Два Mac сметки за најавување не го делат VPN сообраќајот

Две сметки за најавување на истиот Mac изгледаат како два одделни света додека не дојде мрежата. Тунел започнат во една сесија сепак може да го промени она што го доживува другата сесија, зависно од тоа кој клиент го поседува и каква политика доаѓа со него. Опишете го одвојувањето што ви треба пред да изберете механизам за негово спроведување. Редоследот е важен, бидејќи механизмот избран прв има тенденција да го предефинира барањето околу себе.

Три прашања ја вршат поголемиот дел од работата: чии апликации бараат кои приватни ресурси, дали двете сесии мора да бидат активни истовремено и што смеат тие апликации да прават кога нивниот тунел не е достапен.

Започнете од сообраќајот, не од списокот сметки

Менувањето сметка е граница на идентитетот, а не граница на рутирањето. macOS вчитува VPN конфигурација за сметката што ја поседува, но интерфејсот, неговите рути и секоја системска политика што ја инсталира припаѓаат на машината. Ако барањето е само апликациите на едно лице да влегуваат во корпоративната мрежа, дизајнот мора да го каже тоа во смисла на апликации и одредишта, а не во смисла на тоа кој е најавен. Инаку втората сметка го наследува она што клиентот на првата го оставил.

Напишете го бараното однесување во една реченица: поштата и пристапот до датотеки на еден корисник го следат управуваниот тунел, прелистувањето на другиот корисник останува на домашната врска и ниту еден пат не ја наследува стандардната рута на другиот. Таа реченица е проверлива; приказната за менување најава обично не е.

Каналот на профилот и опсегот на сообраќајот се различни работи

Apple поддржува управувани VPN поставки што се доставуваат по корисник или по уред, а водичот за распоредување ги опишува тие модели заедно со интеграцијата зависна од давателот. Каналот за достава кажува кој ја добива конфигурацијата и ја поседува. Тој сам по себе не одредува кој сообраќај се фаќа, бидејќи имплементацијата на клиентот и конфигурираната политика сѐ уште одлучуваат за тоа.

Каде документираниот режим свесен за корисникот или апликацијата може да го изрази барањето, тоа е најкраткиот пат. Потоа проверете ги вистинските апликации и идентитети наместо да им верувате на имињата: две копии од истата апликација не се два различни мрежни пата, а профилот што наведува апликација не гарантира дека нејзините помошни процеси се опфатени.

Гостинскиот систем е вистинска граница со вистински ограничувања

Виртуелната машина ви дава одделен оперативен систем со сопствен мрежен стек, па гостинот може да го води својот тунел и своите апликации без да ги допре рутите на домаќинот. Тоа е посилно одвојување од втора сметка за најавување, а исто така е и повеќе работа за одржување. Одлучете дали таа цена купува граница што навистина ви треба пред да ја предложите.

Режимот на виртуелната мрежа сѐ уште бара преглед. Дали гостинот е мостен, зад NAT или изолиран одредува до што може да стигне и што може да стигне до него, а апликациите на домаќинот не стануваат апликации на гостинот затоа што гостинот случајно е поврзан. Проверете ја и политиката за блокирање, инаку паднатиот тунел на гостинот ќе се врати на патот на домаќинот на начин што никој не го предвидел.

Проксито е потесно од корисничка сметка

Една апликација на домаќинот може да стигне до вистинска прокси услуга што работи во одобрен гостин или контејнер, и тоа го покрива сообраќајот што апликацијата навистина го праќа преку поддржаниот протокол. Тоа не го покрива секој процес што го поседува таа Mac сметка и не го покрива сообраќајот што апликацијата го праќа надвор од прокси протоколот.

Уште една претпазливост на споделени машини: TCP слушател врзан за локалната повратна јамка на домаќинот не е проверка на корисничко име. Ограничувањето на проксито на локалната машина го држи надвор од мрежата, но не овластува еден локален корисник над друг што веќе се најавил. Држете ја автентикацијата на услугата експлицитна ако таа разлика е важна.

Докажете ја границата со два теста

Стартувајте ги двата пата и набљудувајте ги одделно. Под предвидената сметка отворете ја апликацијата што го бара приватниот ресурс и потврдете дека стигнува до управуваната услуга; под другата сметка потврдете дека обичното прелистување го задржува домашниот пат. Потоа намерно прекинете го тунелот и проверете го однесувањето при враќање на секоја страна, бидејќи токму таму повеќето дизајни тивко паѓаат. Правете ги проверките и во истиот час, за да не ја загади споредбата променета мрежа.

Ако контејнер или гостин го води тунелот, додајте трета проверка: потврдете дека нативната Mac апликација надвор од него сѐ уште се однесува како што е проектирана. Изберете го наједноставниот распоред чиј опсег можете да го покажете и не нарекувајте виртуелните машини универзално потребни, а менувањето сметка универзално доволно пред да ги извршите тие тестови.