Mida IncludeAllNetworks teeb Maci IKEv2 profiilis?

Päris IKEv2 profiilis ei ole huvitav võti märkeruut, vaid IncludeAllNetworks, ja see, mida see muudab, on ulatus, mille piires süsteem tohib väljapoole tunnelit saata. Sea see väärtusele 1 ja macOS käsitleb tunnelit teekonnana praktiliselt kogu IP-liikluse jaoks, miinus hulk erandeid, mille see määratleb ja mida sa võid laiendada. Kuna see elab profiili sõnastikus, mitte menüüs, ei tähenda see ka seda, mida enamik inimesi eeldab, kui nad loevad fraasi saada kogu liiklus.

Mida võti võrguvirnas muudab

Ilma selleta käitub tunnel nagu võrguliides, millele on marsruudid külge pandud. Vaikimisi marsruut läbi selle liidese püüab suurema osa liiklusest ja iga täpsem marsruut teisel liidesel võidab ikkagi omaenda prefiksi jaoks. See on tavaline marsruutimine ja seepärast juhtub poolitatud tunneliamine peaaegu kogemata.

Võtmega lubatud olekus lakkab ulatus olemast marsruutimiseelistus ja muutub poliitikaks selle kohta, milline liiklus tohib väljuda millestki muust kui tunnel. Süsteem peab ikka võrku jõudma, et ühendust elus hoida, seega poliitika tuleb eranditega, mitte ei tee nägu, et neid pole. Selle lubamine ei jäta masinat kunagi täiesti ilma töötava teekonnata. Saad lühema teekondade nimekirja, kui eeldasid, ja see nimekiri on dokumenteeritud.

Praktiline tagajärg on see, et marsruudi lisamine ei seleta enam tulemust. Kui sihtkoht on endiselt otse kättesaadav, ei ole küsimus selles, milline marsruut võitis, vaid selles, kas erand selle katab.

Erandid on seade osa

Apple dokumenteerib peamise võtme kõrval mitu väljajätet, mis katavad kohalikke võrke, Apple Push Notificationi liiklust, mobiilside teenuseid ja seadmete suhtlust. Igal on oma platvormi- ja versioonitingimused, seega sama profiil võib macOS-i versioonide lõikes käituda erinevalt.

Osa neist väljajätetest on olemuslikud. Võrgule juurdepääsu loomiseks ja hoidmiseks vajalik liiklus, sealhulgas captive portal haldamine, tuleb lubada, muidu võib masin jääda millegi külge ühendatuks ja mitte suuta seda parandada.

Siis tulevad teadlikud valikud. Koduse printeri lubamine ei ole sama otsus kui tööressursi prefiksi lubamine ja mõlemad erinevad sellest, et jätta APNs kättesaadavaks, et teavitused jätkaksid saabumist. Pane kirja, millised sa lubasid, profiili enda sisse, mitte ära avasta neid hiljem veaaruandest.

Miks see ei ole sama mis vaikimisi marsruut

Vaikimisi marsruut on marsruutimistabeli kirje ja tabelid kaotavad. Täpsem prefiks võidab selle, rakendusega seotud ühendus võib sellest mööda minna ja parema meetrikaga teine liides võib üle võtta, ilma et keegi VPN-i konfiguratsiooni puudutaks.

Apple'i marsruutimisjuhis teeb vahe selgesõnaliseks: tavalisi vaikimisi marsruute saab tühistada täpsemate marsruutidega, samas kui laiema ulatuse seade määrab, millist liiklust tunnel peab kandma ja mis sellest välja lõigatakse. Üks on eelistus, teine on reeglile lähemal.

See vahe muudab ka seda, kuidas sa lekkeid diagnoosid. Vaikimisi marsruudi puhul vaatad marsruute ja meetrikaid. Ulatuse võtmega vaatad profiili redaktsiooni, paigaldatud erandeid ja versioonipõhist käitumist, sest marsruutimistabel on varem tehtud otsuse allavool.

EnforceRoutes on teine nupp

EnforceRoutes kõlab nagu sama idee range versioon ja inimesed kuhjavad mõlemad, uskudes, et rohkem võtmeid tähendab suuremat katvust. Apple dokumenteerib, et seda eiratakse, kui IncludeAllNetworks on lubatud, seega teine võti ei osta selles kombinatsioonis midagi.

Käsitle seda alternatiivina konfiguratsioonidele, mis laiemat ulatust ei kasuta, mitte tugevdusena. Kui sa ei suuda selgitada, mida kumbki võti eraldi teeb, teeb mõlema lisamine profiili ainult raskemini üle vaadata.

Milles peavad lüüs ja profiili omanik kokku leppima

Kliendi seade ei saa sundida serverit edasi saatma liiklust, mille jaoks seda kunagi ei konfigureeritud. Lüüs peab sessiooni vastu võtma, aadresse jagama, andma tagasitee prefiksitele, mida kavatsed saavutada, ja teenindama DNS-i sellises korralduses, mille valisid. Kui see marsruudib ainult üht prefiksit, tekitab lai kliendiulatus liiklust, mis saabub ja sureb. Üks päring sihtkohta väljaspool lüüsi marsruute tõestab seda minutiga.

Rakendusele kuuluv tunnel on jälle eraldi juhtum. Teenusepakkuja peab rakendama või avalikustama toetatud käitumise; teise päris IKEv2 profiili paigaldamine ei muuda tunnelit, mida juba haldab teine rakendus, ja IKEv2 võti ei ole OpenVPN-i direktiiv, mida mõni teine klient loeb.

Praeguse võtmete nimekirja ja versioonitingimuste jaoks loe Apple'i IKEv2 kandevõime viidet, mitte profiili, mille keegi aastaid tagasi kopeeris.

Võta profiili redaktsioon tervikuna vastu

Enne kui muudad kaugelt hallatavat Maci, pane kirja siht-macOS-i versioonid, kavandatud interneti väljapääs, privaatsed prefiksid, mis peavad kättesaadavaks jääma, ja iga väljajäte, mille lubad. Seejärel säilita taasterada, mis ei sõltu tunnelist, mida hakkad muutma.

Testi värskeid avalikke päringuid, privaatseid päringuid, mõlemat aadressiperekonda ja nimelahendust ning kontrolli paigaldatud redaktsiooni, mitte kavandifaili. Kui miski läheb endiselt otse, otsusta, kas see on dokumenteeritud erand, teistsugune ühenduse kontekst või tegelik konfiguratsiooniviga, ja muuda üht neist kolmest, selle asemel et laiendada seotud võtmeid.