Mac-ის ორი შესვლის ანგარიში VPN ტრაფიკს არ ჰყოფს

ერთი და იმავე Mac-ის ორი შესვლის ანგარიში ორ ცალკე სამყაროს ჰგავს, სანამ ქსელი მოვა. ერთ სესიაში დაწყებულმა გვირაბმა მაინც შეიძლება შეცვალოს ის, რასაც მეორე სესია განიცდის, იმის მიხედვით, რომელი კლიენტი ფლობს მას და რა პოლიტიკა მოდის მასთან. აღწერეთ საჭირო გამოყოფა სანამ აირჩევთ მექანიზმს მის აღსასრულებლად. რიგითობას მნიშვნელობა აქვს, რადგან პირველად არჩეული მექანიზმი მიდრეკილია მოთხოვნა თავის გარშემო გადააწყოს.

სამი კითხვა აკეთებს სამუშაოს უმეტეს ნაწილს: ვისი აპლიკაციებს რომელი კერძო რესურსები სჭირდება, უნდა იყოს თუ არა ორივე სესია ერთდროულად აქტიური და რა აქვთ ნებადართული ამ აპლიკაციებს, როცა მათი გვირაბი მიუწვდომელია.

დაიწყეთ ტრაფიკით, არა ანგარიშების სიით

ანგარიშის შეცვლა იდენტობის საზღვარია, არა მარშრუტიზაციის საზღვარი. macOS VPN კონფიგურაციას ტვირთავს იმ ანგარიშისთვის, რომელიც ფლობს მას, მაგრამ ინტერფეისი, მისი მარშრუტები და ნებისმიერი სისტემური პოლიტიკა, რომელსაც ის აყენებს, მანქანას ეკუთვნის. თუ მოთხოვნაა, რომ კორპორატიულ ქსელში მხოლოდ ერთი ადამიანის აპლიკაციები შევიდეს, დიზაინმა ეს უნდა თქვას აპლიკაციებისა და დანიშნულებების თვალსაზრისით, არა იმის მიხედვით, ვინაა შესული. სხვაგვარად მეორე ანგარიში მემკვიდრეობით იღებს იმას, რაც პირველის კლიენტმა დატოვა.

დაწერეთ საჭირო ქცევა ერთ წინადადებაში: ერთი მომხმარებლის ფოსტა და ფაილზე წვდომა მიჰყვება მართულ გვირაბს, მეორე მომხმარებლის დათვალიერება რჩება სახლის კავშირზე, და არც ერთი გზა არ იღებს მემკვიდრეობით მეორის ნაგულისხმევ მარშრუტს. ეს წინადადება შესამოწმებელია; შესვლის შეცვლის ისტორია ჩვეულებრივ ასე არ არის.

პროფილის არხი და ტრაფიკის ფარგლები განსხვავებული რამ არის

Apple მხარს უჭერს მართულ VPN მოწყობებს, რომლებიც მიეწოდება მომხმარებლის ან მოწყობილობის მიხედვით, და გაშლის გზამკვლევი აღწერს ამ მოდელებს მომწოდებელზე დამოკიდებულ ინტეგრაციასთან ერთად. მიწოდების არხი ამბობს, ვინ იღებს კონფიგურაციას და ფლობს მას. ის თავისთავად არ განსაზღვრავს, რომელი ტრაფიკი იჭერს, რადგან კლიენტის იმპლემენტაცია და კონფიგურირებული პოლიტიკა ჯერ კიდევ წყვეტენ ამას.

სადაც დოკუმენტირებულ მომხმარებელზე ან აპლიკაციაზე ცნობიერ რეჟიმს შეუძლია მოთხოვნის გამოხატვა, ეს ყველაზე მოკლე გზაა. შემდეგ შეამოწმეთ რეალური აპლიკაციები და იდენტობები სახელების ნდობის ნაცვლად: ერთი აპის ორი ასლი ორი სხვადასხვა ქსელური გზა არ არის, და აპს რომ ჩამოთვლის პროფილი, არ იძლევა გარანტიას, რომ მისი დამხმარე პროცესები დაფარულია.

სტუმარი სისტემა რეალური საზღვარია რეალური შეზღუდვებით

ვირტუალური მანქანა გაძლევთ ცალკე ოპერაციულ სისტემას საკუთარი ქსელური სტეკით, ასე რომ სტუმარს შეუძლია გაუშვას საკუთარი გვირაბი და საკუთარი აპლიკაციები ჰოსტის მარშრუტებზე ხელის შეუხებლად. ეს უფრო ძლიერი გამოყოფაა, ვიდრე მეორე შესვლის ანგარიში, და ასევე მეტი სამუშაოა მოვლაში. გადაწყვიტეთ, ყიდულობს თუ არა ეს ხარჯი საზღვარს, რომელიც ნამდვილად გჭირდებათ, სანამ შესთავაზებთ.

ვირტუალური ქსელის რეჟიმი მაინც საჭიროებს გადახედვას. სტუმარი ხიდზეა, NAT-ის უკან თუ იზოლირებული, განსაზღვრავს, რას მიაღწევს და რა მიაღწევს მას, და ჰოსტის აპლიკაციები არ ხდება სტუმრის აპლიკაციები მხოლოდ იმიტომ, რომ სტუმარი შემთხვევით დაკავშირებულია. შეამოწმეთ ბლოკირების პოლიტიკაც, თორემ ჩავარდნილი სტუმრის გვირაბი დაუბრუნდება ჰოსტის გზას ისე, როგორც არავის განუზრახავს.

პროქსი ვიწროა მომხმარებლის ანგარიშზე

ჰოსტის ერთ აპლიკაციას შეუძლია მიაღწიოს ნამდვილ პროქსი სერვისს, რომელიც მუშაობს დამტკიცებულ სტუმარში ან კონტეინერში, და ეს ფარავს ტრაფიკს, რომელსაც აპლიკაცია რეალურად აგზავნის მხარდაჭერილი პროტოკოლით. ეს არ ფარავს იმ Mac ანგარიშის კუთვნილ ყველა პროცესს და არ ფარავს ტრაფიკს, რომელსაც აპლიკაცია პროქსის პროტოკოლის გარეთ აგზავნის.

კიდევ ერთი სიფრთხილე საერთო მანქანებზე: ჰოსტის loopback-ზე მიბმული TCP მსმენელი მომხმარებლის სახელის შემოწმება არ არის. პროქსის ლოკალურ მანქანაზე შეზღუდვა აშორებს მას ქსელს, მაგრამ არ ანიჭებს ერთ ლოკალურ მომხმარებელს უფლებას სხვაზე, რომელიც უკვე შესულია. შეინარჩუნეთ სერვისის აუთენტიფიკაცია გამოკვეთილი, თუ ეს განსხვავება მნიშვნელოვანია.

დაამტკიცეთ საზღვარი ორი ტესტით

გაუშვით ორივე გზა და დააკვირდით ცალკე. განზრახული ანგარიშის ქვეშ გახსენით აპლიკაცია, რომელსაც კერძო რესურსი სჭირდება, და დაადასტურეთ, რომ ის აღწევს მართულ სერვისს; მეორე ანგარიშის ქვეშ დაადასტურეთ, რომ ჩვეულებრივი დათვალიერება ინარჩუნებს სახლის გზას. შემდეგ განზრახ გატეხეთ გვირაბი და შეამოწმეთ უკან დაბრუნების ქცევა თითოეული მხარისთვის, რადგან სწორედ იქ ჩავარდება დიზაინების უმეტესობა ჩუმად. ჩაატარეთ შემოწმებები იმავე საათში, რათა შეცვლილმა ქსელმა შედარება არ დაბინძუროს.

თუ კონტეინერი ან სტუმარი უშვებს გვირაბს, დაამატეთ მესამე შემოწმება: დაადასტურეთ, რომ მის გარეთ არსებული მშობლიური Mac აპლიკაცია კვლავ ისე იქცევა, როგორც დაპროექტებულია. აირჩიეთ უმარტივესი მოწყობა, რომლის ფარგლებსაც შეძლებთ აჩვენოთ, და არ უწოდოთ ვირტუალურ მანქანებს საყოველთაოდ საჭირო ან ანგარიშის შეცვლას საყოველთაოდ საკმარისი სანამ ეს ტესტები ჩატარდება.