Twee Mac-aanmeldingsrekeninge verdeel nie VPN-verkeer nie

Twee aanmeldingsrekeninge op dieselfde Mac lyk soos twee aparte wêrelde totdat die netwerk opdaag. 'n Tonnel wat in een sessie begin word, kan steeds verander wat die ander sessie ervaar, afhangende van watter kliënt dit besit en watter beleid daarmee saamkom. Beskryf die skeiding wat jy nodig het voordat jy 'n meganisme kies om dit af te dwing. Die volgorde maak saak, want 'n meganisme wat eerste gekies word, is geneig om die vereiste rondom homself te herdefinieer.

Drie vrae doen die meeste werk: wie se programme watter private hulpbronne nodig het, of albei sessies gelyktydig aktief moet wees, en wat daardie programme mag doen wanneer hul tonnel onbeskikbaar is.

Begin by die verkeer, nie by die rekeninglys nie

Rekeningwisseling is 'n identiteitsgrens, nie 'n roetegrens nie. macOS laai 'n VPN-konfigurasie vir die rekening wat dit besit, maar die koppelvlak, sy roetes en enige stelselwye beleid wat dit installeer, behoort aan die masjien. As die vereiste is dat net een persoon se programme die korporatiewe netwerk binnegaan, moet die ontwerp dit in terme van programme en bestemmings sê, nie in terme van wie aangemeld is nie. Anders erf die tweede rekening wat die eerste se kliënt agtergelaat het.

Skryf die vereiste gedrag in een sin neer: een gebruiker se e-pos en lêertoegang volg die bestuurde tonnel, die ander gebruiker se blaai bly op die tuisverbinding, en nie een van die paaie erf die ander se verstekroete nie. Daardie sin is toetsbaar; 'n verhaal oor aanmeldingwisseling is gewoonlik nie.

Profielkanaal en verkeersomvang is twee verskillende dinge

Apple ondersteun bestuurde VPN-reëlings wat per gebruiker of per toestel gelewer word, en 'n ontplooiingsgids beskryf daardie modelle saam met verskafferafhanklike integrasie. Die afleweringskanaal sê wie die konfigurasie ontvang en besit. Dit definieer nie op sigself watter verkeer vasgevang word nie, want die kliëntimplementering en die gekonfigureerde beleid besluit dit steeds.

Waar 'n gedokumenteerde gebruikerbewuste of programbewuste modus die vereiste kan uitdruk, is dit die kortste pad. Verifieer dan die werklike programme en identiteite eerder as om name te vertrou: twee kopieë van dieselfde program is nie twee verskillende netwerkpaaie nie, en 'n profiel wat 'n program lys, waarborg nie dat sy hulpprosesse gedek is nie.

'n Gassisteem is 'n werklike grens met werklike beperkings

'n Virtuele masjien gee jou 'n aparte bedryfstelsel met sy eie netwerkstapel, so 'n gas kan sy eie tonnel en sy eie programme laat loop sonder om die gasheer se roetes te raak. Dit is 'n sterker skeiding as 'n tweede aanmeldingsrekening, en dit is ook meer werk om te onderhou. Besluit of daardie koste 'n grens koop wat jy werklik nodig het voordat jy dit voorstel.

Die virtuele netwerkmodus moet steeds hersien word. Of die gas oorbrug, NAT of geïsoleer is, bepaal wat dit kan bereik en wat dit kan bereik, en gasheerprogramme word nie gasprogramme omdat die gas toevallig gekoppel is nie. Gaan die blokkeringsbeleid ook na, anders val 'n gevalle gastonnel terug na die gasheer se pad op 'n manier wat niemand bedoel het nie.

'n Proxy is nouer as 'n gebruikersrekening

Een gasheerprogram kan 'n werklike proxydiens bereik wat in 'n goedgekeurde gas of houer loop, en dit dek die verkeer wat die program werklik deur die ondersteunde protokol stuur. Dit dek nie elke proses wat daardie Mac-rekening besit nie, en dit dek nie verkeer wat die program buite die proxyprotokol stuur nie.

Nog 'n waarskuwing op gedeelde masjiene: 'n TCP-luisteraar wat aan gasheer-loopback gebind is, is nie 'n gebruikernaamkontrole nie. Om 'n proxy tot die plaaslike masjien te beperk, hou dit van die netwerk af, maar dit magtig nie een plaaslike gebruiker bo 'n ander wat reeds aangemeld is nie. Hou die diens se verifikasie eksplisiet as daardie onderskeid saak maak.

Bewys die grens met twee toetse

Laat albei paaie loop en waarneem hulle afsonderlik. Onder die bedoelde rekening, maak die program oop wat die private hulpbron nodig het en bevestig dat dit die bestuurde diens bereik; onder die ander rekening, bevestig dat gewone blaai die tuisroete behou. Breek dan die tonnel doelbewus en kontroleer die terugvalgedrag vir elke kant, want dit is waar die meeste ontwerpe stilweg misluk. Voer die kontroles ook in dieselfde uur uit, sodat 'n veranderde netwerk nie die vergelyking besoedel nie.

As 'n houer of gas die tonnel laat loop, voeg 'n derde kontrole by: bevestig dat 'n inheemse Mac-program daarbuite steeds werk soos ontwerp. Kies die eenvoudigste reëling waarvan jy die omvang kan demonstreer, en moenie virtuele masjiene universeel noodsaaklik of rekeningwisseling universeel voldoende noem voordat jy daardie toetse gedoen het nie.