Két Mac-bejelentkezési fiók nem osztja meg a VPN-forgalmat

Két bejelentkezési fiók ugyanazon a Macen két külön világnak tűnik, amíg meg nem érkezik a hálózat. Az egyik munkamenetben indított alagút mégis megváltoztathatja, amit a másik munkamenet tapasztal, attól függően, melyik kliens birtokolja, és milyen szabályzat tartozik hozzá. Írja le a szükséges elkülönítést, mielőtt mechanizmust választana a kikényszerítésére. A sorrend számít, mert az elsőként választott mechanizmus hajlamos a követelményt önmaga körül újradefiniálni.

Három kérdés végzi a munka nagy részét: kinek az alkalmazásai mely privát erőforrásokat igénylik, mindkét munkamenetnek egyszerre aktívnak kell-e lennie, és mit tehetnek ezek az alkalmazások, amikor az alagútjuk nem elérhető.

A forgalomból induljon ki, ne a fióklistából

A fiókváltás identitáshatár, nem útvonalválasztási határ. A macOS betölti a VPN-konfigurációt a fiókhoz, amely birtokolja, de a felület, annak útvonalai és minden rendszerszintű szabályzat, amelyet telepít, a géphez tartozik. Ha a követelmény az, hogy csak egy személy alkalmazásai lépjenek be a vállalati hálózatra, a tervnek ezt alkalmazások és célok szerint kell kimondania, nem aszerint, ki van bejelentkezve. Ellenkező esetben a második fiók örökli, amit az első kliense hátrahagyott.

Írja le a kívánt viselkedést egy mondatban: az egyik felhasználó levelezése és fájlhozzáférése a felügyelt alagutat követi, a másik felhasználó böngészése az otthoni kapcsolaton marad, és egyik útvonal sem örökli a másik alapértelmezett útvonalát. Ez a mondat tesztelhető; a bejelentkezésváltásról szóló történet általában nem az.

A profilcsatorna és a forgalom hatóköre két különböző dolog

Az Apple támogatja a felhasználónként vagy eszközönként szállított felügyelt VPN-elrendezéseket, és egy telepítési útmutató leírja ezeket a modelleket a szolgáltatótól függő integrációval együtt. A szállítási csatorna megmondja, ki kapja meg a konfigurációt és ki birtokolja. Önmagában nem határozza meg, mely forgalmat rögzíti, mert a kliens megvalósítása és a beállított szabályzat továbbra is erről dönt.

Ahol egy dokumentált felhasználó- vagy alkalmazástudatos mód ki tudja fejezni a követelményt, az a legrövidebb út. Utána ellenőrizze a tényleges alkalmazásokat és identitásokat ahelyett, hogy a nevekben bízna: ugyanazon alkalmazás két példánya nem két különböző hálózati útvonal, és egy alkalmazást felsoroló profil nem garantálja, hogy a segédfolyamatai is le vannak fedve.

A vendégrendszer valódi határ valódi korlátokkal

A virtuális gép külön operációs rendszert ad saját hálózati veremmel, így a vendég saját alagutat és saját alkalmazásokat futtathat anélkül, hogy hozzányúlna a gazdagép útvonalaihoz. Ez erősebb elkülönítés, mint egy második bejelentkezési fiók, és több karbantartási munkával is jár. Döntse el, hogy ez a költség olyan határt vásárol-e, amelyre valóban szüksége van, mielőtt javasolja.

A virtuális hálózat módját továbbra is át kell vizsgálni. Hogy a vendég áthidalt, NAT mögötti vagy elkülönített, meghatározza, mit érhet el, és mi érheti el őt, és a gazdagép alkalmazásai nem válnak vendégalkalmazásokká attól, hogy a vendég véletlenül csatlakozik. Ellenőrizze a blokkolási szabályzatot is, különben egy kiesett vendégalagút olyan módon esik vissza a gazdagép útvonalára, ahogy senki nem szándékozott.

A proxy szűkebb, mint egy felhasználói fiók

Egy gazdagép-alkalmazás elérhet egy valódi proxyszolgáltatást, amely egy jóváhagyott vendégben vagy konténerben fut, és ez lefedi azt a forgalmat, amelyet az alkalmazás ténylegesen a támogatott protokollon keresztül küld. Nem fedi le az adott Mac-fiók tulajdonában lévő összes folyamatot, és nem fedi le azt a forgalmat sem, amelyet az alkalmazás a proxyprotokollon kívül küld.

Még egy óvatosság megosztott gépeken: a gazdagép loopbackjéhez kötött TCP-figyelő nem felhasználónév-ellenőrzés. A proxy helyi gépre korlátozása távol tartja a hálózattól, de nem jogosít fel egy helyi felhasználót egy másikkal szemben, aki már bejelentkezett. Tartsa a szolgáltatás hitelesítését kifejezettnek, ha ez a megkülönböztetés számít.

Bizonyítsa a határt két teszttel

Futtassa mindkét útvonalat, és figyelje meg őket külön. A szándékolt fiók alatt nyissa meg az alkalmazást, amelynek szüksége van a privát erőforrásra, és erősítse meg, hogy eléri a felügyelt szolgáltatást; a másik fiók alatt erősítse meg, hogy a szokásos böngészés megtartja az otthoni útvonalat. Ezután szándékosan törje meg az alagutat, és ellenőrizze a visszaesési viselkedést mindkét oldalon, mert ott buknak el csendben a legtöbb tervek. Az ellenőrzéseket ugyanabban az órában végezze, hogy a megváltozott hálózat ne szennyezze az összehasonlítást.

Ha konténer vagy vendég futtatja az alagutat, adjon hozzá harmadik ellenőrzést: erősítse meg, hogy egy azon kívüli natív Mac-alkalmazás továbbra is a tervezett módon viselkedik. Válassza a legegyszerűbb elrendezést, amelynek hatókörét be tudja mutatni, és ne nevezze a virtuális gépeket egyetemesen szükségesnek, sem a fiókváltást egyetemesen elegendőnek, mielőtt ezeket a teszteket elvégzi.