Twa Mac-ynlogkonten diele gjin VPN-ferkear

Twa ynlogkonten op deselde Mac lykje op twa aparte wrâlden oant it netwurk komt. In tunnel dy't yn ien sesje start is, kin noch altyd feroarje wat de oare sesje belibbet, ôfhinklik fan hokker klant him hat en hokker belied der mei komt. Beskriuw de skieding dy't jo nedich hawwe foardat jo in meganisme kieze om dy op te lizzen. De folchoarder is fan belang, want in meganisme dat earst keazen wurdt, hat de neiging de eask om himsels hinne op 'e nij te definiearjen.

Trije fragen dogge it measte wurk: hokker applikaasjes fan wa hokker partikuliere boarnen nedich hawwe, oft beide sesjes tagelyk aktyf wêze moatte en wat dy applikaasjes dwaan meie as har tunnel net beskikber is.

Begjin by it ferkear, net by de kontolist

Kontoferoaring is in identiteitsgrins, net in routinggrins. macOS laadt in VPN-konfiguraasje foar it konto dat him hat, mar de ynterface, syn rûtes en elk systeembreed belied dat er ynstallearret hearre by de masine. As de eask is dat allinnich de applikaasjes fan ien persoan it bedriuwsnetwurk yn komme, moat it ûntwerp dat sizze yn termen fan applikaasjes en bestimmingen, net yn termen fan wa't oanmeld is. Oars erft it twadde konto wat de klant fan it earste efterlitten hat.

Skriuw it easke gedrach yn ien sin: de mail en bestânstoegong fan ien brûker folgje de behearde tunnel, it browsen fan de oare brûker bliuwt op 'e thúsferbining, en gjin fan beide paden erft de standertrûte fan 'e oare. Dy sin is testber; in ferhaal oer oanmeldingswikseljen is dat meastentiids net.

Profylkanaal en ferkearsomfang binne ferskillende dingen

Apple stipet behearde VPN-regelingen dy't per brûker of per apparaat levere wurde, en in ynsetgids beskriuwt dy modellen tegearre mei yntegraasje dy't fan 'e provider ôfhinklik is. It leveringskanaal seit wa't de konfiguraasje krijt en hat. It bepaalt op himsels net hokker ferkear fongen wurdt, want de útfiering fan 'e klant en it konfigurearre belied beslisse dat noch altyd.

Wêr't in dokumintearre brûker- of applikaasjebewuste modus de eask útdrukke kin, is dat it koartste paad. Kontrolearje dan de werklike applikaasjes en identiteiten ynstee fan namen te fertrouwen: twa kopyen fan deselde applikaasje binne net twa ferskillende netwurkpaden, en in profyl dat in applikaasje listet, garandearret net dat syn helpprosessen dutsen binne.

In gastsysteem is in echte grins mei echte beheiningen

In firtuele masine jout jo in apart bestjoeringssysteem mei syn eigen netwurksteapel, sadat in gast syn eigen tunnel en syn eigen applikaasjes rinne litte kin sûnder de rûtes fan 'e host oan te reitsjen. Dat is in sterker skieding as in twadde oanmeldkonto, en it is ek mear ûnderhâldswurk. Beslis oft dy kosten in grins keapje dy't jo echt nedich hawwe foardat jo it foarstelle.

De modus fan it firtuele netwurk moat noch altyd besjoen wurde. Oft de gast brêge, efter NAT of isolearre is, bepaalt wat er berikke kin en wat him berikke kin, en hostapplikaasjes wurde gjin gastsapplikaasjes om't de gast tafallich ferbûn is. Kontrolearje ek it blokkearbelied, oars falt in fallen gasttunnel werom op it paad fan 'e host op in manier dy't nimmen bedoeld hie.

In proxy is smeller as in brûkerskonto

Ien hostapplikaasje kin in echte proxystsjinst berikke dy't yn in goedkarde gast of kontener rint, en dat dut it ferkear dat de applikaasje eins troch it stipe protokol stjoert. It dut net elk proses dat troch dat Mac-konto besit wurdt, en it dut net ferkear dat de applikaasje bûten it proxyprotokol stjoert.

Noch in warskôging op dielde masines: in TCP-harker bûn oan 'e loopback fan 'e host is gjin brûkersnamkontrôle. In proxy beheine ta de lokale masine hâldt him fan it netwurk ôf, mar it jout ien lokale brûker gjin foech oer in oare dy't al oanmeld is. Hâld de autentikaasje fan 'e tsjinst eksplisyt as dat ferskil fan belang is.

Bewiis de grins mei twa tests

Rin beide paden en observearje se apart. Under it bedoelde konto iepenje de applikaasje dy't de partikuliere boarne nedich hat en befêstigje dat er de behearde tsjinst berikt; under it oare konto befêstigje dat gewoan browsen it thúspaad hâldt. Brûk dan de tunnel opsetlik en kontrolearje it fallback-gedrach foar elke kant, want dêr mislearje de measte ûntwerpen stil. Doch de kontrôles ek yn itselde oere, sadat in feroare netwurk de ferliking net fersmoarget.

As in kontener of gast de tunnel rint, foegje in tredde kontrôle ta: befêstigje dat in native Mac-applikaasje bûten him noch altyd gedraacht sa't er ûntwurpen is. Kies de ienfâldichste regeling waans omfang jo demonstrearje kinne, en neam firtuele masines net algemien needsaaklik of kontoferoaring net algemien genôch foardat jo dy tests dogge.