VPN pre jednotlivé aplikácie alebo split tunnel? Čo môže rozhodnúť trasa v Macu

Dve aplikácie otvárajú spojenia k rovnakému kancelárskemu serveru a iba jedna z nich by mala používať tunel. Trasa tento zámer vyjadriť nevie, pretože smerovacie tabuľky sú postavené na cieľoch a nemajú poňatie o tom, ktorý proces otvoril socket. To, čo ľudia žiadajú, a to, čo potrebujú, sú často rozdielne veci. Oddeľte oboje skôr, než zmeníte akúkoľvek konfiguráciu.

Selektor je cieľ, nikdy proces

Každé rozhodnutie o smerovaní začína cieľovou adresou a končí rozhraním. Jadro sa nikdy nepýta, ktorý program paket odoslal, a v macOS ani pf nesmeruje podľa procesu, takže pravidlo firewallu nemôže jednu aplikáciu poslať inou cestou. Preto ten istý server, či k nemu pristupuje prehliadač alebo nástroj na výkazníctvo, používa pre oba jednu cestu. Oddelenie na úrovni aplikácií preto musí prísť z niečoho iného než z trasy: plugin VPN, ktorý vlastní socket, proxy, ktoré prevezme spojenie v mene aplikácie, alebo samostatný sieťový stack. Nič z toho nie je zmena smerovania.

Dve aplikácie hovoriace s jednou adresou sú najčistejšou skúškou návrhu. Ak sa odpoveď medzi nimi nemôže líšiť, návrh je založený na cieli, nech sa volá akokoľvek.

Čo obyčajný split tunnel skutočne prináša

Split tunnel inštaluje trasy pre privátne prefixy a všetko ostatné necháva na fyzickej ceste. To je zvyčajne to, čo požiadavka znamená: dostať sa na kancelársky server tunelom a verejné prehliadanie nechať priamo. Je to jednoduché, každý bežný klient to podporuje a vynucuje to rovnaký mechanizmus ako ktorúkoľvek inú trasu. Overte konkrétny cieľ pomocou route -n get, namiesto čítania predvolenej trasy, pretože split tunnel často necháva predvolenú trasu nedotknutú.

Ručná úprava predvolenej trasy nie je prechodom na nič. Bojuje proti vlastnej obnove trás klienta a u klientov, ktorí inštalujú ochrannú politiku, môže nechať stroj v stave, ktorý nečakáte ani vy, ani klient. Nastavte split tunnel v podporovaných nastaveniach klienta.

Čo vyžaduje VPN pre jednotlivé aplikácie v macOS

Skutočná VPN pre jednotlivé aplikácie v macOS je funkcia Network Extension riadená konfiguračným profilom. Správne užitočné zaťaženie priraďuje vybrané aplikácie ku konfigurácii VPN a systém potom premávku týchto aplikácií zodpovedajúco smeruje. Je to spravované nasadenie, čo znamená MDM, podpísaný profil a správcu, ktorý vlastní oboje.

Ručná inštalácia klienta toto priradenie nevytvorí a bežné okno nastavení nerobí aplikácie jednotlivo voliteľnými. Dodávateľ môže vystaviť vlastné pravidlá aplikácií a tie sa riadia jeho dokumentáciou, nie všeobecným pravidlom.

Tri cesty k oddeleniu podľa aplikácie bez MDM

Tam, kde správa nie je k dispozícii, je praktickou odpoveďou proxy. Nastavte vlastnú konfiguráciu proxy danej aplikácie alebo použite súbor PAC, ktorý vyberá podľa cieľa a protokolu len pre túto aplikáciu.

Lokálne proxy spojenie ukončí a znova ho vytvorí tunelom, takže aplikácia nikdy nepotrebuje trasu. Druhou možnosťou je samostatný sieťový stack: virtuálny stroj alebo kontajner s vlastnou predvolenou trasou, ku ktorému sa aplikácia dostane cez miestnu adresu. Treťou je prijať smerovanie podľa cieľa a požiadavku opustiť, čo je čestné, keď obe aplikácie smú tunel používať. Všetky tri sa dajú otestovať a žiadna z nich nepredstiera, že trasa pozná procesy.

Napíšte požiadavku tak, aby odpoveď bola jednoznačná

Opíšte pracovný postup, nie mechanizmus: ktorá aplikácia potrebuje ktorú službu, či treba držať inú aplikáciu mimo tej istej služby a čo sa má diať, kým je tunel mimo prevádzky. Tieto tri odpovede volia návrh. Správcovi tiež povedia, či je požiadavka zmenou smerovania alebo projektom nasadenia.

Výslovne uveďte prípad vylúčenej aplikácie. Klient, ktorý aplikáciu zastaví, keď jej chránená cesta nie je dostupná, sa správa inak ako ten, ktorý jej dovolí spadnúť späť na fyzické rozhranie, a používatelia ten rozdiel okamžite spoznajú. Pomenujte očakávanie v tikete. Potom to overte na skutočnom stroji, pretože ten istý produkt sa v macOS často správa inak ako vo Windows a jeho dokumentácia pre macOS je jediným spoľahlivým zdrojom o tom, čo jeho nastavenia robia.