VPN po aplikaciji ili split tunnel? Šta može odlučiti ruta na Macu

Dvije aplikacije otvaraju veze prema istom uredskom serveru, a samo jedna od njih bi trebalo da koristi tunel. Ruta ne može izraziti tu želju, jer su routing tabele zasnovane na odredištima i nemaju pojam o tome koji je proces otvorio socket. Ono što ljudi traže i ono što im treba često su različite stvari. Razdvojite to dvoje prije nego što promijenite bilo koju konfiguraciju.

Selektor je odredište, nikada proces

Svaka routing odluka počinje sa odredišnom adresom i završava se interfejsom. Kernel nikada ne pita koji je program poslao paket, a na macOS ni pf ne rutira po procesu, pa firewall pravilo ne može staviti jednu aplikaciju na drugi put. Zato isti server, bilo da mu pristupa preglednik ili alat za izvještavanje, koristi jedan put za oba. Razdvajanje na nivou aplikacije zato mora doći od nečega drugog osim rute: VPN dodatka koji posjeduje socket, proxyja koji preuzima vezu u ime aplikacije, ili odvojenog mrežnog stacka. Ništa od toga nije promjena rutiranja.

Dvije aplikacije koje razgovaraju sa jednom adresom najčišći su test dizajna. Ako se odgovor između njih ne može razlikovati, dizajn je zasnovan na odredištu, kako god se zvao.

Šta obični split tunnel zaista donosi

Split tunnel instalira rute za privatne prefikse i ostavlja sve ostalo na fizičkom putu. To je obično ono što zahtjev znači: doći do uredskog servera kroz tunel, javno pretraživanje zadržati direktno. Jednostavno je, svaki uobičajeni klijent ga podržava i provodi ga isti mehanizam kao i svaku drugu rutu. Provjerite konkretno odredište pomoću route -n get, umjesto da čitate zadanu rutu, jer split tunnel često ostavlja zadanu rutu netaknutom.

Ručno uređivanje zadane rute nije pretvaranje u bilo šta. Bori se protiv vlastitog vraćanja ruta klijenta i kod klijenata koji instaliraju zaštitnu politiku može ostaviti mašinu u stanju koje ne očekujete ni vi ni klijent. Umjesto toga konfigurirajte split tunnel u podržanim postavkama klijenta.

Šta zahtijeva VPN po aplikaciji na macOSu

Pravi VPN po aplikaciji na macOSu je Network Extension funkcija koju vodi konfiguracijski profil. Upravni teret povezuje odabrane aplikacije sa VPN konfiguracijom, a sistem zatim usmjerava saobraćaj tih aplikacija u skladu s tim. To je upravljano uvođenje, što znači MDM, potpisani profil i administratora koji posjeduje oboje.

Ručna instalacija klijenta ne stvara to povezivanje, a uobičajeni panel postavki ne čini aplikacije pojedinačno odabirivim. Dobavljač može izložiti vlastita pravila aplikacija i ona slijede njegovu dokumentaciju, a ne opšte pravilo.

Tri puta do razdvajanja po aplikaciji bez MDM-a

Gdje upravljanje nije dostupno, proxy je praktičan odgovor. Postavite vlastitu proxy konfiguraciju aplikacije ili koristite PAC datoteku koja bira po odredištu i protokolu samo za tu aplikaciju.

Lokalni proxy završava vezu i ponovo je pokreće kroz tunel, tako da aplikaciji nikada nije potrebna ruta. Druga opcija je odvojeni mrežni stack: virtualna mašina ili kontejner sa vlastitom zadanom rutom, do kojeg aplikacija dolazi preko lokalne adrese. Treća je prihvatiti rutiranje zasnovano na odredištu i odustati od zahtjeva, što je iskreno kada obje aplikacije smiju koristiti tunel. Sve tri se mogu testirati i nijedna ne pretvara da ruta poznaje procese.

Napišite zahtjev tako da odgovor bude nedvosmislen

Opišite tok rada, a ne mehanizam: kojoj aplikaciji treba koja usluga, treba li drugu aplikaciju držati podalje od iste usluge i šta bi trebalo da se dogodi dok je tunel isključen. Ta tri odgovora biraju dizajn. Ona također kažu administratoru da li je zahtjev promjena rutiranja ili projekt uvođenja.

Eksplicitno uključite slučaj izuzete aplikacije. Klijent koji zaustavi aplikaciju kada njen zaštićeni put nije dostupan ponaša se drugačije od onog koji joj dozvoli da se vrati na fizički interfejs, a korisnici tu razliku odmah primijete. Imenujte očekivanje u tiketu. Zatim provjerite na stvarnoj mašini, jer se isti proizvod na macOSu često ponaša drugačije nego na Windowsu, a njegova macOS dokumentacija jedini je pouzdan izvor o tome šta njegove postavke rade.