Wat docht IncludeAllNetworks yn in IKEv2-profyl op in Mac?

Yn in native IKEv2-profyl is de nijsgjirrige kaai gjin karfakje, it is IncludeAllNetworks, en wat dy feroaret is it berik fan wat it systeem bûten de tunnel stjoere mei. Set him op 1 en macOS behannelet de tunnel as it paad foar frijwol al it IP-ferkear, minus in set útsûnderings dy't it definiearret en dy't jo útwreidzje kinne. Om't er yn in profylwurdboek sit en net yn in menu, betsjut er ek net wat de measte minsken tinke as se de útdrukking al it ferkear stjoere lêze.

Wat de kaai yn 'e netwurkstack feroaret

Sûnder him hâldt de tunnel him as in netwurkynterface mei oanheakte rûtes. In standertrûte fia dy interface fangt it measte ferkear, en elke spesifiker rûte op in oare interface wint noch hieltyd foar syn eigen prefix. Dat is normale routing, en dêrom bart split tunnelling hast by ûngelok.

Mei de kaai ynskeakele is it berik gjin routingfoarkar mear, mar in belied oer hokker ferkear der troch eat oars as de tunnel fuort mei. It systeem moat it netwurk noch hieltyd berikke om de ferbining libben te hâlden, dat it belied komt mei útsûnderings ynstee fan te dwaan as bestean se net. It ynskeakeljen lit de masine nea sûnder wurkjend paad. Wat jo krije is in koartere list fan paden as jo tochten, en dy list is dokumintearre.

It praktyske gefolch is dat it tafoegjen fan in rûte de útkomst net mear ferklearret. As in bestimming noch hieltyd direkt berikt wurdt, is de fraach net hokker rûte wûn, mar oft in útsûndering derop fan tapassing is.

De útsûnderings binne part fan 'e ynstelling

Apple dokumintearret ferskate útslutings njonken de haadkaai, oer lokale netwurken, Apple Push Notification-ferkear, sellulêre tsjinsten en apparaatkommunikaasje. Elk hat syn eigen platfoarm- en ferzje-betingsten, dat itselde profyl kin him oars hâlde en draaie by ferskate macOS-ferzjes.

Guon fan dy útslutings binne ynherint. Ferkear dat nedich is om netwurktagonk te meitsjen en te hâlden, ynklusyf ôfhandeling fan captive portal, moat tastien wurde, oars kin de masine einigje ferbûn mei neat en net by steat om it te reparearjen.

Dan komme de bewuste karren. In thúsprinter tastean is net deselde beslissing as in prefix foar wurkbronnen tastean, en beide ferskille fan APNs berikber litte sadat notifikaasjes oankomme bliuwe. Skriuw op hokker jo ynskeakele hawwe, yn it profyl sels, ynstee fan se letter út in bugrapport te ûntdekken.

Wêrom't it net itselde is as in standertrûte

In standertrûte is in yngong yn 'e routingtabel, en routingtabellen ferlieze. In spesifiker prefix ferslacht him, in ferbining beheind ta in applikaasje kin him omgean, en in twadde interface mei in bettere metryk kin it oernimme sûnder dat immen de VPN-konfiguraasje oanreitset.

De routingbegelieding fan Apple makket it ûnderskied eksplisyt: gewoane standerts kinne oerskreaun wurde troch spesifikere rûtes, wylst de bredere berikynstelling definiearret hokker ferkear de tunnel drage moat en wat derút helle wurdt. Ien is in foarkar, de oare is tichter by in regel.

Dat ferskil feroaret ek hoe't jo in lek diagnostisearje. Mei in standertrûte besjen jo rûtes en metriken. Mei de berikkaai besjen jo de profylferzje, de ynstallearre útsûnderings en it ferzjespesifike gedrach, om't de routingtabel in gefolch is fan in earder nommen beslissing.

EnforceRoutes is in oare knop

EnforceRoutes klinkt as de strange ferzje fan itselde idee, en minsken steapelje de twa yn 'e oertsjûging dat mear kaaien mear dekking betsjutte. Apple dokumintearret dat er negearre wurdt as IncludeAllNetworks ynskeakele is, dat de twadde kaai leveret neat op yn dy kombinaasje.

Behannelje him as in alternatyf foar konfiguraasjes dy't it bredere berik net brûke, net as fersterking. As jo net útlisje kinne wat elke kaai op himsels docht, makket it tafoegjen fan beide it profyl allinnich mar hurder om te beoardieljen.

Wêr't de gateway en de profyleigner it oer iens wêze moatte

In kliïntynstelling kin in server net twinge ferkear troch te jaan dêr't er nea foar konfigurearre is. De gateway moat de sesje akseptearje, adressen útjaan, in werompaad leverje foar de prefixen dy't jo berikke wolle, en DNS tsjinje yn 'e opstelling dy't jo keazen hawwe. As er mar ien prefix rûtet, produsearret it brede kliïntberik ferkear dat oankomt en deaget. Ien fersyk nei in bestimming bûten de rûtes fan 'e gateway bewissiget dat yn in minút.

In tunnel fan in applikaasje is wer in oar gefal. De oanbieder moat it stipe gedrach ymplementearje of bleatstelle; it ynstallearjen fan in twadde native IKEv2-profyl feroaret in tunnel net dy't in oare applikaasje al beheart, en in IKEv2-kaai is gjin OpenVPN-ynstruksje dy't in oare kliïnt lêze soe.

Foar de aktuele kaaielist en ferzje-betingsten, lês de IKEv2-payloadreferinsje fan Apple ynstee fan in profyl dat immen jierren lyn kopiearre.

Akseptearje fan in profylferzje as gehiel

Foardat jo in op ôfstân beheard Mac feroarje, skriuw de doel-macOS-ferzjes op, de bedoelde ynternetútgong, de private prefixen dy't berikber bliuwe moatte, en elke útsûndering dy't jo ynskeakelje. Behâld dan in werstelpaad dat net ôfhinklik is fan 'e tunnel dy't jo op it punt steane te feroarjen.

Test nije iepenbiere fersiken, private fersiken, beide adresfamyljes en namme-oplossing, en kontrolearje de ynstallearre ferzje ynstee fan it ûntwerptriem. As eat noch hieltyd direkt giet, beslis dan oft it in dokumintearre útsûndering is, in oare ferbiningskontekst, of in echte konfiguraasjeflater, en feroarje ien fan dy trije ynstee fan besibbe kaaien te ferbreedzjen.