دو حساب ورود به Mac ترافیک VPN را تقسیم نمی‌کنند
مالک یک پروفایل و دامنه ترافیک آن دو پرسش متفاوت‌اند. روی یک Mac مشترک، مرزی بر پایه برنامه، مهمان یا پروکسی انتخاب کنید و ثابت کنید هر دو مسیر کار می‌کنند.
دو حساب ورود به سیستم روی یک Mac تا زمانی که شبکه فرا نرسد مثل دو دنیای جداست. تونلی که در یک نشست آغاز می‌شود باز هم می‌تواند تجربه نشست دیگر را تغییر دهد، بسته به اینکه کدام کلاینت مالک آن است و چه سیاستی همراه آن می‌آید. پیش از انتخاب مکانیزمی برای اعمال آن، جداسازی مورد نیازتان را توصیف کنید. ترتیب اهمیت دارد، چون مکانیزمی که نخست انتخاب می‌شود گرایش دارد نیاز را حول خودش بازتعریف کند.
سه پرسش بیشتر کار را انجام می‌دهند: برنامه‌های چه کسی به کدام منابع خصوصی نیاز دارند، آیا هر دو نشست باید همزمان فعال باشند، و این برنامه‌ها وقتی تونلشان در دسترس نیست چه کاری مجازند انجام دهند.
از ترافیک شروع کنید، نه از فهرست حساب‌ها
تغییر حساب یک مرز هویت است، نه مرز مسیریابی. macOS پیکربندی VPN را برای حسابی که مالک آن است بارگذاری می‌کند، اما رابط، مسیرهایش و هر سیاست سراسری سیستم که نصب می‌کند به ماشین تعلق دارند. اگر نیاز این است که فقط برنامه‌های یک نفر وارد شبکه سازمانی شوند، طراحی باید این را بر حسب برنامه‌ها و مقصدها بگوید، نه بر حسب اینکه چه کسی وارد شده است. در غیر این صورت حساب دوم هر چیزی را که کلاینت حساب اول جا گذاشته به ارث می‌برد.
رفتار مورد نیاز را در یک جمله بنویسید: ایمیل و دسترسی فایلی یک کاربر از تونل مدیریت‌شده پیروی می‌کند، مرور کاربر دیگر روی اتصال خانه می‌ماند، و هیچ‌یک از دو مسیر مسیر پیش‌فرض دیگری را به ارث نمی‌برد. آن جمله آزمون‌پذیر است؛ داستان تغییر ورود معمولاً نیست.
کانال پروفایل و دامنه ترافیک دو چیز متفاوت‌اند
Apple ترتیبات VPN مدیریت‌شده‌ای را پشتیبانی می‌کند که برای هر کاربر یا هر دستگاه تحویل داده می‌شوند، و یک راهنمای استقرار آن مدل‌ها را همراه با یکپارچه‌سازی وابسته به ارائه‌دهنده توصیف می‌کند. کانال تحویل می‌گوید چه کسی پیکربندی را دریافت می‌کند و مالک آن است. این کانال به‌خودی‌خود تعیین نمی‌کند کدام ترافیک گرفته می‌شود، چون پیاده‌سازی کلاینت و سیاست پیکربندی‌شده هنوز آن را تعیین می‌کنند.
جایی که یک حالت مستند کاربرآگاه یا برنامه‌آگاه بتواند نیاز را بیان کند، همان کوتاه‌ترین راه است. سپس برنامه‌ها و هویت‌های واقعی را بررسی کنید نه اینکه به نام‌ها اعتماد کنید: دو نسخه از یک برنامه دو مسیر شبکه متفاوت نیستند، و پروفایلی که یک برنامه را فهرست می‌کند تضمین نمی‌کند که فرایندهای کمکی آن پوشش داده شده‌اند.
سیستم مهمان یک مرز واقعی با محدودیت‌های واقعی است
ماشین مجازی یک سیستم‌عامل جداگانه با پشته شبکه خودش به شما می‌دهد، پس مهمان می‌تواند تونل خودش و برنامه‌های خودش را بدون دست زدن به مسیرهای میزبان اجرا کند. این جداسازی از یک حساب ورود دوم قوی‌تر است، و کار نگهداری بیشتری هم دارد. پیش از پیشنهاد آن تصمیم بگیرید آیا این هزینه مرزی را می‌خرد که واقعاً به آن نیاز دارید.
حالت شبکه مجازی هنوز نیاز به بازبینی دارد. اینکه مهمان پل‌شده، پشت NAT یا جدا باشد تعیین می‌کند به چه چیزی می‌رسد و چه چیزی به آن می‌رسد، و برنامه‌های میزبان تنها به این دلیل که مهمان تصادفاً متصل است به برنامه‌های مهمان تبدیل نمی‌شوند. سیاست مسدودسازی را هم بررسی کنید، وگرنه تونل افتاده مهمان به شکلی که هیچ‌کس قصدش را نداشت به مسیر میزبان برمی‌گردد.
پروکسی از حساب کاربری باریک‌تر است
یک برنامه میزبان می‌تواند به یک سرویس پروکسی واقعی برسد که در مهمان یا کانتینر تأییدشده اجرا می‌شود، و این ترافیکی را پوشش می‌دهد که برنامه واقعاً از طریق پروتکل پشتیبانی‌شده می‌فرستد. این همه فرایندهای متعلق به آن حساب Mac را پوشش نمی‌دهد، و ترافیکی را هم که برنامه بیرون از پروتکل پروکسی می‌فرستد پوشش نمی‌دهد.
یک هشدار دیگر در ماشین‌های مشترک: شنونده TCP متصل به loopback میزبان یک بررسی نام کاربری نیست. محدود کردن پروکسی به ماشین محلی آن را از شبکه دور نگه می‌دارد، اما یک کاربر محلی را بر دیگری که از قبل وارد شده مجاز نمی‌کند. اگر این تمایز مهم است، احراز هویت سرویس را صریح نگه دارید.
مرز را با دو آزمون ثابت کنید
هر دو مسیر را اجرا کنید و جداگانه مشاهده کنید. زیر حساب مورد نظر، برنامه‌ای را که به منبع خصوصی نیاز دارد باز کنید و تأیید کنید که به سرویس مدیریت‌شده می‌رسد؛ زیر حساب دیگر تأیید کنید که مرور عادی مسیر خانه را حفظ می‌کند. سپس تونل را عمداً قطع کنید و رفتار بازگشتی هر طرف را بررسی کنید، چون بیشتر طراحی‌ها همان‌جا بی‌صدا شکست می‌خورند. بررسی‌ها را در همان ساعت انجام دهید تا شبکه تغییرکرده مقایسه را آلوده نکند.
اگر کانتینر یا مهمان تونل را اجرا می‌کند، بررسی سوم را اضافه کنید: تأیید کنید که یک برنامه بومی Mac بیرون از آن هنوز همان‌گونه که طراحی شده رفتار می‌کند. ساده‌ترین ترتیبی را انتخاب کنید که دامنه‌اش را می‌توانید نشان دهید، و پیش از انجام آن آزمون‌ها ماشین‌های مجازی را همه‌جا ضروری یا تغییر حساب را همه‌جا کافی نخوانید.