Dua akaun log masuk Mac tidak memisahkan trafik VPN

Dua akaun log masuk pada Mac yang sama kelihatan seperti dua dunia berasingan sehingga rangkaian tiba. Terowong yang dimulakan dalam satu sesi masih boleh mengubah apa yang dialami sesi lain, bergantung pada klien mana yang memilikinya dan dasar apa yang menyertainya. Terangkan pemisahan yang anda perlukan sebelum memilih mekanisme untuk menguatkuasakannya. Urutan penting, kerana mekanisme yang dipilih dahulu cenderung mentakrifkan semula keperluan di sekelilingnya.

Tiga soalan melakukan sebahagian besar kerja: aplikasi siapa memerlukan sumber peribadi yang mana, sama ada kedua-dua sesi mesti aktif serentak, dan apa yang dibenarkan dilakukan oleh aplikasi itu apabila terowongnya tidak tersedia.

Mulakan dengan trafik, bukan senarai akaun

Menukar akaun ialah sempadan identiti, bukan sempadan penghalaan. macOS memuatkan konfigurasi VPN untuk akaun yang memilikinya, tetapi antara muka, laluannya dan mana-mana dasar seluruh sistem yang dipasangnya milik mesin. Jika keperluannya ialah hanya aplikasi seorang individu masuk ke rangkaian korporat, reka bentuk mesti menyatakannya dari segi aplikasi dan destinasi, bukan dari segi siapa yang log masuk. Jika tidak, akaun kedua mewarisi apa yang ditinggalkan oleh klien akaun pertama.

Tulis tingkah laku yang diperlukan dalam satu ayat: e-mel dan akses fail seorang pengguna mengikut terowong terurus, pelayaran pengguna lain kekal pada sambungan rumah, dan tiada laluan mewarisi laluan lalai yang lain. Ayat itu boleh diuji; kisah pertukaran log masuk biasanya tidak.

Saluran profil dan skop trafik ialah dua perkara berbeza

Apple menyokong aturan VPN terurus yang dihantar mengikut pengguna atau mengikut peranti, dan panduan penggunaan menghuraikan model itu bersama integrasi bergantung pembekal. Saluran penghantaran memberitahu siapa menerima konfigurasi dan memilikinya. Ia tidak menentukan sendiri trafik mana yang ditangkap, kerana pelaksanaan klien dan dasar yang dikonfigurasikan masih menentukannya.

Di tempat mod terdokumentasi yang sedar pengguna atau sedar aplikasi boleh menyatakan keperluan, itulah laluan terpendek. Kemudian sahkan aplikasi dan identiti sebenar daripada mempercayai nama: dua salinan aplikasi yang sama bukan dua laluan rangkaian berbeza, dan profil yang menyenaraikan aplikasi tidak menjamin proses pembantunya dilindungi.

Sistem tetamu ialah sempadan sebenar dengan had sebenar

Mesin maya memberikan anda sistem pengendalian berasingan dengan tindanan rangkaiannya sendiri, jadi tetamu boleh menjalankan terowong dan aplikasinya sendiri tanpa menyentuh laluan hos. Itu pemisahan lebih kuat daripada akaun log masuk kedua, dan ia juga lebih banyak kerja penyelenggaraan. Tentukan sama ada kos itu membeli sempadan yang benar-benar anda perlukan sebelum mencadangkannya.

Mod rangkaian maya masih perlu disemak. Sama ada tetamu dijambatani, di belakang NAT atau diasingkan menentukan apa yang boleh dicapainya dan apa yang boleh mencapainya, dan aplikasi hos tidak menjadi aplikasi tetamu kerana tetamu kebetulan bersambung. Semak dasar penyekatan juga, jika tidak terowong tetamu yang gugur akan kembali ke laluan hos dengan cara yang tidak dimaksudkan sesiapa.

Proksi lebih sempit daripada akaun pengguna

Satu aplikasi hos boleh mencapai perkhidmatan proksi sebenar yang berjalan dalam tetamu atau kontena yang diluluskan, dan itu meliputi trafik yang benar-benar dihantar oleh aplikasi melalui protokol yang disokong. Ia tidak meliputi setiap proses yang dimiliki oleh akaun Mac itu, dan tidak meliputi trafik yang dihantar oleh aplikasi di luar protokol proksi.

Satu lagi langkah berjaga-jaga pada mesin dikongsi: pendengar TCP yang terikat pada gelung balik hos bukan pemeriksaan nama pengguna. Menghadkan proksi kepada mesin setempat menjauhkannya daripada rangkaian, tetapi ia tidak membenarkan seorang pengguna setempat melebihi pengguna lain yang sudah log masuk. Kekalkan pengesahan perkhidmatan secara eksplisit jika perbezaan itu penting.

Buktikan sempadan dengan dua ujian

Jalankan kedua-dua laluan dan perhatikannya secara berasingan. Di bawah akaun yang dimaksudkan, buka aplikasi yang memerlukan sumber peribadi dan sahkan ia mencapai perkhidmatan terurus; di bawah akaun lain, sahkan pelayaran biasa mengekalkan laluan rumah. Kemudian putuskan terowong dengan sengaja dan periksa tingkah laku sandaran pada setiap sisi, kerana di situlah kebanyakan reka bentuk gagal secara senyap. Lakukan pemeriksaan pada jam yang sama juga, supaya rangkaian yang berubah tidak mencemarkan perbandingan.

Jika kontena atau tetamu menjalankan terowong, tambah pemeriksaan ketiga: sahkan aplikasi Mac asli di luarnya masih berkelakuan seperti direka. Pilih aturan paling mudah yang skopnya boleh anda tunjukkan, dan jangan melabel mesin maya sebagai universal perlu atau pertukaran akaun sebagai universal cukup sebelum menjalankan ujian itu.