Mac의 두 로그인 계정은 VPN 트래픽을 나누지 않는다

같은 Mac의 두 로그인 계정은 네트워크가 도착하기 전까지 두 개의 분리된 세계처럼 보입니다. 한 세션에서 시작한 터널은 어느 클라이언트가 소유하고 어떤 정책이 함께 오는지에 따라 다른 세션이 겪는 것을 여전히 바꿀 수 있습니다. 적용할 메커니즘을 고르기 전에 필요한 분리를 서술하십시오. 순서가 중요합니다. 먼저 고른 메커니즘은 요구 사항을 자기 주변에서 다시 정의하는 경향이 있기 때문입니다.

세 가지 질문이 대부분의 일을 합니다. 누구의 앱이 어떤 사설 자원을 필요로 하는지, 두 세션이 동시에 활성화되어야 하는지, 터널을 쓸 수 없을 때 그 앱에 무엇이 허용되는지입니다.

계정 목록이 아니라 트래픽에서 시작하십시오

계정 전환은 신원 경계이지 라우팅 경계가 아닙니다. macOS는 VPN 구성을 그것을 소유한 계정을 위해 불러오지만, 인터페이스와 그 경로, 그리고 설치하는 모든 시스템 전역 정책은 기계에 속합니다. 요구 사항이 한 사람의 앱만 회사 네트워크로 들어가게 하는 것이라면, 설계는 그것을 앱과 목적지의 언어로 말해야 하며 누가 로그인했는지의 언어로 말해서는 안 됩니다. 그렇지 않으면 두 번째 계정은 첫 번째 클라이언트가 남긴 것을 물려받습니다.

필요한 동작을 한 문장으로 쓰십시오. 한 사용자의 메일과 파일 접근은 관리되는 터널을 따르고, 다른 사용자의 브라우징은 가정 연결에 남으며, 어느 경로도 다른 쪽의 기본 경로를 물려받지 않습니다. 그 문장은 검증 가능합니다. 로그인 전환 이야기는 대개 그렇지 않습니다.

프로필 채널과 트래픽 범위는 다른 것입니다

Apple은 사용자별 또는 기기별로 전달되는 관리 VPN 배치를 지원하며, 배포 안내서는 그러한 모델을 공급자 의존 통합과 함께 설명합니다. 전달 채널은 누가 구성을 받고 소유하는지를 말합니다. 어떤 트래픽이 잡히는지는 채널 자체가 정의하지 않습니다. 클라이언트 구현과 구성된 정책이 여전히 그것을 결정하기 때문입니다.

문서화된 사용자 인식 또는 앱 인식 모드가 요구 사항을 표현할 수 있는 곳이라면 그것이 가장 짧은 길입니다. 그런 다음 이름을 믿지 말고 실제 앱과 신원을 검증하십시오. 같은 앱의 두 사본은 두 개의 다른 네트워크 경로가 아니며, 앱을 나열하는 프로필이 그 도우미 프로세스까지 포함됨을 보장하지 않습니다.

게스트 시스템은 실제 한계가 있는 실제 경계

가상 머신은 자체 네트워크 스택을 가진 별도 운영 체제를 제공하므로, 게스트는 호스트의 경로를 건드리지 않고 자기 터널과 자기 앱을 실행할 수 있습니다. 이는 두 번째 로그인 계정보다 강한 분리이며 유지 관리도 더 많이 듭니다. 제안하기 전에 그 비용이 정말 필요한 경계를 사는지 결정하십시오.

가상 네트워크 모드는 여전히 검토가 필요합니다. 게스트가 브리지인지, NAT 뒤인지, 격리되었는지가 무엇에 도달할 수 있고 무엇이 도달할 수 있는지를 결정하며, 게스트가 우연히 연결되어 있다고 해서 호스트 앱이 게스트 앱이 되지는 않습니다. 차단 정책도 확인하십시오. 그렇지 않으면 끊긴 게스트 터널이 아무도 의도하지 않은 방식으로 호스트 경로로 되돌아갑니다.

프록시는 사용자 계정보다 좁습니다

호스트의 한 앱은 승인된 게스트나 컨테이너에서 실행되는 실제 프록시 서비스에 도달할 수 있으며, 그것은 앱이 지원 프로토콜로 실제로 보내는 트래픽을 포함합니다. 그 Mac 계정이 소유한 모든 프로세스를 포함하지는 않으며, 앱이 프록시 프로토콜 밖으로 보내는 트래픽도 포함하지 않습니다.

공용 기계에서 또 하나의 주의점. 호스트 루프백에 묶인 TCP 리스너는 사용자 이름 확인이 아닙니다. 프록시를 로컬 기계로 제한하면 네트워크에서 떨어뜨리지만, 이미 로그인한 다른 로컬 사용자에 대해 한 사용자를 승인하지는 않습니다. 그 구분이 중요하다면 서비스 인증을 명시적으로 유지하십시오.

두 가지 테스트로 경계를 증명하십시오

두 경로를 모두 실행하고 따로 관찰하십시오. 의도한 계정에서 사설 자원이 필요한 앱을 열고 관리 서비스에 도달하는지 확인합니다. 다른 계정에서 일반 브라우징이 가정 경로를 유지하는지 확인합니다. 그다음 터널을 일부러 끊고 각 측의 폴백 동작을 확인하십시오. 대부분의 설계가 바로 거기서 조용히 실패합니다. 검사는 같은 한 시간 안에 하십시오. 바뀐 네트워크가 비교를 오염시키지 않도록 말입니다.

컨테이너나 게스트가 터널을 실행한다면 세 번째 검사를 추가하십시오. 그 바깥의 네이티브 Mac 앱이 여전히 설계대로 작동하는지 확인합니다. 범위를 보여 줄 수 있는 가장 단순한 배치를 고르고, 이 테스트를 하기 전에 가상 머신이 보편적으로 필요하다거나 계정 전환이 보편적으로 충분하다고 규정하지 마십시오.