Du Mac prisijungimo paskyros neatskiria VPN srauto

Dvi prisijungimo paskyros tame pačiame Mac atrodo kaip du atskiri pasauliai, kol ateina tinklas. Vienoje sesijoje paleistas tunelis vis tiek gali pakeisti tai, ką patiria kita sesija, priklausomai nuo to, kuris klientas jam priklauso ir kokia politika ateina su juo. Apibūdinkite atskyrimą, kurio jums reikia, prieš pasirinkdami mechanizmą jam užtikrinti. Tvarka svarbi, nes pirmiausia pasirinktas mechanizmas linkęs iš naujo apibrėžti reikalavimą aplink save.

Trys klausimai atlieka didžiąją dalį darbo: kurių programų kam kokių privačių išteklių reikia, ar abi sesijos turi būti aktyvios vienu metu ir ką toms programoms leidžiama daryti, kai jų tunelis nepasiekiamas.

Pradėkite nuo srauto, o ne nuo paskyrų sąrašo

Paskyros keitimas yra tapatybės riba, o ne maršrutizavimo riba. macOS įkelia VPN konfigūraciją paskyrai, kuriai ji priklauso, bet sąsaja, jos maršrutai ir bet kokia sistemos lygmens politika, kurią ji įdiegia, priklauso mašinai. Jei reikalavimas yra, kad į įmonės tinklą patektų tik vieno žmogaus programos, dizainas turi tai pasakyti programų ir paskirčių sąvokomis, o ne tuo, kas prisijungęs. Priešingu atveju antroji paskyra paveldi tai, ką paliko pirmosios klientas.

Parašykite reikiamą elgesį vienu sakiniu: vieno naudotojo paštas ir failų prieiga eina valdomu tuneliu, kito naudotojo naršymas lieka namų ryšyje, ir nė vienas kelias nepaveldi kito numatytojo maršruto. Tas sakinys yra patikrinamas; prisijungimo keitimo istorija paprastai ne.

Profilio kanalas ir srauto apimtis yra skirtingi dalykai

Apple palaiko valdomus VPN sprendimus, tiekiamus pagal naudotoją arba pagal įrenginį, o diegimo vadovas aprašo tuos modelius kartu su nuo teikėjo priklausančia integracija. Pristatymo kanalas nurodo, kas gauna konfigūraciją ir jai priklauso. Jis pats savaime neapibrėžia, kuris srautas pagaunamas, nes kliento įgyvendinimas ir sukonfigūruota politika vis dar tai sprendžia.

Ten, kur dokumentuotas naudotoją ar programą suprantantis režimas gali išreikšti reikalavimą, tai trumpiausias kelias. Tada patikrinkite tikrąsias programas ir tapatybes, o ne pasitikėkite pavadinimais: dvi tos pačios programos kopijos nėra du skirtingi tinklo keliai, o profilis, kuriame nurodyta programa, negarantuoja, kad jos pagalbiniai procesai aprėpti.

Svečio sistema yra tikra riba su tikromis ribomis

Virtualioji mašina suteikia atskirą operacinę sistemą su savo tinklo krūva, todėl svečias gali paleisti savo tunelį ir savo programas neliesdamas pagrindinės mašinos maršrutų. Tai stipresnis atskyrimas nei antroji prisijungimo paskyra, ir tai taip pat daugiau priežiūros darbo. Nuspręskite, ar ši kaina perka ribą, kurios jums tikrai reikia, prieš tai siūlydami.

Virtualaus tinklo režimą vis tiek reikia peržiūrėti. Ar svečias prijungtas tiltu, už NAT, ar izoliuotas, lemia, ką jis gali pasiekti ir kas gali pasiekti jį, o pagrindinės mašinos programos netampa svečio programomis vien todėl, kad svečias atsitiktinai prisijungęs. Patikrinkite ir blokavimo politiką, kitaip nukritęs svečio tunelis grįš į pagrindinės mašinos kelią taip, kaip niekas neketino.

Tarpinis serveris yra siauresnis už naudotojo paskyrą

Viena pagrindinės mašinos programa gali pasiekti tikrą tarpinio serverio paslaugą, veikiančią patvirtintame svečioje arba konteineryje, ir tai apima srautą, kurį programa iš tikrųjų siunčia palaikomu protokolu. Tai neapima kiekvieno proceso, priklausančio tai Mac paskyrai, ir neapima srauto, kurį programa siunčia už tarpinio serverio protokolo ribų.

Dar vienas atsargumas bendrose mašinose: TCP klausytojas, pririštas prie pagrindinės mašinos loopback, nėra naudotojo vardo patikra. Tarpinio serverio apribojimas vietine mašina laiko jį už tinklo ribų, bet nesuteikia vienam vietiniam naudotojui teisių kito, jau prisijungusio, atžvilgiu. Laikykite paslaugos autentifikavimą aiškų, jei šis skirtumas svarbus.

Įrodykite ribą dviem testais

Paleiskite abu kelius ir stebėkite juos atskirai. Pagal numatytą paskyrą atidarykite programą, kuriai reikia privataus ištekliaus, ir patvirtinkite, kad ji pasiekia valdomą paslaugą; pagal kitą paskyrą patvirtinkite, kad įprastas naršymas išlaiko namų kelią. Tada sąmoningai nutraukite tunelį ir patikrinkite atsarginį elgesį kiekvienoje pusėje, nes būtent ten dauguma dizainų tyliai žlunga. Atlikite patikras ir tą pačią valandą, kad pasikeitęs tinklas nesuterštų palyginimo.

Jei tunelį paleidžia konteineris ar svečias, pridėkite trečią patikrą: patvirtinkite, kad natūrali Mac programa už jo ribų vis dar elgiasi kaip suprojektuota. Pasirinkite paprasčiausią išdėstymą, kurio apimtį galite parodyti, ir nevadinkite virtualių mašinų visuotinai būtinomis, o paskyros keitimo – visuotinai pakankamu, prieš atlikdami tuos testus.