Dua akun login Mac tidak memisahkan lalu lintas VPN

Dua akun login pada Mac yang sama tampak seperti dua dunia terpisah sampai jaringan datang. Tunnel yang dimulai di satu sesi tetap bisa mengubah apa yang dialami sesi lain, tergantung klien mana yang memilikinya dan kebijakan apa yang menyertainya. Jelaskan pemisahan yang Anda butuhkan sebelum memilih mekanisme untuk menegakkannya. Urutannya penting, karena mekanisme yang dipilih lebih dulu cenderung mendefinisikan ulang kebutuhan di sekitarnya.

Tiga pertanyaan melakukan sebagian besar pekerjaan: aplikasi siapa membutuhkan sumber daya privat apa, apakah kedua sesi harus aktif sekaligus, dan apa yang boleh dilakukan aplikasi itu ketika tunnel-nya tidak tersedia.

Mulai dari lalu lintas, bukan dari daftar akun

Berganti akun adalah batas identitas, bukan batas perutean. macOS memuat konfigurasi VPN untuk akun yang memilikinya, tetapi antarmuka, rutenya, dan kebijakan seluruh sistem yang dipasangnya milik mesin. Jika kebutuhannya adalah hanya aplikasi satu orang yang masuk ke jaringan perusahaan, rancangan harus mengatakannya dalam hal aplikasi dan tujuan, bukan dalam hal siapa yang login. Jika tidak, akun kedua mewarisi apa yang ditinggalkan klien akun pertama.

Tulis perilaku yang dibutuhkan dalam satu kalimat: email dan akses berkas satu pengguna mengikuti tunnel terkelola, penjelajahan pengguna lain tetap di koneksi rumah, dan tidak ada jalur yang mewarisi rute default jalur lain. Kalimat itu dapat diuji; cerita tentang berganti login biasanya tidak.

Kanal profil dan cakupan lalu lintas adalah dua hal berbeda

Apple mendukung pengaturan VPN terkelola yang dikirim per pengguna atau per perangkat, dan panduan penerapan menjelaskan model itu bersama integrasi yang bergantung pada penyedia. Kanal pengiriman mengatakan siapa yang menerima konfigurasi dan memilikinya. Kanal itu sendiri tidak menentukan lalu lintas mana yang ditangkap, karena implementasi klien dan kebijakan yang dikonfigurasi tetap menentukannya.

Di tempat mode terdokumentasi yang sadar pengguna atau sadar aplikasi dapat menyatakan kebutuhan, itulah jalur terpendek. Lalu verifikasi aplikasi dan identitas yang sebenarnya alih-alih memercayai nama: dua salinan aplikasi yang sama bukan dua jalur jaringan berbeda, dan profil yang mencantumkan aplikasi tidak menjamin proses pembantunya tercakup.

Sistem tamu adalah batas nyata dengan batasan nyata

Mesin virtual memberi Anda sistem operasi terpisah dengan tumpukan jaringannya sendiri, sehingga tamu dapat menjalankan tunnel dan aplikasinya sendiri tanpa menyentuh rute host. Itu pemisahan yang lebih kuat daripada akun login kedua, dan juga lebih banyak pekerjaan perawatan. Putuskan apakah biaya itu membeli batas yang benar-benar Anda butuhkan sebelum mengusulkannya.

Mode jaringan virtual tetap perlu ditinjau. Apakah tamu dijembatani, di belakang NAT, atau diisolasi menentukan apa yang dapat dijangkau dan apa yang dapat menjangkaunya, dan aplikasi host tidak menjadi aplikasi tamu karena tamu kebetulan terhubung. Periksa juga kebijakan pemblokiran, atau tunnel tamu yang jatuh akan kembali ke jalur host dengan cara yang tidak diinginkan siapa pun.

Proxy lebih sempit daripada akun pengguna

Satu aplikasi host dapat menjangkau layanan proxy sungguhan yang berjalan di tamu atau kontainer yang disetujui, dan itu mencakup lalu lintas yang benar-benar dikirim aplikasi melalui protokol yang didukung. Itu tidak mencakup setiap proses yang dimiliki akun Mac tersebut, dan tidak mencakup lalu lintas yang dikirim aplikasi di luar protokol proxy.

Satu lagi kehati-hatian pada mesin bersama: pendengar TCP yang terikat ke loopback host bukan pemeriksaan nama pengguna. Membatasi proxy ke mesin lokal menjauhkannya dari jaringan, tetapi tidak memberi wewenang satu pengguna lokal atas pengguna lain yang sudah login. Jaga autentikasi layanan tetap eksplisit jika perbedaan itu penting.

Buktikan batas dengan dua uji

Jalankan kedua jalur dan amati secara terpisah. Di bawah akun yang dimaksud, buka aplikasi yang membutuhkan sumber daya privat dan pastikan aplikasi itu mencapai layanan terkelola; di bawah akun lain, pastikan penjelajahan biasa mempertahankan jalur rumah. Lalu putuskan tunnel dengan sengaja dan periksa perilaku cadangan di setiap sisi, karena di situlah sebagian besar rancangan gagal diam-diam. Lakukan pemeriksaan pada jam yang sama juga, agar jaringan yang berubah tidak mengotori perbandingan.

Jika kontainer atau tamu menjalankan tunnel, tambahkan pemeriksaan ketiga: pastikan aplikasi Mac asli di luarnya masih berperilaku seperti yang dirancang. Pilih pengaturan paling sederhana yang cakupannya dapat Anda tunjukkan, dan jangan menyebut mesin virtual selalu perlu atau berganti akun selalu cukup sebelum menjalankan uji tersebut.