Kion faras IncludeAllNetworks en IKEv2-profilo sur Mac?

En denaska IKEv2-profilo la interesa ŝlosilo ne estas markobutono, ĝi estas IncludeAllNetworks, kaj tio, kion ĝi ŝanĝas, estas la amplekso de tio, kion la sistemo rajtas sendi ekster la tunelon. Agordu ĝin al 1 kaj macOS traktas la tunelon kiel la vojon por esence la tuta IP-trafiko, minus aro da esceptoj, kiujn ĝi difinas kaj kiujn vi povas etendi. Ĉar ĝi loĝas en profila vortaro kaj ne en menuo, ĝi ankaŭ ne signifas tion, kion plej multaj homoj supozas, kiam ili legas la frazon sendi la tutan trafikon.

Kion la ŝlosilo ŝanĝas ene de la reta stako

Sen ĝi, la tunelo kondutas kiel reta interfaco kun alkroĉitaj vojoj. Defaŭlta vojo tra tiu interfaco kaptas la plej grandan parton de la trafiko, kaj ĉiu pli specifa vojo sur alia interfaco ankoraŭ venkas por sia propra prefikso. Tio estas normala enkursigado, kaj tial dividita tunelado okazas preskaŭ hazarde.

Kun la ŝlosilo ŝaltita, la amplekso ĉesas esti enkursigada prefero kaj fariĝas politiko pri tio, kiu trafiko rajtas eliri tra io ajn krom la tunelo. La sistemo ankoraŭ bezonas atingi la reton por teni la konekton viva, do la politiko venas kun esceptoj anstataŭ ŝajnigi, ke ili ne ekzistas. Ŝalti ĝin neniam lasas la maŝinon tute sen funkcianta vojo. Vi ricevas pli mallongan liston da vojoj ol vi supozis, kaj tiu listo estas dokumentita.

La praktika sekvo estas, ke aldoni vojon ne plu klarigas la rezulton. Se celloko ankoraŭ atingiĝas rekte, la demando ne estas, kiu vojo venkis, sed ĉu escepto kovras ĝin.

La esceptoj estas parto de la agordo

Apple dokumentas plurajn esceptojn apud la ĉefa ŝlosilo, kiuj kovras lokajn retojn, trafikon de Apple Push Notification, poŝtelefonajn servojn kaj komunikadon de aparatoj. Ĉiu havas siajn proprajn platformajn kaj versiajn kondiĉojn, do la sama profilo povas konduti malsame inter eldonoj de macOS.

Iuj el tiuj esceptoj estas esencaj. La trafiko necesa por starigi kaj konservi retan aliron, inkluzive de traktado de captive portal, devas esti permesita, alie la maŝino povas fini ligita al nenio kaj nekapabla tion ripari.

Poste venas la intencaj elektoj. Permesi hejman printilon ne estas la sama decido kiel permesi prefikson de laboreja rimedo, kaj ambaŭ diferencas de lasi APNs atingebla por ke sciigoj daŭre alvenu. Notu, kiujn vi ŝaltis, en la profilo mem, anstataŭ malkovri ilin poste el erara raporto.

Kial ĝi ne samas kiel defaŭlta vojo

Defaŭlta vojo estas ero en la enkursigada tabelo, kaj tabeloj malgajnas. Pli specifa prefikso venkas ĝin, aplikaĵa konekto povas preterpasi ĝin, kaj dua interfaco kun pli bona metriko povas transpreni sen ke iu tuŝu la VPN-agordon.

La enkursigada gvidilo de Apple igas la distingon eksplicita: ordinaraj defaŭltoj povas esti superregitaj de pli specifaj vojoj, dum la agordo de pli vasta amplekso difinas, kiun trafikon la tunelo devas porti kaj kio estas eltranĉita el ĝi. Unu estas prefero, la alia pli proksimas al regulo.

Tiu diferenco ankaŭ ŝanĝas kiel vi diagnozas likon. Kun defaŭlta vojo vi inspektas vojojn kaj metrikojn. Kun la ampleksa ŝlosilo vi inspektas la revizion de la profilo, la instalitajn esceptojn kaj la versi-specifan konduton, ĉar la enkursigada tabelo troviĝas malsupre de decido farita pli frue.

EnforceRoutes estas alia butono

EnforceRoutes sonas kiel la strikta versio de la sama ideo, kaj homoj stakigas la duon kredante, ke pli da ŝlosiloj signifas pli da kovrado. Apple dokumentas, ke ĝi estas ignorata, kiam IncludeAllNetworks estas ŝaltita, do la dua ŝlosilo aĉetas nenion en tiu kombino.

Traktu ĝin kiel alternativon por agordoj, kiuj ne uzas la pli vastan amplekson, ne kiel plifortigon. Se vi ne povas klarigi, kion ĉiu ŝlosilo faras sole, aldoni ambaŭ nur malfaciligas revizii la profilon.

Pri kio devas interkonsenti la enirejo kaj la posedanto de la profilo

Klienta agordo ne povas igi servilon plusendi trafikon, por kiu ĝi neniam estis agordita. La enirejo devas akcepti la seancon, disdoni adresojn, provizi revenan vojon por la prefiksoj, kiujn vi intencas atingi, kaj servi DNS en kiu ajn aranĝo vi elektis. Se ĝi enkursigas nur unu prefikson, la vasta klienta amplekso produktas trafikon, kiu alvenas kaj mortas. Unu peto al celloko ekster la vojoj de la enirejo pruvas tion en minuto.

Aplikaĵo-posedata tunelo estas denove aparta kazo. La provizanto devas efektivigi aŭ elmontri la subtenatan konduton; instali duan denaskan IKEv2-profilon ne modifas tunelon, kiun alia aplikaĵo jam administras, kaj IKEv2-ŝlosilo ne estas OpenVPN-direktivo, kiun legos alia kliento.

Por la aktuala ŝlosil-listo kaj versiaj kondiĉoj, legu la referencon pri IKEv2-utilaĵo de Apple anstataŭ profilon, kiun iu kopiis antaŭ jaroj.

Akceptu revizion de profilo kiel tuton

Antaŭ ol ŝanĝi distance administritan Mac, skribu la celatajn macOS-versiojn, la intencatan eliron al interreto, la privatajn prefiksojn, kiuj devas resti atingeblaj, kaj ĉiun escepton, kiun vi ŝaltas. Poste konservu restarigan vojon, kiu ne dependas de la tunelo, kiun vi ĵus ŝanĝos.

Testu novajn publikajn petojn, privatajn petojn, ambaŭ adresajn familiojn kaj nomrezolucion, kaj kontrolu la instalitan revizion anstataŭ la dezajnan dosieron. Se io ankoraŭ iras rekte, decidu, ĉu ĝi estas dokumentita escepto, alia konekta kunteksto aŭ reala agorda eraro, kaj ŝanĝu unu el tiuj tri anstataŭ vastigi nerilatajn ŝlosilojn.