Alkalmazásonkénti VPN vagy split tunnel? Mit dönthet el egy Mac-útvonal

Két alkalmazás nyit kapcsolatot ugyanahhoz az irodai kiszolgálóhoz, és csak az egyiküknek kellene használnia az alagutat. Egy útvonal nem tudja kifejezni ezt a kívánságot, mert az útválasztási táblák célpontokon alapulnak, és fogalmuk sincs arról, melyik folyamat nyitotta a socketet. Amit az emberek kérnek, és amire szükségük van, gyakran különböző dolgok. Válassza szét a kettőt, mielőtt bármilyen beállítást módosít.

A kiválasztó célpont, soha nem folyamat

Minden útválasztási döntés egy célcímmel kezdődik és egy interfésszel végződik. A kernel soha nem kérdezi, melyik program küldte a csomagot, és a macOS-en a pf sem folyamat szerint irányít, így egy tűzfalszabály nem tehet egy alkalmazást másik útra. Ezért ugyanaz a kiszolgáló, akár böngészőből, akár jelentéskészítő eszközből érik el, mindkettőnek egy útvonalat ad. Az alkalmazásszintű elkülönítésnek ezért másból kell jönnie, mint egy útvonal: egy VPN-bővítményből, amely birtokolja a socketet, egy proxyból, amely az alkalmazás nevében átveszi a kapcsolatot, vagy egy külön hálózati veremből. Egyik sem útvonal-módosítás.

Két alkalmazás, amely egy címhez beszél, a legtisztább próba egy tervhez. Ha a válasz nem térhet el köztük, a terv célalapú, bárhogy is nevezik.

Mit ad valójában egy közönséges split tunneling

A split tunnel útvonalakat telepít a privát előtagokhoz, és minden mást a fizikai úton hagy. Általában ezt jelenti a kérés: elérni az irodai kiszolgálót az alagúton keresztül, a nyilvános böngészést közvetlenül tartani. Egyszerű, minden elterjedt kliens támogatja, és ugyanaz a mechanizmus kényszeríti ki, mint bármely más útvonalat. Ellenőrizze a konkrét célpontot a route -n get paranccsal, ne az alapértelmezett útvonalat olvassa, mert a split tunnel gyakran érintetlenül hagyja azt.

Az alapértelmezett útvonal kézi szerkesztése nem átállás semmire. Harcol a kliens saját útvonal-visszaállításával, és azokban a kliensekben, amelyek védelmi szabályzatot telepítenek, olyan állapotban hagyhatja a gépet, amelyet sem Ön, sem a kliens nem vár. Inkább a kliens támogatott beállításaiban konfigurálja a split tunnelt.

Mit igényel az alkalmazásonkénti VPN macOS-en

Az igazi alkalmazásonkénti VPN a macOS-en Network Extension-funkció, amelyet konfigurációs profil vezérel. Egy felügyeleti hasznos teher kiválasztott alkalmazásokat rendel egy VPN-konfigurációhoz, és a rendszer ezután ennek megfelelően irányítja azok forgalmát. Ez felügyelt telepítés, ami MDM-et, aláírt profilt és olyan adminisztrátort jelent, aki mindkettővel rendelkezik.

A kliens kézi telepítése nem hozza létre ezt a hozzárendelést, és a szokásos beállítási panel nem teszi az alkalmazásokat egyenként kiválaszthatóvá. Egy szállító közzéteheti saját alkalmazásszabályait, és azok a szállító dokumentációját követik, nem egy általános szabályt.

Három út az alkalmazásonkénti elkülönítéshez MDM nélkül

Ahol a felügyelet nem elérhető, a proxy a gyakorlati válasz. Állítsa be az alkalmazás saját proxykonfigurációját, vagy használjon olyan PAC-fájlt, amely csak annak az alkalmazásnak a számára választ cél és protokoll szerint.

Egy helyi proxy lezárja a kapcsolatot, és újraindítja az alagúton keresztül, így az alkalmazásnak soha nincs szüksége útvonalra. A második lehetőség egy külön hálózati verem: egy virtuális gép vagy konténer saját alapértelmezett útvonallal, amelyet az alkalmazás helyi címen ér el. A harmadik az, hogy elfogadja a célalapú útválasztást, és elengedi a követelményt, ami őszinte, ha mindkét alkalmazás használhatja az alagutat. Mindhárom tesztelhető, és egyik sem tesz úgy, mintha egy útvonal ismerné a folyamatokat.

Fogalmazza meg a kérést úgy, hogy a válasz egyértelmű legyen

Írja le a munkafolyamatot, ne a mechanizmust: melyik alkalmazásnak melyik szolgáltatás kell, egy másik alkalmazást távol kell-e tartani ugyanattól a szolgáltatástól, és mi történjen, amíg az alagút nem működik. Ez a három válasz választja ki a tervet. Azt is megmondják az adminisztrátornak, hogy a kérés útvonal-módosítás vagy telepítési projekt.

Kifejezetten vegye bele a kizárt alkalmazás esetét. Az a kliens, amely leállít egy alkalmazást, amikor a védett útvonala nem elérhető, másképp viselkedik, mint az, amely visszaengedi a fizikai interfészre, és a felhasználók azonnal észreveszik a különbséget. Nevezze meg az elvárást a jegyben. Ezután ellenőrizze a tényleges gépen, mert ugyanaz a termék a macOS-en gyakran másképp viselkedik, mint Windowson, és a macOS-dokumentációja az egyetlen megbízható forrás arra, mit tesznek a beállításai.