VPN setiap aplikasi atau split tunnel? Apa yang boleh diputuskan laluan Mac

Dua aplikasi membuka sambungan ke pelayan pejabat yang sama, dan hanya satu daripadanya patut menggunakan terowong. Laluan tidak boleh menyatakan kehendak itu, kerana jadual penghalaan berdasarkan destinasi dan tidak mempunyai tanggapan tentang proses mana yang membuka soket. Apa yang orang minta dan apa yang mereka perlukan selalunya berbeza. Pisahkan kedua-duanya sebelum menukar sebarang konfigurasi.

Pemilih ialah destinasi, tidak pernah proses

Setiap keputusan penghalaan bermula dengan alamat destinasi dan berakhir pada antara muka. Kernel tidak pernah bertanya program mana yang menghantar paket, dan pada macOS pf juga tidak menghala berdasarkan proses, jadi peraturan tembok api tidak boleh meletakkan satu aplikasi pada laluan lain. Itulah sebabnya pelayan yang sama, sama ada dicapai dari pelayar atau dari alat laporan, mengambil satu laluan untuk kedua-duanya. Oleh itu pemisahan pada peringkat aplikasi mesti datang daripada sesuatu selain laluan: pemalam VPN yang memiliki soket, proksi yang mengambil sambungan bagi pihak aplikasi, atau tindanan rangkaian berasingan. Tiada satu pun daripadanya ialah perubahan penghalaan.

Dua aplikasi yang bercakap dengan satu alamat ialah ujian paling bersih bagi sesuatu reka bentuk. Jika jawapannya tidak boleh berbeza antara keduanya, reka bentuk itu berasaskan destinasi, apa pun namanya.

Apa yang sebenarnya diberi oleh split tunnel biasa

split tunnel memasang laluan untuk awalan peribadi dan membiarkan segala-galanya pada laluan fizikal. Biasanya itulah maksud permintaan: sampai ke pelayan pejabat melalui terowong, kekalkan pelayaran awam secara terus. Ia mudah, setiap klien biasa menyokongnya, dan ia dikuatkuasakan oleh mekanisme yang sama seperti mana-mana laluan lain. Semak destinasi tertentu dengan route -n get dan bukan membaca laluan lalai, kerana split tunnel sering membiarkan laluan lalai tidak disentuh.

Menyunting laluan lalai secara manual bukanlah penukaran kepada apa-apa. Ia bergelut dengan pemulihan laluan klien itu sendiri dan, pada klien yang memasang dasar perlindungan, boleh meninggalkan mesin dalam keadaan yang tidak anda mahupun klien jangkakan. Konfigurasikan split tunnel dalam tetapan klien yang disokong.

Apa yang diperlukan VPN setiap aplikasi pada macOS

VPN setiap aplikasi yang sebenar pada macOS ialah ciri Network Extension yang dipandu oleh profil konfigurasi. Muatan pengurusan memetakan aplikasi terpilih kepada konfigurasi VPN, dan sistem kemudian menghala trafik aplikasi itu mengikutnya. Ini penggunaan terurus, yang bermaksud MDM, profil yang ditandatangani dan pentadbir yang memiliki kedua-duanya.

Memasang klien secara manual tidak mencipta pemetaan itu, dan panel tetapan biasa tidak menjadikan aplikasi boleh dipilih secara berasingan. Vendor boleh mendedahkan peraturan aplikasinya sendiri, dan peraturan itu mengikut dokumentasinya dan bukan peraturan umum.

Tiga cara memisahkan setiap aplikasi tanpa MDM

Di tempat pengurusan tidak tersedia, proksi ialah jawapan praktikal. Tetapkan konfigurasi proksi aplikasi itu sendiri, atau gunakan fail PAC yang memilih mengikut destinasi dan protokol hanya untuk aplikasi itu.

Proksi setempat menamatkan sambungan dan menciptanya semula melalui terowong, jadi aplikasi tidak pernah memerlukan laluan. Pilihan kedua ialah tindanan rangkaian berasingan: mesin maya atau kontena dengan laluan lalai sendiri, yang dicapai oleh aplikasi melalui alamat setempat. Yang ketiga ialah menerima penghalaan berasaskan destinasi dan melepaskan keperluan itu, yang jujur apabila kedua-dua aplikasi boleh menggunakan terowong. Ketiga-tiganya boleh diuji, dan tiada satu pun berpura-pura bahawa laluan mengenali proses.

Tulis permintaan supaya jawapannya tidak kabur

Terangkan aliran kerja dan bukan mekanisme: aplikasi mana memerlukan perkhidmatan mana, sama ada aplikasi lain mesti dijauhkan daripada perkhidmatan yang sama, dan apa yang patut berlaku semasa terowong tidak berfungsi. Ketiga-tiga jawapan itu memilih reka bentuk. Ia juga memberitahu pentadbir sama ada permintaan itu perubahan penghalaan atau projek penggunaan.

Sertakan kes aplikasi yang dikecualikan secara jelas. Klien yang menghentikan aplikasi apabila laluan terlindungnya tidak tersedia berkelakuan berbeza daripada klien yang membiarkannya kembali ke antara muka fizikal, dan pengguna menyedari perbezaan itu serta-merta. Namakan jangkaan dalam tiket. Kemudian sahkan pada mesin sebenar, kerana produk yang sama sering berkelakuan berbeza pada macOS berbanding Windows, dan dokumentasi macOS-nya ialah satu-satunya sumber yang boleh dipercayai tentang apa yang dilakukan oleh tetapannya.