Dva Mac računa za prijavo ne delita prometa VPN

Dva računa za prijavo na istem Macu izgledata kot dva ločena svetova, dokler ne pride omrežje. Tunel, zagnan v eni seji, lahko še vedno spremeni, kar doživlja druga seja, odvisno od tega, kateri odjemalec ga ima in katera politika pride z njim. Opišite ločitev, ki jo potrebujete, preden izberete mehanizem za njeno uveljavitev. Vrstni red je pomemben, ker mehanizem, izbran prvi, rad na novo opredeli zahtevo okoli sebe.

Tri vprašanja opravijo večino dela: katere aplikacije koga potrebujejo katere zasebne vire, ali morata biti obe seji hkrati aktivni in kaj smejo te aplikacije početi, ko njihov tunel ni na voljo.

Začnite s prometom, ne s seznamom računov

Zamenjava računa je meja identitete, ne meja usmerjanja. macOS naloži konfiguracijo VPN za račun, ki jo ima, toda vmesnik, njegove poti in katera koli sistemska politika, ki jo namesti, pripadajo stroju. Če je zahteva, da v korporativno omrežje vstopijo samo aplikacije ene osebe, mora načrt to povedati v smislu aplikacij in ciljev, ne v smislu tega, kdo je prijavljen. Sicer drugi račun podeduje, kar je odjemalec prvega pustil za seboj.

Zapišite zahtevano vedenje v enem stavku: pošta in dostop do datotek enega uporabnika sledita upravljanemu tunelu, brskanje drugega uporabnika ostane na domači povezavi in nobena pot ne podeduje privzete poti druge. Ta stavek je preverljiv; zgodba o menjavi prijave običajno ni.

Kanal profila in obseg prometa sta različni stvari

Apple podpira upravljane ureditve VPN, dostavljene na uporabnika ali na napravo, in vodnik za uvajanje opisuje te modele skupaj z integracijo, odvisno od ponudnika. Kanal dostave pove, kdo prejme konfiguracijo in jo ima. Sam po sebi ne določa, kateri promet se zajame, ker izvedba odjemalca in nastavljena politika o tem še vedno odločata.

Kjer lahko dokumentiran način, ki upošteva uporabnika ali aplikacijo, izrazi zahtevo, je to najkrajša pot. Nato preverite dejanske aplikacije in identitete, namesto da zaupate imenom: dve kopiji iste aplikacije nista dve različni omrežni poti in profil, ki navaja aplikacijo, ne zagotavlja, da so njeni pomožni procesi pokriti.

Gostujoči sistem je resnična meja z resničnimi omejitvami

Virtualni stroj vam da ločen operacijski sistem z lastnim omrežnim skladom, zato lahko gost zažene svoj tunel in svoje aplikacije, ne da bi se dotaknil poti gostitelja. To je močnejša ločitev kot drugi račun za prijavo in je tudi več dela z vzdrževanjem. Odločite, ali ta cena kupi mejo, ki jo resnično potrebujete, preden jo predlagate.

Način navideznega omrežja je treba še pregledati. Ali je gost premosten, za NAT ali izoliran, določa, kaj lahko doseže in kaj lahko doseže njega, in aplikacije gostitelja ne postanejo aplikacije gosta, ker je gost slučajno povezan. Preverite tudi politiko blokiranja, sicer bo padli tunel gosta padel nazaj na pot gostitelja tako, kot si nihče ni zamislil.

Proxy je ožji od uporabniškega računa

Ena aplikacija gostitelja lahko doseže pravo proxy storitev, ki teče v odobrenem gostu ali vsebniku, in to pokriva promet, ki ga aplikacija dejansko pošilja po podprtem protokolu. Ne pokriva vsakega procesa, ki ga ima ta račun Maca, in ne pokriva prometa, ki ga aplikacija pošilja zunaj protokola proxy.

Še en previdnostni ukrep na deljenih strojih: TCP poslušalec, vezan na povratno zanko gostitelja, ni preverjanje uporabniškega imena. Omejitev proxyja na lokalni stroj ga drži proč od omrežja, vendar ne pooblašča enega lokalnega uporabnika pred drugim, ki je že prijavljen. Ohranite preverjanje pristnosti storitve izrecno, če je ta razlika pomembna.

Dokažite mejo z dvema testoma

Zaženite obe poti in ju opazujte ločeno. Pod predvidenim računom odprite aplikacijo, ki potrebuje zasebni vir, in potrdite, da doseže upravljano storitev; pod drugim računom potrdite, da običajno brskanje ohrani domačo pot. Nato namerno prekinite tunel in preverite vedenje ob vrnitvi na vsaki strani, saj tam večina načrtov tiho odpove. Opravite preglede tudi v isti uri, da spremenjeno omrežje ne onesnaži primerjave.

Če tunel poganja vsebnik ali gost, dodajte tretji pregled: potrdite, da se izvorna aplikacija Maca zunaj njega še vedno obnaša po načrtu. Izberite najpreprostejšo ureditev, katere obseg lahko pokažete, in ne imenujte virtualnih strojev univerzalno potrebnih ali menjave računa univerzalno zadostne, preden opravite te teste.