Qafla VPN PF fuq Mac: politika tas-sit, mhux karatteristika li tista' titwassal
Packet Filter mhuwiex API appoġġjat għal prodotti mqassma. Agħti lis-sett ta' regoli sid, semmi kull eċċezzjoni, u ttestja t-transizzjonijiet.
Jaħdem fuq il-Mac tiegħek, għalhekk jidher bħala xi ħaġa li tista' tagħti lill-utenti. Din is-suppożizzjoni hija l-ewwel ħaġa li għandek tarmi. Apple TN3165 jgħid b'mod ċar li Packet Filter mhuwiex API appoġġjat għal prodotti mqassma b'mod ġenerali, u jqis l-amministrazzjoni tas-sit privileġġjata u kkontrollata bħala l-każ raġonevoli. Għalhekk qafla VPN mibnija fuq PF hija politika operattiva lokali b'sid tagħha, mhux karatteristika li tista' titwassal ġewwa app.
PF mhuwiex wiċċ tal-ippakkjar
Id-differenza mhijiex akkademika. Prodott mqassam li jiddependi fuq PF jiret kull bidla li Apple jagħmel fih, kull kunflitt ma' għodda oħra li wkoll tikteb regoli, u l-ebda impenn ta' appoġġ li dan l-arranġament se jibqa' jaħdem. Sit li jamministra l-magni tiegħu stess għandu relazzjoni differenti: jista' jiddokumenta d-dipendenza, jittestjaha kontra kull rilaxx tal-OS, u jaċċetta l-manutenzjoni.
Xi pariri dwar l-installazzjoni jaqsmu linja li jistħoqqilha tissemma. L-issostitwixxija tas-sett kollu tar-regoli tas-sistema biex tittella' ankra waħda, l-editjar tal-konfigurazzjoni tal-varar tas-sistema ta' Apple, jew l-iżattivar ta' System Integrity Protection mhumiex rekwiżiti aċċettabbli għal riċetta li tista' terġa' tintuża. Jekk gwida ppubblikata teħtieġ xi waħda minn dawn, qed tiddeskrivi laboratorju, mhux politika li tista' tiġi skjerata.
Ikteb l-intenzjoni tal-ħruġ qabel is-sintassi
Iddeċiedi x'inhu permess qabel ma tagħżel kelma waħda ewlenija. Normalment jeħtieġ li jeżistu tliet mogħdijiet: it-trasport tal-klijent VPN stess lejn is-server tiegħu, it-traffiku tal-applikazzjoni protett ġewwa t-tunnel, u kull konfigurazzjoni jew servizzi lokali li verament jeħtieġu mogħdija diretta.
Agħti lil kull eċċezzjoni proposta destinazzjoni, trasport u sid. L-awtorizzazzjoni ta' kull port lejn punt tat-tmiem tippermetti ħafna aktar mit-trasport wieħed li juża t-tunnel, u l-espożizzjoni żejda tiġi mingħajr ħadd ma jiddeċiedi li għandha tkun hekk. L-awtorizzazzjoni ta' resolver pubbliku hija l-istess nassa f'libsa aktar ħbiba: toħloq mogħdija DNS diretta anki meta t-tunnel ikun waqa', għalhekk it-tfittxijiet tal-ismijiet xorta jnixxu.
| Path | Destination | Owner |
|---|---|---|
| VPN transport | Gateway address, one UDP port | Network team |
| Tunnel traffic | Internal prefixes | Application owner |
| Resolver exception | Named internal resolver | Security team |
It-test utli għall-eċċezzjoni huwa jekk tistax issemmi l-persuna li talbitha u l-falliment li tipprevjeni. Jekk l-ebda tweġiba ma teżisti, ir-regola x'aktarx hija soluzzjoni għal konfigurazzjoni żbaljata li kieku tibqa' inviżibbli.
In-numri utun mhumiex identità
MacOS joħloq interfaces tat-tunnel bħala apparati utun, u n-numru mogħti lill-VPN tiegħek mhuwiex stabbli matul reboots, qabliet mill-ġdid, jew il-preżenza ta' klijent ieħor. Regola li telenka diversi numri maħsubin mhijiex politika; hija stampa ta' waranofsinhar wieħed.
Orbot ir-regola ma' xi ħaġa li tidentifika l-fornitur maħsub: il-pjan tal-indirizzi li jassenja t-tunnel, il-proċess li jippossjedi l-interface, jew konfigurazzjoni li l-klijent VPN innifsu jżomm. Imbagħad irreġistra kif taħdem dik l-identifikazzjoni, għax il-persuna li tirrevedi r-regola wara sena ma jkollhiex l-istorja tal-shell tiegħek.
Agħmel il-politika mgħobbija attribwibbli
L-isem tal-ankra jorganizza r-regoli; ma jippruvax li l-politika effettiva hija dik li inti ridt. Il-predeċenza bejn l-ankri, ir-regoli li tgħabba software ieħor, u l-istat eżistenti kollha jistgħu jbiddlu r-riżultat. Irrevedi s-sett effettiv ma' kull min ieħor jippossjedi PF fuq dik il-magna, u iddokumenta s-sjieda fl-istess post tal-konfigurazzjoni. Żewġ sidien li jeditjaw ankri differenti b'suppożizzjonijiet differenti huma l-mod ordinarju kif qafla tiżviluppa toqba.
Żomm is-sett tar-regoli fil-mogħdija tal-konfigurazzjoni appoġġjata tas-sit, tagħmilha verżjonijiet, u noti liema rilaxxi tal-macOS ġew ittestjati. Bidla li tiġi applikata bl-idejn u miftiehma minn persuna waħda mhijiex infrastruttura miżmuma, x'jgħid il-kap tal-fajl.
Ittestja t-transizzjonijiet, mhux l-istat konness
Screenshot meħud waqt li t-tunnel ikun ħaj kważi ma jipprova xejn. Għaddi mill-istati minflok: bidu qabel kwalunkwe konnessjoni, tunnel jaħdem, tunnel li jaqa' mingħajr twissija, skonnessjoni intenzjonata, u moviment minn Wi-Fi għal hotspot. Kull stat għandu t-tweġiba tiegħu, u dawk interessanti huma l-fallimenti, mhux il-mogħdija ferħana.
F'kull stat, irreġistra x'inhu aċċessibbli b'mod intenzjonat. Iċċekkja IPv4 u IPv6 separatament, ittestja r-riżoluzzjoni tal-ismijiet, u inkludi fluss li kien diġà stabbilit qabel it-transizzjoni, għax il-konnessjonijiet eżistenti mhux dejjem isegwu l-politika l-ġdida. Browser li jfalli waqt li t-tunnel ikun waqa' huwa punt tad-data wieħed, mhux prova li kull mogħdija oħra hija mblukkata.
Fl-aħħar, żomm metodu ta' rkupru li ma jiddependix mill-mogħdija tan-netwerk li qed tbiddel. Konfigurazzjoni magħrufa tajba fuq ħażna lokali u mod iddokumentat kif tgħabbiha jibdlu qafla f'politika; mingħajrhom, reviżjoni ħażina waħda tissakkar lill-amministratur barra mill-magna li kellha tiġi protetta.