Dalawang account sa pag-login sa Mac ay hindi naghahati sa trapiko ng VPN

Dalawang account sa pag-login sa parehong Mac ay parang dalawang magkahiwalay na mundo hanggang dumating ang network. Ang isang tunnel na sinimulan sa isang session ay maaari pa ring baguhin ang nararanasan ng kabilang session, depende sa kung aling client ang may-ari nito at anong patakaran ang kasama. Ilarawan ang paghihiwalay na kailangan mo bago pumili ng mekanismo para ipatupad ito. Mahalaga ang pagkakasunod-sunod, dahil ang mekanismong unang pinili ay may tendensiyang muling tukuyin ang pangangailangan sa paligid nito.

Tatlong tanong ang gumagawa ng karamihan ng trabaho: aling mga app ng kanino ang nangangailangan ng aling pribadong mapagkukunan, kung ang dalawang session ay dapat aktibo nang sabay, at ano ang pinapayagang gawin ng mga app na iyon kapag hindi available ang kanilang tunnel.

Magsimula sa trapiko, hindi sa listahan ng account

Ang pagpapalit ng account ay hangganan ng pagkakakilanlan, hindi hangganan ng routing. Naglo-load ang macOS ng configuration ng VPN para sa account na may-ari nito, ngunit ang interface, ang mga ruta nito at anumang patakarang pang-system na ini-install nito ay pag-aari ng makina. Kung ang pangangailangan ay ang mga app lamang ng isang tao ang pumasok sa corporate network, dapat sabihin ito ng disenyo sa mga tuntunin ng app at destinasyon, hindi sa mga tuntunin ng kung sino ang naka-login. Kung hindi, mamanahin ng pangalawang account ang iniwan ng client ng una.

Isulat ang kinakailangang pag-uugali sa isang pangungusap: ang mail at pag-access sa file ng isang user ay sumusunod sa pinamamahalaang tunnel, ang pagba-browse ng kabilang user ay nananatili sa koneksyon sa bahay, at walang landas ang nagmamana ng default na ruta ng isa. Ang pangungusap na iyon ay masusubok; ang kuwento ng pagpapalit ng login ay karaniwang hindi.

Ang channel ng profile at saklaw ng trapiko ay magkaibang bagay

Sinusuportahan ng Apple ang mga pinamamahalaang kaayusan ng VPN na inihahatid sa bawat user o bawat device, at inilalarawan ng gabay sa deployment ang mga modelong iyon kasama ang integrasyong nakadepende sa provider. Sinasabi ng channel ng paghahatid kung sino ang tumatanggap ng configuration at may-ari nito. Hindi nito tinutukoy sa sarili nito kung aling trapiko ang nahuhuli, dahil ang implementasyon ng client at ang naka-configure na patakaran ang nagpapasya pa rin.

Kung saan ang isang dokumentadong mode na may kamalayan sa user o app ay makapagpapahayag ng pangangailangan, iyon ang pinakamaikling landas. Pagkatapos, i-verify ang aktwal na mga app at pagkakakilanlan sa halip na magtiwala sa mga pangalan: ang dalawang kopya ng parehong app ay hindi dalawang magkaibang landas ng network, at ang profile na naglilista ng app ay hindi ginagarantiyahan na sakop ang mga helper process nito.

Ang guest system ay tunay na hangganan na may tunay na limitasyon

Ang virtual machine ay nagbibigay sa iyo ng hiwalay na operating system na may sariling network stack, kaya makakapagpatakbo ang bisita ng sariling tunnel at sariling app nang hindi hinahawakan ang mga ruta ng host. Mas malakas itong paghihiwalay kaysa sa pangalawang login account, at mas marami ring maintenance work. Magpasya kung binibili ng gastos na iyon ang hangganang talagang kailangan mo bago ito imungkahi.

Ang mode ng virtual network ay kailangan pa ring suriin. Kung ang bisita ay naka-bridge, nasa likod ng NAT o nakahiwalay ay tumutukoy kung ano ang maaabot nito at ano ang maaaring umabot dito, at ang mga app ng host ay hindi nagiging app ng bisita dahil nagkataong nakakonekta ang bisita. Suriin din ang patakaran ng pag-block, kung hindi ay babalik ang bumagsak na tunnel ng bisita sa landas ng host sa paraang walang sinuman ang nagtangka.

Ang proxy ay mas makitid kaysa sa account ng user

Ang isang app ng host ay maaaring umabot sa tunay na serbisyo ng proxy na tumatakbo sa inaprubahang bisita o container, at sakop nito ang trapikong talagang ipinapadala ng app sa sinusuportahang protocol. Hindi nito sinasakop ang bawat prosesong pag-aari ng account na iyon sa Mac, at hindi nito sinasakop ang trapikong ipinapadala ng app sa labas ng protocol ng proxy.

Isa pang pag-iingat sa mga nakabahaging makina: ang TCP listener na nakatali sa loopback ng host ay hindi pagsusuri ng username. Ang paglilimita ng proxy sa lokal na makina ay naglalayo nito sa network, ngunit hindi nito binibigyang awtoridad ang isang lokal na user sa ibang naka-login na. Panatilihing tahasan ang authentication ng serbisyo kung mahalaga ang pagkakaibang iyon.

Patunayan ang hangganan sa dalawang pagsubok

Patakbuhin ang dalawang landas at obserbahan silang hiwalay. Sa ilalim ng inilaan na account, buksan ang app na nangangailangan ng pribadong mapagkukunan at kumpirmahing naaabot nito ang pinamamahalaang serbisyo; sa ilalim ng kabilang account, kumpirmahing pinapanatili ng ordinaryong pagba-browse ang landas sa bahay. Pagkatapos, sadyang putulin ang tunnel at suriin ang fallback na pag-uugali sa bawat panig, dahil doon tahimik na nabibigo ang karamihan ng disenyo. Gawin din ang mga pagsusuri sa parehong oras, upang ang nabagong network ay hindi makontamina ang paghahambing.

Kung container o bisita ang nagpapatakbo ng tunnel, magdagdag ng ikatlong pagsusuri: kumpirmahing ang isang native na app ng Mac sa labas nito ay kumikilos pa rin ayon sa disenyo. Piliin ang pinakasimpleng kaayusang maipapakita mo ang saklaw, at huwag lagyan ng label na pangkalahatang kailangan ang mga virtual machine o pangkalahatang sapat ang pagpapalit ng account bago gawin ang mga pagsubok na iyon.