Zer egiten du IncludeAllNetworks-ek Mac-eko IKEv2 profilean?

IKEv2 profil natiboan gako interesgarria ez da kontrol-lauki bat, IncludeAllNetworks baizik, eta aldatzen duena sistemak tunelatik kanpo bidaltzeko duen esparrua da. 1 ezarriz gero, macOS-ek tunela IP trafiko ia guztiaren bide gisa hartzen du, berak definitzen dituen eta zuk heda ditzakezun salbuespen multzo bat kenduta. Menuan ez baizik profileko hiztegi batean bizi denez, jende gehienak bidali trafiko guztia esaldia irakurtzean suposatzen duena ere ez du esan nahi.

Zer aldatzen duen gakoak sare-pilaren barruan

Hura gabe, tunelak erantsitako bideak dituen sare-interfaze gisa jokatzen du. Interfaze horretatik doan bide lehenetsiak trafiko gehiena harrapatzen du, eta beste interfaze bateko bide zehatzagoek beren aurrizkiarentzat irabazten jarraitzen dute. Bideratze arrunta da hori, eta horregatik gertatzen da tunel zatitua ia istripuz.

Gakoa gaituta, esparruak bideratze-lehentasun izateari uzten dio eta tunela ez den beste edozein bidetatik zein trafiko atera daitekeen zehazten duen politik bihurtzen da. Sistemak sareara iritsi behar du oraindik konexioa bizirik mantentzeko, beraz politikak salbuespenekin dator, horiek ez daudela itxura egiten duen ordez. Gaitzeak ez dio inoiz makina bide erabilgarririk gabe uzten. Lortzen duzuna suposatzen zenuena baino bide-zerrenda laburragoa da, eta zerrenda hori dokumentatuta dago.

Ondorio praktikoa da bide bat gehitzeak ez duela emaitza gehiago azaltzen. Helmuga bat oraindik zuzenean iristen bada, galdera ez da zein bidek irabazi zuen, baizik eta salbuespen batek hartzen duen ala ez.

Salbuespenak ezarpenaren parte dira

Applek hainbat baztertze dokumentatzen ditu gako nagusiaren ondoan, sare lokalak, Apple Push Notification trafikoa, zelular zerbitzuak eta gailuen komunikazioa estaltzen dituztenak. Bakoitzak bere plataforma- eta bertsio-baldintzak ditu, beraz profil berak modu ezberdinean joka dezake macOS bertsioen artean.

Baztertze horietako batzuk berezkoak dira. Sare-helbideratzeko sarbidea ezartzeko eta mantentzeko behar den trafikoa, captive portal kudeaketa barne, baimenduta egon behar da, bestela makinak ezeri konektatuta amaitu eta hori konpontzeko gai ez izan daiteke.

Gero nahitako erabakiak datoz. Etxeko inprimagailu bat baimenduz gero, lan-baliabide baten aurrizkia baimendu ere ez da erabaki bera, eta biek desberdin egiten dute APNs irisgarri uztea jakinarazpenak iristen jarrai dezaten. Idatz itzazu zein gaitzen dituzun profilean bertan, geroago errore-txosten batetik aurkitu beharrean.

Zergatik ez den bide lehenetsiaren berdina

Bide lehenetsia bideratze-taulako sarrera bat da, eta taulek galdu egiten dute. Aurrizki zehatzago batek gainditzen du, aplikazio batera mugatutako konexio batek saihestu dezake, eta metrika hobea duen bigarren interfaze batek hartu dezake inork VPN konfigurazioa ukitu gabe.

Appleren bideratze-gidak bereizketa argitzen du: bide lehenetsi arruntak zehatzagoekin gaindi daitezke, esparru zabalagoko ezarpenak tunelak zer trafiko eraman behar duen eta zer baztertzen den definitzen duen bitartean. Bata lehentasuna da, bestea araura hurbilago dago.

Alde horrek isuri bat diagnostikatzeko modua ere aldatzen du. Bide lehenetsiarekin bideak eta metrikak aztertzen dituzu. Esparru-gakoarekin profileko berrikuspena, instalatutako salbuespenak eta bertsioaren araberako jokabidea aztertzen dituzu, bideratze-taula lehenago hartutako erabakiaren beheko aldean baitago.

EnforceRoutes beste kontrol bat da

EnforceRoutes ideia beraren bertsio zorrotza dirudi, eta jendeak biak pilatzen ditu gako gehiagok estaldura handiagoa esan nahi duela sinetsita. Applek dokumentatzen du IncludeAllNetworks gaituta dagoenean ez dela kontuan hartzen, beraz bigarren gakoak ez du ezer erosten konbinazio horretan.

Trata ezazu esparru zabalagoa erabiltzen ez duten konfigurazioetarako alternatiba gisa, ez indartze gisa. Gako bakoitzak bere kabuz egiten duena azaldu ezin baduzu, biak gehitzeak profila are zailagoa egiten du berrikusteko.

Zertan ados jarri behar dute atebideak eta profileko jabeak

Bezero-ezarpen batek ezin du zerbitzari bat behartu inoiz konfiguratu ez zaion trafikoa birbidaltzera. Atebideak saioa onartu, helbideak banatu, lortu nahi dituzun aurrizkientzako itzulera-bidea eman eta aukeratu duzun edozein antolamendutan DNS eman behar ditu. Aurrizki bakarra bideratzen badu, bezeroaren esparru zabalak iristen eta hiltzen den trafikoa sortzen du. Atebidearen bideetatik kanpoko helmuga baterako eskaera batek minutu batean frogatzen du hori.

Aplikazio baten jabetzako tunela beste kasu bereizi bat da. Hornitzaileak onartutako jokabidea inplementatu edo agerian jarri behar du; bigarren IKEv2 profil natiboa instalatzeak ez du aldatzen beste aplikazio batek dagoeneko kudeatzen duen tunela, eta IKEv2 gakoa ez da beste bezero batek irakurriko duen OpenVPN direktiba.

Gako-zerrenda eta bertsio-baldintza eguneratuak izateko, irakurri Appleren IKEv2 karga-erreferentzia duela urte batzuk norbaitek kopiatutako profil bat irakurri beharrean.

Onartu profileko berrikuspena osotasunean

Urrunetik administratutako Mac bat aldatu aurretik, idatz itzazu helburuko macOS bertsioak, aurreikusitako internet irteera, irisgarri egon behar duten aurrizki pribatuak eta gaitzen duzun baztertze bakoitza. Ondoren gorde aldatu beharreko tunelaren mende ez dagoen berreskuratze-bide bat.

Probatu eskaera publiko berriak, eskaera pribatuak, bi helbide-familia eta izen-ebazpena, eta egiaztatu instalatutako berrikuspena diseinu-fitxategia baino. Zerbait oraindik zuzenean badoa, erabaki dokumentatutako salbuespena, konexio-testuinguru desberdina edo konfigurazio-errore erreala den, eta aldatu hiru horietako bat erlaziorik gabeko gakoak zabaldu ordez.