Τι κάνει το IncludeAllNetworks σε ένα προφίλ IKEv2 σε Mac;

Σε ένα εγγενές προφίλ IKEv2 το ενδιαφέρον κλειδί δεν είναι ένα πλαίσιο ελέγχου, είναι το IncludeAllNetworks, και αυτό που αλλάζει είναι το εύρος του τι επιτρέπεται στο σύστημα να στέλνει έξω από τη σήραγγα. Ορίστε το σε 1 και το macOS αντιμετωπίζει τη σήραγγα ως τη διαδρομή για ουσιαστικά όλη την κίνηση IP, μείον ένα σύνολο εξαιρέσεων που ορίζει και μπορείτε να επεκτείνετε. Επειδή ζει σε λεξικό προφίλ και όχι σε μενού, επίσης δεν σημαίνει αυτό που υποθέτουν οι περισσότεροι όταν διαβάζουν τη φράση στείλε όλη την κίνηση.

Τι αλλάζει το κλειδί μέσα στη στοίβα δικτύου

Χωρίς αυτό, η σήραγγα συμπεριφέρεται σαν διεπαφή δικτύου με συνδεδεμένες διαδρομές. Μια προεπιλεγμένη διαδρομή μέσω αυτής της διεπαφής συλλαμβάνει το μεγαλύτερο μέρος της κίνησης, και οποιαδήποτε πιο συγκεκριμένη διαδρομή σε άλλη διεπαφή εξακολουθεί να κερδίζει για το δικό της πρόθεμα. Αυτή είναι κανονική δρομολόγηση, και γι' αυτό η διαχωρισμένη σήραγγα συμβαίνει σχεδόν τυχαία.

Με το κλειδί ενεργό, το εύρος παύει να είναι προτίμηση δρομολόγησης και γίνεται πολιτική για το ποια κίνηση επιτρέπεται να βγει μέσω οτιδήποτε άλλου εκτός από τη σήραγγα. Το σύστημα εξακολουθεί να χρειάζεται πρόσβαση στο δίκτυο για να κρατήσει τη σύνδεση ζωντανή, οπότε η πολιτική έρχεται με εξαιρέσεις αντί να προσποιείται ότι δεν υπάρχουν. Η ενεργοποίηση δεν αφήνει ποτέ το μηχάνημα χωρίς καμία λειτουργική διαδρομή. Αυτό που παίρνετε είναι ένας συντομότερος κατάλογος διαδρομών από ό,τι υποθέσατε, και αυτός ο κατάλογος είναι τεκμηριωμένος.

Η πρακτική συνέπεια είναι ότι η προσθήκη διαδρομής δεν εξηγεί πλέον το αποτέλεσμα. Αν ένας προορισμός εξακολουθεί να φτάνει άμεσα, το ερώτημα δεν είναι ποια διαδρομή κέρδισε αλλά αν τον καλύπτει μια εξαίρεση.

Οι εξαιρέσεις είναι μέρος της ρύθμισης

Η Apple τεκμηριώνει αρκετούς αποκλεισμούς δίπλα στο κύριο κλειδί, που καλύπτουν τοπικά δίκτυα, κίνηση Apple Push Notification, κυψελοειδείς υπηρεσίες και επικοινωνία συσκευών. Καθένας έχει τις δικές του συνθήκες πλατφόρμας και έκδοσης, οπότε το ίδιο προφίλ μπορεί να συμπεριφέρεται διαφορετικά μεταξύ εκδόσεων macOS.

Μερικοί από αυτούς τους αποκλεισμούς είναι εγγενείς. Η κίνηση που χρειάζεται για να εγκατασταθεί και να διατηρηθεί η πρόσβαση δικτύου, συμπεριλαμβανομένου του χειρισμού captive portal, πρέπει να επιτρέπεται, αλλιώς το μηχάνημα μπορεί να καταλήξει συνδεδεμένο με τίποτα και ανίκανο να το διορθώσει.

Έπειτα έρχονται οι σκόπιμες επιλογές. Το να επιτρέψετε έναν εκτυπωτή στο σπίτι δεν είναι η ίδια απόφαση με το να επιτρέψετε ένα πρόθεμα πόρου εργασίας, και τα δύο διαφέρουν από το να αφήσετε το APNs προσβάσιμο ώστε να συνεχίσουν να φτάνουν οι ειδοποιήσεις. Καταγράψτε ποιες ενεργοποιήσατε, μέσα στο ίδιο το προφίλ, αντί να τις ανακαλύψετε αργότερα από μια αναφορά σφάλματος.

Γιατί δεν είναι το ίδιο με προεπιλεγμένη διαδρομή

Η προεπιλεγμένη διαδρομή είναι εγγραφή στον πίνακα δρομολόγησης, και οι πίνακες χάνουν. Ένα πιο συγκεκριμένο πρόθεμα την κερδίζει, μια σύνδεση περιορισμένη σε εφαρμογή μπορεί να την παρακάμψει, και μια δεύτερη διεπαφή με καλύτερη μετρική μπορεί να αναλάβει χωρίς να αγγίξει κανείς τη διαμόρφωση VPN.

Η καθοδήγηση δρομολόγησης της Apple κάνει τη διάκριση ρητή: οι συνήθεις προεπιλογές μπορούν να υπερκαλυφθούν από πιο συγκεκριμένες διαδρομές, ενώ η ρύθμιση ευρύτερου εύρους ορίζει ποια κίνηση πρέπει να μεταφέρει η σήραγγα και τι εξαιρείται από αυτήν. Το ένα είναι προτίμηση, το άλλο πλησιάζει περισσότερο σε κανόνα.

Αυτή η διαφορά αλλάζει και τον τρόπο που διαγιγνώσκετε μια διαρροή. Με προεπιλεγμένη διαδρομή εξετάζετε διαδρομές και μετρικές. Με το κλειδί εύρους εξετάζετε την αναθεώρηση του προφίλ, τις εγκατεστημένες εξαιρέσεις και τη συμπεριφορά ανά έκδοση, επειδή ο πίνακας δρομολόγησης βρίσκεται κατάντη μιας απόφασης που λήφθηκε νωρίτερα.

Το EnforceRoutes είναι άλλο κουμπί

Το EnforceRoutes ακούγεται σαν η αυστηρή εκδοχή της ίδιας ιδέας, και οι άνθρωποι στοιβάζουν και τα δύο πιστεύοντας ότι περισσότερα κλειδιά σημαίνουν μεγαλύτερη κάλυψη. Η Apple τεκμηριώνει ότι αγνοείται όταν το IncludeAllNetworks είναι ενεργό, οπότε το δεύτερο κλειδί δεν αγοράζει τίποτα σε αυτόν τον συνδυασμό.

Αντιμετωπίστε το ως εναλλακτική για διαμορφώσεις που δεν χρησιμοποιούν το ευρύτερο εύρος, όχι ως ενίσχυση. Αν δεν μπορείτε να εξηγήσετε τι κάνει κάθε κλειδί από μόνο του, η προσθήκη και των δύο κάνει το προφίλ απλώς δυσκολότερο στην αναθεώρηση.

Σε τι πρέπει να συμφωνήσουν η πύλη και ο ιδιοκτήτης του προφίλ

Μια ρύθμιση πελάτη δεν μπορεί να κάνει έναν διακομιστή να προωθεί κίνηση για την οποία ποτέ δεν διαμορφώθηκε. Η πύλη πρέπει να δεχτεί τη συνεδρία, να διανείμει διευθύνσεις, να παρέχει διαδρομή επιστροφής για τα προθέματα που σκοπεύετε να φτάσετε και να εξυπηρετεί DNS με όποια διάταξη επιλέξατε. Αν δρομολογεί μόνο ένα πρόθεμα, το ευρύ εύρος πελάτη παράγει κίνηση που φτάνει και πεθαίνει. Ένα αίτημα προς προορισμό εκτός των διαδρομών της πύλης το αποδεικνύει σε ένα λεπτό.

Μια σήραγγα που ανήκει σε εφαρμογή είναι πάλι ξεχωριστή περίπτωση. Ο πάροχος πρέπει να υλοποιήσει ή να εκθέσει την υποστηριζόμενη συμπεριφορά· η εγκατάσταση δεύτερου εγγενούς προφίλ IKEv2 δεν τροποποιεί σήραγγα που διαχειρίζεται ήδη άλλη εφαρμογή, και ένα κλειδί IKEv2 δεν είναι οδηγία OpenVPN που θα διαβάσει κάποιος άλλος πελάτης.

Για την τρέχουσα λίστα κλειδιών και τις συνθήκες έκδοσης, διαβάστε την αναφορά ωφέλιμου φορτίου IKEv2 της Apple αντί για ένα προφίλ που κάποιος αντέγραψε χρόνια πριν.

Αποδεχτείτε μια αναθεώρηση προφίλ ως σύνολο

Πριν αλλάξετε ένα Mac που διαχειρίζεται απομακρυσμένα, γράψτε τις εκδόσεις macOS-στόχους, την προβλεπόμενη έξοδο στο διαδίκτυο, τα ιδιωτικά προθέματα που πρέπει να παραμείνουν προσβάσιμα και κάθε αποκλεισμό που ενεργοποιείτε. Έπειτα διατηρήστε μια διαδρομή ανάκτησης που δεν εξαρτάται από τη σήραγγα που πρόκειται να αλλάξετε.

Δοκιμάστε νέα δημόσια αιτήματα, ιδιωτικά αιτήματα, και τις δύο οικογένειες διευθύνσεων και την επίλυση ονομάτων, και ελέγξτε την εγκατεστημένη αναθεώρηση αντί για το αρχείο σχεδίασης. Αν κάτι εξακολουθεί να πηγαίνει άμεσα, αποφασίστε αν είναι τεκμηριωμένη εξαίρεση, διαφορετικό πλαίσιο σύνδεσης ή πραγματικό σφάλμα διαμόρφωσης, και αλλάξτε ένα από αυτά τα τρία αντί να διευρύνετε άσχετα κλειδιά.