Sovelluskohtainen VPN vai split tunnel? Mitä Mac-reitti voi päättää

Kaksi sovellusta avaa yhteydet samaan toimistopalvelimeen, ja vain toisen niistä pitäisi käyttää tunnelia. Reitti ei voi ilmaista tätä toivetta, koska reititystaulut perustuvat kohteisiin eikä niillä ole käsitystä siitä, mikä prosessi avasi pistokkeen. Se, mitä ihmiset pyytävät, ja se, mitä he tarvitsevat, ovat usein eri asioita. Erottele nämä kaksi ennen kuin muutat mitään asetuksia.

Valitsin on kohde, ei koskaan prosessi

Jokainen reitityspäätös alkaa kohdeosoitteesta ja päättyy liitäntään. Ydin ei koskaan kysy, mikä ohjelma paketin lähetti, eikä macOSissa myöskään pf reititä prosessin mukaan, joten palomuurisääntö ei voi laittaa yhtä sovellusta toiselle polulle. Siksi sama palvelin, tavoitettiinpa se selaimella tai raportointityökalulla, kulkee molemmille yhtä polkua. Sovellustason erottelun on siksi tultava muusta kuin reitistä: VPN-laajennus, joka omistaa pistokkeen, välityspalvelin, joka ottaa yhteyden sovelluksen puolesta, tai erillinen verkkopino. Mikään näistä ei ole reittimuutos.

Kaksi sovellusta, jotka puhuvat yhdelle osoitteelle, on suunnittelun puhtain testi. Jos vastaus ei voi erota niiden välillä, suunnittelu on kohdeperusteinen, miksi sitä sitten kutsutaankin.

Mitä tavallinen split tunnel todella antaa

Split tunnel asentaa reitit yksityisille etuliitteille ja jättää kaiken muun fyysiselle polulle. Yleensä juuri sitä pyyntö tarkoittaa: toimistopalvelimelle tunnelin kautta, julkinen selailu suorana. Se on yksinkertainen, jokainen yleinen asiakasohjelma tukee sitä, ja se toteutetaan samalla mekanismilla kuin mikä tahansa muu reitti. Tarkista tietty kohde komennolla route -n get sen sijaan, että lukisit oletusreittiä, koska split tunnel jättää oletusreitin usein ennalleen.

Oletusreitin muokkaaminen käsin ei ole mihinkään siirtymistä. Se taistelee asiakasohjelman omaa reittien palautusta vastaan ja voi asiakasohjelmissa, jotka asentavat suojakäytännön, jättää koneen tilaan, jota et sinä eikä asiakasohjelma odota. Määritä split tunnel sen sijaan asiakasohjelman tuetuissa asetuksissa.

Mitä sovelluskohtainen VPN macOSissa vaatii

Todellinen sovelluskohtainen VPN macOSissa on Network Extension -ominaisuus, jota ohjaa asetusten profiili. Hallintapaketti yhdistää valitut sovellukset VPN-asetukseen, ja järjestelmä reitittää näiden sovellusten liikenteen sen mukaisesti. Kyse on hallitusta käyttöönotosta, mikä tarkoittaa MDM:ää, allekirjoitettua profiilia ja ylläpitäjää, joka omistaa molemmat.

Asiakasohjelman asentaminen käsin ei luo tuota yhdistämistä, eikä tavallinen asetuspaneeli tee sovelluksista yksittäin valittavia. Toimittaja voi tarjota omat sovellussääntönsä, ja ne noudattavat toimittajan dokumentaatiota eivätkä yleistä sääntöä.

Kolme tapaa erotella sovellukset ilman MDM:ää

Kun hallintaa ei ole saatavilla, välityspalvelin on käytännön vastaus. Aseta sovelluksen oma välityspalvelinasetus tai käytä PAC-tiedostoa, joka valitsee kohteen ja protokollan mukaan vain kyseiselle sovellukselle.

Paikallinen välityspalvelin päättää yhteyden ja avaa sen uudelleen tunnelin kautta, joten sovellus ei koskaan tarvitse reittiä. Toinen vaihtoehto on erillinen verkkopino: virtuaalikone tai säiliö, jolla on oma oletusreittinsä ja jonka sovellus tavoittaa paikallisen osoitteen kautta. Kolmas on hyväksyä kohdeperusteinen reititys ja luopua vaatimuksesta, mikä on rehellistä, kun molemmat sovellukset saavat käyttää tunnelia. Kaikki kolme ovat testattavissa, eikä mikään niistä teeskentele, että reitti tuntisi prosessit.

Kirjoita pyyntö niin, että vastaus on yksiselitteinen

Kuvaa työnkulku mekanismin sijaan: mikä sovellus tarvitsee mitä palvelua, pitääkö toinen sovellus pitää poissa samasta palvelusta ja mitä pitäisi tapahtua, kun tunneli on alhaalla. Nämä kolme vastausta valitsevat suunnittelun. Ne kertovat myös ylläpitäjälle, onko pyyntö reittimuutos vai käyttöönottoprojekti.

Sisällytä poissuljetun sovelluksen tapaus nimenomaisesti. Asiakasohjelma, joka pysäyttää sovelluksen, kun sen suojattu polku ei ole saatavilla, käyttäytyy eri tavalla kuin se, joka antaa sen pudota takaisin fyysiselle liitännälle, ja käyttäjät huomaavat eron heti. Nimeä odotus tikettiin. Tarkista sitten todellisella koneella, sillä sama tuote käyttäytyy macOSissa usein eri tavalla kuin Windowsissa, ja sen macOS-dokumentaatio on ainoa luotettava lähde siitä, mitä sen asetukset tekevät.