VPN katrai lietotnei vai split tunelis? Ko var izlemt Mac maršruts

Divas lietotnes atver savienojumus uz vienu un to pašu biroja serveri, un tikai vienai no tām vajadzētu izmantot tuneli. Maršruts nevar izteikt šo vēlmi, jo maršrutēšanas tabulas ir balstītas uz galamērķiem un tām nav jēdziena par to, kurš process atvēra ligzdu. Tas, ko cilvēki prasa, un tas, kas viņiem vajadzīgs, bieži ir dažādas lietas. Atdaliet abus pirms jebkuras konfigurācijas maiņas.

Atlasītājs ir galamērķis, nekad process

Katrs maršrutēšanas lēmums sākas ar galamērķa adresi un beidzas ar saskarni. Kodols nekad nejautā, kura programma nosūtīja paketi, un macOS pf arī maršrutē nevis pēc procesa, tāpēc ugunsmūra noteikums nevar vienu lietotni novirzīt uz citu ceļu. Tāpēc viens un tas pats serveris, kas sasniegts gan no pārlūka, gan no atskaišu rīka, abiem iet pa vienu ceļu. Tāpēc lietotnes līmeņa atdalīšanai jānāk no kaut kā cita, nevis maršruta: VPN spraudnis, kam pieder ligzda, starpniekserveris, kas pārņem savienojumu lietotnes vārdā, vai atsevišķs tīkla steks. Neviens no tiem nav maršruta maiņa.

Divas lietotnes, kas runā ar vienu adresi, ir tīrākais dizaina tests. Ja atbilde starp tām nevar atšķirties, dizains ir balstīts uz galamērķi, lai kā to arī sauktu.

Ko parasts split tunelis patiešām dod

Split tunelis uzstāda maršrutus privātajiem prefiksiem un atstāj visu pārējo uz fiziskā ceļa. Parasti tas ir tas, ko nozīmē pieprasījums: sasniegt biroja serveri caur tuneli, saglabāt publisku pārlūkošanu tiešu. Tas ir vienkārši, katrs izplatītais klients to atbalsta, un to īsteno ar to pašu mehānismu kā jebkuru citu maršrutu. Pārbaudiet konkrēto galamērķi ar route -n get, nevis lasot noklusējuma maršrutu, jo split tunelis bieži atstāj noklusējuma maršrutu neskartu.

Noklusējuma maršruta manuāla rediģēšana nav pārvēršana nekur. Tā cīnās ar klienta paša maršrutu atjaunošanu, un klients, kas uzstāda aizsardzības politiku, var atstāt mašīnu stāvoklī, ko negaida ne jūs, ne klients. Tā vietā konfigurējiet split tuneli klienta atbalstītajos iestatījumos.

Ko prasa lietotnes VPN macOS sistēmā

Īsts lietotnes VPN operētājsistēmā macOS ir Network Extension funkcija, ko vada konfigurācijas profils. Pārvaldības kravnesa saista izvēlētās lietotnes ar VPN konfigurāciju, un sistēma pēc tam attiecīgi maršrutē šo lietotņu trafiku. Tā ir pārvaldīta izvietošana, kas nozīmē MDM, parakstītu profilu un administratoru, kam pieder abi.

Klienta manuāla instalēšana šo saistījumu neizveido, un parastais iestatījumu panelis lietotnes nepadara atsevišķi atlasāmas. Ražotājs var piedāvāt savus lietotnes noteikumus, un tie seko viņa dokumentācijai, nevis vispārīgam noteikumam.

Trīs ceļi uz atdalīšanu pa lietotnēm bez MDM

Kur pārvaldība nav pieejama, starpniekserveris ir praktiskā atbilde. Iestatiet lietotnes pašas starpniekservera konfigurāciju vai izmantojiet PAC failu, kas atlasa pēc galamērķa un protokola tikai šai lietotnei.

Vietējais starpniekserveris pārtrauc savienojumu un atjauno to caur tuneli, tāpēc lietotnei nekad nav vajadzīgs maršruts. Otrais variants ir atsevišķs tīkla steks: virtuālā mašīna vai konteiners ar savu noklusējuma maršrutu, ko lietotne sasniedz pa vietējo adresi. Trešais ir pieņemt uz galamērķi balstītu maršrutēšanu un atteikties no prasības, kas ir godīgi, ja abas lietotnes drīkst izmantot tuneli. Visus trīs var pārbaudīt, un neviens no tiem neizliekas, ka maršruts zina procesus.

Uzrakstiet pieprasījumu tā, lai atbilde būtu viennozīmīga

Aprakstiet darbplūsmu, nevis mehānismu: kurai lietotnei vajadzīgs kurš pakalpojums, vai cita lietotne jātur prom no tā paša pakalpojuma un kam jānotiek, kamēr tunelis ir izslēgts. Šīs trīs atbildes izvēlas dizainu. Tās arī pasaka administratoram, vai pieprasījums ir maršruta maiņa vai izvietošanas projekts.

Skaidri iekļaujiet izslēgtās lietotnes gadījumu. Klients, kas aptur lietotni, kad tās aizsargātais ceļš nav pieejams, uzvedas citādi nekā tas, kas ļauj tai atgriezties uz fizisko saskarni, un lietotāji šo atšķirību pamana uzreiz. Nosauciet gaidīto pieteikumā. Pēc tam pārbaudiet reālajā mašīnā, jo viens un tas pats produkts macOS bieži uzvedas citādi nekā Windows, un tā macOS dokumentācija ir vienīgais uzticamais avots par to, ko dara tā iestatījumi.