Dva Mac korisnička računa ne dijele VPN promet

Dva korisnička računa na istom Macu izgledaju kao dva odvojena svijeta dok ne dođe mreža. Tunel pokrenut u jednoj sesiji ipak može promijeniti ono što druga sesija doživljava, ovisno o tome koji ga klijent posjeduje i koja politika dolazi s njim. Opišite razdvajanje koje vam treba prije nego što odaberete mehanizam za njegovo provođenje. Redoslijed je važan jer mehanizam odabran prvi ima sklonost predefinirati zahtjev oko sebe.

Tri pitanja obavljaju većinu posla: čije aplikacije trebaju koje privatne resurse, moraju li obje sesije biti aktivne istodobno i što te aplikacije smiju raditi kada njihov tunel nije dostupan.

Pođite od prometa, a ne od popisa računa

Prebacivanje računa granica je identiteta, a ne granica usmjeravanja. macOS učitava VPN konfiguraciju za račun koji ju posjeduje, ali sučelje, njegove rute i svaka sistemska politika koju instalira pripadaju stroju. Ako je zahtjev da samo aplikacije jedne osobe ulaze u korporativnu mrežu, dizajn to mora reći u smislu aplikacija i odredišta, a ne u smislu toga tko je prijavljen. Inače drugi račun nasljeđuje ono što je klijent prvoga ostavio.

Napišite traženo ponašanje u jednoj rečenici: pošta i pristup datotekama jednog korisnika prate upravljani tunel, pretraživanje drugog korisnika ostaje na kućnoj vezi i nijedna putanja ne nasljeđuje zadanu rutu one druge. Ta je rečenica provjerljiva; priča o prebacivanju prijave obično nije.

Kanal profila i opseg prometa različite su stvari

Apple podržava upravljane VPN aranžmane koji se isporučuju po korisniku ili po uređaju, a vodič za implementaciju opisuje te modele zajedno s integracijom koja ovisi o pružatelju. Kanal isporuke govori tko prima konfiguraciju i posjeduje ju. On sam po sebi ne definira koji se promet hvata jer implementacija klijenta i konfigurirana politika i dalje odlučuju o tome.

Gdje dokumentirani način rada svjestan korisnika ili aplikacije može izraziti zahtjev, to je najkraći put. Zatim provjerite stvarne aplikacije i identitete umjesto da vjerujete imenima: dvije kopije iste aplikacije nisu dva različita mrežna puta, a profil koji navodi aplikaciju ne jamči da su njezini pomoćni procesi pokriveni.

Gostujući sustav stvarna je granica sa stvarnim ograničenjima

Virtualni stroj daje vam odvojen operacijski sustav s vlastitim mrežnim stogom, pa gost može pokrenuti vlastiti tunel i vlastite aplikacije bez diranja ruta domaćina. To je jače razdvajanje od drugog korisničkog računa, a i više posla za održavanje. Odlučite kupuje li ta cijena granicu koja vam je doista potrebna prije nego što je predložite.

Način rada virtualne mreže i dalje treba pregled. Je li gost premošten, iza NAT-a ili izoliran određuje do čega može doći i što može doći do njega, a aplikacije domaćina ne postaju aplikacije gosta zato što je gost slučajno povezan. Provjerite i politiku blokiranja, inače će pali tunel gosta pasti natrag na putanju domaćina na način koji nitko nije namjeravao.

Proxy je uži od korisničkog računa

Jedna aplikacija domaćina može doći do stvarne proxy usluge koja radi u odobrenom gostu ili kontejneru, i to pokriva promet koji aplikacija doista šalje kroz podržani protokol. To ne pokriva svaki proces koji posjeduje taj Mac račun i ne pokriva promet koji aplikacija šalje izvan proxy protokola.

Još jedno upozorenje na dijeljenim strojevima: TCP slušač vezan za lokalnu povratnu petlju domaćina nije provjera korisničkog imena. Ograničavanje proxyja na lokalni stroj drži ga izvan mreže, ali ne ovlašćuje jednog lokalnog korisnika nad drugim koji je već prijavljen. Držite autentifikaciju usluge eksplicitnom ako je ta razlika važna.

Dokažite granicu s dva testa

Pokrenite oba puta i promatrajte ih odvojeno. Pod predviđenim računom otvorite aplikaciju kojoj treba privatni resurs i potvrdite da dolazi do upravljane usluge; pod drugim računom potvrdite da obično pretraživanje zadržava kućni put. Zatim namjerno prekinite tunel i provjerite ponašanje pri povratku za svaku stranu jer tu većina dizajna tiho pada. Radite provjere i u istom satu da promijenjena mreža ne zagadi usporedbu.

Ako kontejner ili gost pokreće tunel, dodajte treću provjeru: potvrdite da se izvorna Mac aplikacija izvan njega i dalje ponaša kako je projektirano. Odaberite najjednostavniji aranžman čiji opseg možete pokazati i ne nazivajte virtualne strojeve univerzalno nužnima, a prebacivanje računa univerzalno dovoljnim prije nego što provedete te testove.