د Mac PF VPN بندول: د سایټ تګلاره، نه د لیږلو وړ ځانګړتیا
Packet Filter د ویشل شوو محصولاتو لپاره د ملاتړ شوي API نه دی۔ د قاعدو ټولګې ته مالک وټاکئ، هر استثنا نوم کړئ، او بدلونونه وآزمویئ۔
دا ستاسو په Mac کې کار کوي، نو داسې ښکاري چې کاروونکو ته یې ورکولی شئ۔ دا انګېرنه لومړنۍ شی ده چې باید پرېږدئ۔ Apple د TN3165 په سند کې په روښانه توګه وايي چې Packet Filter د عموماً ویشل شوو محصولاتو لپاره د ملاتړ شوي API نه دی، او د سایټ امتیازي او کنټرول شوې اداره کول د معقولې پېښې په توګه بولي۔ نو د PF پر بنسټ جوړ شوی VPN بندول یوه محلي عملیاتي تګلاره ده چې مالک لري، نه هغه ځانګړتیا چې په یوه اپلیکیشن کې لیږل کیدای شي۔
PF د بسته بندۍ سطحه نه ده
دا توپیر علمي نه دی۔ د PF پورې تړلی ویشل شوی محصول هره هغه بدلون چې Apple په هغې کې راولي، هر هغه ټکر چې د قاعدو لیکونکي بل وسیلې سره پېښیږي، او هېڅ د ملاتړ هغه ژمنه چې دا ترتیبات به دوام وکړي، میراث اخلي۔ هغه سایټ چې خپل ماشینونه اداره کوي بېل اړیکه لري: کولی شي انحصار مستند کړي، د هر OS خپرونې سره یې وآزموي، او ساتنه قبوله کړي۔
ځینې د نصبولو مشورې هغه کرښه تېروي چې د نومولو ارزښت لري۔ د یوې لنگر د بارولو لپاره د ټول سیسټم د قاعدو ټولګه بیا لیکل، د Apple د سیسټم د پیل ترتیبات سمول، یا System Integrity Protection غیر فعالول د بیا کارېدونکي ترکیب لپاره منل شوې غوښتنې نه دي۔ که یو خپور شوی لارښود له دې څخه هر یو ته اړتیا ولري، هغه ازموینه ځای بیانوي، نه د ځای پرځای کیدو وړ تګلاره۔
د نحوې مخکې د وتلو اراده ولیکئ
د یوې کیلیدې ټاکلو مخکې پریکړه وکړئ چې څه اجازه لري۔ معمولاً باید درې لارې وي: د VPN پیرودونکي خپل ترانسپورت خپل سرور ته، په تونل کې دننه ساتل شوی اپلیکیشن ټرافیک، او هر هغه ترتیبات یا محلي خدمتونه چې واقعاً مستقیمه لاره ته اړتیا لري۔
هر وړاندیز شوی استثنا ته هدف، ترانسپورت او مالک ورکړئ۔ یوې پای نقطې ته د هر پورټ اجازه ورکول د تونل له خوا کارول شوي یو ترانسپورت څخه ډېر څه اجازه ورکوي، او اضافي افشا پرته له دې چې څوک پریکړه وکړي چې باید همداسې وي راځي۔ د عامه حل کوونکي اجازه ورکول په ډېر دوستانه جامه کې هغه ورته دام دی: دا حتی کله چې تونل ښکته وي مستقیمه DNS لاره جوړوي، نو د نومونو پلټنې لا هم تویږي۔
| Path | Destination | Owner |
|---|---|---|
| VPN transport | Gateway address, one UDP port | Network team |
| Tunnel traffic | Internal prefixes | Application owner |
| Resolver exception | Named internal resolver | Security team |
د استثنا لپاره ګټوره ازموینه دا ده چې آیا هغه څوک چې غوښتنه یې کړې او هغه ناکامي چې مخه یې نیسي نومولی شئ۔ که دواړه ځوابونه نه وي، قاعده احتمالاً د غلط ترتیباتو لپاره یوه لار ده چې که نه وي نامعلومه پاتې کیده۔
utun شمېرې پیژندنه نه دي
MacOS د تونل انټرفیسونه د utun وسیلو په توګه جوړوي، او ستاسو VPN ته ټاکل شوې شمېره ثابته نه ده د بیا پیل، بیا نښلون، یا د بل پیرودونکي په شتون کې۔ هغه قاعده چې څو اټکل شوې شمېرې لیستوي تګلاره نه ده؛ دا د یوې ماسپښین عکس دی۔
قاعده هغه څه ته وتړئ چې د غوښتل شوي چمتو کونکي پیژندنه کوي: هغه پته پلان چې تونل ټاکي، هغه پروسه چې انټرفیس لري، یا هغه ترتیبات چې VPN پیرودونکی پخپله ساتي۔ بیا ولیکئ چې هغه پیژندنه څنګه کار کوي، ځکه چې یو کال وروسته د قاعدې بیاکتنه کوونکي به ستاسو د shell تاریخ ونه لري۔
بار شوې تګلاره د نسب وړ کړئ
د لنگر نوم قاعدې تنظیموي؛ دا نه ثابتوي چې اغیزمنه تګلاره هغه ده چې تاسو یې غوښتې۔ د لنگرونو ترمنځ لومړیتوب، هغه قاعدې چې نور سافټویر بار کړي، او موجوده حالت ټول کولی شي پایله بدله کړي۔ اغیزمنه ټولګه د هغو نورو ټولو سره وګورئ چې په هغه ماشین کې PF لري، او مالکیت په هماغه ځای کې چې ترتیبات دي مستند کړئ۔ دوه مالکان چې مختلف لنگرونه په مختلفو انګېرنو سمول د بندول د سوري پیدا کیدو عادي لاره ده۔
د قاعدو ټولګه د سایټ په ملاتړ شوې ترتیباتو لاره کې وساتئ، نسخه یې جوړه کړئ، او ولیکئ چې کومې macOS خپرونې وآزمویل شوې۔ هغه بدلون چې په لاس پلي کیږي او یو څوک یې یاد ساتي، د فایل سرلیک هر څه ووايي، ساتل شوې زیربنا نه ده۔
بدلونونه وآزمویئ، نه نښلول شوی حالت
هغه سکرین شاټ چې تونل روان وي اخیستل شوی تقریباً هېڅ نه ثابتوي۔ پرځای یې په حالتونو تېر شئ: د هرې اړیکې مخکې پیل، کار کوونکی تونل، پرته له خبرداري لویدونکی تونل، قصدي جلا کیدل، او له Wi-Fi څخه هټسپاټ ته تګ۔ هر حالت خپل ځواب لري، او په زړه پوري هغه ناکامۍ دي، نه هوسا لاره۔
په هر حالت کې ولیکئ چې څه په قصد سره د لاسرسي وړ دي۔ IPv4 او IPv6 بېل بېل وګورئ، د نومونو حل وآزمویئ، او هغه جریان شامل کړئ چې د بدلون مخکې جوړ شوی و، ځکه موجوده اړیکې تل نوې تګلاره نه تعقیبوي۔ هغه براوزر چې تونل ښکته وي ناکام شي یوه ډیټا نقطه ده، نه دا ثبوت چې نورې ټولې لارې بندې دي۔
په پای کې، د بیا رغولو هغه طریقه وساتئ چې ستاسو د بدلون وړ شبکه لارې پورې تړلې نه ده۔ په محلي ذخیره کې پیژندل شوی ښه ترتیبات او هغې ته د بارولو مستنده لاره بندول په تګلاره بدلوي؛ پرته له دوی، یوه بده نسخه مدیر له هغه ماشین څخه بهر بندوي چې باید ساتل شوی وای۔