VPN по апликација или split tunnel? Што може да одлучи рута на Mac

Две апликации отвораат врски кон истиот канцелариски сервер, а само една од нив треба да го користи тунелот. Рутата не може да ја изрази таа желба, бидејќи табелите за рутирање се засноваат на одредишта и немаат поим за тоа кој процес го отворил сокетот. Она што луѓето го бараат и она што им треба често се различни работи. Одвојте ги двете пред да промените било каква конфигурација.

Селекторот е одредиште, никогаш процес

Секоја одлука за рутирање започнува со одредишна адреса и завршува со интерфејс. Кернелот никогаш не прашува кој програм го испратил пакетот, а на macOS ни pf не рутира по процес, па firewall правило не може да стави една апликација на друг пат. Затоа истиот сервер, без разлика дали му пристапува прелистувач или алатка за известување, користи еден пат за двете. Одвојувањето на ниво на апликација затоа мора да дојде од нешто друго освен рута: VPN додаток што го поседува сокетот, прокси што ја презема врската во името на апликацијата, или одделен мрежен стек. Ништо од тоа не е промена на рутирањето.

Две апликации што разговараат со една адреса се најчистиот тест на дизајнот. Ако одговорот меѓу нив не може да се разликува, дизајнот е заснован на одредиште, како и да се вика.

Што обичен split tunnel навистина дава

Split tunnel инсталира рути за приватните префикси и го остава сето друго на физичкиот пат. Тоа е обично она што барањето го значи: да се дојде до канцеларискиот сервер низ тунелот, јавното прелистување да остане директно. Едноставно е, секој вообичаен клиент го поддржува и го спроведува истиот механизам како и секоја друга рута. Проверете го конкретното одредиште со route -n get, наместо да ја читате стандардната рута, бидејќи split tunnel често ја остава стандардната рута недопрена.

Рачното уредување на стандардната рута не е претворање во ништо. Се бори против сопственото враќање на рутите на клиентот и кај клиентите што инсталираат заштитна политика може да ја остави машината во состојба што не ја очекувате ни вие ни клиентот. Наместо тоа конфигурирајте го split tunnel во поддржаните поставки на клиентот.

Што бара VPN по апликација на macOS

Вистински VPN по апликација на macOS е Network Extension функција водена од конфигурациски профил. Управниот товар ги поврзува избраните апликации со VPN конфигурација, а системот потоа го насочува сообраќајот на тие апликации соодветно. Тоа е управувано воведување, што значи MDM, потпишан профил и администратор што поседува и двете.

Рачната инсталација на клиентот не го создава тоа поврзување, а вообичаениот панел за поставки не ги прави апликациите поединечно избирливи. Добавувачот може да ги изложи сопствените правила за апликации и тие ја следат неговата документација, а не општо правило.

Три патишта до одвојување по апликација без MDM

Каде што управувањето не е достапно, прокси е практичниот одговор. Поставете ја сопствената прокси конфигурација на апликацијата или користете PAC датотека што избира по одредиште и протокол само за таа апликација.

Локалниот прокси ја завршува врската и повторно ја покренува низ тунелот, така што на апликацијата никогаш не ѝ треба рута. Втората опција е одделен мрежен стек: виртуелна машина или контејнер со сопствена стандардна рута, до која апликацијата доаѓа преку локална адреса. Третата е да се прифати рутирање засновано на одредиште и да се откаже од барањето, што е искрено кога двете апликации смеат да го користат тунелот. Сите три може да се тестираат и ниту една не се преправа дека рутата ги познава процесите.

Напишете го барањето така што одговорот ќе биде недвосмислен

Опишете го работниот тек, а не механизмот: на која апликација ѝ треба која услуга, дали друга апликација треба да се држи подалеку од истата услуга и што треба да се случи додека тунелот е исклучен. Тие три одговори го избираат дизајнот. Тие му кажуваат и на администраторот дали барањето е промена на рутирањето или проект за воведување.

Експлицитно вклучете го случајот со исклучената апликација. Клиентот што ја запира апликацијата кога нејзиниот заштитен пат не е достапен се однесува поинаку од оној што ѝ дозволува да се врати на физичкиот интерфејс, а корисниците ја забележуваат таа разлика веднаш. Именувајте го очекувањето во тикетот. Потоа проверете на вистинската машина, бидејќи истиот производ на macOS често се однесува поинаку отколку на Windows, а неговата macOS документација е единствениот сигурен извор за тоа што прават неговите поставки.