Mac tizimidagi ikkita hisob VPN trafigini bo'lmaydi

Bitta Mac'dagi ikkita hisob tarmoq kelguncha ikki alohida dunyo kabi ko'rinadi. Bitta sessiyada boshlangan tunnel baribir ikkinchi sessiya boshdan kechiradigan narsani o'zgartirishi mumkin, qaysi mijoz unga egalik qilishi va u bilan qanday siyosat kelishiga bog'liq. Uni amalga oshirish uchun mexanizm tanlashdan oldin kerakli ajratishni tavsiflang. Tartib muhim, chunki birinchi tanlangan mexanizm talabni o'z atrofida qayta belgilashga moyil.

Ishning ko'p qismini uch savol bajaradi: kimning ilovalari qanday xususiy resurslarga muhtoj, ikkala sessiya bir vaqtning o'zida faol bo'lishi kerakmi va tunnellari mavjud bo'lmaganda bu ilovalarga nima qilishga ruxsat berilgan.

Hisoblar ro'yxatidan emas, trafikdan boshlang

Hisobni almashtirish - identifikatsiya chegarasi, marshrutlash chegarasi emas. macOS VPN konfiguratsiyasini unga ega bo'lgan hisob uchun yuklaydi, lekin interfeys, uning marshrutlari va u o'rnatadigan har qanday tizim darajasidagi siyosat mashinaga tegishli. Agar talab faqat bir kishining ilovalari korporativ tarmoqqa kirishi bo'lsa, dizayn buni ilovalar va manzillar nuqtai nazaridan aytishi kerak, kim kirganligi nuqtai nazaridan emas. Aks holda ikkinchi hisob birinchisining mijozi qoldirgan narsani meros oladi.

Kerakli xatti-harakatni bitta jumlada yozing: bir foydalanuvchining pochtasi va faylga kirishi boshqariladigan tunnelga ergashadi, boshqa foydalanuvchining ko'rib chiqishi uy ulanishida qoladi va ikkala yo'lning hech biri ikkinchisining standart marshrutini meros olmaydi. Bu jumla tekshirilishi mumkin; kirishni almashtirish haqidagi hikoya odatda emas.

Profil kanali va trafik qamrovi ikki xil narsa

Apple foydalanuvchi yoki qurilma bo'yicha yetkaziladigan boshqariladigan VPN tartiblarini qo'llab-quvvatlaydi, va joylashtirish qo'llanmasi bu modellarni provayderga bog'liq integratsiya bilan birga tavsiflaydi. Yetkazib berish kanali konfiguratsiyani kim olishini va unga kim egalik qilishini aytadi. U qaysi trafik ushlanishini o'zi belgilamaydi, chunki mijozning amalga oshirilishi va sozlangan siyosat hali ham buni hal qiladi.

Hujjatlashtirilgan foydalanuvchini yoki ilovani hisobga oluvchi rejim talabni ifodalay oladigan joyda, bu eng qisqa yo'l. Keyin nomlarga ishonish o'rniga haqiqiy ilovalar va identifikatsiyalarni tekshiring: bir ilovaning ikki nusxasi ikki xil tarmoq yo'li emas, va ilovani ro'yxatga oluvchi profil uning yordamchi jarayonlari qamrab olinganiga kafolat bermaydi.

Mehmon tizimi haqiqiy cheklovlarga ega haqiqiy chegara

Virtual mashina sizga o'z tarmoq stekiga ega alohida operatsion tizim beradi, shuning uchun mehmon xostning marshrutlariga tegmasdan o'z tunnelini va o'z ilovalarini ishga tushirishi mumkin. Bu ikkinchi hisobdan kuchliroq ajratish, va texnik xizmat ko'rsatishda ham ko'proq ish. Uni taklif qilishdan oldin bu xarajat haqiqatan kerakli chegarani sotib oladimi, hal qiling.

Virtual tarmoq rejimi hali ham ko'rib chiqishni talab qiladi. Mehmon ko'prikmi, NAT orqasidami yoki izolyatsiya qilinganmi - bu uning nimaga yeta olishini va unga nima yeta olishini belgilaydi, va mehmon tasodifan ulanganligi uchun xost ilovalari mehmon ilovalariga aylanmaydi. Bloklash siyosatini ham tekshiring, aks holda yiqilgan mehmon tunneli hech kim o'ylamagan tarzda xost yo'liga qaytadi.

Proksi foydalanuvchi hisobidan torroq

Xostning bitta ilovasi tasdiqlangan mehmon yoki konteynerda ishlaydigan haqiqiy proksi xizmatiga yeta oladi, va bu ilova qo'llab-quvvatlanadigan protokol orqali haqiqatan yuboradigan trafikni qamrab oladi. Bu o'sha Mac hisobiga tegishli har bir jarayonni qamrab olmaydi va ilova proksi protokolidan tashqarida yuboradigan trafikni ham qamrab olmaydi.

Umumiy mashinalarda yana bir ehtiyot: xostning loopback'iga bog'langan TCP tinglovchisi foydalanuvchi nomini tekshirish emas. Proksini mahalliy mashina bilan cheklash uni tarmoqdan uzoq tutadi, lekin allaqachon kirgan boshqa mahalliy foydalanuvchi ustidan biriga vakolat bermaydi. Agar bu farq muhim bo'lsa, xizmat autentifikatsiyasini ochiq saqlang.

Chegarani ikkita sinov bilan isbotlang

Ikkala yo'lni ham ishga tushiring va ularni alohida kuzating. Mo'ljallangan hisob ostida xususiy resurs kerak bo'lgan ilovani oching va uning boshqariladigan xizmatga yetishini tasdiqlang; boshqa hisob ostida oddiy ko'rib chiqish uy yo'lini saqlab qolishini tasdiqlang. Keyin tunnelni ataylab uzib, har bir tomonning qaytish xatti-harakatini tekshiring, chunki aksariyat dizaynlar aynan shu yerda jimgina muvaffaqiyatsizlikka uchraydi. Tekshiruvlarni bir soat ichida bajaring, o'zgargan tarmoq taqqoslashni bulg'amasligi uchun.

Agar konteyner yoki mehmon tunnelni ishga tushirsa, uchinchi tekshiruvni qo'shing: uning tashqarisidagi mahalliy Mac ilovasi hali ham loyihalanganidek harakat qilishini tasdiqlang. Qamrovini ko'rsata oladigan eng oddiy tartibni tanlang, va bu sinovlarni o'tkazishdan oldin virtual mashinalarni umuman zarur yoki hisobni almashtirishni umuman yetarli deb atamang.