İki Mac oturum açma hesabı VPN trafiğini bölmez

Aynı Mac'teki iki oturum açma hesabı, ağ gelene kadar iki ayrı dünya gibi görünür. Bir oturumda başlatılan tünel, hangi istemcinin ona sahip olduğuna ve hangi ilkenin onunla geldiğine bağlı olarak diğer oturumun deneyimlediğini yine de değiştirebilir. Onu uygulamak için bir mekanizma seçmeden önce ihtiyaç duyduğunuz ayrımı tanımlayın. Sıra önemlidir, çünkü ilk seçilen mekanizma gereksinimi kendi etrafında yeniden tanımlama eğilimindedir.

İşin çoğunu üç soru yapar: kimin uygulamaları hangi özel kaynaklara ihtiyaç duyar, iki oturum aynı anda etkin olmak zorunda mı ve tünelleri kullanılamadığında bu uygulamalara ne izin verilir.

Hesap listesinden değil, trafikten başlayın

Hesap değiştirmek bir kimlik sınırıdır, yönlendirme sınırı değildir. macOS VPN yapılandırmasını ona sahip olan hesap için yükler, ancak arayüz, rotaları ve kurduğu sistem geneli ilke makineye aittir. Gereksinim yalnızca bir kişinin uygulamalarının kurumsal ağa girmesi ise, tasarım bunu uygulamalar ve hedefler açısından söylemelidir, kimin oturum açtığı açısından değil. Aksi halde ikinci hesap birincinin istemcisinin bıraktığını devralır.

Gerekli davranışı tek cümleyle yazın: bir kullanıcının postası ve dosya erişimi yönetilen tüneli izler, diğer kullanıcının gezinmesi ev bağlantısında kalır ve iki yoldan hiçbiri diğerinin varsayılan rotasını devralmaz. O cümle test edilebilir; oturum değiştirme hikâyesi genellikle değildir.

Profil kanalı ile trafik kapsamı farklı şeylerdir

Apple, kullanıcı veya cihaz başına sunulan yönetilen VPN düzenlerini destekler ve bir dağıtım kılavuzu bu modelleri sağlayıcıya bağlı entegrasyonla birlikte açıklar. Teslimat kanalı yapılandırmayı kimin aldığını ve sahip olduğunu söyler. Hangi trafiğin yakalandığını tek başına tanımlamaz, çünkü istemci uygulaması ve yapılandırılmış ilke hâlâ buna karar verir.

Belgelenmiş kullanıcı veya uygulama bilincine sahip bir modun gereksinimi ifade edebildiği yerde en kısa yol odur. Sonra adlara güvenmek yerine gerçek uygulamaları ve kimlikleri doğrulayın: aynı uygulamanın iki kopyası iki farklı ağ yolu değildir ve bir uygulamayı listeleyen profil, yardımcı süreçlerinin kapsandığını garanti etmez.

Konuk sistem gerçek sınırları olan gerçek bir sınırdır

Sanal makine size kendi ağ yığınına sahip ayrı bir işletim sistemi verir, böylece konuk ana makinenin rotalarına dokunmadan kendi tünelini ve uygulamalarını çalıştırabilir. Bu, ikinci bir oturum açma hesabından daha güçlü bir ayrımdır ve bakımı da daha fazla iştir. Önermeden önce bu maliyetin gerçekten ihtiyaç duyduğunuz bir sınırı satın alıp almadığına karar verin.

Sanal ağ modu yine de gözden geçirilmelidir. Konuğun köprülenmiş, NAT arkasında veya yalıtılmış olması neye ulaşabileceğini ve ona neyin ulaşabileceğini belirler ve ana makine uygulamaları konuk bağlı olduğu için konuk uygulaması olmaz. Engelleme ilkesini de denetleyin, yoksa düşen bir konuk tüneli kimsenin amaçlamadığı bir şekilde ana makinenin yoluna geri döner.

Vekil sunucu bir kullanıcı hesabından daha dardır

Bir ana makine uygulaması, onaylanmış bir konukta veya kapsayıcıda çalışan gerçek bir vekil sunucu hizmetine ulaşabilir ve bu, uygulamanın desteklenen protokol üzerinden gerçekten gönderdiği trafiği kapsar. O Mac hesabının sahip olduğu her süreci kapsamaz ve uygulamanın vekil sunucu protokolü dışında gönderdiği trafiği de kapsamaz.

Paylaşılan makinelerde bir uyarı daha: ana makinenin geri döngüsüne bağlı bir TCP dinleyicisi kullanıcı adı denetimi değildir. Bir vekil sunucuyu yerel makineyle sınırlamak onu ağdan uzak tutar, ancak zaten oturum açmış bir yerel kullanıcıya karşı diğerine yetki vermez. Bu ayrım önemliyse hizmetin kimlik doğrulamasını açık tutun.

Sınırı iki testle kanıtlayın

İki yolu da çalıştırın ve ayrı ayrı gözlemleyin. Amaçlanan hesapta özel kaynağa ihtiyaç duyan uygulamayı açın ve yönetilen hizmete ulaştığını doğrulayın; diğer hesapta olağan gezinmenin ev yolunu koruduğunu doğrulayın. Sonra tüneli bilerek koparın ve her iki tarafın geri dönüş davranışını denetleyin, çünkü tasarımların çoğu tam orada sessizce başarısız olur. Denetimleri aynı saat içinde yapın, değişen bir ağ karşılaştırmayı kirletmesin.

Tüneli bir kapsayıcı veya konuk çalıştırıyorsa üçüncü bir denetim ekleyin: dışındaki yerel bir Mac uygulamasının hâlâ tasarlandığı gibi davrandığını doğrulayın. Kapsamını gösterebileceğiniz en basit düzeni seçin ve bu testleri yapmadan önce sanal makineleri evrensel olarak gerekli veya hesap değiştirmeyi evrensel olarak yeterli diye etiketlemeyin.