Hai tài khoản đăng nhập Mac không tách lưu lượng VPN

Hai tài khoản đăng nhập trên cùng một Mac trông như hai thế giới tách biệt cho đến khi mạng đến. Một đường hầm khởi động trong một phiên vẫn có thể thay đổi những gì phiên kia trải nghiệm, tùy thuộc vào ứng dụng khách nào sở hữu nó và chính sách nào đi kèm. Hãy mô tả sự tách biệt bạn cần trước khi chọn cơ chế để thực thi nó. Thứ tự quan trọng, vì một cơ chế được chọn trước có xu hướng định nghĩa lại yêu cầu quanh chính nó.

Ba câu hỏi làm phần lớn công việc: ứng dụng của ai cần tài nguyên riêng nào, hai phiên có phải hoạt động cùng lúc không, và những ứng dụng đó được phép làm gì khi đường hầm của chúng không khả dụng.

Bắt đầu từ lưu lượng, không phải từ danh sách tài khoản

Chuyển tài khoản là ranh giới danh tính, không phải ranh giới định tuyến. macOS tải cấu hình VPN cho tài khoản sở hữu nó, nhưng giao diện, các tuyến của nó và mọi chính sách toàn hệ thống mà nó cài đặt đều thuộc về máy. Nếu yêu cầu là chỉ ứng dụng của một người vào mạng công ty, thiết kế phải nói điều đó theo ứng dụng và điểm đến, không theo việc ai đã đăng nhập. Nếu không, tài khoản thứ hai thừa hưởng những gì ứng dụng khách của tài khoản thứ nhất để lại.

Viết hành vi cần thiết trong một câu: thư và truy cập tệp của một người dùng theo đường hầm được quản lý, duyệt web của người dùng kia ở lại trên kết nối gia đình, và không đường nào thừa hưởng tuyến mặc định của đường kia. Câu đó có thể kiểm chứng; câu chuyện chuyển đăng nhập thường thì không.

Kênh hồ sơ và phạm vi lưu lượng là hai thứ khác nhau

Apple hỗ trợ các bố trí VPN được quản lý cung cấp theo người dùng hoặc theo thiết bị, và hướng dẫn triển khai mô tả những mô hình đó cùng với tích hợp phụ thuộc nhà cung cấp. Kênh phân phối cho biết ai nhận cấu hình và sở hữu nó. Bản thân nó không xác định lưu lượng nào bị bắt, vì việc triển khai ứng dụng khách và chính sách đã cấu hình vẫn quyết định điều đó.

Ở nơi một chế độ được ghi chép có nhận biết người dùng hoặc ứng dụng có thể diễn đạt yêu cầu, đó là con đường ngắn nhất. Sau đó xác minh các ứng dụng và danh tính thực tế thay vì tin vào tên: hai bản sao của cùng một ứng dụng không phải hai đường mạng khác nhau, và một hồ sơ liệt kê ứng dụng không bảo đảm các tiến trình phụ trợ của nó được bao phủ.

Hệ thống khách là ranh giới thật với giới hạn thật

Máy ảo cho bạn một hệ điều hành riêng với ngăn xếp mạng riêng, nên khách có thể chạy đường hầm và ứng dụng riêng mà không chạm vào các tuyến của máy chủ. Đó là sự tách biệt mạnh hơn tài khoản đăng nhập thứ hai, và cũng là nhiều công việc bảo trì hơn. Hãy quyết định xem chi phí đó có mua một ranh giới bạn thực sự cần hay không trước khi đề xuất.

Chế độ mạng ảo vẫn cần được xem xét. Việc khách được cầu nối, ở sau NAT hay bị cô lập quyết định nó có thể chạm tới gì và điều gì có thể chạm tới nó, và ứng dụng của máy chủ không trở thành ứng dụng của khách chỉ vì khách tình cờ được kết nối. Hãy kiểm tra cả chính sách chặn, nếu không một đường hầm khách bị rơi sẽ quay về đường của máy chủ theo cách không ai định trước.

Proxy hẹp hơn một tài khoản người dùng

Một ứng dụng của máy chủ có thể chạm tới một dịch vụ proxy thật chạy trong khách hoặc vùng chứa đã được phê duyệt, và điều đó bao phủ lưu lượng mà ứng dụng thực sự gửi qua giao thức được hỗ trợ. Nó không bao phủ mọi tiến trình thuộc tài khoản Mac đó, và không bao phủ lưu lượng ứng dụng gửi ra ngoài giao thức proxy.

Một lưu ý nữa trên máy dùng chung: một trình lắng nghe TCP gắn với loopback của máy chủ không phải là kiểm tra tên người dùng. Giới hạn proxy trong máy cục bộ giữ nó ngoài mạng, nhưng không cấp quyền cho một người dùng cục bộ trước một người khác đã đăng nhập. Hãy giữ xác thực của dịch vụ rõ ràng nếu sự phân biệt đó quan trọng.

Chứng minh ranh giới bằng hai bài kiểm tra

Chạy cả hai đường và quan sát riêng. Dưới tài khoản dự định, mở ứng dụng cần tài nguyên riêng tư và xác nhận nó đến được dịch vụ được quản lý; dưới tài khoản kia, xác nhận duyệt web thông thường giữ đường gia đình. Sau đó cố ý ngắt đường hầm và kiểm tra hành vi dự phòng ở mỗi phía, vì đó là nơi phần lớn thiết kế thất bại một cách âm thầm. Hãy thực hiện các kiểm tra trong cùng một giờ, để mạng đã thay đổi không làm nhiễm bẩn so sánh.

Nếu vùng chứa hoặc khách chạy đường hầm, thêm kiểm tra thứ ba: xác nhận một ứng dụng Mac gốc bên ngoài nó vẫn hoạt động như thiết kế. Chọn bố trí đơn giản nhất mà bạn có thể chứng minh phạm vi, và đừng dán nhãn máy ảo là cần thiết phổ quát hay chuyển tài khoản là đủ phổ quát trước khi chạy những bài kiểm tra đó.