IncludeAllNetworks در نمایه IKEv2 روی مک چه می‌کند؟

در یک نمایه بومی IKEv2 کلید جالب یک جعبه تأیید نیست، IncludeAllNetworks است، و چیزی که تغییر می‌دهد دامنه آن چیزی است که سیستم اجازه دارد بیرون تونل بفرستد. آن را روی 1 بگذارید و macOS تونل را مسیر تقریباً همه ترافیک IP می‌داند، منهای مجموعه‌ای استثنا که خودش تعریف می‌کند و شما می‌توانید گسترش دهید. چون در واژه‌نامه نمایه می‌نشیند نه در یک منو، معنایش هم آن چیزی نیست که بیشتر مردم وقتی عبارت ارسال همه ترافیک را می‌خوانند تصور می‌کنند.

کلید درون پشته شبکه چه چیزی را تغییر می‌دهد

بدون آن، تونل مانند یک رابط شبکه با مسیرهای متصل رفتار می‌کند. مسیر پیش‌فرض از آن رابط بیشتر ترافیک را می‌گیرد و هر مسیر دقیق‌تر روی رابط دیگر همچنان برای پیشوند خودش برنده می‌شود. این مسیریابی عادی است و به همین دلیل تونل‌سازی تقسیمی تقریباً تصادفی رخ می‌دهد.

با فعال بودن کلید، دامنه دیگر یک ترجیح مسیریابی نیست و به سیاستی درباره اینکه کدام ترافیک اجازه دارد از چیزی جز تونل خارج شود تبدیل می‌شود. سیستم هنوز باید به شبکه برسد تا اتصال را زنده نگه دارد، پس سیاست با استثناها می‌آید نه با ادعای اینکه وجود ندارند. فعال کردنش هرگز ماشین را کاملاً بدون مسیر کارآمد رها نمی‌کند. آنچه می‌گیرید فهرست کوتاه‌تری از مسیرهاست از آنچه فرض می‌کردید، و آن فهرست مستند است.

پیامد عملی این است که افزودن مسیر دیگر نتیجه را توضیح نمی‌دهد. اگر مقصدی هنوز مستقیم در دسترس است، پرسش این نیست که کدام مسیر برنده شد، بلکه این است که آیا استثنایی آن را پوشش می‌دهد.

استثناها بخشی از تنظیم‌اند

اپل چندین استثنا در کنار کلید اصلی مستند می‌کند که شبکه‌های محلی، ترافیک Apple Push Notification، سرویس‌های سلولی و ارتباط دستگاه‌ها را پوشش می‌دهد. هر کدام شرایط پلتفرم و نسخه خود را دارد، بنابراین همان نمایه می‌تواند در نسخه‌های مختلف macOS متفاوت رفتار کند.

برخی از این استثناها ذاتی‌اند. ترافیکی که برای برقراری و حفظ دسترسی شبکه لازم است، از جمله رسیدگی به captive portal، باید مجاز باشد، وگرنه ماشین ممکن است به هیچ چیز متصل بماند و نتواند آن را درست کند.

سپس انتخاب‌های آگاهانه می‌آیند. مجاز دانستن یک چاپگر خانگی همان تصمیم مجاز دانستن پیشوند یک منبع کاری نیست و هر دو با باز گذاشتن APNs تفاوت دارند تا اعلان‌ها همچنان برسند. ثبت کنید کدام‌ها را فعال کرده‌اید، در خود نمایه، نه اینکه بعداً از یک گزارش خطا کشفشان کنید.

چرا با مسیر پیش‌فرض یکسان نیست

مسیر پیش‌فرض یک ورودی در جدول مسیریابی است و جدول‌ها می‌بازند. پیشوند دقیق‌تر آن را شکست می‌دهد، اتصال محدود به یک برنامه می‌تواند از آن عبور کند و رابط دوم با معیار بهتر می‌تواند بدون اینکه کسی به پیکربندی VPN دست بزند کار را به دست گیرد.

راهنمای مسیریابی اپل این تفاوت را صریح می‌کند: پیش‌فرض‌های معمولی را می‌توان با مسیرهای دقیق‌تر باطل کرد، در حالی که تنظیم دامنه گسترده‌تر تعیین می‌کند تونل باید کدام ترافیک را حمل کند و چه چیزی از آن بیرون گذاشته می‌شود. یکی ترجیح است و دیگری به قاعده نزدیک‌تر.

این تفاوت نحوه تشخیص نشت را هم تغییر می‌دهد. با مسیر پیش‌فرض مسیرها و معیارها را بررسی می‌کنید. با کلید دامنه، بازبینی نمایه، استثناهای نصب‌شده و رفتار وابسته به نسخه را بررسی می‌کنید، چون جدول مسیریابی پایین‌دست تصمیمی است که پیش‌تر گرفته شده.

EnforceRoutes کلید دیگری است

EnforceRoutes مانند نسخه سخت‌گیرانه همان ایده به نظر می‌رسد و مردم هر دو را روی هم می‌گذارند به این باور که کلیدهای بیشتر پوشش بیشتری می‌دهد. اپل مستند می‌کند که وقتی IncludeAllNetworks فعال است نادیده گرفته می‌شود، پس کلید دوم در آن ترکیب چیزی نمی‌خرد.

با آن به عنوان جایگزینی برای پیکربندی‌هایی که از دامنه گسترده‌تر استفاده نمی‌کنند رفتار کنید، نه به عنوان تقویت. اگر نمی‌توانید توضیح دهید هر کلید به‌تنهایی چه می‌کند، افزودن هر دو فقط بازبینی نمایه را سخت‌تر می‌کند.

دروازه و صاحب نمایه باید بر چه چیزی توافق کنند

یک تنظیم سمت کلاینت نمی‌تواند سرور را وادار کند ترافیکی را ارسال کند که هرگز برای آن پیکربندی نشده است. دروازه باید نشست را بپذیرد، نشانی‌ها را توزیع کند، برای پیشوندهایی که می‌خواهید به آن‌ها برسید مسیر بازگشت فراهم کند و DNS را به هر ترتیبی که انتخاب کرده‌اید ارائه دهد. اگر فقط یک پیشوند را مسیریابی کند، دامنه گسترده کلاینت ترافیکی تولید می‌کند که می‌رسد و می‌میرد. یک درخواست به مقصدی بیرون از مسیرهای دروازه این را در یک دقیقه ثابت می‌کند.

تونل متعلق به یک برنامه هم مورد جداگانه‌ای است. ارائه‌دهنده باید رفتار پشتیبانی‌شده را پیاده‌سازی یا آشکار کند؛ نصب نمایه دوم بومی IKEv2 تونلی را که برنامه دیگری از قبل مدیریت می‌کند تغییر نمی‌دهد و کلید IKEv2 دستورالعمل OpenVPN نیست که کلاینت دیگری بخواند.

برای فهرست کنونی کلیدها و شرایط نسخه، به جای نمایه‌ای که کسی سال‌ها پیش کپی کرده، مرجع بار داده IKEv2 اپل را بخوانید.

بازبینی نمایه را به صورت یک کل بپذیرید

پیش از تغییر یک مک که از راه دور مدیریت می‌شود، نسخه‌های هدف macOS، خروجی اینترنت مورد نظر، پیشوندهای خصوصی که باید در دسترس بمانند و هر استثنایی که فعال می‌کنید را بنویسید. سپس یک مسیر بازیابی نگه دارید که به تونلی که در آستانه تغییرش هستید وابسته نباشد.

درخواست‌های عمومی تازه، درخواست‌های خصوصی، هر دو خانواده نشانی و تبدیل نام را آزمایش کنید و بازبینی نصب‌شده را بررسی کنید نه فایل طراحی را. اگر چیزی هنوز مستقیم می‌رود، تصمیم بگیرید که استثنای مستند است، بافت اتصال متفاوت است یا خطای واقعی پیکربندی، و یکی از این سه را تغییر دهید نه اینکه کلیدهای بی‌ربط را گسترش دهید.