VPN theo từng ứng dụng hay split tunnel? Một tuyến đường trên Mac quyết định được gì

Hai ứng dụng mở kết nối tới cùng một máy chủ văn phòng, và chỉ một trong hai nên dùng đường hầm. Một tuyến đường không thể diễn đạt mong muốn đó, vì bảng định tuyến dựa trên đích đến và không có khái niệm tiến trình nào đã mở socket. Điều người ta yêu cầu và điều họ cần thường là hai chuyện khác nhau. Hãy tách hai điều đó trước khi thay đổi bất kỳ cấu hình nào.

Bộ chọn là một đích đến, không bao giờ là tiến trình

Mọi quyết định định tuyến bắt đầu bằng một địa chỉ đích và kết thúc bằng một giao diện. Nhân hệ điều hành không bao giờ hỏi chương trình nào đã gửi gói tin, và trên macOS pf cũng không định tuyến theo tiến trình, nên một quy tắc tường lửa không thể đặt một ứng dụng lên tuyến khác. Vì thế cùng một máy chủ, dù được truy cập từ trình duyệt hay từ công cụ báo cáo, đều đi một tuyến cho cả hai. Do đó việc tách theo cấp ứng dụng phải đến từ thứ khác ngoài tuyến đường: một plugin VPN sở hữu socket, một proxy nhận kết nối thay cho ứng dụng, hoặc một ngăn xếp mạng riêng. Không thứ nào trong đó là thay đổi định tuyến.

Hai ứng dụng nói chuyện với cùng một địa chỉ là phép thử sạch nhất của một thiết kế. Nếu câu trả lời không thể khác nhau giữa chúng, thiết kế dựa trên đích đến, dù được gọi bằng tên gì.

split tunnel thông thường thực sự mang lại gì

split tunnel cài các tuyến cho tiền tố riêng và để mọi thứ khác đi theo đường vật lý. Đó thường là điều yêu cầu muốn nói: đến máy chủ văn phòng qua đường hầm, giữ duyệt web công cộng đi thẳng. Nó đơn giản, mọi ứng dụng khách phổ biến đều hỗ trợ, và nó được thực thi bằng cùng cơ chế như bất kỳ tuyến nào khác. Hãy kiểm tra đích cụ thể bằng route -n get thay vì đọc tuyến mặc định, vì split tunnel thường để tuyến mặc định nguyên vẹn.

Sửa tuyến mặc định bằng tay không phải là chuyển đổi sang bất cứ thứ gì. Nó đối đầu với việc khôi phục tuyến của chính ứng dụng khách và, ở những ứng dụng khách cài chính sách bảo vệ, có thể để máy ở trạng thái mà cả bạn lẫn ứng dụng khách đều không lường trước. Thay vào đó hãy cấu hình split tunnel trong phần cài đặt được hỗ trợ của ứng dụng khách.

VPN theo ứng dụng trên macOS đòi hỏi gì

VPN theo ứng dụng thực sự trên macOS là một tính năng Network Extension do hồ sơ cấu hình điều khiển. Một tải trọng quản lý ánh xạ các ứng dụng được chọn tới một cấu hình VPN, và hệ thống sau đó định tuyến lưu lượng của các ứng dụng đó cho phù hợp. Đây là một triển khai được quản lý, nghĩa là cần MDM, hồ sơ đã ký và một quản trị viên sở hữu cả hai.

Cài ứng dụng khách bằng tay không tạo ra ánh xạ đó, và bảng cài đặt thông thường không làm cho các ứng dụng có thể chọn riêng lẻ. Nhà cung cấp có thể đưa ra các quy tắc ứng dụng riêng, và chúng theo tài liệu của nhà cung cấp chứ không theo một quy tắc chung.

Ba cách tách theo ứng dụng mà không cần MDM

Ở nơi không có quản lý, proxy là câu trả lời thực tế. Đặt cấu hình proxy riêng của ứng dụng, hoặc dùng tệp PAC chỉ chọn theo đích và giao thức cho riêng ứng dụng đó.

Proxy cục bộ kết thúc kết nối và tạo lại nó qua đường hầm, nên ứng dụng không bao giờ cần tuyến. Lựa chọn thứ hai là một ngăn xếp mạng riêng: máy ảo hoặc vùng chứa có tuyến mặc định riêng, mà ứng dụng tiếp cận qua một địa chỉ cục bộ. Lựa chọn thứ ba là chấp nhận định tuyến theo đích và bỏ yêu cầu, điều này trung thực khi cả hai ứng dụng đều được dùng đường hầm. Cả ba đều kiểm chứng được, và không cách nào giả vờ rằng một tuyến biết về tiến trình.

Viết yêu cầu sao cho câu trả lời rõ ràng

Mô tả quy trình làm việc thay vì cơ chế: ứng dụng nào cần dịch vụ nào, có phải giữ một ứng dụng khác tránh xa dịch vụ đó không, và điều gì nên xảy ra khi đường hầm ngừng hoạt động. Ba câu trả lời đó chọn thiết kế. Chúng cũng cho quản trị viên biết yêu cầu là thay đổi định tuyến hay một dự án triển khai.

Nêu rõ trường hợp ứng dụng bị loại trừ. Một ứng dụng khách dừng ứng dụng khi tuyến được bảo vệ không khả dụng sẽ hành xử khác với ứng dụng khách cho phép nó quay về giao diện vật lý, và người dùng nhận ra khác biệt đó ngay. Hãy đặt tên cho kỳ vọng trong phiếu. Sau đó kiểm chứng trên máy thật, vì cùng một sản phẩm thường hành xử khác trên macOS so với Windows, và tài liệu macOS của nó là nguồn đáng tin cậy duy nhất về những gì cài đặt của nó làm.