Nid yw dau gyfrif mewngofnodi Mac yn hollti traffig VPN

Mae dau gyfrif mewngofnodi ar yr un Mac yn edrych fel dau fyd ar wahân nes i'r rhwydwaith gyrraedd. Gall twndis a gychwynnwyd mewn un sesiwn newid yr hyn a brofir gan y sesiwn arall o hyd, yn dibynnu pa gleient sy'n berchen arno a pha bolisi a ddaw gydag ef. Disgrifiwch yr ymwahaniad sydd ei angen arnoch cyn dewis mecanwaith i'w orfodi. Mae'r drefn yn bwysig, oherwydd mae mecanwaith a ddewisir gyntaf yn tueddu i ailddiffinio'r gofyniad o'i gwmpas.

Mae tri chwestiwn yn gwneud y rhan fwyaf o'r gwaith: pa apiau gan bwy sydd angen pa adnoddau preifat, a oes rhaid i'r ddwy sesiwn fod yn weithredol ar yr un pryd, a beth gaiff yr apiau hynny ei wneud pan nad yw eu twndis ar gael.

Dechreuwch o'r traffig, nid o'r rhestr gyfrifon

Mae newid cyfrif yn ffin hunaniaeth, nid yn ffin llwybro. Mae macOS yn llwytho ffurfweddiad VPN ar gyfer y cyfrif sy'n berchen arno, ond mae'r rhyngwyneb, ei lwybrau a pha bolisi system-gyfan bynnag a osodir ganddo yn perthyn i'r peiriant. Os yw'r gofyniad yn dweud mai dim ond apiau un person sy'n mynd i mewn i'r rhwydwaith corfforaethol, rhaid i'r dyluniad ddweud hynny yn nhermau apiau a chyrchfannau, nid yn nhermau pwy sydd wedi mewngofnodi. Fel arall mae'r ail gyfrif yn etifeddu'r hyn a adawyd gan gleient y cyntaf.

Ysgrifennwch yr ymddygiad gofynnol mewn un frawddeg: mae post ac mynediad ffeiliau un defnyddiwr yn dilyn y twndis a reolir, mae pori'r defnyddiwr arall yn aros ar y cysylltiad cartref, ac nid yw'r naill lwybr nac arall yn etifeddu llwybr diofyn y llall. Mae'r frawddeg honno'n brofadwy; fel arfer nid yw stori newid mewngofnodi.

Mae sianel y proffil a chwmpas y traffig yn bethau gwahanol

Mae Apple yn cefnogi trefniadau VPN a reolir a ddarperir fesul defnyddiwr neu fesul dyfais, ac mae canllaw defnyddio yn disgrifio'r modelau hynny ynghyd ag integreiddiad sy'n dibynnu ar y darparwr. Mae'r sianel gyflenwi yn dweud pwy sy'n derbyn y ffurfweddiad ac yn berchen arno. Nid yw ynddo'i hun yn diffinio pa draffig a ddaliwyd, oherwydd mae'r gweithrediad cleient a'r polisi a ffurfweddwyd yn dal i benderfynu hynny.

Lle gall modd dogfennedig sy'n ymwybodol o ddefnyddiwr neu o ap fynegi'r gofyniad, dyma'r llwybr byrraf. Yna gwiriwch yr apiau a'r hunaniaethau go iawn yn hytrach na dibynnu ar enwau: nid yw dwy gopi o'r un ap yn ddwy lwybr rhwydwaith wahanol, ac nid yw proffil sy'n rhestru ap yn gwarantu bod ei brosesau cynorthwyol yn cael eu cynnwys.

Mae system westai yn ffin go iawn â chyfyngiadau go iawn

Mae peiriant rhithwir yn rhoi system weithredu ar wahân i chi gyda'i stac rhwydwaith ei hun, felly gall gwestai redeg ei dwndis ei hun a'i apiau ei hun heb gyffwrdd â llwybrau'r gwesteiwr. Mae hynny'n ymwahaniad cryfach na ail gyfrif mewngofnodi, ac mae hefyd yn fwy o waith i'w gynnal. Penderfynwch a yw'r gost honno'n prynu ffin sydd ei hangen arnoch mewn gwirionedd cyn ei chynnig.

Mae angen adolygu modd y rhwydwaith rhithwir o hyd. A yw'r gwestai wedi'i bontio, y tu ôl i NAT neu wedi'i ynysu sy'n pennu beth y gall ei gyrraedd a beth all ei gyrraedd, ac nid yw apiau'r gwesteiwr yn dod yn apiau gwestai oherwydd bod y gwestai wedi cysylltu ar hap. Gwiriwch y polisi blocio hefyd, neu bydd twndis gwestai sydd wedi cwympo yn syrthio'n ôl i lwybr y gwesteiwr mewn ffordd na fwriadwyd gan neb.

Mae dirprwy yn gulach na chyfrif defnyddiwr

Gall un ap gwesteiwr gyrraedd gwasanaeth dirprwy go iawn sy'n rhedeg mewn gwestai neu gynhwysydd a gymeradwywyd, ac mae hynny'n cwmpasu'r traffig y mae'r ap yn ei anfon mewn gwirionedd drwy'r protocol a gefnogir. Nid yw'n cwmpasu pob proses sy'n eiddo i'r cyfrif Mac hwnnw, ac nid yw'n cwmpasu traffig y mae'r ap yn ei anfon y tu allan i brotocol y dirprwy.

Rhybudd arall ar beiriannau a rennir: nid yw gwrandawr TCP wedi'i rwymo i loopback y gwesteiwr yn archwiliad enw defnyddiwr. Mae cyfyngu dirprwy i'r peiriant lleol yn ei gadw oddi ar y rhwydwaith, ond nid yw'n awdurdodi un defnyddiwr lleol dros un arall sydd eisoes wedi mewngofnodi. Cadwch dilysu'r gwasanaeth yn amlwg os yw'r gwahaniaeth hwnnw'n bwysig.

Profwch y ffin â dau brawf

Rhedwch y ddwy lwybr a'u harsylwi ar wahân. O dan y cyfrif a fwriadwyd, agorwch yr ap sydd angen yr adnodd preifat a chadarnhewch ei fod yn cyrraedd y gwasanaeth a reolir; o dan y cyfrif arall, cadarnhewch fod pori cyffredin yn cadw llwybr y cartref. Yna torrwch y twndis yn fwriadol a gwiriwch yr ymddygiad wrth gefn ar gyfer pob ochr, oherwydd dyna lle mae'r rhan fwyaf o ddyluniadau yn methu'n dawel. Rhedwch y gwiriadau yn yr un awr hefyd, fel nad yw rhwydwaith a newidiwyd yn halogi'r gymhariaeth.

Os yw cynhwysydd neu westai yn rhedeg y twndis, ychwanegwch drydydd gwiriad: cadarnhewch fod ap Mac brodorol y tu allan iddo yn dal i ymddwyn fel y'i dyluniwyd. Dewiswch y drefniant symlaf y gallwch ddangos ei gwmpas, ac na labelwch beiriannau rhithwir fel rhai hanfodol yn gyffredinol na newid cyfrif fel rhywbeth digonol yn gyffredinol cyn cynnal y profion hynny.