Dve prihlasovacie účty Macu nerozdeľujú VPN prevádzku

Dve prihlasovacie účty na tom istom Macu vyzerajú ako dva oddelené svety, kým nepríde sieť. Tunel spustený v jednej relácii napriek tomu môže zmeniť to, čo zažíva druhá relácia, podľa toho, ktorý klient ho vlastní a aká politika s ním prichádza. Opíšte oddelenie, ktoré potrebujete, skôr než zvolíte mechanizmus na jeho presadenie. Poradie je dôležité, pretože mechanizmus zvolený ako prvý má sklon predefinovať požiadavku okolo seba.

Tri otázky urobia väčšinu práce: ktoré aplikácie koho potrebujú ktoré súkromné zdroje, či obe relácie musia byť aktívne súčasne a čo tieto aplikácie smú robiť, keď ich tunel nie je dostupný.

Začnite prevádzkou, nie zoznamom účtov

Prepínanie účtov je hranica identity, nie hranica smerovania. macOS načíta konfiguráciu VPN pre účet, ktorý ju vlastní, ale rozhranie, jeho trasy a akúkoľvek systémovú politiku, ktorú nainštaluje, patria stroju. Ak je požiadavkou, aby do podnikovej siete vstupovali len aplikácie jedného človeka, návrh to musí povedať v pojmoch aplikácií a cieľov, nie v pojmoch toho, kto je prihlásený. Inak druhý účet zdedí to, čo klient prvého zanechal.

Napíšte požadované správanie jednou vetou: pošta a prístup k súborom jedného používateľa idú cez spravovaný tunel, prehliadanie druhého používateľa zostáva na domácom pripojení a žiadna cesta nededia predvolenú trasu tej druhej. Tá veta je testovateľná; príbeh o prepínaní prihlásenia zvyčajne nie.

Kanál profilu a rozsah prevádzky sú rôzne veci

Apple podporuje spravované usporiadania VPN dodávané pre používateľa alebo pre zariadenie a sprievodca nasadením opisuje tieto modely spolu s integráciou závislou od poskytovateľa. Kanál doručenia hovorí, kto konfiguráciu dostáva a vlastní ju. Sám o sebe neurčuje, ktorá prevádzka sa zachytáva, pretože implementácia klienta a nakonfigurovaná politika o tom stále rozhodujú.

Tam, kde dokumentovaný režim zohľadňujúci používateľa alebo aplikáciu môže požiadavku vyjadriť, je to najkratšia cesta. Potom overte skutočné aplikácie a identity namiesto spoliehania sa na názvy: dve kópie tej istej aplikácie nie sú dve rôzne sieťové cesty a profil, ktorý aplikáciu uvádza, nezaručuje, že sú pokryté jej pomocné procesy.

Hostovaný systém je skutočná hranica so skutočnými limitmi

Virtuálny stroj vám dáva samostatný operačný systém s vlastným sieťovým zásobníkom, takže hosť môže spustiť vlastný tunel a vlastné aplikácie bez toho, aby sa dotkol trás hostiteľa. Je to silnejšie oddelenie ako druhý prihlasovací účet a je to aj viac práce s údržbou. Rozhodnite, či tá cena kupuje hranicu, ktorú skutočne potrebujete, skôr než ju navrhnete.

Režim virtuálnej siete stále vyžaduje kontrolu. Či je hosť premostený, za NAT alebo izolovaný, určuje, čo môže dosiahnuť a čo môže dosiahnuť jeho, a aplikácie hostiteľa sa nestanú aplikáciami hosťa len preto, že je hosť náhodou pripojený. Skontrolujte aj politiku blokovania, inak spadnutý tunel hosťa prejde späť na cestu hostiteľa spôsobom, ktorý nikto nezamýšľal.

Proxy je užšie ako používateľský účet

Jedna aplikácia hostiteľa môže dosiahnuť skutočnú proxy službu bežiacu v schválenom hosťovi alebo kontajneri a to pokrýva prevádzku, ktorú aplikácia skutočne odosiela podporovaným protokolom. Nepokrýva každý proces vlastnený týmto účtom Macu a nepokrýva prevádzku, ktorú aplikácia odosiela mimo protokolu proxy.

Ďalšia opatrnosť na zdieľaných strojoch: TCP poslucháč viazaný na lokálnu slučku hostiteľa nie je kontrola používateľského mena. Obmedzenie proxy na miestny stroj ho drží mimo siete, ale neoprávňuje jedného miestneho používateľa nad druhým, ktorý je už prihlásený. Udržujte autentifikáciu služby explicitnú, ak na tomto rozlíšení záleží.

Dokážte hranicu dvoma testami

Spustite obe cesty a pozorujte ich oddelene. Pod zamýšľaným účtom otvorte aplikáciu, ktorá potrebuje súkromný zdroj, a potvrďte, že dosiahne spravovanú službu; pod druhým účtom potvrďte, že bežné prehliadanie zachováva domácu cestu. Potom tunel zámerne prerušte a skontrolujte správanie pri návrate na každej strane, pretože práve tam väčšina návrhov ticho zlyháva. Vykonajte kontroly aj v tej istej hodine, aby zmenená sieť neskreslila porovnanie.

Ak tunel spúšťa kontajner alebo hosť, pridajte tretiu kontrolu: potvrďte, že natívna aplikácia Macu mimo neho sa stále správa podľa návrhu. Zvoľte najjednoduchšie usporiadanie, ktorého rozsah dokážete preukázať, a neoznačujte virtuálne stroje za univerzálne nutné ani prepínanie účtov za univerzálne dostatočné, kým tieto testy nevykonáte.