VPN za posamezno aplikacijo ali split tunnel? Kaj lahko odloči pot v Macu

Dve aplikaciji odpirata povezave do istega pisarniškega strežnika in samo ena od njiju bi morala uporabljati tunel. Pot te želje ne more izraziti, ker so usmerjevalne tabele zasnovane na ciljih in nimajo pojma o tem, kateri proces je odprl vtičnico. Kaj ljudje zahtevajo in kaj potrebujejo, sta pogosto različni stvari. Ločite oboje, preden spremenite kakršno koli konfiguracijo.

Izbirnik je cilj, nikoli proces

Vsaka odločitev o usmerjanju se začne s ciljnim naslovom in konča z vmesnikom. Jedro nikoli ne vpraša, kateri program je poslal paket, in v macOS tudi pf ne usmerja po procesu, zato požarna pravila ne morejo ene aplikacije poslati po drugi poti. Zato ima isti strežnik, ne glede na to, ali ga doseže brskalnik ali orodje za poročanje, za oba eno pot. Ločevanje na ravni aplikacij mora zato priti iz nečesa drugega kot iz poti: vtičnika VPN, ki ima v lasti vtičnico, proxyja, ki prevzame povezavo v imenu aplikacije, ali ločenega omrežnega sklada. Nobeno od tega ni sprememba usmerjanja.

Dve aplikaciji, ki govorita z enim naslovom, sta najčistejši preizkus zasnove. Če se odgovor med njima ne more razlikovati, je zasnova ciljno zasnovana, kakor koli se že imenuje.

Kaj navaden split tunnel v resnici prinese

Split tunnel namesti poti za zasebne predpone in vse ostalo pusti na fizični poti. To je običajno tisto, kar zahteva pomeni: doseči pisarniški strežnik skozi tunel in javno brskanje ohraniti neposredno. Preprosto je, vsak običajen odjemalec ga podpira in uveljavlja ga isti mehanizem kot katero koli drugo pot. Preverite konkretni cilj z route -n get, namesto da berete privzeto pot, ker split tunnel pogosto pusti privzeto pot nedotaknjeno.

Ročno urejanje privzete poti ni pretvorba v nič. Bori se proti lastnemu obnavljanju poti odjemalca in pri odjemalcih, ki namestijo zaščitno politiko, lahko pusti stroj v stanju, ki ga ne pričakujete ne vi ne odjemalec. Namesto tega nastavite split tunnel v podprtih nastavitvah odjemalca.

Kaj zahteva VPN za posamezno aplikacijo v macOS

Pravi VPN za posamezno aplikacijo v macOS je funkcija Network Extension, ki jo vodi konfiguracijski profil. Upravno koristno breme poveže izbrane aplikacije s konfiguracijo VPN in sistem nato promet teh aplikacij ustrezno usmeri. To je upravljana namestitev, kar pomeni MDM, podpisan profil in skrbnika, ki ima oboje.

Ročna namestitev odjemalca te povezave ne ustvari, običajno okno z nastavitvami pa aplikacij ne naredi posamično izbirnih. Ponudnik lahko razkrije svoja pravila za aplikacije in ta sledijo njegovi dokumentaciji, ne splošnemu pravilu.

Tri poti do ločevanja po aplikacijah brez MDM

Kjer upravljanje ni na voljo, je praktični odgovor proxy. Nastavite lastno konfiguracijo proxyja aplikacije ali uporabite datoteko PAC, ki izbira glede na cilj in protokol samo za to aplikacijo.

Lokalni proxy zaključi povezavo in jo znova vzpostavi skozi tunel, tako da aplikacija nikoli ne potrebuje poti. Druga možnost je ločen omrežni sklad: navidezni stroj ali vsebnik z lastno privzeto potjo, ki ga aplikacija doseže prek lokalnega naslova. Tretja je sprejeti usmerjanje na podlagi cilja in zahtevo opustiti, kar je pošteno, kadar smeta obe aplikaciji uporabljati tunel. Vse tri je mogoče preizkusiti in nobena ne pretvarja, da pot pozna procese.

Napišite zahtevo tako, da bo odgovor nedvoumen

Opišite potek dela, ne mehanizma: katera aplikacija potrebuje katero storitev, ali je treba drugo aplikacijo držati stran od iste storitve in kaj naj se zgodi, medtem ko tunel ne deluje. Ti trije odgovori izberejo zasnovo. Skrbniku tudi povedo, ali je zahteva sprememba usmerjanja ali projekt uvedbe.

Izrecno vključite primer izključene aplikacije. Odjemalec, ki aplikacijo ustavi, ko njena zaščitena pot ni na voljo, se obnaša drugače kot tisti, ki ji dovoli, da pade nazaj na fizični vmesnik, in uporabniki to razliko takoj opazijo. Poimenujte pričakovanje v zahtevku. Nato preverite na dejanskem stroju, ker se isti izdelek v macOS pogosto obnaša drugače kot v Windows in je njegova dokumentacija za macOS edini zanesljiv vir o tem, kaj njegove nastavitve počnejo.