VPN ανά εφαρμογή ή split tunnel; Τι μπορεί να αποφασίσει μια διαδρομή Mac

Δύο εφαρμογές ανοίγουν συνδέσεις στον ίδιο διακομιστή γραφείου, και μόνο μία από αυτές θα έπρεπε να χρησιμοποιεί τη σήραγγα. Μια διαδρομή δεν μπορεί να εκφράσει αυτή την επιθυμία, γιατί οι πίνακες δρομολόγησης βασίζονται σε προορισμούς και δεν έχουν καμία έννοια του ποια διεργασία άνοιξε το socket. Αυτό που ζητούν οι άνθρωποι και αυτό που χρειάζονται είναι συχνά διαφορετικά πράγματα. Διαχωρίστε τα δύο πριν αλλάξετε οποιαδήποτε ρύθμιση.

Ο επιλογέας είναι προορισμός, ποτέ διεργασία

Κάθε απόφαση δρομολόγησης ξεκινά με μια διεύθυνση προορισμού και τελειώνει με μια διεπαφή. Ο πυρήνας δεν ρωτά ποτέ ποιο δυαδικό έστειλε το πακέτο, και στο macOS ούτε το pf δρομολογεί κατά διεργασία, άρα ένας κανόνας τείχους προστασίας δεν μπορεί να βάλει μια εφαρμογή σε άλλη διαδρομή. Γι’ αυτό ο ίδιος διακομιστής, είτε τον προσεγγίζει ένα πρόγραμμα περιήγησης είτε ένα εργαλείο αναφορών, παίρνει μία διαδρομή και για τα δύο. Ο διαχωρισμός σε επίπεδο εφαρμογής πρέπει επομένως να έρχεται από κάτι άλλο εκτός από διαδρομή: ένα πρόσθετο VPN που κατέχει το socket, έναν διαμεσολαβητή που αναλαμβάνει τη σύνδεση για λογαριασμό της εφαρμογής, ή μια ξεχωριστή στοίβα δικτύου. Κανένα από αυτά δεν είναι αλλαγή δρομολόγησης.

Δύο εφαρμογές που μιλούν σε μία διεύθυνση είναι το καθαρότερο τεστ ενός σχεδίου. Αν η απάντηση δεν μπορεί να διαφέρει μεταξύ τους, το σχέδιο βασίζεται στον προορισμό, όπως κι αν ονομάζεται.

Τι προσφέρει στην πράξη ένα συνηθισμένο split tunneling

Ένα split tunnel εγκαθιστά διαδρομές για τα ιδιωτικά προθέματα και αφήνει όλα τα υπόλοιπα στη φυσική διαδρομή. Αυτό συνήθως σημαίνει το αίτημα: φτάσε στον διακομιστή γραφείου μέσω της σήραγγας, κράτησε την κοινή περιήγηση άμεση. Είναι απλό, κάθε συνηθισμένος πελάτης το υποστηρίζει, και επιβάλλεται από τον ίδιο μηχανισμό με οποιαδήποτε άλλη διαδρομή. Ελέγξτε τον συγκεκριμένο προορισμό με route -n get αντί να διαβάσετε την προεπιλεγμένη διαδρομή, γιατί ένα split tunnel συχνά αφήνει την προεπιλεγμένη άθικτη.

Η χειροκίνητη επεξεργασία της προεπιλεγμένης διαδρομής δεν είναι μετατροπή σε τίποτα. Παλεύει με την ίδια την επαναφορά διαδρομών του πελάτη και, σε πελάτες που εγκαθιστούν πολιτική προστασίας, μπορεί να αφήσει το μηχάνημα σε κατάσταση που ούτε εσείς ούτε ο πελάτης περιμένετε. Ρυθμίστε το split tunnel στις υποστηριζόμενες ρυθμίσεις του πελάτη.

Τι απαιτεί ένα VPN ανά εφαρμογή στο macOS

Ένα πραγματικό VPN ανά εφαρμογή στο macOS είναι λειτουργία Network Extension που καθοδηγείται από προφίλ ρυθμίσεων. Ένα ωφέλιμο φορτίο διαχείρισης αντιστοιχίζει επιλεγμένες εφαρμογές σε μια ρύθμιση VPN, και το σύστημα δρομολογεί έπειτα την κίνηση αυτών των εφαρμογών αναλόγως. Πρόκειται για διαχειριζόμενη ανάπτυξη, που σημαίνει MDM, υπογεγραμμένο προφίλ και διαχειριστή που κατέχει και τα δύο.

Η χειροκίνητη εγκατάσταση του πελάτη δεν δημιουργεί αυτή την αντιστοίχιση, και το συνηθισμένο πλαίσιο ρυθμίσεων δεν κάνει τις εφαρμογές μεμονωμένα επιλέξιμες. Ένας προμηθευτής μπορεί να εκθέσει τους δικούς του κανόνες εφαρμογών, και αυτοί ακολουθούν την τεκμηρίωσή του αντί για έναν γενικό κανόνα.

Τρεις τρόποι για διαχωρισμό ανά εφαρμογή χωρίς MDM

Όπου η διαχείριση δεν είναι διαθέσιμη, ένας διαμεσολαβητής είναι η πρακτική απάντηση. Ρυθμίστε τη δική του διαμόρφωση διαμεσολαβητή της εφαρμογής, ή χρησιμοποιήστε ένα αρχείο PAC που επιλέγει κατά προορισμό και πρωτόκολλο μόνο για εκείνη την εφαρμογή.

Ένας τοπικός διαμεσολαβητής τερματίζει τη σύνδεση και την επαναφέρει μέσω της σήραγγας, ώστε η εφαρμογή να μη χρειάζεται ποτέ διαδρομή. Η δεύτερη επιλογή είναι μια ξεχωριστή στοίβα δικτύου: μια εικονική μηχανή ή ένα κοντέινερ με δική του προεπιλεγμένη διαδρομή, που η εφαρμογή προσεγγίζει μέσω τοπικής διεύθυνσης. Η τρίτη είναι να δεχτείτε τη δρομολόγηση με βάση τον προορισμό και να εγκαταλείψετε την απαίτηση, κάτι που είναι έντιμο όταν και οι δύο εφαρμογές μπορούν να χρησιμοποιούν τη σήραγγα. Και οι τρεις είναι δοκιμάσιμες, και καμία δεν προσποιείται ότι μια διαδρομή γνωρίζει διεργασίες.

Γράψτε το αίτημα ώστε η απάντηση να είναι σαφής

Περιγράψτε τη ροή εργασίας αντί για τον μηχανισμό: ποια εφαρμογή χρειάζεται ποια υπηρεσία, αν μια άλλη εφαρμογή πρέπει να κρατηθεί μακριά από την ίδια υπηρεσία, και τι πρέπει να συμβεί όσο η σήραγγα είναι ανενεργή. Αυτές οι τρεις απαντήσεις επιλέγουν το σχέδιο. Λένε επίσης στον διαχειριστή αν το αίτημα είναι αλλαγή δρομολόγησης ή έργο ανάπτυξης.

Συμπεριλάβετε ρητά την περίπτωση της εξαιρούμενης εφαρμογής. Ένας πελάτης που σταματά μια εφαρμογή όταν η προστατευμένη διαδρομή της δεν είναι διαθέσιμη συμπεριφέρεται διαφορετικά από έναν που την αφήνει να πέσει στη φυσική διεπαφή, και οι χρήστες αντιλαμβάνονται αμέσως τη διαφορά. Ονομάστε την προσδοκία στο δελτίο. Έπειτα επαληθεύστε στο πραγματικό μηχάνημα, γιατί το ίδιο προϊόν συχνά συμπεριφέρεται διαφορετικά στο macOS από ό,τι στα Windows, και η τεκμηρίωσή του για macOS είναι η μόνη αξιόπιστη πηγή για το τι κάνουν οι ρυθμίσεις του.