תחליף לwifree למחשב mac

[yzahn]

@meirbenin אמר בתחליף לwifree למחשב mac:

pfctl: Use of -f option, could result in flushing of rules
present in the main ruleset added by the system at startup.
See /etc/pf.conf for further details.
No ALTQ support in kernel
ALTQ related functions disabled
pfctl: pf already enabled
h-MacBook-Pro-sl-meirbenin:~ meirbenin$

ו... אתה עדיין מצליח להתחבר שלא בדרך ה-VPN?? אין לי הסבר - הכל נראה תקין.

[meirbenin]

יש כרגע זה עובד במידה ויהיה שינוי יעדכן בהמשך
תודה על העזרה מקצועית

[yzahn]

@meirbenin תבדוק אם עדיין עובד אחרי אתחול

[meirbenin]

@yzahn ביצעתי הפעלה מחדש ועכשיו אפשר להתחבר וכנראה מתאפס כל בכל הפעלה מחדש או משהו כזה

[meirbenin]

יכול להיות שבעיה בהגדרות של הפעלה אוטומטית של חומת אש

[yzahn]

@meirbenin
א. תודה לך שהסכמת להיות שפן נסיון...
ב. בעז״ה מצאתי את הבעיה. ערכתי את ההגדרות, תעתיק שוב משם, עכשיו זה אמור לעבוד.

[yzahn]

@shraga אמר בתחליף לwifree למחשב mac:

לא צריך להכניס כתובות IP?

ניבא ולא ידע מה ניבא... (ואולי דוקא כן ידעת...)
בעיקרון אפשר לכתוב גם דומיינים, וכך עדיף בד"כ מכיון שה-IP יכול להשתנות, אבל הבעיה פה שההגדרות נטענות בשעת עליית המערכת כאשר עדיין אין גישה לרשת וא"א לשלוח DNS לתרגם דומיינים ל-IP, לכן זה נכשל רק בהפעלה אוטומטית ולא כאשר הטענתי אותם ידנית כדי לבדוק אותם.

[shraga]

@yzahn לא ידע בכלל...
אבל הוא הציג בעיה אחרת כמדומני, והיא שההגדרות האלו לא חוסמות את הגלישה שלא דרך הVPN, ולא שזה חוסם גם את ההתחברות לVPN (שלזה לכאורה הצעת את הפתרון).

[yzahn]

@shraga ברגע שיש בעיה בחלק מההגדרות, כל הקובץ לא נטען, לכן נשאר הכל פתוח.

[meirbenin]

@yzahn ברוך השם עכשיו עובד גם אחר שהדלקתי מחדש את המחשב
ושוב תודה רבה על הכל

[WWW]

@yzahn אמר בתחליף לwifree למחשב mac:

@shraga ברגע שיש בעיה בחלק מההגדרות, כל הקובץ לא נטען, לכן נשאר הכל פתוח.

מתכון לבעיות...
וייפרי זה כבר לא...

[yzahn]

@WWW זה אף פעם לא התיימר להיות תחליף, ולא רק מהטעם שציינת. שיהיה ברור, זה בפירוש לא תחליף.

[shraga]

@yzahn
בכלל חומת האש שעשית לא חסמת IPV6, כך שכל תעבורה של IPV6 יכולה לעבור שלא דרך הVPN.
תוכל לשדרג את הכלל?
תודה רבה!

[yzahn]

@shraga עד כמה שאני רואה, הגדרות אלו אמורים לחסום גם IPv6.

א) ליתר בטחון נ״ל שאפשר לכתוב את ההגדרות בצורה שיכללו IPv6 יותר בפירוש ע״י שינוי ההגדרות כך

lan = "{ 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 }"
vpn_intf = "{ utun0, utun1, utun2, utun3 }"
allowed_vpn = "{ 185.18.205.51, 66.97.33.67, 78.129.212.85, 172.96.166.99, 51.15.222.150, 185.217.99.131 }"
block out inet6 proto tcp
block out inet proto tcp
pass out inet proto tcp to $allowed_vpn
pass out on $vpn_intf 
pass out to $lan
pass on lo0 all

ב) אם המחשב עדיין מאשר תעבורה כלשהו שלא אמור לעבור, כדאי לבדוק אם ההגדרות חלו ע״י פקודה זו (בטרמינל):

sudo pfctl -s all

יהיה פלט ארוך, אך מה שמעניין אותנו הוא FILTER RULES ו- INFO
החלק שתחת הכותרת FILTER RULES אמור לשקף (פחות או יותר) את ההגדרות שהגרדנו. כך זה נראה אצלי (זה לפי ההגדרות הישנות, בלי מה שהוספתי עכשיו):

FILTER RULES:
scrub-anchor "com.apple/*" all fragment reassemble
anchor "com.apple/*" all
block drop out proto tcp all
pass out inet proto tcp from any to <__automatic_59b8c9eb_0> flags S/SA keep state
pass out inet from any to 10.0.0.0/8 flags S/SA keep state
pass out inet from any to 172.16.0.0/12 flags S/SA keep state
pass out inet from any to 192.168.0.0/16 flags S/SA keep state
pass out on utun0 all flags S/SA keep state
pass out on utun1 all flags S/SA keep state
pass out on utun2 all flags S/SA keep state
pass out on utun3 all flags S/SA keep state
pass on lo0 all flags S/SA keep state

ותחת הכותרת INFO צריך להיות כתוב:

Status: Enabled ..... <עוד פרטים>

[shraga]

@yzahn
תודה על ההשקעה.

@efrat נשמח לעדכון האם זה עזר.

[meirbenin]

היי ביצעתי איתחול למחשב והייתי צריך להתקין את pf מחדש אבל המחשב טוען שקיימת שגיאת תחביר!

[meirbenin]

[6262]

@some-one אמר בתחליף לwifree למחשב mac:

מי שמוגדר עבורו wifree חובה זה ימנע ממנו להשתמש בפתרון הזה?

@magicode האם ישנה אפשרות להגדרת וויפרי חובה גם ללא פיקוח קהילה?
דהיינו סעיף בהגדרות סינון שיחייב את זה וכל אדם יוכל להגדיר את זה לחיבור שלו.
במידה ולא קיים, האם אפשרי להוסיף את זה לרשימת ההצבעות לפיתוחים נוספים?

[משרדי]

@6262 אמר בתחליף לwifree למחשב mac:

@magicode האם ישנה אפשרות להגדרת וויפרי חובה גם ללא פיקוח קהילה?
דהיינו סעיף בהגדרות סינון שיחייב את זה וכל אדם יוכל להגדיר את זה לחיבור שלו.
במידה ולא קיים, האם אפשרי להוסיף את זה לרשימת ההצבעות לפיתוחים נוספים?

http://forum.netfree.link/post/64759

[meirbenin]

פוסט זה נמחק!