Rakendusepõhine VPN või split tunnel? Mida saab Maci marsruut otsustada

Kaks rakendust avavad ühendused sama kontoriserveriga ja ainult üks neist peaks tunnelit kasutama. Marsruut ei saa seda soovi väljendada, sest marsruutimistabelid põhinevad sihtkohtadel ega tea, milline protsess socketi avas. See, mida inimesed küsivad, ja see, mida nad vajavad, on sageli erinevad asjad. Erista need kaks enne mis tahes konfiguratsiooni muutmist.

Valija on sihtkoht, mitte kunagi protsess

Iga marsruutimisotsus algab sihtkoha aadressiga ja lõpeb liidesega. Kernel ei küsi kunagi, milline programm paketi saatis, ja macOS-is ei marsruudi ka pf protsessi järgi, seega tulemüürireegel ei saa panna ühte rakendust teisele teele. Seetõttu läbib sama server, nii brauseri kui ka aruandlustööriista kaudu, mõlema jaoks ühe tee. Rakendustasandi eraldamine peab seetõttu tulema millestki muust kui marsruudist: VPN-plugin, mis socketit omab, puhverserver, mis võtab ühenduse rakenduse nimel, või eraldi võrgupinu. Ükski neist ei ole marsruudimuudatus.

Kaks rakendust, mis räägivad ühe aadressiga, on kavandi puhtaim test. Kui vastus ei saa nende vahel erineda, on kavand sihtkohapõhine, ükskõik kuidas seda nimetatakse.

Mida tavaline split tunnel tegelikult annab

Split tunnel paigaldab marsruudid privaatsetele prefiksitele ja jätab kõik muu füüsilisele teele. Tavaliselt see ongi taotluse mõte: jõuda kontoriserverini tunneli kaudu, hoida avalik sirvimine otsesena. See on lihtne, iga levinud klient toetab seda ja seda rakendatakse sama mehhanismiga nagu iga teist marsruuti. Kontrolli konkreetset sihtkohta käsuga route -n get, mitte lugedes vaikemarsruuti, sest split tunnel jätab vaikemarsruudi sageli puutumata.

Vaikemarsruudi käsitsi muutmine ei ole ümberkujundamine millekski. See võitleb kliendi enda marsruutide taastamisega ja võib klientides, mis paigaldavad kaitsepoliitika, jätta masina olekusse, mida ei sina ega klient oota. Seadista split tunnel hoopis kliendi toetatud seadetes.

Mida nõuab rakendusepõhine VPN macOS-is

Tõeline rakendusepõhine VPN macOS-is on Network Extensioni funktsioon, mida juhitakse konfiguratsiooniprofiiliga. Halduskoormus seob valitud rakendused VPN-konfiguratsiooniga ja süsteem suunab seejärel nende rakenduste liikluse vastavalt. See on hallatav juurutus, mis tähendab MDM-i, allkirjastatud profiili ja administraatorit, kes omab mõlemat.

Kliendi käsitsi paigaldamine ei loo seda vastendust ja tavaline seadete paneel ei muuda rakendusi eraldi valitavaks. Tarnija võib pakkuda oma rakendusereegleid ja need järgivad tema dokumentatsiooni, mitte üldreeglit.

Kolm viisi rakendustasandi eralduseks ilma MDM-ita

Kus haldus pole saadaval, on puhverserver praktiline vastus. Määra rakenduse enda puhverserveri konfiguratsioon või kasuta PAC-faili, mis valib sihtkoha ja protokolli järgi ainult selle rakenduse jaoks.

Kohalik puhverserver lõpetab ühenduse ja loob selle uuesti läbi tunneli, nii et rakendus ei vaja kunagi marsruuti. Teine võimalus on eraldi võrgupinu: virtuaalmasin või konteiner, millel on oma vaikemarsruut ja millele rakendus pääseb kohaliku aadressi kaudu. Kolmas on leppida sihtkohapõhise marsruutimisega ja nõudest loobuda, mis on aus, kui mõlemad rakendused tohivad tunnelit kasutada. Kõiki kolme saab testida ja ükski neist ei teeskle, et marsruut teab protsesse.

Kirjuta taotlus nii, et vastus oleks üheselt mõistetav

Kirjelda töövoogu, mitte mehhanismi: milline rakendus vajab millist teenust, kas teine rakendus tuleb samast teenusest eemale hoida ja mis peaks juhtuma, kui tunnel on maas. Need kolm vastust valivad kavandi. Need ütlevad ka administraatorile, kas taotlus on marsruudimuudatus või juurutamisprojekt.

Lisa väljajäetud rakenduse juhtum sõnaselgelt. Klient, mis peatab rakenduse, kui selle kaitstud tee pole saadaval, käitub teisiti kui see, mis laseb sellel füüsilisele liidesele tagasi langeda, ja kasutajad märkavad seda erinevust kohe. Nimeta ootus pileti sees. Seejärel kontrolli tegelikul masinal, sest sama toode käitub macOS-is sageli teisiti kui Windowsis ja selle macOS-i dokumentatsioon on ainus usaldusväärne allikas selle kohta, mida seaded teevad.