VPN per aplikasi atau split tunnel? Apa yang bisa diputuskan rute Mac

Dua aplikasi membuka koneksi ke server kantor yang sama, dan hanya satu di antaranya yang seharusnya memakai terowongan. Rute tidak dapat menyatakan keinginan itu, karena tabel routing didasarkan pada tujuan dan tidak punya gagasan tentang proses mana yang membuka soket. Apa yang orang minta dan apa yang mereka butuhkan sering kali berbeda. Pisahkan keduanya sebelum mengubah konfigurasi apa pun.

Pemilih adalah tujuan, tidak pernah proses

Setiap keputusan routing dimulai dengan alamat tujuan dan berakhir pada antarmuka. Kernel tidak pernah bertanya program mana yang mengirim paket, dan di macOS pf juga tidak merutekan berdasarkan proses, sehingga aturan firewall tidak dapat menempatkan satu aplikasi pada jalur lain. Itulah sebabnya server yang sama, baik dicapai dari peramban maupun dari alat pelaporan, memakai satu jalur untuk keduanya. Karena itu pemisahan di tingkat aplikasi harus datang dari sesuatu selain rute: plugin VPN yang memiliki soket, proxy yang mengambil koneksi atas nama aplikasi, atau tumpukan jaringan terpisah. Tidak satu pun dari itu adalah perubahan routing.

Dua aplikasi yang berbicara ke satu alamat adalah uji terbersih sebuah rancangan. Jika jawabannya tidak dapat berbeda di antara keduanya, rancangan itu berbasis tujuan, apa pun namanya.

Apa yang sebenarnya diberikan split tunnel biasa

split tunnel memasang rute untuk prefiks privat dan membiarkan sisanya di jalur fisik. Biasanya itulah maksud permintaannya: menjangkau server kantor lewat terowongan, menjaga peramban publik tetap langsung. Sederhana, setiap klien umum mendukungnya, dan ditegakkan oleh mekanisme yang sama seperti rute lain. Periksa tujuan spesifik dengan route -n get alih-alih membaca rute default, karena split tunnel sering membiarkan rute default tidak tersentuh.

Menyunting rute default secara manual bukanlah konversi ke apa pun. Itu bertarung dengan pemulihan rute klien itu sendiri dan, pada klien yang memasang kebijakan perlindungan, dapat meninggalkan mesin dalam keadaan yang tidak Anda maupun klien harapkan. Konfigurasikan split tunnel di pengaturan klien yang didukung.

Apa yang dituntut VPN per aplikasi di macOS

VPN per aplikasi yang sesungguhnya di macOS adalah fitur Network Extension yang digerakkan oleh profil konfigurasi. Muatan manajemen memetakan aplikasi terpilih ke konfigurasi VPN, dan sistem kemudian merutekan lalu lintas aplikasi itu sesuai dengannya. Ini penerapan terkelola, yang berarti MDM, profil bertanda tangan, dan administrator yang memiliki keduanya.

Memasang klien secara manual tidak membuat pemetaan itu, dan panel pengaturan biasa tidak membuat aplikasi dapat dipilih satu per satu. Vendor dapat mengekspos aturan aplikasinya sendiri, dan aturan itu mengikuti dokumentasinya, bukan aturan umum.

Tiga cara memisahkan per aplikasi tanpa MDM

Di tempat manajemen tidak tersedia, proxy adalah jawaban praktisnya. Atur konfigurasi proxy aplikasi itu sendiri, atau gunakan berkas PAC yang memilih berdasarkan tujuan dan protokol hanya untuk aplikasi tersebut.

Proxy lokal mengakhiri koneksi dan membuatnya kembali melalui terowongan, sehingga aplikasi tidak pernah membutuhkan rute. Opsi kedua adalah tumpukan jaringan terpisah: mesin virtual atau kontainer dengan rute default sendiri, yang dijangkau aplikasi lewat alamat lokal. Yang ketiga adalah menerima routing berbasis tujuan dan melepaskan persyaratan itu, yang jujur ketika kedua aplikasi boleh memakai terowongan. Ketiganya dapat diuji, dan tidak satu pun berpura-pura bahwa rute mengenal proses.

Tulis permintaan agar jawabannya tidak ambigu

Jelaskan alur kerja, bukan mekanismenya: aplikasi mana membutuhkan layanan mana, apakah aplikasi lain harus dijauhkan dari layanan yang sama, dan apa yang harus terjadi saat terowongan mati. Ketiga jawaban itu memilih rancangan. Itu juga memberi tahu administrator apakah permintaannya adalah perubahan routing atau proyek penerapan.

Sertakan kasus aplikasi yang dikecualikan secara eksplisit. Klien yang menghentikan aplikasi ketika jalur terlindunginya tidak tersedia berperilaku berbeda dari klien yang membiarkannya kembali ke antarmuka fisik, dan pengguna langsung menyadari perbedaan itu. Sebutkan harapannya di tiket. Lalu verifikasi di mesin sebenarnya, karena produk yang sama sering berperilaku berbeda di macOS dibanding Windows, dan dokumentasi macOS-nya adalah satu-satunya sumber tepercaya tentang apa yang dilakukan pengaturannya.