Zwéi Mac-Anmeldungscompten deelen kee VPN-Traffic

Zwéi Login-Compten op deem selwechte Mac gesinn aus wéi zwéi getrennte Welten, bis d'Netzwierk kënnt. En Tunnel, deen an enger Sitzung gestart gouf, kann nach ëmmer änneren, wat déi aner Sitzung erlieft, jee nodeem wéi ee Client en huet a wéi eng Politik mat him kënnt. Beschreift d'Trennung, déi Dir braucht, ier Dir e Mechanismus wielt, fir se duerchzesetzen. D'Reiefolleg ass wichteg, well e Mechanismus, deen als éischten gewielt gëtt, d'Ufuerderung gär ëm sech selwer nei definéiert.

Dräi Froen maachen de gréissten Deel vun der Aarbecht: wien seng Applikatioune wéi eng privat Ressourcen brauchen, ob béid Sitzungen gläichzäiteg aktiv musse sinn a wat dësen Applikatiounen erlaabt ass, wann hir Tunnel net verfügbar ass.

Fänkt mam Traffic un, net mat der Comptelëscht

Comptewiessel ass eng Identitéitsgrenz, keng Routinggrenz. macOS luedt eng VPN-Konfiguratioun fir de Compte, deen se huet, awer d'Interface, hir Ruten an all systemwäit Politik, déi se installéiert, gehéieren zu der Maschinn. Wann d'Ufuerderung ass, datt nëmmen eng Persoun seng Applikatiounen an d'Firmennetzwierk erakommen, muss den Design dat a Begrëffer vun Applikatiounen an Destinatioune soen, net a Begrëffer vu wien ageloggt ass. Soss ierft den zweeten Compte, wat de Client vum éischten hannerlooss huet.

Schreift dat gefuerdert Verhalen an engem Saz: d'Mail an de Fichierszougang vun engem Benotzer follegen dem verwalteten Tunnel, d'Browsen vum anere Benotzer bleift op der Heemverbindung, an keen vun deenen zwéi Weeër ierft d'Standardroute vum aneren. Dee Saz ass testbar; eng Geschicht iwwer de Loginwiessel ass et meeschtens net.

Profilkanal an Trafficëmfang sinn zwéi verschidden Saachen

Apple ënnerstëtzt verwaltet VPN-Arrangementer, déi pro Benotzer oder pro Apparat geliwwert ginn, an en Deployguide beschreift déi Modeller zesumme mat enger Integratioun, déi vum Fournisseur ofhänkt. Den Ausliwwerungskanal seet, wien d'Konfiguratioun kritt an huet. En definéiert net vu sech aus, wéi en Traffic agefaangen gëtt, well d'Client-Implementatioun an déi konfiguréiert Politik dat nach ëmmer entscheeden.

Wou en dokumentéierte benotzer- oder applikatiounsbewosste Modus d'Ufuerderung ausdrécke kann, ass dat de kierzte Wee. Da verifizéiert déi tatsächlech Applikatiounen an Identitéiten, amplaz Nimm ze vertrauen: zwou Kopië vun der selwechter App sinn zwéi verschidde Netzwierksweeër, an e Profil, deen eng App opzielt, garantéiert net, datt hir Hëllefsprozesser ofgedeckt sinn.

E Gaaschtsystem ass eng richteg Grenz mat richtege Grenzen

Eng virtuell Maschinn gëtt Iech en eegent Betribssystem mat sengem eegene Netzwierkstack, sou datt e Gaascht säin eegenen Tunnel a seng eegen Applikatiounen ausféiere kann, ouni d'Ruten vum Host ze beréieren. Dat ass eng méi staark Trennung wéi en zweeten Login-Compte, an et ass och méi Maintenanceaarbecht. Entscheet, ob dëse Präis eng Grenz kaaft, déi Dir wierklech braucht, ier Dir se proposéiert.

De Modus vum virtuelle Netzwierk muss nach ëmmer iwwerpréift ginn. Ob de Gaascht iwwer eng Bréck, hannert NAT oder isoléiert ass, bestëmmt, wat en erreeche kann a wat en erreeche kann, an d'Hostapplikatioune ginn net zu Gaaschtapplikatiounen, well de Gaascht zoufälleg verbonnen ass. Kontrolléiert och d'Blockéierungspolitik, soss fält en ofgebrach Gaaschtunnel op eng Manéier op den Hostwee zréck, déi kee virgesinn huet.

E Proxy ass méi schmuel wéi e Benotzercompte

Eng Hostapplikatioun kann en echte Proxyservice erreechen, deen an engem guttgeheescht Gaascht oder Container leeft, an dat deckt den Traffic of, deen d'Applikatioun tatsächlech iwwer dee ënnerstëtzte Protokoll schéckt. Et deckt net all Prozess of, deen dee Mac-Compte huet, an et deckt och net den Traffic of, deen d'Applikatioun baussent dem Proxyprotokoll schéckt.

Nach eng Vorsicht op gedeelte Maschinnen: en TCP-Listener, deen un de Loopback vum Host gebonnen ass, ass keng Benotzernummekontroll. E Proxy op déi lokal Maschinn ze beschränken hält en aus dem Netzwierk eraus, awer et autoriséiert ee lokale Benotzer net géintiwwer engem aneren, deen schonn ageloggt ass. Halt d'Authentifikatioun vum Service explizit, wann dësen Ënnerscheed zielt.

Beweist d'Grenz mat zwou Tester

Fëllt béid Weeër aus a beobacht se getrennt. Ënner dem virgesinnene Compte maacht d'Applikatioun op, déi déi privat Ressource brauch, a bestätegt, datt se de verwaltete Service erreecht; ënner dem anere Compte bestätegt, datt d'normaalt Browsen den Heemwee behält. Da briecht den Tunnel bewosst a kontrolléiert de Fallback-Verhalen op all Säit, well do versoen déi meescht Designen onopfälleg. Maacht d'Kontrollen och an der selwechter Stonn, sou datt en geännert Netzwierk de Verglach net verschmotzt.

Wann e Container oder Gaascht den Tunnel bedreift, füügt eng drëtt Kontroll bäi: bestätegt, datt eng nativ Mac-Applikatioun dobausse sech nach ëmmer wéi geplangt verhält. Wielt déi einfachst Arrangement, déi Dir hirem Ëmfang no kënnt demonstréieren, a bezeechent virtuell Maschinnen net als universell néideg oder de Comptewiessel net als universell duer, ier Dir dës Tester gemaach hutt.