Ĉu VPN por unuopa aplikaĵo aŭ split tunnel? Kion povas decidi Mac-itinero

Du aplikaĵoj malfermas konektojn al la sama oficeja servilo, kaj nur unu el ili devus uzi la tunelon. Itinero ne povas esprimi tiun deziron, ĉar enkursigaj tabeloj baziĝas sur celoj kaj havas neniun koncepton pri tio, kiu procezo malfermis la ingon. Kion homoj petas kaj kion ili bezonas ofte estas malsamaj aferoj. Apartigu la du antaŭ ol ŝanĝi ajnan agordon.

La elektilo estas celo, neniam procezo

Ĉiu enkursiga decido komenciĝas per cela adreso kaj finiĝas per interfaco. La kerno neniam demandas, kiu programo sendis la paketon, kaj en macOS ankaŭ pf ne enkursigas laŭ procezo, do fajroŝirma regulo ne povas meti unu aplikaĵon sur alian vojon. Tial la sama servilo, atingita per retumilo kaj per raporta ilo, prenas unu vojon por ambaŭ. Apartigo je aplikaĵa nivelo do devas veni de io alia ol itinero: VPN-kromaĵo, kiu posedas la ingon, prokurilo, kiu prenas la konekton nome de la aplikaĵo, aŭ aparta reta stako. Neniu el tiuj estas enkursiga ŝanĝo.

Du aplikaĵoj parolantaj al unu adreso estas la plej pura testo de projekto. Se la respondo ne povas malsami inter ili, la projekto estas cel-bazita, kiel ajn ĝi nomiĝas.

Kion ordinara split tunnel vere donas

Split tunnel instalas itinerojn por la privataj prefiksoj kaj lasas ĉion alian sur la fizika vojo. Tio kutime estas tio, kion signifas la peto: atingi la oficejan servilon tra la tunelo, teni publikan retumadon rekta. Ĝi estas simpla, ĉiu ordinara kliento subtenas ĝin, kaj ĝi estas devigata per la sama mekanismo kiel ajna alia itinero. Kontrolu la konkretan celon per route -n get anstataŭ legi la defaŭltan itineron, ĉar split tunnel ofte lasas la defaŭltan netuŝita.

Mane redakti la defaŭltan itineron ne estas konvertiĝo al io ajn. Ĝi luktas kontraŭ la propra restarigo de itineroj de la kliento kaj, ĉe klientoj, kiuj instalas protektan politikon, povas lasi la maŝinon en stato, kiun nek vi nek la kliento atendas. Agordu la split tunnel en la subtenataj agordoj de la kliento anstataŭe.

Kion postulas por-aplikaĵa VPN en macOS

Vera por-aplikaĵa VPN en macOS estas funkcio Network Extension gvidata de agorda profilo. Administra ŝarĝo mapas elektitajn aplikaĵojn al VPN-agordo, kaj la sistemo poste enkursigas la trafikon de tiuj aplikaĵoj konforme. Ĝi estas administrata deplojo, kio signifas MDM, subskribitan profilon kaj administranton, kiu posedas ambaŭ.

Mane instali la klienton ne kreas tiun mapadon, kaj la ordinara agorda panelo ne igas aplikaĵojn individue elekteblaj. Vendoro povas elmontri proprajn aplikaĵajn regulojn, kaj tiuj sekvas ĝian dokumentaron anstataŭ ĝeneralan regulon.

Tri vojoj al apartigo laŭ aplikaĵo sen MDM

Kie administrado ne disponeblas, prokurilo estas la praktika respondo. Agordu la propran prokuran agordon de la aplikaĵo, aŭ uzu PAC-dosieron, kiu elektas laŭ celo kaj protokolo nur por tiu aplikaĵo.

Loka prokurilo finas la konekton kaj reorigas ĝin tra la tunelo, do la aplikaĵo neniam bezonas itineron. La dua opcio estas aparta reta stako: virtuala maŝino aŭ ujo kun propra defaŭlta itinero, kiun la aplikaĵo atingas per loka adreso. La tria estas akcepti cel-bazitan enkursigadon kaj forlasi la postulon, kio estas honesta kiam ambaŭ aplikaĵoj rajtas uzi la tunelon. Ĉiuj tri estas testeblaj, kaj neniu el ili ŝajnigas, ke itinero konas procezojn.

Priskribu la peton tiel, ke la respondo estu senduba

Priskribu la laborfluon anstataŭ la mekanismon: kiu aplikaĵo bezonas kiun servon, ĉu alia aplikaĵo devas esti tenata for de tiu sama servo, kaj kio devus okazi dum la tunelo estas malsupre. Tiuj tri respondoj elektas la projekton. Ili ankaŭ diras al la administranto, ĉu la peto estas enkursiga ŝanĝo aŭ deploja projekto.

Inkluzivu la kazon de la ekskludita aplikaĵo eksplicite. Kliento, kiu haltigas aplikaĵon kiam ĝia protektita vojo ne disponeblas, kondutas alie ol unu, kiu lasas ĝin refali al la fizika interfaco, kaj uzantoj rimarkas tiun diferencon tuj. Nomu la atendo en la bileto. Poste kontrolu sur la reala maŝino, ĉar la sama produkto ofte kondutas alie en macOS ol en Windows, kaj ĝia macOS-dokumentaro estas la sola fidinda fonto pri tio, kion faras ĝiaj agordoj.