Mac жүйесіндегі екі тіркелгі VPN трафигін бөлмейді

Бір Mac компьютеріндегі екі тіркелгі желі келгенге дейін екі бөлек әлем сияқты көрінеді. Бір сессияда басталған туннель екінші сессияның тәжірибесін өзгерте алады, қай клиент оған ие және онымен қандай саясат келетініне байланысты. Оны орындау тетігін таңдамас бұрын қажет бөлінуді сипаттаңыз. Реті маңызды, өйткені бірінші таңдалған тетік талапты өзінің айналасында қайта анықтауға бейім.

Жұмыстың көбін үш сұрақ атқарады: кімнің қолданбалары қандай жеке ресурстарға мұқтаж, екі сессия бір уақытта белсенді болуы керек пе және туннель қолжетімсіз болғанда бұл қолданбаларға не істеуге рұқсат.

Тіркелгілер тізімінен емес, трафиктен бастаңыз

Тіркелгіні ауыстыру — сәйкестік шекарасы, маршруттау шекарасы емес. macOS VPN конфигурациясын оған ие тіркелгі үшін жүктейді, бірақ интерфейс, оның маршруттары және ол орнататын кез келген жүйелік саясат машинаға тиесілі. Егер талап бір адамның қолданбалары ғана корпоративтік желіге кіруі болса, дизайн мұны қолданбалар мен межелер тұрғысынан айтуы керек, кімнің кіргені тұрғысынан емес. Әйтпесе екінші тіркелгі біріншінің клиенті қалдырған нарсені мұралайды.

Қажетті мінез-құлықты бір сөйлеммен жазыңыз: бір пайдаланушының поштасы мен файлға қол жеткізуі басқарылатын туннельге сай жүреді, екінші пайдаланушының шолуы үй қосылымында қалады, және екі жолдың ешқайсысы екіншісінің әдепкі маршрутын мұраламайды. Бұл сөйлем тексеруге келеді; кіруді ауыстыру туралы әңгіме әдетте келмейді.

Профиль арнасы мен трафик көлемі — екі бөлек нәрсе

Apple пайдаланушы немесе құрылғы бойынша жеткізілетін басқарылатын VPN конфигурацияларын қолдайды, ал орналастыру нұсқаулығы бұл үлгілерді провайдерге тәуелді интеграциямен бірге сипаттайды. Жеткізу арнасы конфигурацияны кім алатынын және оған кім ие екенін айтады. Ол қандай трафик ұсталатынын өздігінен анықтамайды, өйткені клиенттің іске асырылуы мен конфигурацияланған саясат әлі де шешеді.

Құжатталған пайдаланушыны немесе қолданбаны ескеретін режим талапты білдіре алатын жерде бұл ең қысқа жол. Содан кейін аттарға сенудің орнына нақты қолданбалар мен сәйкестіктерді тексеріңіз: бір қолданбаның екі көшірмесі екі түрлі желілік жол емес, және қолданбаны тізімдейтін профиль оның көмекші процестері қамтылғанына кепілдік бермейді.

Қонақ жүйе — нақты шектеулері бар нақты шекара

Виртуалды машина сізге өз желілік стекі бар бөлек операциялық жүйе береді, сондықтан қонақ хосттың маршруттарына тимей өз туннелін және өз қолданбаларын іске қоса алады. Бұл екінші тіркелгіден қуаттырақ бөліну және күтімге көбірек жұмыс. Ұсынбас бұрын бұл шығын шынымен қажет шекараны сатып ала ма, соны шешіңіз.

Виртуалды желі режимі әлі де қарауды қажет етеді. Қонақ көпірленген, NAT артында немесе оқшауланған ба, бұл оның неге жете алатынын және оған не жете алатынын анықтайды, және хост қолданбалары қонақ кездейсоқ қосылғандықтан қонақ қолданбаларына айналмайды. Блоктау саясатын да тексеріңіз, әйтпесе құлаған қонақ туннелі ешкім күтпеген түрде хост жолына қайтады.

Прокси пайдаланушы тіркелгісінен тар

Хосттың бір қолданбасы бекітілген қонақта немесе контейнерде жұмыс істейтін нақты прокси қызметіне жете алады, және бұл қолданбаның қолдау көрсетілетін протокол арқылы шынымен жіберетін трафигін қамтиды. Бұл сол Mac тіркелгісіне тиесілі әрбір процесті қамтымайды және қолданба прокси протоколынан тыс жіберетін трафикті де қамтымайды.

Ортақ машиналардағы тағы бір сақтық: хосттың loopback-іне байланған TCP тыңдаушысы пайдаланушы атын тексеру емес. Проксиді жергілікті машинамен шектеу оны желіден алыс ұстайды, бірақ бір жергілікті пайдаланушыны бұрын кірген екіншісіне қарсы өкілеттік бермейді. Бұл айырмашылық маңызды болса, қызметтің аутентификациясын айқын ұстаңыз.

Шекараны екі тестімен дәлелдеңіз

Екі жолды да іске қосып, оларды бөлек бақылаңыз. Көзделген тіркелгі астында жеке ресурсқа мұқтаж қолданбаны ашып, оның басқарылатын қызметке жететінін растаңыз; басқа тіркелгі астында қарапайым шолудың үй жолын сақтайтынын растаңыз. Содан кейін туннельді әдейі үзіп, әр жақтың қайта оралу мінез-құлқын тексеріңіз, өйткені дәл сол жерде дизайндардың көбі үнсіз сәтсіздікке ұшырайды. Тексерулерді сол сағатта жасаңыз, өзгерген желі салыстыруды ластамауы үшін.

Егер контейнер немесе қонақ туннельді іске қосатын болса, үшінші тексеруді қосыңыз: оның сыртындағы жергілікті Mac қолданбасы әлі де жобаланғандай әрекет ететінін растаңыз. Аясын көрсете алатын ең қарапайым конфигурацияны таңдаңыз, және осы тестілерді жасамас бұрын виртуалды машиналарды әмбебап қажет деп немесе тіркелгіні ауыстыруды әмбебап жеткілікті деп атамаңыз.