एक ही Mac पर दो लॉगिन खाते VPN ट्रैफ़िक को नहीं बाँटते

एक ही Mac पर दो लॉगिन खाते नेटवर्क आने तक दो अलग दुनियाओं जैसे लगते हैं। एक सत्र में शुरू की गई सुरंग अब भी दूसरे सत्र के अनुभव को बदल सकती है, यह इस पर निर्भर करता है कि कौन-सा क्लाइंट उसका मालिक है और उसके साथ कौन-सी नीति आती है। इसे लागू करने के लिए कोई तंत्र चुनने से पहले वह अलगाव लिखें जिसकी आपको ज़रूरत है। क्रम मायने रखता है, क्योंकि पहले चुना गया तंत्र ज़रूरत को अपने चारों ओर फिर से परिभाषित करने लगता है।

तीन सवाल ज़्यादातर काम करते हैं: किसके ऐप्स को कौन-से निजी संसाधन चाहिए, क्या दोनों सत्र एक साथ सक्रिय होने चाहिए, और जब उनकी सुरंग उपलब्ध न हो तो उन ऐप्स को क्या करने की अनुमति है।

खातों की सूची से नहीं, ट्रैफ़िक से शुरू करें

खाता बदलना पहचान की सीमा है, रूटिंग की सीमा नहीं। macOS VPN कॉन्फ़िगरेशन उस खाते के लिए लोड करता है जो उसका मालिक है, लेकिन इंटरफ़ेस, उसके रूट और वह स्थापित करने वाली कोई भी सिस्टम-व्यापी नीति मशीन की होती है। अगर ज़रूरत यह है कि सिर्फ़ एक व्यक्ति के ऐप्स कॉर्पोरेट नेटवर्क में जाएँ, तो डिज़ाइन को यह ऐप्स और गंतव्यों के हिसाब से कहना चाहिए, इस हिसाब से नहीं कि कौन लॉग इन है। वरना दूसरा खाता वह विरासत में ले लेता है जो पहले के क्लाइंट ने छोड़ा था।

ज़रूरी व्यवहार एक वाक्य में लिखें: एक उपयोगकर्ता का मेल और फ़ाइल पहुँच प्रबंधित सुरंग का पालन करती है, दूसरे उपयोगकर्ता की ब्राउज़िंग घरेलू कनेक्शन पर रहती है, और दोनों में से कोई रास्ता दूसरे का डिफ़ॉल्ट रूट विरासत में नहीं लेता। वह वाक्य परखने योग्य है; लॉगिन बदलने की कहानी आमतौर पर नहीं।

प्रोफ़ाइल चैनल और ट्रैफ़िक का दायरा अलग चीज़ें हैं

Apple प्रति उपयोगकर्ता या प्रति डिवाइस दिए जाने वाले प्रबंधित VPN इंतज़ामों का समर्थन करता है, और एक परिनियोजन गाइड उन मॉडलों को प्रदाता-निर्भर एकीकरण के साथ बताता है। डिलीवरी चैनल बताता है कि कॉन्फ़िगरेशन कौन पाता है और उसका मालिक कौन है। यह अपने आप तय नहीं करता कि कौन-सा ट्रैफ़िक पकड़ा जाता है, क्योंकि क्लाइंट का कार्यान्वयन और तय की गई नीति अब भी यह तय करते हैं।

जहाँ कोई प्रलेखित उपयोगकर्ता-जागरूक या ऐप-जागरूक मोड ज़रूरत व्यक्त कर सकता है, वही सबसे छोटा रास्ता है। फिर नामों पर भरोसा करने के बजाय असली ऐप्स और पहचान जाँचें: एक ही ऐप की दो कॉपियाँ दो अलग नेटवर्क रास्ते नहीं हैं, और किसी ऐप को सूचीबद्ध करने वाली प्रोफ़ाइल यह गारंटी नहीं देती कि उसकी सहायक प्रक्रियाएँ भी शामिल हैं।

अतिथि सिस्टम असली सीमाओं वाली असली सीमा है

वर्चुअल मशीन आपको अपने नेटवर्क स्टैक वाला अलग ऑपरेटिंग सिस्टम देती है, इसलिए अतिथि मेज़बान के रूट को छुए बिना अपनी सुरंग और अपने ऐप्स चला सकता है। यह दूसरे लॉगिन खाते से ज़्यादा मज़बूत अलगाव है, और रखरखाव में भी ज़्यादा काम है। इसे प्रस्तावित करने से पहले तय करें कि यह लागत वह सीमा खरीदती है या नहीं जिसकी आपको सचमुच ज़रूरत है।

वर्चुअल नेटवर्क मोड को अब भी समीक्षा चाहिए। अतिथि ब्रिज है, NAT के पीछे है या अलग है, यह तय करता है कि वह क्या पहुँच सकता है और उस तक क्या पहुँच सकता है, और मेज़बान के ऐप्स अतिथि के ऐप्स नहीं बन जाते क्योंकि अतिथि संयोग से जुड़ा है। ब्लॉकिंग नीति भी देखें, वरना गिरी हुई अतिथि सुरंग ऐसे तरीके से मेज़बान के रास्ते पर लौट आएगी जो किसी ने नहीं चाहा था।

प्रॉक्सी उपयोगकर्ता खाते से संकरा है

मेज़बान का एक ऐप किसी स्वीकृत अतिथि या कंटेनर में चल रही असली प्रॉक्सी सेवा तक पहुँच सकता है, और यह उस ट्रैफ़िक को कवर करता है जो ऐप समर्थित प्रोटोकॉल से सचमुच भेजता है। यह उस Mac खाते के स्वामित्व वाली हर प्रक्रिया को कवर नहीं करता, और ऐप प्रॉक्सी प्रोटोकॉल से बाहर जो ट्रैफ़िक भेजता है उसे भी कवर नहीं करता।

साझा मशीनों पर एक और सावधानी: मेज़बान के लूपबैक से बँधा TCP श्रोता उपयोगकर्ता नाम की जाँच नहीं है। प्रॉक्सी को स्थानीय मशीन तक सीमित रखना उसे नेटवर्क से दूर रखता है, लेकिन पहले से लॉग इन किसी स्थानीय उपयोगकर्ता के ऊपर दूसरे को अधिकृत नहीं करता। अगर यह अंतर मायने रखता है तो सेवा का प्रमाणीकरण स्पष्ट रखें।

दो परीक्षणों से सीमा साबित करें

दोनों रास्ते चलाएँ और उन्हें अलग-अलग देखें। इच्छित खाते के अंतर्गत, वह ऐप खोलें जिसे निजी संसाधन चाहिए और पुष्टि करें कि वह प्रबंधित सेवा तक पहुँचता है; दूसरे खाते के अंतर्गत पुष्टि करें कि सामान्य ब्राउज़िंग घरेलू रास्ता बनाए रखती है। फिर जानबूझकर सुरंग तोड़ें और हर तरफ़ का फ़ॉलबैक व्यवहार जाँचें, क्योंकि ज़्यादातर डिज़ाइन ठीक वहीं चुपचाप विफल होते हैं। जाँचें एक ही घंटे में करें, ताकि बदला हुआ नेटवर्क तुलना को दूषित न करे।

अगर कंटेनर या अतिथि सुरंग चलाता है, तो तीसरी जाँच जोड़ें: पुष्टि करें कि उसके बाहर का मूल Mac ऐप अब भी डिज़ाइन के मुताबिक़ व्यवहार करता है। वह सबसे सरल व्यवस्था चुनें जिसका दायरा आप दिखा सकें, और इन परीक्षणों को करने से पहले वर्चुअल मशीनों को सार्वभौमिक रूप से ज़रूरी या खाता बदलने को सार्वभौमिक रूप से पर्याप्त न कहें।