Mac-eko bi saio-hasiera kontuk ez dute VPN trafikoa banatzen

Mac bereko bi saio-hasiera kontu bi mundu bereizi bezala ikusten dira sareak iritsi arte. Sessio batean hasitako tunelak beste sessioak bizi duena aldatu dezake oraindik, zein bezerok duen jabetza eta zein politika dakarren arabera. Deskribatu behar duzun bereizketa mekanismo bat aukeratu aurretik. Ordenak garrantzia du, lehenik aukeratutako mekanismoak eskakizuna bere inguruan birdefinitzeko joera baitu.

Hiru galderak egiten dute lanaren zatirik handiena: noren aplikazioek zein baliabide pribatu behar dituzten, bi sessioek aldi berean aktibo egon behar duten eta zer egin dezaketen aplikazio horiek tunela eskura ez dagoenean.

Hasi trafikotik, ez kontuen zerrendatik

Kontua aldatzea nortasun-muga da, ez bideratze-muga. macOS-ek VPN konfigurazioa kargatzen du hura duen kontuarentzat, baina interfazea, haren ibilbideak eta instalatzen duen sistema-mailako edozein politika makinarena dira. Eskakizuna pertsona baten aplikazioak soilik enpresako sarera sartzea bada, diseinuak aplikazioen eta helmugen arabera esan behar du, ez nor saioa hasita dagoen arabera. Bestela bigarren kontuak lehenaren bezeroak utzitakoa heredatzen du.

Idatzi behar den portaera esaldi bakarrean: erabiltzaile baten postak eta fitxategi-sarbideak kudeatutako tunela jarraitzen dute, beste erabiltzailearen nabigazioa etxeko konexioan geratzen da eta bi bideetako batek ez du bestearen ibilbide lehenetsia heredatzen. Esaldi hori egiaztagarria da; saio-hasiera aldatzearen istorioa normalean ez.

Profil-kanala eta trafiko-hedadura gauza desberdinak dira

Apple-k erabiltzaile edo gailu bakoitzeko entregatzen diren kudeatutako VPN antolamenduak onartzen ditu, eta hedapen-gida batek modelo horiek deskribatzen ditu hornitzailearen mende dagoen integrazioarekin batera. Entrega-kanalak esaten du nork jasotzen duen konfigurazioa eta nork duen jabetza. Ez du berez zehazten zein trafiko harrapatzen den, bezeroaren inplementazioak eta konfiguratutako politikak oraindik erabakitzen dutelako.

Erabiltzaileaz edo aplikazioaz ohartzen den modu dokumentatu batek eskakizuna adieraz dezakeen tokian, hori da biderik laburrena. Gero egiaztatu benetako aplikazioak eta nortasunak, izenetan fidatu beharrean: aplikazio beraren bi kopia ez dira bi sare-bide desberdin, eta aplikazio bat zerrendatzen duen profilek ez du bermatzen haren prozesu lagungarriak estalita daudenik.

Gonbidatu-sistema muga erreala da benetako mugetakoa

Makina birtualak sare-pila propio duen sistema eragile bereizia ematen dizu, beraz gonbidatu batek bere tunela eta bere aplikazioak exekuta ditzake ostalariaren ibilbideak ukitu gabe. Bigarren saio-hasiera kontu bat baino bereizketa sendoagoa da, eta mantenimendu-lan handiagoa ere bada. Erabaki kostu horrek benetan behar duzun muga bat erosten duen proposatu aurretik.

Sare birtualaren moduak berrikuspena behar du oraindik. Gonbidatua zubiratuta, NAT atzean edo isolatuta egoteak zehazten du zer har dezakeen eta zerk har dezakeen hura, eta ostalariaren aplikazioak ez dira gonbidatuaren aplikazio bihurtzen gonbidatua konektatuta dagoelako. Egiaztatu blokeo-politika ere, bestela eroritako gonbidatu-tunela ostalariaren bidera itzuliko da inork nahi ez zuen moduan.

Proxy bat erabiltzaile-kontu bat baino estuagoa da

Ostalariaren aplikazio batek onartutako gonbidatu edo edukiontzi batean exekutatzen den benetako proxy zerbitzu batera irits daiteke, eta horrek aplikazioak onartutako protokoloaren bidez benetan bidaltzen duen trafikoa estaltzen du. Ez ditu Mac kontu horren jabetzako prozesu guztiak estaltzen, ezta aplikazioak proxy protokoloaz kanpo bidaltzen duen trafikoa ere.

Beste kontuzko bat makina partekatuetan: ostalariaren loopback-era lotutako TCP entzule bat ez da erabiltzaile-izenaren egiaztapena. Proxy bat makina lokalera mugatzeak saretik kanpo uzten du, baina ez dio erabiltzaile lokal bati beste baten gaineko baimenik ematen, azken hori dagoeneko saioa hasita badago. Mantendu zerbitzuaren autentifikazioa esplizitua bereizketa horrek garrantzia badu.

Frogatu muga bi probarekin

Exekutatu bi bideak eta behatu bereizita. Aurreikusitako kontuan, ireki baliabide pribatua behar duen aplikazioa eta egiaztatu kudeatutako zerbitzura iristen dela; beste kontuan, egiaztatu nabigazio arruntak etxeko bidea mantentzen duela. Ondoren hautsi tunela nahita eta egiaztatu alde bakoitzaren fallback portaera, han huts egiten baitute diseinu gehienek isilpean. Egin egiaztapenak ordu berean ere, aldatutako sare batek konparazioa kutsa ez dezan.

Edukiontzi edo gonbidatu batek tunela exekutatzen badu, gehitu hirugarren egiaztapena: berretsi haren kanpoko Mac aplikazio natibo batek diseinatutako moduan jokatzen jarraitzen duela. Aukeratu hedadura frogatu dezakezun antolamendu sinpleena, eta ez etiketatu makina birtualak unibertsalki beharrezkotzat ezta kontua aldatzea unibertsalki nahikotzat proba horiek egin aurretik.