Kaks Maci sisselogimiskontot ei jaga VPN-liiklust

Kaks sisselogimiskontot samas Macis näivad kahe eraldi maailmana, kuni võrk saabub. Ühes seansis käivitatud tunnel võib ikkagi muuta seda, mida teine seanss kogeb, sõltuvalt sellest, milline klient seda omab ja milline poliitika sellega kaasas käib. Kirjeldage eraldatust, mida vajate, enne kui valite selle jõustamiseks mehhanismi. Järjekord on oluline, sest esimesena valitud mehhanism kipub nõude enda ümber ümber määratlema.

Kolm küsimust teevad suurema osa tööst: kelle rakendused milliseid privaatseid ressursse vajavad, kas mõlemad seansid peavad olema korraga aktiivsed ja mida need rakendused tohivad teha, kui nende tunnel pole saadaval.

Alustage liiklusest, mitte kontode loendist

Konto vahetamine on identiteedi piir, mitte marsruutimise piir. macOS laadib VPN-konfiguratsiooni konto jaoks, mis seda omab, kuid liides, selle marsruudid ja kõik süsteemitase poliitikad, mida see paigaldab, kuuluvad masinale. Kui nõue on, et ettevõtte võrku siseneksid ainult ühe inimese rakendused, peab disain seda ütlema rakenduste ja sihtkohtade kaudu, mitte selle kaudu, kes on sisse logitud. Muidu pärib teine konto selle, mille esimese klient maha jättis.

Kirjutage nõutav käitumine ühte lausesse: ühe kasutaja e-post ja failijuurdepääs järgivad hallatavat tunnelit, teise kasutaja sirvimine jääb koduuhendusele ja kumbki tee ei päri teise vaikemarsruuti. See lause on kontrollitav; sisselogimise vahetamise lugu tavaliselt ei ole.

Profiilikanal ja liikluse ulatus on erinevad asjad

Apple toetab hallatavaid VPN-korraldusi, mida tarnitakse kasutaja või seadme kaupa, ja juurutusjuhend kirjeldab neid mudeleid koos teenusepakkujast sõltuva integratsiooniga. Tarnekanal ütleb, kes konfiguratsiooni saab ja seda omab. See ei määratle iseenesest, milline liiklus kinni püütakse, sest kliendi teostus ja konfigureeritud poliitika otsustavad selle endiselt.

Kus dokumenteeritud kasutaja- või rakenduseteadlik režiim saab nõuet väljendada, on see lühim tee. Seejärel kontrollige tegelikke rakendusi ja identiteete, selle asemel et nimesid usaldada: sama rakenduse kaks koopiat ei ole kaks erinevat võrguteed ja rakendust loetlev profiil ei taga, et selle abiprotsessid on kaetud.

Külalissüsteem on tõeline piir tõeliste piirangutega

Virtuaalmasin annab teile eraldi operatsioonisüsteemi oma võrgupinuga, nii et külaline saab käitada oma tunnelit ja oma rakendusi hosti marsruute puutumata. See on tugevam eraldatus kui teine sisselogimiskonto, ja see on ka rohkem hooldustööd. Otsustage, kas see hind ostab piiri, mida tegelikult vajate, enne kui seda pakute.

Virtuaalvõrgu režiim vajab siiski ülevaatamist. Kas külaline on sillatud, NAT-i taga või isoleeritud, määrab, mida ta jõuab ja mis jõuab temani, ja hosti rakendused ei muutu külalise rakendusteks seetõttu, et külaline juhtub olema ühendatud. Kontrollige ka blokeerimispoliitikat, muidu langeb nurjunud külalise tunnel tagasi hosti teele viisil, mida keegi ei kavatsenud.

Puhverserver on kitsam kui kasutajakonto

Üks hosti rakendus võib jõuda tõelise puhverserveri teenuseni, mis töötab heakskiidetud külalises või konteineris, ja see katab liikluse, mida rakendus toetatud protokolli kaudu tegelikult saadab. See ei kata iga protsessi, mida see Maci konto omab, ega liiklust, mida rakendus saadab väljaspool puhverserveri protokolli.

Veel üks ettevaatusabinõu ühistel masinatel: hosti loopbacki külge seotud TCP-kuulaja ei ole kasutajanime kontroll. Puhverserveri piiramine kohaliku masinaga hoiab selle võrgust eemal, kuid ei anna ühele kohalikule kasutajale õigust teise ees, kes on juba sisse logitud. Hoidke teenuse autentimine selgesõnaline, kui see erinevus loeb.

Tõestage piir kahe testiga

Käivitage mõlemad teed ja jälgige neid eraldi. Kavandatud konto all avage rakendus, mis vajab privaatset ressurssi, ja kinnitage, et see jõuab hallatava teenuseni; teise konto all kinnitage, et tavaline sirvimine hoiab kodutee. Seejärel katkestage tunnel tahtlikult ja kontrollige mõlema poole varukäitumist, sest just seal ebaõnnestuvad enamik disaine vaikselt. Tehke kontrollid ka samal tunnil, et muutunud võrk ei rikuks võrdlust.

Kui konteiner või külaline käitab tunnelit, lisage kolmas kontroll: kinnitage, et väljaspool seda olev natiivne Maci rakendus käitub endiselt kavandatud viisil. Valige lihtsaim korraldus, mille ulatust suudate näidata, ja ärge nimetage virtuaalmasinaid üldiselt vajalikuks ega konto vahetamist üldiselt piisavaks enne nende testide tegemist.