Два Mac налога не деле VPN саобраћај

Два корисничка налога на истом Mac-у изгледају као два одвојена света док не дође мрежа. Тунел покренут у једној сесији ипак може променити оно што друга сесија доживљава, зависно од тога који га клијент поседује и која политика иде с њим. Опишите раздвајање које вам треба пре него што изаберете механизам за његово спровођење. Редослед је важан, јер механизам изабран први има склоност да захтев предефинише око себе.

Три питања обављају већину посла: чије апликације требају које приватне ресурсе, морају ли обе сесије бити активне истовремено и шта те апликације смеју да раде када њихов тунел није доступан.

Почните од саобраћаја, а не од списка налога

Пребацивање налога је граница идентитета, а не граница рутирања. macOS учитава VPN конфигурацију за налог који је поседује, али интерфејс, његове руте и свака системска политика коју инсталира припадају машини. Ако је захтев да само апликације једне особе улазе у корпоративну мрежу, дизајн то мора рећи у смислу апликација и одредишта, а не у смислу тога ко је пријављен. Иначе други налог наслеђује оно што је клијент првог оставио.

Напишите тражено понашање у једној реченици: пошта и приступ датотекама једног корисника прате управљани тунел, претраживање другог корисника остаје на кућној вези и ниједна путања не наслеђује задату руту оне друге. Та реченица је проверљива; прича о пребацивању пријаве обично није.

Канал профила и обим саобраћаја су различите ствари

Apple подржава управљане VPN аранжмане који се испоручују по кориснику или по уређају, а водич за имплементацију описује те моделе заједно с интеграцијом која зависи од провајдера. Канал испоруке говори ко прима конфигурацију и поседује је. Он сам по себи не дефинише који се саобраћај хвата, јер имплементација клијента и конфигурисана политика и даље одлучују о томе.

Где документовани режим свестан корисника или апликације може изразити захтев, то је најкраћи пут. Затим проверите стварне апликације и идентитете уместо да верујете именима: две копије исте апликације нису два различита мрежна пута, а профил који наводи апликацију не гарантује да су њени помоћни процеси покривени.

Гостујући систем је стварна граница са стварним ограничењима

Виртуелна машина вам даје одвојен оперативни систем с властитим мрежним стеком, па гост може покренути властити тунел и властите апликације без дирања рута домаћина. То је јаче раздвајање од другог корисничког налога, а и више посла за одржавање. Одлучите да ли та цена купује границу која вам је заиста потребна пре него што је предложите.

Режим виртуелне мреже и даље треба преглед. Да ли је гост премошћен, иза NAT-а или изолован одређује до чега може стићи и шта може стићи до њега, а апликације домаћина не постају апликације госта зато што је гост случајно повезан. Проверите и политику блокирања, иначе ће пали тунел госта пасти назад на путању домаћина на начин који нико није намеравао.

Прокси је ужи од корисничког налога

Једна апликација домаћина може доћи до стварне прокси услуге која ради у одобреном госту или контејнеру, и то покрива саобраћај који апликација заиста шаље кроз подржани протокол. То не покрива сваки процес који поседује тај Mac налог и не покрива саобраћај који апликација шаље изван прокси протокола.

Још једно упозорење на дељеним машинама: TCP слушалац везан за локалну повратну петљу домаћина није провера корисничког имена. Ограничавање проксија на локалну машину држи га изван мреже, али не овлашћује једног локалног корисника над другим који је већ пријављен. Држите аутентификацију услуге експлицитном ако је та разлика важна.

Докажите границу са два теста

Покрените оба пута и посматрајте их одвојено. Под предвиђеним налогом отворите апликацију којој треба приватни ресурс и потврдите да стиже до управљане услуге; под другим налогом потврдите да обично претраживање задржава кућну путању. Затим намерно прекините тунел и проверите понашање при повратку за сваку страну, јер ту већина дизајна тихо пада. Радите провере и у истом сату, да промењена мрежа не загади поређење.

Ако контејнер или гост покреће тунел, додајте трећу проверу: потврдите да се изворна Mac апликација изван њега и даље понаша како је пројектовано. Изаберите најједноставнији аранжман чији обим можете показати и не називајте виртуелне машине универзално неопходним, а пребацивање налога универзално довољним пре него што спроведете те тестове.