Kaksi Mac-kirjautumistiliä eivät jaa VPN-liikennettä

Kaksi kirjautumistiliä samalla Macilla näyttävät kahdelta erilliseltä maailmalta, kunnes verkko saapuu. Yhdessä istunnossa aloitettu tunneli voi silti muuttaa sitä, mitä toinen istunto kokee, riippuen siitä, mikä asiakas sen omistaa ja mikä käytäntö tulee mukana. Kuvaile tarvitsemasi erottelu ennen kuin valitset mekanismin sen toteuttamiseen. Järjestyksellä on väliä, koska ensin valittu mekanismi tapaa määritellä vaatimuksen uudelleen itsensä ympärille.

Kolme kysymystä tekee suurimman osan työstä: kenen sovellukset tarvitsevat mitä yksityisiä resursseja, onko molempien istuntojen oltava aktiivisia samanaikaisesti ja mitä näille sovelluksille on sallittua, kun niiden tunneli ei ole käytettävissä.

Aloita liikenteestä, ei tililuettelosta

Tilin vaihtaminen on identiteetin raja, ei reitityksen raja. macOS lataa VPN-määrityksen tilille, joka sen omistaa, mutta liitäntä, sen reitit ja kaikki sen asentamat järjestelmätason käytännöt kuuluvat koneelle. Jos vaatimus on, että vain yhden henkilön sovellukset pääsevät yritysverkkoon, suunnittelun on sanottava se sovellusten ja kohteiden kannalta, ei sen kannalta, kuka on kirjautuneena. Muuten toinen tili perii sen, minkä ensimmäisen asiakas jätti jälkeensä.

Kirjoita vaadittu käyttäytyminen yhteen lauseeseen: yhden käyttäjän sähköposti ja tiedostopääsy seuraavat hallittua tunnelia, toisen käyttäjän selailu pysyy kotiyhteydellä, eikä kumpikaan polku peri toisen oletusreittiä. Tuo lause on testattavissa; tarina kirjautumisen vaihtamisesta ei yleensä ole.

Profiilikanava ja liikenteen laajuus ovat eri asioita

Apple tukee hallittuja VPN-järjestelyjä, jotka toimitetaan käyttäjä- tai laitekohtaisesti, ja käyttöönotto-opas kuvaa nämä mallit yhdessä palveluntarjoajasta riippuvan integraation kanssa. Toimituskanava kertoo, kuka määrityksen saa ja omistaa. Se ei itsessään määrittele, mikä liikenne siepataan, koska asiakkaan toteutus ja määritetty käytäntö päättävät siitä edelleen.

Kun dokumentoitu käyttäjä- tai sovellustietoinen tila voi ilmaista vaatimuksen, se on lyhin polku. Tarkista sitten todelliset sovellukset ja identiteetit sen sijaan, että luottaisit nimiin: saman sovelluksen kaksi kopiota ei ole kaksi eri verkkopolkua, eikä profiili, joka luettelee sovelluksen, takaa, että sen apuprosessit on katettu.

Vierasjärjestelmä on todellinen raja todellisine rajoituksineen

Virtuaalikone antaa sinulle erillisen käyttöjärjestelmän, jolla on oma verkkopinonsa, joten vieras voi ajaa oman tunnelinsa ja omat sovelluksensa koskematta isännän reitteihin. Se on vahvempi erottelu kuin toinen kirjautumistili, ja se on myös enemmän ylläpitotyötä. Päätä, ostanko tämä hinta rajan, jonka todella tarvitset, ennen kuin esität sitä.

Virtuaaliverkon tila vaatii silti tarkastelua. Onko vieras sillattu, NATin takana vai eristetty, määrittää, mitä se voi tavoittaa ja mikä voi tavoittaa sen, eikä isännän sovelluksista tule vieraan sovelluksia siksi, että vieras sattuu olemaan yhteydessä. Tarkista myös estokäytäntö, tai kaatunut vieraan tunneli palaa isännän polulle tavalla, jota kukaan ei tarkoittanut.

Välityspalvelin on kapeampi kuin käyttäjätili

Yksi isännän sovellus voi tavoittaa todellisen välityspalvelun, joka toimii hyväksytyssä vieraassa tai kontissa, ja se kattaa liikenteen, jonka sovellus todella lähettää tuetun protokollan kautta. Se ei kata jokaista prosessia, jonka kyseinen Mac-tili omistaa, eikä liikennettä, jonka sovellus lähettää välityspalvelinprotokollan ulkopuolella.

Vielä yksi varoitus jaetuilla koneilla: isännän loopbackiin sidottu TCP-kuuntelija ei ole käyttäjänimen tarkistus. Välityspalvelimen rajaaminen paikalliseen koneeseen pitää sen poissa verkosta, mutta se ei valtuuta yhtä paikallista käyttäjää toisen, jo kirjautuneen, yli. Pidä palvelun todennus nimenomaisena, jos tämä ero on tärkeä.

Todista raja kahdella testillä

Aja molemmat polut ja tarkkaile niitä erikseen. Avaa aiotulla tilillä sovellus, joka tarvitsee yksityisen resurssin, ja varmista, että se tavoittaa hallitun palvelun; varmista toisella tilillä, että tavallinen selailu säilyttää kotipolun. Katkaise sitten tunneli tarkoituksella ja tarkista varakäyttäytyminen kummallakin puolella, koska siinä useimmat suunnitelmat epäonnistuvat hiljaa. Tee tarkistukset myös saman tunnin aikana, jotta muuttunut verkko ei saastuta vertailua.

Jos kontti tai vieras ajaa tunnelia, lisää kolmas tarkistus: varmista, että sen ulkopuolinen natiivi Mac-sovellus käyttäytyy edelleen suunnitellusti. Valitse yksinkertaisin järjestely, jonka laajuuden voit osoittaa, äläkä nimeä virtuaalikoneita yleisesti välttämättömiksi tai tilin vaihtamista yleisesti riittäväksi ennen näiden testien tekemistä.