Dva Mac korisnička računa ne dijele VPN saobraćaj

Dva korisnička računa na istom Macu izgledaju kao dva odvojena svijeta dok ne dođe mreža. Tunel pokrenut u jednoj sesiji ipak može promijeniti ono što druga sesija doživljava, zavisno od toga koji klijent ga posjeduje i koja politika ide s njim. Opišite razdvajanje koje vam treba prije nego što odaberete mehanizam za njegovo provođenje. Redoslijed je važan, jer mehanizam odabran prvi ima sklonost da zahtjev predefinira oko sebe.

Tri pitanja obavljaju većinu posla: čije aplikacije trebaju koje privatne resurse, moraju li obje sesije biti aktivne istovremeno i šta te aplikacije smiju raditi kada njihov tunel nije dostupan.

Pođite od saobraćaja, a ne od spiska računa

Prebacivanje računa je granica identiteta, a ne granica rutiranja. macOS učitava VPN konfiguraciju za račun koji je posjeduje, ali interfejs, njegove rute i svaka sistemska politika koju instalira pripadaju mašini. Ako je zahtjev da samo aplikacije jedne osobe ulaze u korporativnu mrežu, dizajn to mora reći u smislu aplikacija i odredišta, a ne u smislu toga ko je prijavljen. Inače drugi račun nasljeđuje ono što je klijent prvog ostavio.

Napišite traženo ponašanje u jednoj rečenici: pošta i pristup datotekama jednog korisnika prate upravljani tunel, pretraživanje drugog korisnika ostaje na kućnoj vezi i nijedna putanja ne nasljeđuje zadanu rutu one druge. Ta rečenica je provjerljiva; priča o prebacivanju prijave obično nije.

Kanal profila i obuhvat saobraćaja su različite stvari

Apple podržava upravljane VPN aranžmane koji se isporučuju po korisniku ili po uređaju, a vodič za implementaciju opisuje te modele zajedno s integracijom koja zavisi od provajdera. Kanal isporuke govori ko prima konfiguraciju i posjeduje je. On sam po sebi ne definira koji se saobraćaj hvata, jer implementacija klijenta i konfigurisana politika i dalje odlučuju o tome.

Gdje dokumentovani režim svjestan korisnika ili aplikacije može izraziti zahtjev, to je najkraći put. Zatim provjerite stvarne aplikacije i identitete umjesto da vjerujete imenima: dvije kopije iste aplikacije nisu dvije različite mrežne putanje, a profil koji navodi aplikaciju ne garantuje da su njeni pomoćni procesi pokriveni.

Gostujući sistem je stvarna granica sa stvarnim ograničenjima

Virtualna mašina vam daje odvojen operativni sistem s vlastitim mrežnim stekom, pa gost može pokrenuti vlastiti tunel i vlastite aplikacije bez diranja ruta domaćina. To je jače razdvajanje od drugog korisničkog računa, a i više posla za održavanje. Odlučite da li ta cijena kupuje granicu koja vam je zaista potrebna prije nego što je predložite.

Režim virtualne mreže i dalje treba pregled. Da li je gost premošten, iza NAT-a ili izolovan određuje do čega može stići i šta može stići do njega, a aplikacije domaćina ne postaju aplikacije gosta zato što je gost slučajno povezan. Provjerite i politiku blokiranja, inače će pali tunel gosta pasti natrag na putanju domaćina na način koji niko nije namjeravao.

Proxy je uži od korisničkog računa

Jedna aplikacija domaćina može doći do stvarne proxy usluge koja radi u odobrenom gostu ili kontejneru, i to pokriva saobraćaj koji aplikacija zaista šalje kroz podržani protokol. To ne pokriva svaki proces koji posjeduje taj Mac račun i ne pokriva saobraćaj koji aplikacija šalje izvan proxy protokola.

Još jedno upozorenje na dijeljenim mašinama: TCP slušalac vezan za lokalnu povratnu petlju domaćina nije provjera korisničkog imena. Ograničavanje proxyja na lokalnu mašinu drži ga izvan mreže, ali ne ovlašćuje jednog lokalnog korisnika nad drugim koji je već prijavljen. Držite autentifikaciju usluge eksplicitnom ako je ta razlika važna.

Dokažite granicu s dva testa

Pokrenite obje putanje i posmatrajte ih odvojeno. Pod predviđenim računom otvorite aplikaciju kojoj treba privatni resurs i potvrdite da stiže do upravljane usluge; pod drugim računom potvrdite da obično pretraživanje zadržava kućnu putanju. Zatim namjerno prekinite tunel i provjerite ponašanje pri povratku za svaku stranu, jer tu većina dizajna tiho pada. Radite provjere i u istom satu, da promijenjena mreža ne zagadi poređenje.

Ako kontejner ili gost pokreće tunel, dodajte treću provjeru: potvrdite da se izvorna Mac aplikacija izvan njega i dalje ponaša kako je projektovano. Odaberite najjednostavniji aranžman čiji obuhvat možete pokazati i ne nazivajte virtualne mašine univerzalno neophodnim, a prebacivanje računa univerzalno dovoljnim prije nego što provedete te testove.