Que fait IncludeAllNetworks dans un profil IKEv2 sur Mac ?

Dans un profil IKEv2 natif, la clé intéressante n’est pas une case à cocher, c’est IncludeAllNetworks, et ce qu’elle change, c’est l’étendue de ce que le système est autorisé à envoyer hors du tunnel. Réglez-la sur 1 et macOS traite le tunnel comme le chemin de la quasi-totalité du trafic IP, moins un ensemble d’exceptions qu’il définit et que vous pouvez étendre. Comme elle réside dans un dictionnaire de profil et non dans un menu, elle ne signifie pas non plus ce que la plupart des gens supposent en lisant l’expression envoyer tout le trafic.

Ce que la clé change dans la pile réseau

Sans elle, le tunnel se comporte comme une interface réseau à laquelle des routes sont attachées. Une route par défaut passant par cette interface capte la majeure partie du trafic, et toute route plus spécifique sur une autre interface l’emporte encore pour son propre préfixe. C’est le routage normal, et c’est pourquoi le tunnel divisé se produit presque par accident.

Avec la clé activée, l’étendue cesse d’être une préférence de routage et devient une politique sur le trafic autorisé à sortir par autre chose que le tunnel. Le système doit toujours atteindre le réseau pour garder la connexion active, la politique est donc livrée avec des exceptions plutôt que de prétendre qu’elles n’existent pas. L’activer ne laisse jamais la machine sans aucun chemin fonctionnel. Vous obtenez une liste de chemins plus courte que prévu, et cette liste est documentée.

La conséquence pratique est que l’ajout d’une route n’explique plus le résultat. Si une destination est encore atteinte directement, la question n’est pas de savoir quelle route a gagné, mais si une exception la couvre.

Les exceptions font partie du réglage

Apple documente plusieurs exclusions à côté de la clé principale, couvrant les réseaux locaux, le trafic Apple Push Notification, les services cellulaires et la communication des appareils. Chacune a ses propres conditions de plateforme et de version, si bien qu’un même profil peut se comporter différemment selon les versions de macOS.

Certaines de ces exclusions sont intrinsèques. Le trafic nécessaire pour établir et maintenir l’accès au réseau, y compris la gestion des portails captifs, doit être autorisé, sinon la machine peut se retrouver connectée à rien et incapable de corriger la situation.

Viennent ensuite les choix délibérés. Autoriser une imprimante domestique n’est pas la même décision qu’autoriser un préfixe de ressource professionnelle, et les deux diffèrent du fait de laisser APNs joignable pour que les notifications continuent d’arriver. Notez celles que vous avez activées, dans le profil lui-même, plutôt que de les découvrir plus tard dans un rapport de bogue.

Pourquoi ce n’est pas la même chose qu’une route par défaut

Une route par défaut est une entrée de table de routage, et les tables de routage perdent. Un préfixe plus spécifique la bat, une connexion limitée à une application peut la contourner, et une seconde interface avec une meilleure métrique peut prendre le dessus sans que personne ne touche à la configuration VPN.

Les recommandations d’Apple en matière de routage rendent la distinction explicite : les routes par défaut ordinaires peuvent être remplacées par des routes plus spécifiques, tandis que le réglage d’étendue plus large définit quel trafic le tunnel doit transporter et ce qui en est exclu. L’un est une préférence, l’autre se rapproche d’une règle.

Cette différence change aussi la façon de diagnostiquer une fuite. Avec une route par défaut, vous inspectez les routes et les métriques. Avec la clé d’étendue, vous inspectez la révision du profil, les exceptions installées et le comportement propre à la version, car la table de routage découle d’une décision prise plus tôt.

EnforceRoutes est un autre réglage

EnforceRoutes ressemble à la version stricte de la même idée, et les gens empilent les deux en croyant que plus de clés signifie plus de couverture. Apple documente qu’il est ignoré lorsque IncludeAllNetworks est activée, donc la seconde clé n’apporte rien dans cette combinaison.

Traitez-le comme une alternative pour les configurations qui n’utilisent pas l’étendue plus large, pas comme un renfort. Si vous ne pouvez pas expliquer ce que fait chaque clé isolément, ajouter les deux ne fait que rendre le profil plus difficile à relire.

Ce sur quoi la passerelle et le propriétaire du profil doivent s’accorder

Un réglage client ne peut pas obliger un serveur à acheminer un trafic pour lequel il n’a jamais été configuré. La passerelle doit accepter la session, distribuer des adresses, fournir un chemin de retour pour les préfixes que vous voulez atteindre et servir le DNS selon l’arrangement choisi. Si elle n’achemine qu’un seul préfixe, l’étendue large du client produit un trafic qui arrive et meurt. Une requête vers une destination hors des routes de la passerelle le prouve en une minute.

Un tunnel géré par une application est encore un autre cas. Le fournisseur doit implémenter ou exposer le comportement pris en charge ; installer un second profil IKEv2 natif ne modifie pas un tunnel qu’une autre application gère déjà, et une clé IKEv2 n’est pas une directive OpenVPN qu’un autre client lirait.

Pour la liste actuelle des clés et les conditions de version, consultez la référence de charge utile IKEv2 d’Apple plutôt qu’un profil que quelqu’un a copié il y a des années.

Accepter une révision de profil dans son ensemble

Avant de modifier un Mac administré à distance, notez les versions cibles de macOS, la sortie internet prévue, les préfixes privés qui doivent rester joignables et chaque exclusion que vous activez. Préservez ensuite un chemin de récupération qui ne dépend pas du tunnel que vous êtes sur le point de modifier.

Testez des requêtes publiques nouvelles, des requêtes privées, les deux familles d’adresses et la résolution de noms, puis vérifiez la révision installée plutôt que le fichier de conception. Si quelque chose passe encore en direct, déterminez s’il s’agit d’une exception documentée, d’un contexte de connexion différent ou d’une véritable erreur de configuration, et modifiez l’un de ces trois éléments plutôt que d’élargir des clés sans rapport.