Dva přihlašovací účty na Macu nerozdělují provoz VPN
Vlastník profilu a rozsah jeho provozu jsou dvě různé otázky. Na sdíleném Macu zvolte hranici pro aplikaci, hosta nebo proxy a dokažte, že obě cesty fungují.
Dva přihlašovací účty na stejném Macu vypadají jako dva oddělené světy, dokud nepřijde síť. Tunel spuštěný v jedné relaci přesto může změnit to, co zažívá druhá relace, podle toho, který klient ho vlastní a jaká politika s ním přichází. Popište oddělení, které potřebujete, dříve než zvolíte mechanismus k jeho prosazení. Pořadí je důležité, protože mechanismus zvolený jako první má sklon předefinovat požadavek kolem sebe.
Tři otázky udělají většinu práce: čí aplikace potřebují které soukromé zdroje, zda obě relace musí být aktivní zároveň a co tyto aplikace smějí dělat, když jejich tunel není dostupný.
Začněte provozem, ne seznamem účtů
Přepínání účtů je hranice identity, ne hranice směrování. macOS načte konfiguraci VPN pro účet, který ji vlastní, ale rozhraní, jeho trasy a jakákoli systémová politika, kterou nainstaluje, patří stroji. Pokud je požadavkem, aby do podnikové sítě vstupovaly jen aplikace jednoho člověka, návrh to musí říci v pojmech aplikací a cílů, ne v pojmech toho, kdo je přihlášen. Jinak druhý účet zdědí to, co klient prvního zanechal.
Napište požadované chování jednou větou: pošta a přístup k souborům jednoho uživatele jdou přes spravovaný tunel, prohlížení druhého uživatele zůstává na domácím připojení a žádná cesta nedědí výchozí trasu té druhé. Ta věta je testovatelná; příběh o přepínání přihlášení obvykle ne.
Kanál profilu a rozsah provozu jsou různé věci
Apple podporuje spravovaná uspořádání VPN dodávaná pro uživatele nebo pro zařízení a průvodce nasazením popisuje tyto modely spolu s integrací závislou na poskytovateli. Kanál doručení říká, kdo konfiguraci dostává a vlastní. Sám o sobě neurčuje, který provoz se zachytí, protože implementace klienta a nakonfigurovaná politika o tom stále rozhodují.
Tam, kde dokumentovaný režim respektující uživatele nebo aplikaci může požadavek vyjádřit, je to nejkratší cesta. Pak ověřte skutečné aplikace a identity místo spoléhání na názvy: dvě kopie stejné aplikace nejsou dvě různé síťové cesty a profil, který aplikaci uvádí, nezaručuje, že jsou pokryty její pomocné procesy.
Hostovaný systém je skutečná hranice se skutečnými limity
Virtuální stroj vám dává samostatný operační systém s vlastním síťovým zásobníkem, takže host může spustit vlastní tunel a vlastní aplikace, aniž by se dotkl tras hostitele. To je silnější oddělení než druhý přihlašovací účet a také více práce s údržbou. Rozhodněte, zda ta cena kupuje hranici, kterou skutečně potřebujete, dříve než ji navrhnete.
Režim virtuální sítě stále vyžaduje kontrolu. Zda je host propojený mostem, za NAT, nebo izolovaný, určuje, čeho může dosáhnout a co může dosáhnout jeho, a aplikace hostitele se nestanou aplikacemi hosta jen proto, že je host náhodou připojen. Zkontrolujte i politiku blokování, jinak spadlý tunel hosta přejde zpět na cestu hostitele způsobem, který nikdo nezamýšlel.
Proxy je užší než uživatelský účet
Jedna aplikace hostitele může dosáhnout skutečné proxy služby běžící ve schváleném hostovi nebo kontejneru a to pokrývá provoz, který aplikace skutečně odesílá podporovaným protokolem. Nepokrývá každý proces vlastněný tímto účtem Macu a nepokrývá provoz, který aplikace odesílá mimo protokol proxy.
Další opatrnost na sdílených strojích: TCP posluchač vázaný na lokální loopback hostitele není kontrola uživatelského jména. Omezení proxy na místní stroj ho drží mimo síť, ale neopravňuje jednoho místního uživatele nad jiným, který je již přihlášen. Udržujte autentizaci služby explicitní, pokud na tomto rozlišení záleží.
Dokažte hranici dvěma testy
Spusťte obě cesty a pozorujte je odděleně. Pod zamýšleným účtem otevřete aplikaci, která potřebuje soukromý zdroj, a potvrďte, že dosáhne spravované služby; pod druhým účtem potvrďte, že běžné prohlížení zachovává domácí cestu. Potom tunel záměrně přerušte a zkontrolujte chování při návratu na každé straně, protože právě tam většina návrhů tiše selhává. Provádějte kontroly i ve stejnou hodinu, aby změněná síť nezkreslila srovnání.
Pokud tunel spouští kontejner nebo host, přidejte třetí kontrolu: potvrďte, že nativní aplikace Macu mimo něj se stále chová podle návrhu. Zvolte nejjednodušší uspořádání, jehož rozsah umíte prokázat, a neoznačujte virtuální stroje za univerzálně nutné ani přepínání účtů za univerzálně dostatečné, dokud tyto testy neprovedete.