VPN por aplicación ou split tunneling? Que pode decidir unha ruta do Mac

Dúas aplicacións abren conexións ao mesmo servidor de oficina, e só unha delas debería usar o túnel. Unha ruta non pode expresar ese desexo, porque as táboas de encamiñamento baséanse en destinos e non teñen noción de que proceso abriu o socket. O que a xente pide e o que necesita adoitan ser cousas distintas. Separe as dúas antes de cambiar calquera configuración.

O selector é un destino, nunca un proceso

Toda decisión de encamiñamento comeza nun enderezo de destino e remata nunha interface. O núcleo nunca pregunta que binario enviou o paquete, e en macOS pf tampouco encamiña por proceso, así que unha regra de cortafogos non pode pór unha aplicación noutro camiño. É por iso que o mesmo servidor, alcanzado desde un navegador e desde unha ferramenta de informes, toma un só camiño para ambos. A separación a nivel de aplicación ten que vir, por tanto, de algo distinto dunha ruta: un complemento de VPN que posúe o socket, un proxy que toma a conexión en nome da aplicación ou unha pila de rede separada. Nada diso é un cambio de encamiñamento.

Dúas aplicacións que falan cunha mesma dirección son a proba máis limpa dun deseño. Se a resposta non pode diferir entre elas, o deseño baséase no destino, chámese como se chame.

Que achega de verdade un split tunneling corrente

Un split tunnel instala rutas para os prefixos privados e deixa todo o demais no camiño físico. Iso é normalmente o que significa a petición: chegar ao servidor de oficina polo túnel e manter a navegación pública directa. É sinxelo, todos os clientes habituais admíteno e impono o mesmo mecanismo que calquera outra ruta. Comprobe o destino concreto con route -n get en lugar de ler a ruta predeterminada, porque un split tunnel adoita deixala intacta.

Editar a ruta predeterminada á man non é unha conversión a nada. Loita contra a propia restauración de rutas do cliente e, en clientes que instalan unha política de protección, pode deixar a máquina nun estado que nin vostede nin o cliente esperan. Configure o split tunnel nos axustes compatibles do cliente.

Que esixe unha VPN por aplicación en macOS

Unha VPN por aplicación real en macOS é unha función de Network Extension guiada por un perfil de configuración. Unha carga de xestión asigna aplicacións escollidas a unha configuración de VPN, e o sistema encamiña despois o tráfico desas aplicacións en consecuencia. É un despregamento xestionado, o que implica un MDM, un perfil asinado e un administrador que posúa ambos.

Instalar o cliente á man non crea esa asignación, e o panel de axustes corrente non fai que as aplicacións se poidan seleccionar individualmente. Un provedor pode expor as súas propias regras de aplicación, e esas seguen a súa documentación en lugar dunha regra xeral.

Tres vías para separar por aplicación sen MDM

Onde non hai xestión dispoñible, un proxy é a resposta práctica. Defina a configuración de proxy da propia aplicación ou use un ficheiro PAC que seleccione por destino e protocolo só para esa aplicación.

Un proxy local remata a conexión e reemítea polo túnel, de xeito que a aplicación nunca precisa unha ruta. A segunda opción é unha pila de rede separada: unha máquina virtual ou un contedor coa súa propia ruta predeterminada, que a aplicación alcanza por un enderezo local. A terceira é aceptar o encamiñamento por destino e abandonar o requisito, o que é honesto cando ambas as aplicacións poden usar o túnel. As tres son comprobables, e ningunha finxe que unha ruta coñeza os procesos.

Redacte a petición para que a resposta non admita dúbidas

Describa o fluxo de traballo en lugar do mecanismo: que aplicación precisa que servizo, se outra aplicación debe manterse lonxe dese mesmo servizo e que debe ocorrer mentres o túnel está caído. Esas tres respostas escollen o deseño. Tamén lle din ao administrador se a petición é un cambio de encamiñamento ou un proxecto de despregamento.

Inclúa explicitamente o caso da aplicación excluída. Un cliente que detén unha aplicación cando o seu camiño protexido non está dispoñible compórtase de xeito distinto dun que a deixa caer na interface física, e os usuarios notan esa diferenza de inmediato. Nomee a expectativa no ticket. Despois verifique na máquina real, porque o mesmo produto adoita comportarse de xeito distinto en macOS e en Windows, e a súa documentación de macOS é a única fonte fiable sobre o que fan os seus axustes.