Per-app-VPN of split tunnel? Wat in Mac-route beslisse kin

Twa applikaasjes iepenje ferbiningen nei deselde kantoartsjinner, en mar ien fan harren soe de tunnel brûke moatte. In route kin dy wins net útdrukke, om't routingtabellen op bestimmingen basearre binne en gjin begryp hawwe fan hokker proses de socket iepene hat. Wat minsken freegje en wat se nedich hawwe, binne faak ferskillende dingen. Skied de twa foardat jo hokker konfiguraasje dan ek feroarje.

De selektor is in bestimming, nea in proses

Elke routingbeslissing begjint mei in bestimmingsadres en einiget mei in ynterface. De kernel freget nea hokker programma it pakket stjoerd hat, en op macOS routet pf ek net neffens proses, dat in firewallregel kin ien applikaasje net op in oare wei sette. Dêrom nimt deselde tsjinner, berikt troch in browser en troch in rapportaazjeynstrumint, foar beide ien wei. Skieding op applikaasjenivo moat dêrom fan eat oars as in route komme: in VPN-plug-in dy't de socket besit, in proxy dy't de ferbining foar de applikaasje oernimt, of in aparte netwurkstack. Gjin fan dy is in routingferoaring.

Twa applikaasjes dy't mei ien adres prate, binne de skjinste test fan in ûntwerp. As it antwurd tusken har net ferskille kin, is it ûntwerp bestimmingsbasearre, hoe't it ek neamd wurdt.

Wat in gewoane split tunnel wier opleveret

In split tunnel ynstallearret routes foar de priveeprefiksen en lit al it oare op it fysike paad. Dat is meastentiids wat it fersyk bedoelt: de kantoartsjinner troch de tunnel berikke, iepenbier browsen direkt hâlde. It is ienfâldich, elke gewoane klient stipet it, en it wurdt ôftwongen troch itselde meganisme as elke oare route. Kontrolearje de spesifike bestimming mei route -n get ynstee fan de standertroute te lêzen, om't in split tunnel de standert faak gewurde lit.

De standertroute mei de hân bewurkje is gjin omskeakeling nei eat. It fjochtet tsjin it eigen routeherstel fan 'e klient en kin, yn klienten dy't in beskermingsbelied ynstallearje, de masine efterlitte yn in steat dy't noch jo noch de klient ferwachtet. Konfigurearje de split tunnel ynstee yn 'e stipe ynstellings fan 'e klient.

Wat per-app-VPN op macOS freget

Echte per-app-VPN op macOS is in Network Extension-funksje dy't troch in konfiguraasjeprofyl oandreaun wurdt. In behearlading keppele keazen applikaasjes oan in VPN-konfiguraasje, en it systeem liedt it ferkear fan dy applikaasjes dan dêrnei. It is in behearde útrulling, wat in MDM, in ûndertekene profyl en in behearder betsjut dy't beide besit.

De klient mei de hân ynstallearje makket dy keppeling net, en it gewoane ynstellingspaniel makket applikaasjes net apart kiesber. In leveransier kin syn eigen applikaasjeregels bleatlizze, en dy folgje syn dokumintaasje ynstee fan in algemiene regel.

Trije wegen nei skieding per applikaasje sûnder MDM

Wêr't behear net beskikber is, is in proxy it praktyske antwurd. Stel de eigen proxykonfiguraasje fan 'e applikaasje yn, of brûk in PAC-bestân dat allinnich foar dy applikaasje op bestimming en protokol selektearret.

In lokale proxy beëiniget de ferbining en makket har op 'e nij troch de tunnel, dat de applikaasje nea in route nedich hat. De twadde opsje is in aparte netwurkstack: in firtuele masine of container mei syn eigen standertroute, dy't de applikaasje oer in lokaal adres berikt. De tredde is bestimmingsbasearre routing te akseptearjen en de eask te litten falle, wat earlik is as beide applikaasjes de tunnel brûke meie. Alle trije binne testber, en gjin fan har docht as kent in route prosessen.

Skriuw it fersyk sa dat it antwurd ûndûbelsinnich is

Beskriuw de wurkwize ynstee fan it meganisme: hokker applikaasje hokker tsjinst nedich hat, oft in oare applikaasje fan dyselde tsjinst weihâlden wurde moat, en wat der barre moat wylst de tunnel del is. Dy trije antwurden kieze it ûntwerp. Se fertelle de behearder ek oft it fersyk in routingferoaring of in útrullingsprojekt is.

Nim it gefal fan 'e útsletten applikaasje eksplisyt op. In klient dy't in applikaasje stopet as syn beskerme paad net beskikber is, hâldt him oars as ien dy't it weromfalle lit nei de fysike ynterface, en brûkers merke dat ferskil daliks. Neam de ferwachting yn it ticket. Ferifiearje dan op 'e werklike masine, want itselde produkt hâldt him op macOS faak oars as op Windows, en syn macOS-dokumintaasje is de iennichste betroubere boarne foar wat syn ynstellings dogge.