ماذا يفعل IncludeAllNetworks في ملف تعريف IKEv2 على Mac؟

في ملف تعريف IKEv2 أصلي، المفتاح المثير للاهتمام ليس مربع اختيار، بل هو IncludeAllNetworks، وما يغيّره هو نطاق ما يُسمح للنظام بإرساله خارج النفق. اضبطه على 1 فيعامل macOS النفق كالمسار لكل حركة IP تقريبًا، ناقص مجموعة استثناءات يحددها ويمكنك توسيعها. ولأنه يعيش في قاموس ملف تعريف لا في قائمة، فهو أيضًا لا يعني ما يفترضه معظم الناس حين يقرؤون عبارة إرسال كل الحركة.

ما الذي يغيّره المفتاح داخل حزمة الشبكة

من دونه، يتصرف النفق كواجهة شبكة مربوطة بها مسارات. المسار الافتراضي عبر تلك الواجهة يلتقط معظم الحركة، وأي مسار أكثر تحديدًا على واجهة أخرى يظل يفوز بادئته الخاصة. هذا هو التوجيه الطبيعي، ولهذا يحدث النفق المنقسم على نحو شبه عرضي.

مع تفعيل المفتاح، يتوقف النطاق عن كونه تفضيل توجيه ويصبح سياسة تحدد أي حركة يُسمح لها بالخروج عبر أي شيء غير النفق. لا يزال النظام بحاجة إلى الوصول إلى الشبكة لإبقاء الاتصال حيًا، لذا تأتي السياسة باستثناءات بدلًا من التظاهر بأنها غير موجودة. تفعيله لا يترك الجهاز أبدًا دون أي مسار عامل. ما تحصل عليه قائمة مسارات أقصر مما افترضت، وتلك القائمة موثقة.

النتيجة العملية أن إضافة مسار لم تعد تفسر المحصلة. إذا كانت وجهة ما لا تزال تُبلغ مباشرة، فالسؤال ليس أي مسار فاز، بل هل يغطيها استثناء.

الاستثناءات جزء من الإعداد

توثق Apple عدة استثناءات إلى جانب المفتاح الرئيسي، تغطي الشبكات المحلية وحركة Apple Push Notification وخدمات الهاتف الخلوي وتواصل الأجهزة. لكل منها شروط نظام أساسي وإصدار خاصة به، لذا قد يتصرف الملف نفسه بشكل مختلف بين إصدارات macOS.

بعض تلك الاستثناءات جوهرية. الحركة اللازمة لإنشاء الوصول إلى الشبكة والحفاظ عليه، بما في ذلك التعامل مع بوابات الالتقاط، يجب أن تُسمح، وإلا قد ينتهي الجهاز متصلًا بلا شيء وغير قادر على إصلاح ذلك.

ثم تأتي الخيارات المتعمدة. السماح بطابعة منزلية ليس القرار نفسه الذي يعنيه السماح ببادئة مورد عمل، وكلاهما يختلف عن إبقاء APNs متاحًا كي تستمر الإشعارات في الوصول. سجّل ما فعّلته منها في الملف نفسه، بدلًا من اكتشافه لاحقًا من تقرير خطأ.

لماذا ليس مثل المسار الافتراضي

المسار الافتراضي مُدخل في جدول التوجيه، وجداول التوجيه تخسر. بادئة أكثر تحديدًا تتغلب عليه، واتصال محصور بتطبيق يمكن أن يتجاوزه، وواجهة ثانية بمقياس أفضل يمكن أن تتولى دون أن يمس أحد إعداد VPN.

إرشادات التوجيه لدى Apple تجعل التمييز صريحًا: يمكن تجاوز الافتراضيات العادية بمسارات أكثر تحديدًا، بينما يحدد إعداد النطاق الأوسع أي حركة يجب أن يحملها النفق وما يُستثنى منها. أحدهما تفضيل، والآخر أقرب إلى قاعدة.

هذا الفرق يغيّر أيضًا طريقة تشخيص التسرب. مع مسار افتراضي تفحص المسارات والمقاييس. ومع مفتاح النطاق تفحص مراجعة الملف والاستثناءات المثبتة والسلوك الخاص بالإصدار، لأن جدول التوجيه نتيجة لقرار اتُخذ سابقًا.

EnforceRoutes مفتاح مختلف

EnforceRoutes يبدو كالنسخة الصارمة من الفكرة نفسها، ويجمع الناس بينهما اعتقادًا بأن مزيدًا من المفاتيح يعني تغطية أوسع. توثق Apple أنه يُتجاهل عند تفعيل IncludeAllNetworks، لذا لا يشتري المفتاح الثاني شيئًا في ذلك التوليف.

اعتبره بديلًا للتكوينات التي لا تستخدم النطاق الأوسع، لا تعزيزًا له. إن لم تستطع تفسير ما يفعله كل مفتاح بمفرده، فإن إضافة الاثنين تجعل الملف أصعب في المراجعة فقط.

ما يجب أن تتفق عليه البوابة ومالك الملف

إعداد العميل لا يمكنه أن يجعل خادمًا يمرر حركة لم يُهيأ لها أبدًا. تحتاج البوابة إلى قبول الجلسة، وتوزيع العناوين، وتوفير مسار عودة للبادئات التي تنوي الوصول إليها، وتقديم DNS بالترتيب الذي اخترته. إن كانت توجّه بادئة واحدة فقط، فسيُنتج نطاق العميل الواسع حركة تصل وتموت. طلب واحد إلى وجهة خارج مسارات البوابة يثبت ذلك في دقيقة.

النفق المملوك لتطبيق حالة منفصلة مرة أخرى. على المزوّد تنفيذ السلوك المدعوم أو كشفه؛ وتثبيت ملف IKEv2 أصلي ثانٍ لا يعدّل نفقًا يديره تطبيق آخر بالفعل، ومفتاح IKEv2 ليس توجيهًا من OpenVPN يقرؤه عميل آخر.

للاطلاع على قائمة المفاتيح الحالية وشروط الإصدارات، اقرأ مرجع حمولة IKEv2 من Apple بدلًا من ملف نسخه أحدهم قبل سنوات.

اقبل مراجعة الملف كوحدة واحدة

قبل أن تغيّر جهاز Mac يُدار عن بُعد، اكتب إصدارات macOS المستهدفة، ومخرج الإنترنت المقصود، والبادئات الخاصة التي يجب أن تبقى قابلة للوصول، وكل استثناء تفعله. ثم احفظ مسار استرداد لا يعتمد على النفق الذي أنت على وشك تغييره.

اختبر طلبات عامة جديدة، وطلبات خاصة، وعائلتي العناوين، وتحليل الأسماء، وتحقق من المراجعة المثبتة بدلًا من ملف التصميم. إن كان شيء ما لا يزال يمر مباشرة، فقرر إن كان استثناء موثقًا أو سياق اتصال مختلفًا أو خطأ تكوين فعليًا، وغيّر واحدًا من هذه الثلاثة بدلًا من توسيع مفاتيح غير ذات صلة.