Per-App-VPN oder Split-Tunnel? Wat eng Mac-Route ka entscheeden

Zwou Applikatiounen opmaachen Verbindungen zum selwechten Büros-Server, an nëmmen eng vun hinnen soll den Tunnel benotzen. Eng Route kann dee Wonsch net ausdrécken, well Routingstabellen op Destinatiounen baséieren an kee Begrëff dovun hunn, wéi ee Prozess de Socket opgemaach huet. Wat d'Leit froen an wat si brauchen, sinn dacks verschidden Saachen. Trennt déi zwee, ier Dir eng Konfiguratioun ännert.

De Selekter ass eng Destinatioun, ni e Prozess

All Routing-Entscheedung fänkt mat enger Destinatiounsadress un an endt mat enger Interface. De Kernel freet ni, wéi ee Programm de Pak geschéckt huet, an op macOS routet och pf net no Prozess, also kann eng Firewall-Regel eng Applikatioun net op en anere Wee setzen. Dofir hëlt dee selwechte Server, ob iwwer e Browser oder en Reporting-Tool erreecht, fir béid ee Wee. D'Trennung op Applikatiounsniveau muss dofir vun eppes aneschtem wéi enger Route kommen: e VPN-Plugin, deen de Socket besëtzt, e Proxy, deen d'Verbindung am Numm vun der Applikatioun iwwerhëlt, oder en getrennten Netzwierkstack. Keng dovun ass eng Routing-Ännerung.

Zwou Applikatiounen, déi mat enger Adress schwätzen, sinn de propperste Test vun engem Design. Wa d'Äntwert tëscht hinnen net kann ënnerschiddlech sinn, ass d'Design destinatiounsbaséiert, wéi et och heescht.

Wat en normale Split-Tunnel wierklech bréngt

E Split-Tunnel installéiert Routen fir déi privat Prefixen an läit alles anescht op dem physesche Wee. Dat ass meeschtens wat d'Ufro mengt: de Büros-Server iwwer den Tunnel erreechen, ëffentlech Browsen direkt halen. Et ass einfach, all gewéinleche Client ënnerstëtzt et, an et gëtt duerch dee selwechte Mechanismus erzwongen wéi all aner Route. Iwwerpréift d'speziifesch Destinatioun mat route -n get amplaz d'Standardroute ze liesen, well e Split-Tunnel d'Standardroute dacks onberéiert léisst.

D'Standardroute vun Hand ze änneren ass keng Ëmstellung op eppes. Et kämpft géint d'eegen Route-Restauratioun vum Client an, bei Clienten déi eng Schutzpolitik installéieren, kann et d'Maschinn an engem Zoustand hannerloossen, deen weder Dir nach de Client erwaart. Konfiguréiert de Split-Tunnel amplaz an den ënnerstëtzten Astellunge vum Client.

Wat e Per-App-VPN op macOS erfuerdert

E richtegen Per-App-VPN op macOS ass eng Network Extension-Funktioun, déi vun engem Konfiguratiounsprofil gesteiert gëtt. Eng Verwaltungsnotzlaascht verbënnt gewielten Applikatiounen mat enger VPN-Konfiguratioun, an de System routet dann de Verkéier vun dësen Applikatiounen entspriechend. Et ass eng verwalteten Ausrollen, wat en MDM, e signéierte Profil an en Administrateur bedeit, deen déi zwee besëtzt.

De Client vun Hand installéieren erstellt déi Verbindung net, an de gewéinleche Astellungsberäich mécht Applikatiounen net eenzel auswielbar. E Fournisseur kann seng eege Applikatiounsregelen ubidden, an déi befollegen seng Dokumentatioun amplaz enger allgemenger Regel.

Dräi Weeër zur Trennung pro Applikatioun ouni MDM

Wou keng Verwaltung disponibel ass, ass e Proxy déi praktesch Äntwert. Setzt d'eegen Proxy-Konfiguratioun vun der Applikatioun, oder benotzt eng PAC-Datei, déi no Destinatioun a Protokoll nëmme fir déi Applikatioun auswielt.

En lokalen Proxy terminéiert d'Verbindung a mécht se erëm duerch den Tunnel op, sou datt d'Applikatioun ni eng Route brauch. Déi zweet Optioun ass en getrennten Netzwierkstack: eng virtuell Maschinn oder en Container mat senger eegener Standardroute, déi d'Applikatioun iwwer eng lokal Adress erreecht. Déi drëtt ass destinatiounsbaséiert Routing ze akzeptéieren an d'Fuerderung fale ze loossen, wat éierlech ass wann béid Applikatiounen den Tunnel dierfe benotzen. All dräi si testbar, a keng dovun mécht wéi wann eng Route Prozesser kennt.

Schreift d'Ufro sou, datt d'Äntwert eendeiteg ass

Beschreift de Workflow amplaz de Mechanismus: wéi eng Applikatioun wéi ee Service brauch, ob eng aner Applikatioun vum selwechte Service muss ewechgehal ginn, a wat soll geschéien während den Tunnel ënnen ass. Déi dräi Äntwerten wielen d'Design. Si soen dem Administrateur och, ob d'Ufro eng Routing-Ännerung oder e Rollout-Projet ass.

Huelt de Fall vun der ausgeschlossener Applikatioun ausdrécklech mat. E Client, deen eng Applikatioun stoppt wann hire geschützte Wee net disponibel ass, verhält sech anescht wéi een, deen se op d'physesch Interface zréckfale léisst, an d'Benotzer mierken deen Ënnerscheed direkt. Nennt d'Erwaardung am Ticket. Verifizéiert duerno op der tatsächlecher Maschinn, well dat selwecht Produkt sech op macOS dacks anescht verhält wéi op Windows, a seng macOS-Dokumentatioun ass déi eenzeg zouverlässeg Quell dofir, wat seng Astellungen maachen.