Два профила за вход в Mac не разделят VPN трафика

Два профила за вход на един и същ Mac изглеждат като два отделни свята, докато не се появи мрежата. Тунел, стартиран в една сесия, все пак може да промени това, което изживява другата сесия, в зависимост от това кой клиент го притежава и каква политика идва с него. Опишете разделението, което ви е нужно, преди да изберете механизъм, който да го наложи. Редът е важен, защото механизъм, избран първи, има склонност да предефинира изискването около себе си.

Три въпроса вършат по-голямата част от работата: чии приложения се нуждаят от кои частни ресурси, трябва ли двете сесии да са активни едновременно и какво е разрешено на тези приложения, когато тунелът им не е наличен.

Започнете от трафика, а не от списъка с профили

Смяната на профил е граница на самоличността, а не граница на маршрутизирането. macOS зарежда VPN конфигурация за профила, който я притежава, но интерфейсът, неговите маршрути и всяка системна политика, която тя инсталира, принадлежат на машината. Ако изискването е само приложенията на един човек да влизат в корпоративната мрежа, дизайнът трябва да го казва по отношение на приложения и дестинации, а не по отношение на това кой е влязъл. Иначе вторият профил наследява това, което клиентът на първия е оставил.

Напишете изискваното поведение в едно изречение: пощата и достъпът до файлове на един потребител следват управлявания тунел, сърфирането на другия потребител остава на домашната връзка и нито един път не наследява маршрута по подразбиране на другия. Това изречение е проверимо; разказът за смяна на входа обикновено не е.

Каналът на профила и обхватът на трафика са различни неща

Apple поддържа управлявани VPN решения, доставяни за потребител или за устройство, а ръководство за внедряване описва тези модели заедно с интеграция, зависеща от доставчика. Каналът за доставяне казва кой получава конфигурацията и я притежава. Той сам по себе си не определя кой трафик се прихваща, защото реализацията на клиента и настроената политика все още решават това.

Там, където документиран режим, съобразен с потребителя или приложението, може да изрази изискването, това е най-краткият път. След това проверете действителните приложения и самоличности, вместо да се доверявате на имена: две копия на едно и също приложение не са два различни мрежови пътя и профил, който изброява приложение, не гарантира, че помощните му процеси са обхванати.

Гостната система е истинска граница с истински ограничения

Виртуалната машина ви дава отделна операционна система със собствен мрежов стек, така че гостът може да пусне собствен тунел и собствени приложения, без да пипа маршрутите на хоста. Това е по-силно разделение от втори профил за вход и също е повече работа по поддръжката. Решете дали тази цена купува граница, която наистина ви е нужна, преди да я предложите.

Режимът на виртуалната мрежа все още се нуждае от преглед. Дали гостът е свързан чрез мост, зад NAT или изолиран, определя до какво може да стигне и какво може да стигне до него, и приложенията на хоста не стават приложения на госта, защото гостът случайно е свързан. Проверете и политиката за блокиране, иначе паднал тунел на госта ще се върне към пътя на хоста по начин, който никой не е имал предвид.

Проксито е по-тясно от потребителски профил

Едно приложение на хоста може да достигне до истинска прокси услуга, която работи в одобрен гост или контейнер, и това покрива трафика, който приложението действително изпраща през поддържания протокол. То не покрива всеки процес, притежаван от този Mac профил, и не покрива трафик, който приложението изпраща извън прокси протокола.

Още едно предупреждение за споделени машини: TCP слушател, вързан към локалния loopback на хоста, не е проверка на потребителско име. Ограничаването на прокси до локалната машина го държи извън мрежата, но не оторизира един локален потребител пред друг, който вече е влязъл. Пазете удостоверяването на услугата явно, ако това разграничение е важно.

Докажете границата с два теста

Пуснете двата пътя и ги наблюдавайте поотделно. Под предвидения профил отворете приложението, което се нуждае от частния ресурс, и потвърдете, че достига до управляваната услуга; под другия профил потвърдете, че обикновеното сърфиране запазва домашния път. След това прекъснете тунела нарочно и проверете поведението при отпадане за всяка страна, защото точно там повечето дизайни тихо се провалят. Правете проверките и в същия час, за да не замърси променена мрежа сравнението.

Ако контейнер или гост пуска тунела, добавете трета проверка: потвърдете, че родно Mac приложение извън него все още се държи както е проектирано. Изберете най-простата подредба, чийто обхват можете да демонстрирате, и не наричайте виртуалните машини универсално необходими, а смяната на профил — универсално достатъчна, преди да проведете тези тестове.