Mitä IncludeAllNetworks tekee Macin IKEv2-profiilissa?

Natiivissa IKEv2-profiilissa kiinnostava avain ei ole valintaruutu, vaan IncludeAllNetworks, ja se muuttaa sitä, mihin järjestelmä saa lähettää liikennettä tunnelin ulkopuolelle. Aseta sen arvoksi 1 ja macOS pitää tunnelia käytännössä kaiken IP-liikenteen reittinä lukuun ottamatta joukkoa poikkeuksia, jotka se määrittelee ja joita voit laajentaa. Koska avain on profiilin sanakirjassa eikä valikossa, se ei myöskään tarkoita sitä, mitä useimmat olettavat lukiessaan lauseen lähettää kaikki liikenne.

Mitä avain muuttaa verkkopinossa

Ilman sitä tunneli käyttäytyy kuin verkkoliitäntä, johon on liitetty reittejä. Kyseisen liitännän kautta kulkeva oletusreitti sieppaa suurimman osan liikenteestä, ja mikä tahansa tarkempi reitti toisessa liitännässä voittaa silti oman etuliitteensä osalta. Tämä on normaalia reititystä, ja juuri siksi jaettu tunnelointi tapahtuu melkein vahingossa.

Kun avain on käytössä, laajuus ei ole enää reititysasetus vaan käytäntö siitä, mikä liikenne saa poistua muuta kautta kuin tunnelin kautta. Järjestelmän on silti päästävä verkkoon yhteyden pitämiseksi elossa, joten käytäntöön kuuluu poikkeuksia sen sijaan, että niiden olemassaolo kiistettäisiin. Sen käyttöönotto ei koskaan jätä konetta täysin ilman toimivaa polkua. Tuloksena on lyhyempi polkujen luettelo kuin oletit, ja se luettelo on dokumentoitu.

Käytännön seuraus on, että reitin lisääminen ei enää selitä lopputulosta. Jos kohteeseen päästään edelleen suoraan, ei kannata kysyä, mikä reitti voitti, vaan kattaako jokin poikkeus sen.

Poikkeukset ovat osa asetusta

Apple dokumentoi pääavaimen ohella useita poissulkemisia, jotka kattavat paikallisverkot, Apple Push Notification -liikenteen, matkapuhelinpalvelut ja laiteviestinnän. Jokaisella on omat alusta- ja versioehtonsa, joten sama profiili voi käyttäytyä eri tavoin eri macOS-julkaisuissa.

Osa näistä poissulkemisista on sisäänrakennettuja. Verkkoyhteyden muodostamiseen ja ylläpitämiseen tarvittava liikenne, mukaan lukien captive portal -käsittely, on sallittava, tai kone voi päätyä yhteyteen, jota se ei pysty korjaamaan.

Sitten tulevat tarkoitukselliset valinnat. Kotitulostimen salliminen ei ole sama päätös kuin työresurssin etuliitteen salliminen, ja molemmat eroavat siitä, että APNs pidetään tavoitettavana, jotta ilmoitukset saapuvat perille. Kirjaa käyttöön ottamasi poikkeukset itse profiiliin sen sijaan, että selvittäisit ne myöhemmin virheraportista.

Miksi se ei ole sama kuin oletusreitti

Oletusreitti on reititystaulun merkintä, ja reititystaulut häviävät. Tarkempi etuliite voittaa sen, sovelluskohtainen yhteys voi ohittaa sen, ja toinen liitäntä paremmalla metriikalla voi ottaa vallan ilman, että kukaan koskee VPN-asetuksiin.

Applen reititysohje tekee eron selväksi: tarkemmat reitit voivat ohittaa tavalliset oletukset, kun taas laajempi laajuusasetus määrittää, mitä liikennettä tunnelin on kuljetettava ja mikä siitä rajataan pois. Toinen on asetus, toinen on lähempänä sääntöä.

Tämä ero muuttaa myös tapaa, jolla vuotoa diagnosoidaan. Oletusreitin kanssa tutkit reittejä ja metriikoita. Laajuusavaimen kanssa tutkit profiilin versiota, asennettuja poikkeuksia ja versiokohtaista käyttäytymistä, koska reititystaulu on seurausta aiemmin tehdystä päätöksestä.

EnforceRoutes on eri säätö

EnforceRoutes kuulostaa saman ajatuksen tiukalta versiolta, ja ihmiset kasaavat molemmat uskoen, että useammat avaimet tarkoittavat laajempaa kattavuutta. Apple dokumentoi, että se jätetään huomiotta, kun IncludeAllNetworks on käytössä, joten toinen avain ei tuo tässä yhdistelmässä mitään.

Käsittele sitä vaihtoehtona kokoonpanoille, jotka eivät käytä laajempaa laajuusasetusta, älä vahvistuksena. Jos et osaa selittää, mitä kukin avain tekee itsenäisesti, molempien lisääminen vain vaikeuttaa profiilin tarkistamista.

Mistä yhdyskäytävän ja profiilin omistajan on sovittava

Asiakasasetus ei voi saada palvelinta välittämään liikennettä, jota sen ei koskaan määritetty välittämään. Yhdyskäytävän on hyväksyttävä istunto, jaettava osoitteet, tarjottava paluupolku etuliitteille, joihin aiot päästä, ja tarjottava DNS valitsemallasi järjestelyllä. Jos se reitittää vain yhden etuliitteen, asiakkaan laaja laajuus tuottaa liikennettä, joka saapuu ja kuolee. Yksi pyyntö kohteeseen, joka on yhdyskäytävän reittien ulkopuolella, todistaa sen minuutissa.

Sovelluksen omistama tunneli on taas eri tapaus. Palveluntarjoajan on toteutettava tai tarjottava tuettu toimintatapa; toisen natiivin IKEv2-profiilin asentaminen ei muokkaa tunnelia, jota toinen sovellus jo hallitsee, eikä IKEv2-avain ole OpenVPN-direktiivi, jonka jokin toinen asiakas lukisi.

Ajantasaisen avainluettelon ja versioehtojen osalta lue Applen IKEv2-hyötykuorman viite sen sijaan, että luottaisit profiiliin, jonka joku kopioi vuosia sitten.

Hyväksy profiilin versio kokonaisuutena

Ennen kuin muutat etähallittua Macia, kirjoita muistiin kohde-macOS-versiot, aiottu internet-poistumistie, yksityiset etuliitteet, joiden on pysyttävä tavoitettavina, ja jokainen poikkeus, jonka otat käyttöön. Säilytä sitten palautumispolku, joka ei riipu tunnelista, jota olet muuttamassa.

Testaa tuoreet julkiset pyynnöt, yksityiset pyynnöt, molemmat osoiteperheet ja nimien selvitys sekä tarkista asennettu versio suunnittelutiedoston sijaan. Jos jokin kulkee edelleen suoraan, päätä, onko kyse dokumentoidusta poikkeuksesta, erilaisesta yhteyden kontekstista vai varsinaisesta kokoonpanovirheestä, ja muuta jotakin näistä kolmesta sen sijaan, että laajentaisit muita avaimia.