Dy llogari hyrjeje Mac nuk e ndajnë trafikun VPN

Dy llogari hyrjeje në të njëjtin Mac duken si dy botë të ndara derisa të vijë rrjeti. Një tunel i nisur në një sesion ende mund të ndryshojë atë që përjeton sesioni tjetër, në varësi të klientit që e zotëron dhe politikës që vjen me të. Përshkruani ndarjen që ju nevojitet përpara se të zgjidhni një mekanizëm për ta zbatuar. Rendi ka rëndësi, sepse një mekanizëm i zgjedhur i pari ka prirje të ripërcaktojë kërkesën rreth vetes.

Tre pyetje bëjnë pjesën më të madhe të punës: cilat aplikacione të kujt kanë nevojë për cilat burime private, nëse të dy sesionet duhet të jenë aktivë njëkohësisht dhe çfarë lejohet të bëjnë ato aplikacione kur tuneli i tyre nuk është i disponueshëm.

Filloni nga trafiku, jo nga lista e llogarive

Ndryshimi i llogarisë është kufi identiteti, jo kufi rrugëtimi. macOS ngarkon një konfigurim VPN për llogarinë që e zotëron, por ndërfaqja, rrugët e saj dhe çdo politikë në nivel sistemi që instalon i përkasin makinës. Nëse kërkesa është që vetëm aplikacionet e një personi të hyjnë në rrjetin e korporatës, dizajni duhet ta thotë këtë në terma aplikacionesh dhe destinacionesh, jo në terma të kush është i futur. Përndryshe llogaria e dytë trashëgon atë që la klienti i së parës.

Shkruani sjelljen e kërkuar në një fjali: posta dhe aksesi në skedarë i një përdoruesi ndjekin tunelin e menaxhuar, shfletimi i përdoruesit tjetër mbetet në lidhjen e shtëpisë dhe asnjëra rrugë nuk trashëgon rrugën e paracaktuar të tjetrës. Ajo fjali është e testueshme; një histori për ndryshimin e hyrjes zakonisht nuk është.

Kanali i profilit dhe shtrirja e trafikut janë dy gjëra të ndryshme

Apple mbështet rregullime VPN të menaxhuara që dorëzohen për përdorues ose për pajisje, dhe një udhëzues vendosjeje i përshkruan ato modele së bashku me integrimin që varet nga ofruesi. Kanali i dorëzimit tregon kush e merr konfigurimin dhe kush e zotëron. Ai vetë nuk përcakton se cili trafik kapet, sepse zbatimi i klientit dhe politika e konfiguruar ende e vendosin atë.

Kur një modalitet i dokumentuar që është i vetëdijshëm për përdoruesin ose aplikacionin mund ta shprehë kërkesën, ajo është rruga më e shkurtër. Pastaj verifikoni aplikacionet dhe identitetet reale në vend që të besoni emrat: dy kopje të të njëjtit aplikacion nuk janë dy rrugë të ndryshme rrjeti, dhe një profil që liston një aplikacion nuk garanton se proceset e tij ndihmëse janë të mbuluara.

Një sistem mysafir është një kufi i vërtetë me kufizime të vërteta

Një makinë virtuale ju jep një sistem operativ të veçantë me stivën e vet të rrjetit, kështu që një mysafir mund të ekzekutojë tunelin dhe aplikacionet e tij pa prekur rrugët e hostit. Ky është një ndarje më e fortë se një llogari e dytë hyrjeje, dhe është gjithashtu më shumë punë mirëmbajtjeje. Vendosni nëse ai kost na blen një kufi që ju nevojitet vërtet përpara se ta propozoni.

Modaliteti i rrjetit virtual ende kërkon rishikim. Nëse mysafiri është i urëzuar, pas NAT ose i izoluar përcakton çfarë mund të arrijë dhe çfarë mund ta arrijë atë, dhe aplikacionet e hostit nuk bëhen aplikacione mysafiri sepse mysafiri ndodh të jetë i lidhur. Kontrolloni edhe politikën e bllokimit, përndryshe një tunel mysafiri i rrëzuar do të kthehet në rrugën e hostit në një mënyrë që askush nuk e kishte menduar.

Një proxy është më i ngushtë se një llogari përdoruesi

Një aplikacion i hostit mund të arrijë një shërbim të vërtetë proxy që ekzekutohet në një mysafir ose kontejner të miratuar, dhe kjo mbulon trafikun që aplikacioni dërgon vërtet përmes protokollit të mbështetur. Nuk mbulon çdo proces që zotërohet nga ajo llogari Mac dhe nuk mbulon trafikun që aplikacioni dërgon jashtë protokollit proxy.

Një tjetër kujdes në makina të përbashkëta: një dëgjues TCP i lidhur me loopback-un e hostit nuk është verifikim i emrit të përdoruesit. Kufizimi i një proxy në makinën lokale e mban larg rrjetit, por nuk autorizon një përdorues lokal mbi një tjetër që është tashmë i futur. Mbani vërtetimin e shërbimit eksplicit nëse ai dallim ka rëndësi.

Proveni kufirin me dy teste

Ekzekutoni të dy rrugët dhe vëzhgojini veçmas. Nën llogarinë e synuar, hapni aplikacionin që ka nevojë për burimin privat dhe konfirmoni se arrin shërbimin e menaxhuar; nën llogarinë tjetër, konfirmoni se shfletimi i zakonshëm ruan rrugën e shtëpisë. Pastaj thyeni tunelin me qëllim dhe kontrolloni sjelljen e rezervë në secilën anë, sepse aty dështojnë në heshtje shumica e dizajneve. Bëni kontrollet edhe në të njëjtën orë, që një rrjet i ndryshuar të mos e ndotë krahasimin.

Nëse një kontejner ose mysafir ekzekuton tunelin, shtoni një kontroll të tretë: konfirmoni se një aplikacion vendas Mac jashtë tij ende sillet siç është projektuar. Zgjidhni rregullimin më të thjeshtë, shtrirjen e të cilit mund ta demonstroni, dhe mos i etiketoni makinat virtuale si universalisht të nevojshme ose ndryshimin e llogarisë si universalisht të mjaftueshëm përpara se t'i kryeni ato teste.