Divi Mac pieteikšanās konti nedala VPN datplūsmu

Divi pieteikšanās konti tajā pašā Mac izskatās kā divas atsevišķas pasaules, līdz ierodas tīkls. Tunelis, kas sākts vienā sesijā, tomēr var mainīt to, ko piedzīvo otra sesija, atkarībā no tā, kuram klientam tas pieder un kāda politika nāk līdzi. Aprakstiet nepieciešamo atdalījumu, pirms izvēlaties mehānismu tā ieviešanai. Secība ir svarīga, jo pirmais izvēlētais mehānisms mēdz no jauna definēt prasību ap sevi.

Trīs jautājumi veic lielāko daļu darba: kuru lietotnēm kādi privātie resursi ir vajadzīgi, vai abām sesijām jābūt aktīvām vienlaikus un ko šīm lietotnēm ir atļauts darīt, kad to tunelis nav pieejams.

Sāciet ar datplūsmu, nevis ar kontu sarakstu

Konta maiņa ir identitātes robeža, nevis maršrutēšanas robeža. macOS ielādē VPN konfigurāciju kontam, kuram tā pieder, bet saskarne, tās maršruti un jebkura sistēmas līmeņa politika, ko tā instalē, pieder mašīnai. Ja prasība ir, lai uzņēmuma tīklā iekļūtu tikai vienas personas lietotnes, dizainam tas jāsaka lietotņu un galamērķu izteiksmē, nevis tā izteiksmē, kurš ir pieteicies. Citādi otrais konts manto to, ko pirmais klients atstājis.

Uzrakstiet nepieciešamo uzvedību vienā teikumā: viena lietotāja pasts un failu piekļuve seko pārvaldītajam tunelim, otra lietotāja pārlūkošana paliek mājas savienojumā, un neviens no ceļiem nemanto otra noklusējuma maršrutu. Šis teikums ir pārbaudāms; stāsts par pieteikšanās maiņu parasti nav.

Profila kanāls un datplūsmas apjoms ir divas dažādas lietas

Apple atbalsta pārvaldītus VPN izkārtojumus, kas tiek piegādāti katram lietotājam vai katrai ierīcei, un izvietošanas rokasgrāmata apraksta šos modeļus kopā ar pakalpojumu sniedzēja atkarīgu integrāciju. Piegādes kanāls nosaka, kas saņem konfigurāciju un kam tā pieder. Tas pats par sevi nenosaka, kura datplūsma tiek uztverta, jo klienta ieviešana un konfigurētā politika joprojām to izlemj.

Kur dokumentēts lietotāju vai lietotni apzināts režīms var izteikt prasību, tas ir īsākais ceļš. Pēc tam pārbaudiet faktiskās lietotnes un identitātes, nevis uzticieties nosaukumiem: divas vienas lietotnes kopijas nav divi dažādi tīkla ceļi, un profils, kurā uzskaitīta lietotne, negarantē, ka tās palīgprocesi ir aptverti.

Viesa sistēma ir īsta robeža ar īstiem ierobežojumiem

Virtuālā mašīna dod jums atsevišķu operētājsistēmu ar savu tīkla steku, tāpēc viesis var palaist savu tuneli un savas lietotnes, neaizskarot resursdatora maršrutus. Tā ir spēcīgāka atdalīšana nekā otrs pieteikšanās konts, un tas arī ir vairāk uzturēšanas darba. Izlemiet, vai šīs izmaksas pērk robežu, kas jums patiešām vajadzīga, pirms to ierosināt.

Virtuālā tīkla režīms joprojām ir jāpārskata. Vai viesis ir savienots ar tiltu, aiz NAT vai izolēts, nosaka to, ko tas var sasniegt un kas var sasniegt to, un resursdatora lietotnes nekļūst par viesa lietotnēm tikai tāpēc, ka viesis nejauši ir pievienots. Pārbaudiet arī bloķēšanas politiku, citādi kritušais viesa tunelis atgriezīsies resursdatora ceļā tā, kā neviens nebija paredzējis.

Starpnieks ir šaurāks par lietotāja kontu

Viena resursdatora lietotne var sasniegt īstu starpniekservisa pakalpojumu, kas darbojas apstiprinātā viesī vai konteinerā, un tas aptver datplūsmu, ko lietotne patiešām sūta pa atbalstīto protokolu. Tas neaptver katru procesu, kas pieder šim Mac kontam, un neaptver datplūsmu, ko lietotne sūta ārpus starpniekservera protokola.

Vēl viens piesardzības pasākums koplietotās mašīnās: TCP klausītājs, kas piesaistīts resursdatora atgriezeniskajai cilpai, nav lietotājvārda pārbaude. Starpnieka ierobežošana ar vietējo mašīnu tur to prom no tīkla, bet nepiešķir vienam vietējam lietotājam tiesības pret citu, kas jau ir pieteicies. Saglabājiet pakalpojuma autentifikāciju skaidru, ja šī atšķirība ir svarīga.

Pierādiet robežu ar diviem testiem

Palaidiet abus ceļus un novērojiet tos atsevišķi. Paredzētā kontā atveriet lietotni, kurai vajadzīgs privātais resurss, un apstipriniet, ka tā sasniedz pārvaldīto pakalpojumu; otrā kontā apstipriniet, ka parastā pārlūkošana saglabā mājas ceļu. Pēc tam apzināti pārtrauciet tuneli un pārbaudiet rezerves uzvedību katrā pusē, jo tieši tur lielākā daļa dizainu klusi neizdodas. Veiciet pārbaudes arī tajā pašā stundā, lai mainītais tīkls nesabojātu salīdzinājumu.

Ja tuneli palaiž konteiners vai viesis, pievienojiet trešo pārbaudi: apstipriniet, ka vietējā Mac lietotne ārpus tā joprojām uzvedas kā projektēta. Izvēlieties vienkāršāko izkārtojumu, kura apjomu varat parādīt, un nesauciet virtuālās mašīnas par vispārēji nepieciešamām vai konta maiņu par vispārēji pietiekamu pirms šo testu veikšanas.