VPN kiekvienai programai ar split tunelis? Ką gali nuspręsti Mac maršrutas

Dvi programos atidaro ryšius į tą patį biuro serverį, ir tik viena iš jų turėtų naudoti tunelį. Maršrutas negali išreikšti šio noro, nes maršrutų lentelės pagrįstos paskirties vietomis ir neturi supratimo, kuris procesas atidarė lizdą. Tai, ko žmonės prašo, ir tai, ko jiems reikia, dažnai yra skirtingi dalykai. Atskirkite abu prieš keisdami bet kokią konfigūraciją.

Parinkiklis yra paskirties vieta, niekada ne procesas

Kiekvienas maršrutizavimo sprendimas prasideda paskirties adresu ir baigiasi sąsaja. Branduolys niekada neklausia, kuri programa išsiuntė paketą, o macOS pf taip pat maršrutizuoja ne pagal procesą, todėl ugniasienės taisyklė negali vienos programos nukreipti kitu keliu. Štai kodėl tas pats serveris, pasiektas ir naršyklės, ir ataskaitų įrankio, abiem eina vienu keliu. Todėl programų lygmens atskyrimas turi kilti iš kažko kito nei maršrutas: VPN papildinys, kuriam priklauso lizdas, tarpinis serveris, kuris perima ryšį programos vardu, arba atskiras tinklo kamienas. Nė vienas jų nėra maršruto pakeitimas.

Dvi programos, kalbančios su vienu adresu, yra švariausias dizaino testas. Jei atsakymas tarp jų negali skirtis, dizainas pagrįstas paskirties vieta, kad ir kaip jis būtų vadinamas.

Ką paprastas split tunelis iš tikrųjų duoda

Split tunelis įdiegia maršrutus privatiems prefiksams ir palieka visa kita fiziniame kelyje. Paprastai tai ir reiškia prašymas: pasiekti biuro serverį per tunelį, palikti viešą naršymą tiesioginį. Tai paprasta, kiekvienas įprastas klientas tai palaiko, ir tai įgyvendinama tuo pačiu mechanizmu kaip ir bet kuris kitas maršrutas. Patikrinkite konkrečią paskirties vietą su route -n get, o ne skaitydami numatytąjį maršrutą, nes split tunelis dažnai palieka numatytąjį maršrutą nepaliestą.

Numatytojo maršruto redagavimas ranka nėra pavertimas kuo nors. Tai kovoja su kliento pačio maršrutų atkūrimu, ir klientuose, kurie įdiegia apsaugos politiką, gali palikti mašiną būsenoje, kurios nesitiki nei jūs, nei klientas. Vietoj to sukonfigūruokite split tunelį palaikomuose kliento nustatymuose.

Ko reikalauja programos VPN macOS sistemoje

Tikras programos VPN macOS sistemoje yra Network Extension funkcija, valdoma konfigūracijos profilio. Valdymo naudingoji apkrova susieja pasirinktas programas su VPN konfigūracija, o sistema tada atitinkamai maršrutizuoja tų programų srautą. Tai valdomas diegimas, reiškiantis MDM, pasirašytą profilį ir administratorių, kuriam priklauso abu.

Rankinis kliento diegimas nesukuria to susiejimo, o įprastas nustatymų skydelis neleidžia programų pasirinkti atskirai. Tiekėjas gali siūlyti savo programų taisykles, ir jos vadovaujasi jo dokumentacija, o ne bendra taisykle.

Trys būdai atskirti programas be MDM

Kur valdymas neprieinamas, tarpinis serveris yra praktiškas atsakymas. Nustatykite pačios programos tarpinio serverio konfigūraciją arba naudokite PAC failą, kuris pagal paskirties vietą ir protokolą parenka tik tai programai.

Vietinis tarpinis serveris užbaigia ryšį ir atkuria jį per tunelį, todėl programai niekada nereikia maršruto. Antrasis variantas yra atskiras tinklo kamienas: virtualioji mašina arba konteineris su savo numatytuoju maršrutu, kurį programa pasiekia vietiniu adresu. Trečiasis yra priimti paskirties pagrindu veikiantį maršrutizavimą ir atsisakyti reikalavimo, o tai sąžininga, kai abi programos gali naudoti tunelį. Visus tris galima išbandyti, ir nė vienas jų neapsimeta, kad maršrutas žino procesus.

Aprašykite prašymą taip, kad atsakymas būtų vienareikšmis

Aprašykite darbo eigą, o ne mechanizmą: kuri programa kurio serviso reikia, ar kita programa turi būti laikoma atokiau nuo to paties serviso, ir kas turėtų vykti, kol tunelis neveikia. Šie trys atsakymai parenka dizainą. Jie taip pat pasako administratoriui, ar prašymas yra maršruto pakeitimas, ar diegimo projektas.

Aiškiai įtraukite išbrauktos programos atvejį. Klientas, kuris sustabdo programą, kai jos apsaugotas kelias neprieinamas, elgiasi kitaip nei tas, kuris leidžia jai grįžti prie fizinės sąsajos, ir naudotojai tą skirtumą pastebi iškart. Įvardykite lūkestį biliete. Tada patikrinkite tikroje mašinoje, nes tas pats produktas macOS dažnai elgiasi kitaip nei Windows, o jo macOS dokumentacija yra vienintelis patikimas šaltinis apie tai, ką daro jo nustatymai.