VPN по апликацији или split tunnel? Шта може да одлучи рута на Mac-у

Две апликације отварају везе ка истом канцеларијском серверу, а само једна од њих би требало да користи тунел. Рута не може да изрази ту жељу, јер су табеле рутирања засноване на одредиштима и немају појам о томе који је процес отворио сокет. Оно што људи траже и оно што им треба често су различите ствари. Раздвојите то двоје пре него што промените било коју конфигурацију.

Селектор је одредиште, никада процес

Свака одлука о рутирању почиње са одредишном адресом и завршава се интерфејсом. Кернел никада не пита који је програм послао пакет, а на macOS-у ни pf не рутира по процесу, па firewall правило не може да стави једну апликацију на други пут. Зато исти сервер, било да му приступа прегледач или алат за извештавање, користи један пут за оба. Раздвајање на нивоу апликације зато мора да дође од нечега другог осим руте: VPN додатка који поседује сокет, проксија који преузима везу у име апликације, или одвојеног мрежног стека. Ништа од тога није промена рутирања.

Две апликације које разговарају са једном адресом најчишћи су тест дизајна. Ако одговор између њих не може да се разликује, дизајн је заснован на одредишту, како год се звао.

Шта обичан split tunnel заиста доноси

Split tunnel инсталира руте за приватне префиксе и оставља све остало на физичком путу. То је обично оно што захтев значи: доћи до канцеларијског сервера кроз тунел, јавно претраживање задржати директно. Једноставно је, сваки уобичајени клијент га подржава и спроводи га исти механизам као и сваку другу руту. Проверите конкретно одредиште помоћу route -n get, уместо да читате подразумевану руту, јер split tunnel често оставља подразумевану руту нетакнутом.

Ручно уређивање подразумеване руте није претварање у било шта. Бори се против сопственог враћања рута клијента и код клијената који инсталирају заштитну политику може оставити машину у стању које не очекујете ни ви ни клијент. Уместо тога конфигуришите split tunnel у подржаним поставкама клијента.

Шта захтева VPN по апликацији на macOS-у

Прави VPN по апликацији на macOS-у је Network Extension функција коју води конфигурациони профил. Управни терет повезује одабране апликације са VPN конфигурацијом, а систем затим усмерава саобраћај тих апликација у складу с тим. То је управљано увођење, што значи MDM, потписани профил и администратора који поседује обоје.

Ручна инсталација клијента не ствара то повезивање, а уобичајени панел поставки не чини апликације појединачно одабиривим. Добављач може да изложи сопствена правила апликација и она следе његову документацију, а не опште правило.

Три пута до раздвајања по апликацији без MDM-а

Где управљање није доступно, прокси је практичан одговор. Поставите сопствену прокси конфигурацију апликације или користите PAC датотеку која бира по одредишту и протоколу само за ту апликацију.

Локални прокси завршава везу и поново је покреће кроз тунел, тако да апликацији никада није потребна рута. Друга опција је одвојени мрежни стек: виртуелна машина или контејнер са сопственом подразумеваном рутом, до којег апликација долази преко локалне адресе. Трећа је прихватити рутирање засновано на одредишту и одустати од захтева, што је искрено када обе апликације смеју да користе тунел. Све три се могу тестирати и ниједна не претвара да рута познаје процесе.

Напишите захтев тако да одговор буде недвосмислен

Опишите ток рада, а не механизам: којој апликацији треба која услуга, треба ли другу апликацију држати подаље од исте услуге и шта би требало да се догоди док је тунел искључен. Та три одговора бирају дизајн. Она такође кажу администратору да ли је захтев промена рутирања или пројекат увођења.

Експлицитно укључите случај изузете апликације. Клијент који заустави апликацију када њен заштићени пут није доступан понаша се другачије од оног који јој дозволи да се врати на физички интерфејс, а корисници ту разлику одмах примете. Именујте очекивање у тикету. Затим проверите на стварној машини, јер се исти производ на macOS-у често понаша другачије него на Windows-у, а његова macOS документација једини је поуздан извор о томе шта његове поставке раде.