлдог зүйлд зангуул: туннелийн олгодог хаягийн төлөвлөгөө, интерфейсийг эзэмшдэг процесс, эсвэл VPN клиент өөрөө хадгалдаг тохиргоо. Дараа нь тэр тодорхойлолт хэрхэн ажилладагийг бич, учир нь нэг жилийн дараа дүрмийг хянах хүнд таны shell-ийн түүх байхгүй.
Ачаалсан бодлогыг хамааруулах боломжтой болго
Зангуугийн нэр дүрмийг зохион байгуулдаг; энэ нь үр дүнтэй бодлого таны хүссэн зүйл гэдгийг нотлохгүй. Зангуунуудын хоорондын давуу эрх, бусад програмын ачаалсан дүрэм, одоо байгаа төлөв бүгд үр дүнг өөрчилж болно. Тухайн машин дээр PF-ийг эзэмшдэг бусад хүнтэй хамт үр дүнтэй багцыг хянаж, эзэмшилтийг тохиргоотой ижил газарт баримтжуул. Өөр өөр таамаглалтай өөр өөр зангууг засварладаг хоёр эзэмшигч бол түгжээнд нүх үүсэх ердийн арга юм.
Дүрмийн багцыг сайтын дэмжигдсэн тохиргооны замд байлгаж, хувилбарлаж, аль macOS хувилбарыг туршсаныг тэмдэглэ. Гараар хэрэглэж, нэг хүн санаж байдаг өөрчлөлт нь файлын толгой юу гэж хэлсэн ч засвар үйлчилгээтэй дэд бүтэц биш.
Холбогдсон төлөв биш, шилжилтүүдийг турш
Туннель ажиллаж байх үед авсан дэлгэцийн зураг бараг юу ч нотлохгүй. Харин төлвүүдээр алх: ямар ч холболтын өмнөх эхлэл, ажиллаж буй туннель, анхааруулгагүйгээр унадаг туннель, зориудын салгалт, Wi-Fi-аас гар утасны хотспот руу шилжих. Төлөв бүр өөрийн хариулттай бөгөөд сонирхолтой нь аз жаргалтай зам биш, бүтэлгүйтлүүд юм.
Төлөв бүрт зориуд хүрч болох зүйлийг тэмдэглэ. IPv4 ба IPv6-г тусад нь шалгаж, нэрийн шийдвэрлэлтийг туршиж, шилжилтийн өмнө аль хэдийн тогтсон урсгалыг оруул, учир нь одоо байгаа холболтууд шинэ бодлогыг үргэлж дагадаггүй. Туннель унасан үед бүтэлгүйтдэг хөтөч бол нэг өгөгдлийн цэг бөгөөд бусад бүх зам хаагдсан гэдгийн нотолгоо биш.
Эцэст нь, таны өөрчилж буй сүлжээний замаас хамааралгүй сэргээх аргыг хадгал. Орон нутгийн хадгалалт дахь мэдэгдэж буй сайн тохиргоо болон түүнийг ачаалах баримтжуулсан арга нь түгжээг бодлого болгоно; эдгээргүйгээр нэг муу хувилбар нь хамгаалагдах ёстой байсан машинаас администраторыг түгжинэ.