Δύο λογαριασμοί σύνδεσης στο Mac δεν μοιράζουν την κίνηση VPN

Δύο λογαριασμοί σύνδεσης στον ίδιο Mac μοιάζουν με δύο χωριστούς κόσμους μέχρι να εμφανιστεί το δίκτυο. Μια σήραγγα που ξεκίνησε σε μία συνεδρία μπορεί παρ' όλα αυτά να αλλάξει αυτό που βιώνει η άλλη συνεδρία, ανάλογα με το ποιος πελάτης την κατέχει και ποια πολιτική τη συνοδεύει. Περιγράψτε τον διαχωρισμό που χρειάζεστε πριν επιλέξετε μηχανισμό για την επιβολή του. Η σειρά έχει σημασία, γιατί ένας μηχανισμός που επιλέγεται πρώτος τείνει να επαναπροσδιορίσει την απαίτηση γύρω από τον εαυτό του.

Τρεις ερωτήσεις κάνουν το μεγαλύτερο μέρος της δουλειάς: ποιες εφαρμογές ποιανού χρειάζονται ποιους ιδιωτικούς πόρους, αν πρέπει και οι δύο συνεδρίες να είναι ενεργές ταυτόχρονα και τι επιτρέπεται να κάνουν αυτές οι εφαρμογές όταν η σήραγγά τους δεν είναι διαθέσιμη.

Ξεκινήστε από την κίνηση, όχι από τη λίστα λογαριασμών

Η εναλλαγή λογαριασμού είναι όριο ταυτότητας, όχι όριο δρομολόγησης. Το macOS φορτώνει μια διαμόρφωση VPN για τον λογαριασμό που την κατέχει, αλλά η διεπαφή, οι διαδρομές της και οποιαδήποτε πολιτική σε επίπεδο συστήματος εγκαθιστά ανήκουν στο μηχάνημα. Αν η απαίτηση είναι να μπαίνουν στο εταιρικό δίκτυο μόνο οι εφαρμογές ενός ατόμου, ο σχεδιασμός πρέπει να το λέει με όρους εφαρμογών και προορισμών, όχι με όρους του ποιος είναι συνδεδεμένος. Αλλιώς ο δεύτερος λογαριασμός κληρονομεί ό,τι άφησε ο πελάτης του πρώτου.

Γράψτε την απαιτούμενη συμπεριφορά σε μία πρόταση: το ταχυδρομείο και η πρόσβαση αρχείων ενός χρήστη ακολουθούν τη διαχειριζόμενη σήραγγα, η περιήγηση του άλλου χρήστη μένει στην οικιακή σύνδεση και καμία διαδρομή δεν κληρονομεί την προεπιλεγμένη διαδρομή της άλλης. Αυτή η πρόταση είναι ελέγξιμη· μια ιστορία εναλλαγής σύνδεσης συνήθως δεν είναι.

Κανάλι προφίλ και εύρος κίνησης είναι διαφορετικά πράγματα

Η Apple υποστηρίζει διαχειριζόμενες ρυθμίσεις VPN που παρέχονται ανά χρήστη ή ανά συσκευή, και ένας οδηγός ανάπτυξης περιγράφει αυτά τα μοντέλα μαζί με ενοποίηση που εξαρτάται από τον πάροχο. Το κανάλι παράδοσης λέει ποιος λαμβάνει τη διαμόρφωση και την κατέχει. Δεν ορίζει από μόνο του ποια κίνηση συλλαμβάνεται, γιατί η υλοποίηση του πελάτη και η διαμορφωμένη πολιτική εξακολουθούν να το αποφασίζουν.

Όπου μια τεκμηριωμένη λειτουργία με επίγνωση χρήστη ή εφαρμογής μπορεί να εκφράσει την απαίτηση, αυτή είναι η συντομότερη διαδρομή. Έπειτα επαληθεύστε τις πραγματικές εφαρμογές και ταυτότητες αντί να εμπιστεύεστε ονόματα: δύο αντίγραφα της ίδιας εφαρμογής δεν είναι δύο διαφορετικές δικτυακές διαδρομές, και ένα προφίλ που απαριθμεί μια εφαρμογή δεν εγγυάται ότι καλύπτονται οι βοηθητικές της διεργασίες.

Ένα φιλοξενούμενο σύστημα είναι πραγματικό όριο με πραγματικά όρια

Μια εικονική μηχανή σάς δίνει ξεχωριστό λειτουργικό σύστημα με δική του στοίβα δικτύου, ώστε ένας φιλοξενούμενος να μπορεί να τρέξει τη δική του σήραγγα και τις δικές του εφαρμογές χωρίς να αγγίξει τις διαδρομές του κεντρικού. Αυτός είναι ισχυρότερος διαχωρισμός από έναν δεύτερο λογαριασμό σύνδεσης, και είναι επίσης περισσότερη δουλειά συντήρησης. Αποφασίστε αν αυτό το κόστος αγοράζει ένα όριο που πραγματικά χρειάζεστε πριν το προτείνετε.

Η λειτουργία του εικονικού δικτύου χρειάζεται ακόμη ανασκόπηση. Το αν ο φιλοξενούμενος είναι γεφυρωμένος, πίσω από NAT ή απομονωμένος καθορίζει τι μπορεί να φτάσει και τι μπορεί να φτάσει αυτόν, και οι εφαρμογές του κεντρικού δεν γίνονται εφαρμογές του φιλοξενούμενου επειδή ο φιλοξενούμενος τυχαίνει να είναι συνδεδεμένος. Ελέγξτε και την πολιτική αποκλεισμού, αλλιώς μια πεσμένη σήραγγα του φιλοξενούμενου θα πέσει πίσω στη διαδρομή του κεντρικού με τρόπο που κανείς δεν σκόπευε.

Ένας διαμεσολαβητής είναι στενότερος από έναν λογαριασμό χρήστη

Μια εφαρμογή του κεντρικού μπορεί να φτάσει σε μια πραγματική υπηρεσία διαμεσολαβητή που τρέχει σε εγκεκριμένο φιλοξενούμενο ή container, και αυτό καλύπτει την κίνηση που η εφαρμογή στέλνει πραγματικά μέσω του υποστηριζόμενου πρωτοκόλλου. Δεν καλύπτει κάθε διεργασία που ανήκει σε αυτόν τον λογαριασμό Mac, και δεν καλύπτει κίνηση που η εφαρμογή στέλνει έξω από το πρωτόκολλο του διαμεσολαβητή.

Μια ακόμη προφύλαξη σε κοινόχρηστα μηχανήματα: ένας ακροατής TCP δεσμευμένος στο loopback του κεντρικού δεν είναι έλεγχος ονόματος χρήστη. Ο περιορισμός ενός διαμεσολαβητή στην τοπική μηχανή τον κρατά εκτός δικτύου, αλλά δεν εξουσιοδοτεί έναν τοπικό χρήστη έναντι άλλου που είναι ήδη συνδεδεμένος. Κρατήστε τον έλεγχο ταυτότητας της υπηρεσίας ρητό αν αυτή η διάκριση μετράει.

Αποδείξτε το όριο με δύο δοκιμές

Τρέξτε και τις δύο διαδρομές και παρατηρήστε τις χωριστά. Στον προβλεπόμενο λογαριασμό, ανοίξτε την εφαρμογή που χρειάζεται τον ιδιωτικό πόρο και επιβεβαιώστε ότι φτάνει στη διαχειριζόμενη υπηρεσία· στον άλλο λογαριασμό, επιβεβαιώστε ότι η συνηθισμένη περιήγηση κρατά την οικιακή διαδρομή. Έπειτα σπάστε σκόπιμα τη σήραγγα και ελέγξτε τη συμπεριφορά εφεδρείας σε κάθε πλευρά, γιατί εκεί αποτυγχάνουν σιωπηλά οι περισσότεροι σχεδιασμοί. Κάντε τους ελέγχους και την ίδια ώρα, ώστε ένα αλλαγμένο δίκτυο να μην μολύνει τη σύγκριση.

Αν ένα container ή φιλοξενούμενος τρέχει τη σήραγγα, προσθέστε τρίτο έλεγχο: επιβεβαιώστε ότι μια εγγενής εφαρμογή Mac έξω από αυτό εξακολουθεί να συμπεριφέρεται όπως σχεδιάστηκε. Επιλέξτε την απλούστερη διάταξη της οποίας το εύρος μπορείτε να δείξετε, και μην χαρακτηρίζετε τις εικονικές μηχανές παγκοσμίως απαραίτητες ή την εναλλαγή λογαριασμού παγκοσμίως επαρκή πριν κάνετε αυτές τις δοκιμές.