Dva Mac korisnička računa ne dele VPN saobraćaj

Dva korisnička računa na istom Macu izgledaju kao dva odvojena sveta dok ne dođe mreža. Tunel pokrenut u jednoj sesiji ipak može promeniti ono što druga sesija doživljava, zavisno od toga koji ga klijent poseduje i koja politika ide s njim. Opišite razdvajanje koje vam treba pre nego što izaberete mehanizam za njegovo sprovođenje. Redosled je važan, jer mehanizam izabran prvi ima sklonost da zahtev predefiniše oko sebe.

Tri pitanja obavljaju većinu posla: čije aplikacije trebaju koje privatne resurse, moraju li obe sesije biti aktivne istovremeno i šta te aplikacije smeju da rade kada njihov tunel nije dostupan.

Pođite od saobraćaja, a ne od spiska računa

Prebacivanje računa je granica identiteta, a ne granica rutiranja. macOS učitava VPN konfiguraciju za račun koji je poseduje, ali interfejs, njegove rute i svaka sistemska politika koju instalira pripadaju mašini. Ako je zahtev da samo aplikacije jedne osobe ulaze u korporativnu mrežu, dizajn to mora reći u smislu aplikacija i odredišta, a ne u smislu toga ko je prijavljen. Inače drugi račun nasleđuje ono što je klijent prvog ostavio.

Napišite traženo ponašanje u jednoj rečenici: pošta i pristup datotekama jednog korisnika prate upravljani tunel, pretraživanje drugog korisnika ostaje na kućnoj vezi i nijedna putanja ne nasleđuje zadanu rutu one druge. Ta rečenica je proverljiva; priča o prebacivanju prijave obično nije.

Kanal profila i obim saobraćaja su različite stvari

Apple podržava upravljane VPN aranžmane koji se isporučuju po korisniku ili po uređaju, a vodič za implementaciju opisuje te modele zajedno s integracijom koja zavisi od provajdera. Kanal isporuke govori ko prima konfiguraciju i poseduje je. On sam po sebi ne definiše koji se saobraćaj hvata, jer implementacija klijenta i konfigurisana politika i dalje odlučuju o tome.

Gde dokumentovani režim svestan korisnika ili aplikacije može izraziti zahtev, to je najkraći put. Zatim proverite stvarne aplikacije i identitete umesto da verujete imenima: dve kopije iste aplikacije nisu dva različita mrežna puta, a profil koji navodi aplikaciju ne garantuje da su njeni pomoćni procesi pokriveni.

Gostujući sistem je stvarna granica sa stvarnim ograničenjima

Virtualna mašina vam daje odvojen operativni sistem s vlastitim mrežnim stekom, pa gost može pokrenuti vlastiti tunel i vlastite aplikacije bez diranja ruta domaćina. To je jače razdvajanje od drugog korisničkog računa, a i više posla za održavanje. Odlučite da li ta cena kupuje granicu koja vam je zaista potrebna pre nego što je predložite.

Režim virtualne mreže i dalje treba pregled. Da li je gost premošćen, iza NAT-a ili izolovan određuje do čega može stići i šta može stići do njega, a aplikacije domaćina ne postaju aplikacije gosta zato što je gost slučajno povezan. Proverite i politiku blokiranja, inače će pali tunel gosta pasti natrag na putanju domaćina na način koji niko nije nameravao.

Proxy je uži od korisničkog računa

Jedna aplikacija domaćina može doći do stvarne proxy usluge koja radi u odobrenom gostu ili kontejneru, i to pokriva saobraćaj koji aplikacija zaista šalje kroz podržani protokol. To ne pokriva svaki proces koji poseduje taj Mac račun i ne pokriva saobraćaj koji aplikacija šalje izvan proxy protokola.

Još jedno upozorenje na deljenim mašinama: TCP slušalac vezan za lokalnu povratnu petlju domaćina nije provera korisničkog imena. Ograničavanje proxyja na lokalnu mašinu drži ga izvan mreže, ali ne ovlašćuje jednog lokalnog korisnika nad drugim koji je već prijavljen. Držite autentifikaciju usluge eksplicitnom ako je ta razlika važna.

Dokažite granicu s dva testa

Pokrenite oba puta i posmatrajte ih odvojeno. Pod predviđenim računom otvorite aplikaciju kojoj treba privatni resurs i potvrdite da stiže do upravljane usluge; pod drugim računom potvrdite da obično pretraživanje zadržava kućnu putanju. Zatim namerno prekinite tunel i proverite ponašanje pri povratku za svaku stranu, jer tu većina dizajna tiho pada. Radite provere i u istom satu, da promenjena mreža ne zagadi poređenje.

Ako kontejner ili gost pokreće tunel, dodajte treću proveru: potvrdite da se izvorna Mac aplikacija izvan njega i dalje ponaša kako je projektovano. Izaberite najjednostavniji aranžman čiji obim možete pokazati i ne nazivajte virtualne mašine univerzalno neophodnim, a prebacivanje računa univerzalno dovoljnim pre nego što sprovedete te testove.