IncludeAllNetworks Mac IKEv2 profilində nə edir?

Yerli IKEv2 profilində maraqlı açar qeyd xanası deyil, IncludeAllNetworks-dir və dəyişdirdiyi şey sistemin tuneldən kənara nə göndərməsinə icazə verildiyinin əhatəsidir. Onu 1 dəyərinə qoysanız, macOS tuneli əsasən bütün IP trafiki üçün yol sayır, yalnız özünün təyin etdiyi və sizin genişləndirə biləcəyiniz bir sıra istisnalar çıxılmaqla. O, menyuda deyil, profil lüğətində yaşadığı üçün həm də çoxlarının bütün trafiki göndər ifadəsini oxuyanda güman etdiyi şeyi ifadə etmir.

Açarın şəbəkə yığını daxilində nəyi dəyişdirdiyi

O olmadan tunel üzərinə marşrutlar bağlanmış şəbəkə interfeysi kimi davranır. Həmin interfeysdən keçən standart marşrut trafikin çoxunu tutur və başqa interfeysdəki daha dəqiq marşrut öz prefiksi üçün yenə qalib gəlir. Bu normal marşrutlaşdırmadır və bölünmüş tunelin az qala təsadüfən baş verməsinin səbəbi budur.

Açar aktiv olduqda əhatə marşrutlaşdırma üstünlüyü olmaqdan çıxır və tuneldən başqa hər hansı yolla hansı trafikin çıxmasına icazə verildiyi barədə siyasətə çevrilir. Sistem hələ də bağlantını canlı saxlamaq üçün şəbəkəyə çatmalıdır, ona görə siyasət istisnalarla birlikdə gəlir, onların olmadığını iddia etmir. Onu aktivləşdirmək maşını heç vaxt işlək yolsuz qoymur. Əldə etdiyiniz, güman etdiyinizdən daha qısa yol siyahısıdır və həmin siyahı sənədləşdirilib.

Praktik nəticə odur ki, marşrut əlavə etmək artıq nəticəni izah etmir. Əgər hansısa təyinat hələ də birbaşa çatılırsa, veriləcək sual hansı marşrutun qalib gəldiyi deyil, onu istisnanın əhatə edib-etmədiyidir.

İstisnalar parametrin bir hissəsidir

Apple əsas açarın yanında yerli şəbəkələri, Apple Push Notification trafikini, mobil xidmətləri və cihaz rabitəsini əhatə edən bir neçə istisnanı sənədləşdirir. Hər birinin öz platforma və versiya şərtləri var, ona görə eyni profil macOS buraxılışları arasında fərqli davrana bilər.

Bu istisnaların bəziləri daxilidir. Şəbəkə girişini qurmaq və saxlamaq üçün lazım olan trafik, o cümlədən captive portal ilə iş, icazə verilməlidir, əks halda maşın heç nəyə qoşulmuş vəziyyətdə qalıb bunu düzəldə bilməz.

Sonra qəsdən edilən seçimlər gəlir. Ev printerinə icazə vermək iş resursu prefiksinə icazə verməklə eyni qərar deyil və hər ikisi APNs-i əlçatan saxlayıb bildirişlərin gəlməyə davam etməsindən fərqlənir. Hansılarını aktivləşdirdiyinizi sonradan səhv hesabatından öyrənmək əvəzinə, profil özünün içində qeyd edin.

Niyə standart marşrutla eyni deyil

Standart marşrut marşrutlaşdırma cədvəlindəki bir girişdir və cədvəllər uduzur. Daha dəqiq prefiks onu üstələyir, tətbiqə bağlanmış bağlantı onu yan keçə bilər və daha yaxşı metrikaya malik ikinci interfeys heç kim VPN konfiqurasiyasına toxunmadan onu əvəz edə bilər.

Apple-ın marşrutlaşdırma təlimatı fərqi açıq şəkildə göstərir: adi standartlar daha dəqiq marşrutlarla üstələnə bilər, daha geniş əhatə parametri isə tunelin hansı trafiki daşımalı olduğunu və nəyin ondan çıxarıldığını müəyyən edir. Biri üstünlükdür, digəri qaydaya daha yaxındır.

Bu fərq sızmanı necə diaqnoz etdiyinizi də dəyişir. Standart marşrutla marşrutlara və metrikalara baxırsınız. Əhatə açarı ilə profil revizyonuna, quraşdırılmış istisnalara və versiyaya xas davranışa baxırsınız, çünki marşrut cədvəli əvvəl verilmiş qərarın aşağı axınındadır.

EnforceRoutes başqa bir düymədir

EnforceRoutes eyni fikrin sərt versiyası kimi səslənir və insanlar daha çox açarın daha çox əhatə demək olduğuna inanaraq ikisini üst-üstə yığırlar. Apple sənədləşdirir ki, IncludeAllNetworks aktiv olduqda ona məhəl qoyulmur, yəni bu kombinasiyada ikinci açar heç nə qazandırmır.

Ona daha geniş əhatədən istifadə etməyən konfiqurasiyalar üçün alternativ kimi baxın, gücləndirmə kimi deyil. Hər açarın təkbaşına nə etdiyini izah edə bilmirsinizsə, ikisini əlavə etmək profili yalnız yoxlamağı çətinləşdirir.

Şlüz və profil sahibinin razılaşmalı olduğu şeylər

Müştəri parametri serveri heç vaxt ona konfiqurasiya edilmədiyi trafiki yönləndirməyə məcbur edə bilməz. Şlüz sessiyanı qəbul etməli, ünvanlar paylamalı, çatmaq istədiyiniz prefikslər üçün geri yol təqdim etməli və DNS-i seçdiyiniz qaydada verməlidir. Əgər yalnız bir prefiksi marşrutlaşdırırsa, geniş müştəri əhatəsi gəlib ölən trafik yaradır. Şlüzün marşrutlarından kənar bir təyinat ünvanına bir sorğu bunu bir dəqiqədə sübut edir.

Tətbiqə məxsus tunel yenə ayrı bir haldır. Provayder dəstəklənən davranışı tətbiq etməli və ya açıqlamalıdır; ikinci yerli IKEv2 profili quraşdırmaq artıq başqa tətbiqin idarə etdiyi tuneli dəyişmir və IKEv2 açarı başqa müştərinin oxuyacağı OpenVPN direktivi deyil.

Cari açar siyahısı və versiya şərtləri üçün kiminsə illər əvvəl kopyaladığı profilə deyil, Apple-ın IKEv2 yük istinadına baxın.

Profil revizyonunu bütöv qəbul edin

Uzaqdan idarə olunan Mac-i dəyişməzdən əvvəl hədəf macOS versiyalarını, nəzərdə tutulan internet çıxışını, əlçatan qalmalı şəxsi prefiksləri və aktivləşdirdiyiniz hər istisnanı yazın. Sonra dəyişmək üzrə olduğunuz tuneldən asılı olmayan bərpa yolu saxlayın.

Təzə ictimai sorğuları, şəxsi sorğuları, hər iki ünvan ailəsini və ad həllini sınaqdan keçirin və dizayn faylına deyil, quraşdırılmış revizyona baxın. Əgər nəsə hələ də birbaşa gedirsə, bunun sənədləşdirilmiş istisna, fərqli bağlantı konteksti yoxsa faktiki konfiqurasiya səhvi olduğunu müəyyənləşdirin və əlaqəsiz açarları genişləndirmək əvəzinə bu üçündən birini dəyişin.