Macos NAT2 - История изменений

Sirmax: /* Полезно */

2025-10-21T11:16:14Z

Полезно

@@ Строка 91: / Строка 91: @@
 =Полезно=
 проверка синтаксиса
@@ Строка 106: / Строка 116: @@
 </PRE>
 посмотреть NAT-правила
@@ Строка 120: / Строка 126: @@
 sudo pfctl -s state -v
 </PRE>

Sirmax: /* Что такое «якорь» (anchor) в pf? */

2025-10-21T11:13:07Z

Что такое «якорь» (anchor) в pf?

@@ Строка 27: / Строка 27: @@
 load anchor "nat-utun-cato" from "/etc/pf.anchors/nat-utun-cato"
 </PRE>
 =Отдельный файл с NAT=

Sirmax: /* Mac OS NAT V2 */

2025-10-21T11:11:14Z

Mac OS NAT V2

@@ Строка 7: / Строка 7: @@
 ** <code>-> (utun0), а не -> utun0 </code>
 * вынесите правила в отдельный anchor-файл и подключить его из <code>pf.conf</code>
 =Отдельный файл с NAT=

Sirmax: /* Полезно */

2025-10-21T11:07:46Z

Полезно

← Предыдущая		Версия 11:07, 21 октября 2025
Строка 56:		Строка 56:
	<PRE>		<PRE>
	sudo pfctl -f /etc/pf.conf		sudo pfctl -f /etc/pf.conf
		+	</PRE>
		+	Лучше с отладкой
		+	<PRE>
		+	pfctl -v -f /etc/pf.conf
	</PRE>		</PRE>

Sirmax: /* Подключить anchor из pf.conf */

2025-10-21T10:56:00Z

Подключить anchor из pf.conf

← Предыдущая		Версия 10:56, 21 октября 2025
Строка 36:		Строка 36:
	<code>/etc/pf.conf</code> (добавьте строки, не ломая apple-якоря):		<code>/etc/pf.conf</code> (добавьте строки, не ломая apple-якоря):
	<PRE>		<PRE>
−	anchor "nat-utun"	+	anchor "nat-utun-cato"
−	load anchor "nat-utun" from "/etc/pf.anchors/nat-utun"	+	load anchor "nat-utun-cato" from "/etc/pf.anchors/nat-utun-cato"
	</PRE>		</PRE>

Sirmax: /* Полезно */

2025-10-21T10:49:42Z

Полезно

← Предыдущая		Версия 10:49, 21 октября 2025
Строка 47:		Строка 47:

	=Полезно=		=Полезно=
		+
	проверка синтаксиса		проверка синтаксиса
	<PRE>		<PRE>
	sudo pfctl -nf /etc/pf.conf		sudo pfctl -nf /etc/pf.conf
	</PRE>		</PRE>
		+
	загрузить правила		загрузить правила
	<PRE>		<PRE>
	sudo pfctl -f /etc/pf.conf		sudo pfctl -f /etc/pf.conf
	</PRE>		</PRE>
		+
	включить pf (если был выключен)		включить pf (если был выключен)
	<PRE>		<PRE>
	sudo pfctl -e		sudo pfctl -e
	</PRE>		</PRE>
		+
	посмотреть NAT-правила		посмотреть NAT-правила
⚫	</PRE>
⚫	sudo pfctl -sn
	<PRE>		<PRE>
		⚫	sudo pfctl -sn
		⚫	</PRE>
		+
	посмотреть состояния/NAT		посмотреть состояния/NAT
	<PRE>		<PRE>

Sirmax: /* Подключить anchor из pf.conf */

2025-10-21T10:49:21Z

Подключить anchor из pf.conf

@@ Строка 34: / Строка 34: @@
 =Подключить anchor из <code>pf.conf</code>=
-/etc/pf.conf (добавьте строки, не ломая apple-якоря):
+<code>/etc/pf.conf</code> (добавьте строки, не ломая apple-якоря):
 anchor "nat-utun"
 load anchor "nat-utun" from "/etc/pf.anchors/nat-utun"
-Включите форвардинг разово (до перезагрузки):
+=Включите форвардинг разово=
 <PRE>
 sudo sysctl -w net.inet.ip.forwarding=1
 </PRE>
 проверка синтаксиса
 sudo pfctl -nf /etc/pf.conf
 загрузить правила
 sudo pfctl -f  /etc/pf.conf
-sudo pfctl -e                       # включить pf (если был выключен)
+включить pf (если был выключен)

Sirmax: /* Отдельный файл с NAT */

2025-10-21T10:46:14Z

Отдельный файл с NAT

← Предыдущая		Версия 10:46, 21 октября 2025
Строка 8:		Строка 8:
	* вынесите правила в отдельный anchor-файл и подключить его из <code>pf.conf</code>		* вынесите правила в отдельный anchor-файл и подключить его из <code>pf.conf</code>

−	==Отдельный файл с NAT==	+	=Отдельный файл с NAT=

	<code>/etc/pf.anchors/nat-utun</code>		<code>/etc/pf.anchors/nat-utun</code>
Строка 32:		Строка 32:
	Скобки вокруг ($VPN_IF) — ключевое: pf будет автоматически использовать текущий адрес интерфейса, даже если он поменялся после переподключения VPN.		Скобки вокруг ($VPN_IF) — ключевое: pf будет автоматически использовать текущий адрес интерфейса, даже если он поменялся после переподключения VPN.

−	Подключить anchor из pf.conf	+	=Подключить anchor из <code>pf.conf</code>=

	/etc/pf.conf (добавьте строки, не ломая apple-якоря):		/etc/pf.conf (добавьте строки, не ломая apple-якоря):

Sirmax: /* Mac OS NAT V2 */

2025-10-21T10:45:08Z

Mac OS NAT V2

← Предыдущая		Версия 10:45, 21 октября 2025
Строка 2:		Строка 2:

	=Mac OS NAT V2=		=Mac OS NAT V2=
		+	Это порсто проверенный пример который работает, без особых подробностей
		+
		+	* pf нужно использовать динамическую подстановку адреса интерфейса — так NAT «подтянет» новый IP при переподключении VPN.
		+	** <code>-> (utun0), а не -> utun0 </code>
		+	* вынесите правила в отдельный anchor-файл и подключить его из <code>pf.conf</code>
		+
		+	==Отдельный файл с NAT==
		+
		+	<code>/etc/pf.anchors/nat-utun</code>
		+	<PRE>
		+	# что транслируем - только адрес ноута
		+	LAN_NET = "192.168.22.253/32"
		+	VPN_IF = "utun0"
		+
		+	set skip on lo0 # не трогаем localhost
		+
		+	# NAT: адрес берётся динамически с интерфейса (в скобках!)
		+	nat on $VPN_IF from $LAN_NET to any -> ($VPN_IF)
		+
		+	# Разрешим исходящий трафик из LAN в VPN
		+	pass out on $VPN_IF inet proto { tcp udp icmp } from $LAN_NET to any keep state
		+
		+	# Если Mac роутит для вашей LAN: разрешите форвардинг с LAN-интерфейса (подставьте его имя)
		+	# Например, если клиенты заходят через Wi-Fi интерфейс en0:
		+	pass in on en0 inet from $LAN_NET to any keep state
		+	pass out on $VPN_IF from $LAN_NET to any keep state
		+	</PRE>
		+
		+	Скобки вокруг ($VPN_IF) — ключевое: pf будет автоматически использовать текущий адрес интерфейса, даже если он поменялся после переподключения VPN.
		+
		+	Подключить anchor из pf.conf
		+
		+	/etc/pf.conf (добавьте строки, не ломая apple-якоря):
		+
		+	anchor "nat-utun"
		+	load anchor "nat-utun" from "/etc/pf.anchors/nat-utun"
		+
		+	Включите форвардинг разово (до перезагрузки):
		+	<PRE>
		+	sudo sysctl -w net.inet.ip.forwarding=1
		+	</PRE>
		+
		+
		+	проверка синтаксиса
		+	sudo pfctl -nf /etc/pf.conf
		+	загрузить правила
		+	sudo pfctl -f /etc/pf.conf
		+	sudo pfctl -e # включить pf (если был выключен)
		+	sudo pfctl -sn # посмотреть NAT-правила
		+	sudo pfctl -s state -v \| head # посмотреть состояния/NAT
		+
		+	Что с изменениями адреса/интерфейса
		+
		+	Меняется IP на том же utun0 — ничего делать не нужно: -> (utun0) подхватит новый адрес автоматически.
		+
		+	Меняется сам номер интерфейса (utun0 → utun2) — правила с $VPN_IF="utun0" уже не совпадут. Варианты:
		+
		+	Постараться закрепить один и тот же utun в вашем VPN-клиенте (часто получается).
		+
		+	Лёгкий «апдейтер» интерфейса + перезагрузка pf на событие «VPN поднялся». Пример одноразовой команды, если нужно быстро переключиться:
		+
		+	VPN_IF=$(ifconfig -l \| tr ' ' '\n' \| awk '/^utun[0-9]+$/ {print; exit}')
		+	sudo sed -i '' "s/^VPN_IF.*/VPN_IF = \"$VPN_IF\"/" /etc/pf.anchors/nat-utun
		+	sudo pfctl -f /etc/pf.conf
		+
		+
		+	(Можно оформить это как скрипт «PostUp» вашего VPN-клиента.)
		+
		+	Частые грабли
		+
		+	Забытый () в -> (utun0) — именно тогда NAT «забывает» новый IP.
		+
		+	Нет net.inet.ip.forwarding=1 — клиенты из 192.168.22.0/24 не ходят «наружу».
		+
		+	Неправильно выбран LAN-интерфейс в pass in on … — форвардинг режется фильтром.
		+
		+	MDM/профили могут запрещать менять pf/форвардинг — тогда только через администратора.
		+
		+	Если скажете, какой у вас LAN-интерфейс (en0/en1/bridge0 и т.п.) и кто «вешает» VPN (WireGuard/OpenVPN/встроенный IKEv2), накину точный блок pass in/out и, при желании, минимальный launchd plist для автоприменения.

Sirmax в 10:39, 21 октября 2025

2025-10-21T10:39:29Z

← Предыдущая		Версия 10:39, 21 октября 2025
Строка 1:		Строка 1:
		+	[[Категория:MacOS X]]
		+
	=Mac OS NAT V2=		=Mac OS NAT V2=