Два ўліковыя запісы Mac не дзеляць трафік VPN

Два ўліковыя запісы на адным Mac выглядаюць як два асобныя светы, пакуль не паўстане сетка. Тунель, запушчаны ў адным сеансе, усё ж можа змяніць тое, што адчувае іншы сеанс, у залежнасці ад таго, які кліент валодае ім і якая палітыка з ім прыходзіць. Апішыце падзел, які вам патрэбны, перш чым выбіраць механізм для яго забеспячэння. Парадак мае значэнне, бо механізм, выбраны першым, мае схільнасць пера-вызначаць патрабаванне вакол сябе.

Тры пытанні робяць большую частку працы: чые праграмы патрабуюць якіх прыватных рэсурсаў, ці павінны абодва сеансы быць актыўнымі адначасова і што гэтым праграмам дазволена рабіць, калі іх тунель недаступны.

Пачніце з трафіку, а не са спісу ўліковых запісаў

Пераключэнне ўліковага запісу — мяжа ідэнтычнасці, а не мяжа маршрутызацыі. macOS загружае канфігурацыю VPN для ўліковага запісу, якому яна належыць, але інтэрфейс, яго маршруты і любая сістэмная палітыка, якую ён усталёўвае, належаць машыне. Калі патрабаванне ў тым, каб у карпаратыўную сетку траплялі праграмы толькі аднаго чалавека, дызайн павінен гаварыць пра гэта ў тэрмінах праграм і прызначэнняў, а не ў тэрмінах таго, хто ўвайшоў. Інакш другі ўліковы запіс атрымлівае ў спадчыну тое, што пакінуў кліент першага.

Запішыце патрабаваныя паводзіны ў адным сказе: пошта і доступ да файлаў аднаго карыстальніка ідуць па кіраваным тунелі, прагляд іншага карыстальніка застаецца на хатнім злучэнні, і ні адзін шлях не атрымлівае ў спадчыну маршрут па змаўчанні іншага. Гэты сказ можна праверыць; гісторыя пра пераключэнне ўваходу звычайна непадобная да гэтага.

Канал профілю і ахоп трафіку — розныя рэчы

Apple падтрымлівае кіраваныя ўпарадкаванні VPN, якія пастаўляюцца на карыстальніка або на прыладу, а кіраўніцтва па разгортванні апісвае гэтыя мадэлі разам з інтэграцыяй, якая залежыць ад пастаўшчыка. Канал дастаўкі гаворыць, хто атрымлівае канфігурацыю і валодае ёю. Ён сам па сабе не вызначае, які трафік захопліваецца, бо рэалізацыя кліента і настроеная палітыка ўсё яшчэ вырашаюць гэта.

Там, дзе дакументаваны рэжым, які ўлічвае карыстальніка або праграму, можа выказаць патрабаванне, гэта самы кароткі шлях. Затым праверце фактычныя праграмы і ідэнтычнасці, а не давярайце назвам: дзве копіі адной праграмы — не два розныя сеткавыя шляхі, і профіль, які пералічвае праграму, не гарантуе, што яе дапаможныя працэсы ахоплены.

Гасцявая сістэма — рэальная мяжа з рэальнымі абмежаваннямі

Віртуальная машына дае вам асобную аперацыйную сістэму з уласным сеткавым стэкам, таму госць можа запускаць свой тунель і свае праграмы, не закранаючы маршруты гаспадара. Гэта мацнейшае аддзяленне, чым другі ўліковы запіс, і гэта таксама больш працы па абслугоўванні. Вырашыце, ці купляе гэты кошт мяжу, якая вам сапраўды патрэбна, перш чым прапаноўваць яго.

Рэжым віртуальнай сеткі ўсё яшчэ патрабуе разгляду. Ці госць злучаны мастом, за NAT або ізаляваны, вызначае, чаго ён можа дасягнуць і што можа дасягнуць яго, і праграмы гаспадара не становяцца праграмамі госця толькі таму, што госць выпадкова падключаны. Праверце таксама палітыку блакавання, інакш звалены тунель госця вернецца на шлях гаспадара так, як ніхто не меў намеру.

Проксі вузейшы за ўліковы запіс карыстальніка

Адна праграма гаспадара можа дасягнуць рэальнай службы проксі, якая працуе ў зацверджаным госці або кантэйнеры, і гэта ахоплівае трафік, які праграма фактычна адпраўляе праз падтрымліваемы пратакол. Гэта не ахоплівае кожны працэс, якім валодае гэты ўліковы запіс Mac, і не ахоплівае трафік, які праграма адпраўляе па-за пратаколам проксі.

Яшчэ адна асцярога на агульных машынах: слухач TCP, прывязаны да лакальнай пятлі гаспадара, — гэта не праверка імені карыстальніка. Абмежаванне проксі лакальнай машынай трымае яго па-за сеткай, але яно не дазваляе аднаму лакальнаму карыстальніку перад іншым, які ўжо ўвайшоў. Трымайце аўтэнтыфікацыю службы відавочнай, калі гэтае адрозненне мае значэнне.

Дакажыце мяжу двума тэстамі

Запусціце абодва шляхі і назірайце за імі асобна. Пад патрэбным уліковым запісам адкрыйце праграму, якой патрэбны прыватны рэсурс, і пераканайцеся, што яна дасягае кіраванай службы; пад іншым уліковым запісам пераканайцеся, што звычайны прагляд захоўвае хатні шлях. Затым наўмысна абарвіце тунель і праверце паводзіны вяртання для кожнага боку, бо менавіта там большасць дызайнаў ціха зрываюцца. Праводзьце праверкі ў тую ж гадзіну, каб змененая сетка не забрудзіла параўнанне.

Калі кантэйнер або госць запускае тунель, дадайце трэцюю праверку: пераканайцеся, што ўласная праграма Mac па-за ім усё яшчэ паводзіць сябе як задумана. Выберыце найпростае ўпарадкаванне, чый ахоп вы можаце прадэманстраваць, і не называйце віртуальныя машыны ўніверсальна неабходнымі, а пераключэнне ўліковых запісаў — універсальна дастатковым, перш чым праводзіць гэтыя тэсты.