Per-app-VPN of split-tonnel? Wat ’n Mac-roete kan besluit

Twee toepassings maak verbindings na dieselfde kantoorserver oop, en net een van hulle behoort die tonnel te gebruik. ’n Roete kan daardie wens nie uitdruk nie, want roetetabelle is op bestemmings gegrond en het geen begrip van watter proses die sok oopgemaak het nie. Wat mense vra en wat hulle nodig het, is dikwels verskillende dinge. Skei die twee voordat jy enige konfigurasie verander.

Die keurder is ’n bestemming, nooit ’n proses

Elke roetebesluit begin met ’n bestemmingsadres en eindig met ’n koppelvlak. Die kern vra nooit watter program die pakket gestuur het nie, en op macOS roet pf ook nie volgens proses nie, so ’n firewallreël kan nie een toepassing op ’n ander pad plaas nie. Daarom neem dieselfde server, bereik deur ’n blaaier en deur ’n verslagdoeningsinstrument, een pad vir albei. Skeiding op toepassingsvlak moet dus van iets anders as ’n roete kom: ’n VPN-inprop wat die sok besit, ’n proxy wat die verbinding namens die toepassing oorneem, of ’n aparte netwerkstapel. Nie een daarvan is ’n roeteverandering nie.

Twee toepassings wat met een adres praat, is die skoonste toets van ’n ontwerp. As die antwoord nie tussen hulle kan verskil nie, is die ontwerp bestemmingsgebaseerd, hoe dit ook genoem word.

Wat ’n gewone split-tonnel werklik oplewer

’n Split-tonnel installeer roetes vir die private voorvoegsels en laat alles anders op die fisiese pad. Dit is gewoonlik wat die versoek bedoel: bereik die kantoorserver deur die tonnel, hou openbare blaai direk. Dit is eenvoudig, elke algemene kliënt ondersteun dit, en dit word deur dieselfde meganisme as enige ander roete afgedwing. Kontroleer die spesifieke bestemming met route -n get eerder as om die verstekroete te lees, want ’n split-tonnel laat die verstek dikwels ongemoeid.

Om die verstekroete met die hand te redigeer is nie ’n omskakeling na iets nie. Dit veg teen die kliënt se eie roeteherstel en kan, in kliënte wat ’n beskermingsbeleid installeer, die masjien in ’n toestand laat wat nóg jy nóg die kliënt verwag. Stel die split-tonnel eerder in die kliënt se ondersteunde instellings op.

Wat per-app-VPN op macOS vereis

Egte per-app-VPN op macOS is ’n Network Extension-funksie wat deur ’n konfigurasieprofiel gedryf word. ’n Bestuursnuttelading karteer gekose toepassings na ’n VPN-konfigurasie, en die stelsel stuur dan daardie toepassings se verkeer daarvolgens. Dit is ’n bestuurde ontplooiing, wat ’n MDM, ’n ondertekende profiel en ’n administrateur beteken wat albei besit.

Om die kliënt met die hand te installeer skep nie daardie kartering nie, en die gewone instellingspaneel maak toepassings nie afsonderlik kiesbaar nie. ’n Verskaffer kan sy eie toepassingsreëls blootlê, en dié volg sy dokumentasie eerder as ’n algemene reël.

Drie maniere om skeiding per toepassing sonder MDM te kry

Waar bestuur nie beskikbaar is nie, is ’n proxy die praktiese antwoord. Stel die toepassing se eie proxykonfigurasie op, of gebruik ’n PAC-lêer wat net vir daardie toepassing volgens bestemming en protokol kies.

’n Plaaslike proxy beëindig die verbinding en herskep dit deur die tonnel, sodat die toepassing nooit ’n roete nodig het nie. Die tweede opsie is ’n aparte netwerkstapel: ’n virtuele masjien of houer met sy eie verstekroete, wat die toepassing oor ’n plaaslike adres bereik. Die derde is om bestemmingsgebaseerde roetering te aanvaar en die vereiste te laat vaar, wat eerlik is wanneer albei toepassings die tonnel mag gebruik. Al drie is toetsbaar, en nie een van hulle maak asof ’n roete prosesse ken nie.

Formuleer die versoek sodat die antwoord ondubbelsinnig is

Beskryf die werkvloei eerder as die meganisme: watter toepassing watter diens nodig het, of ’n ander toepassing van dieselfde diens weggehou moet word, en wat moet gebeur terwyl die tonnel af is. Daardie drie antwoorde kies die ontwerp. Hulle vertel ook die administrateur of die versoek ’n roeteverandering of ’n ontplooiingsprojek is.

Sluit die geval van die uitgeslote toepassing uitdruklik in. ’n Kliënt wat ’n toepassing stop wanneer sy beskermde pad onbeskikbaar is, gedra hom anders as een wat dit na die fisiese koppelvlak laat terugval, en gebruikers merk daardie verskil dadelik. Noem die verwagting in die kaartjie. Verifieer dan op die werklike masjien, want dieselfde produk gedra hom dikwels anders op macOS as op Windows, en sy macOS-dokumentasie is die enigste betroubare bron vir wat sy instellings doen.