Que fai IncludeAllNetworks nun perfil IKEv2 de Mac?

Nun perfil IKEv2 nativo a clave interesante non é unha caixa de verificación, é IncludeAllNetworks, e o que cambia é o alcance do que o sistema pode enviar fóra do túnel. Ponlle o valor 1 e macOS trata o túnel como a ruta de case todo o tráfico IP, menos un conxunto de excepcións que define e que podes ampliar. Como reside nun dicionario de perfil e non nun menú, tampouco significa o que a maioría da xente supón ao ler a frase enviar todo o tráfico.

Que cambia a clave dentro da pila de rede

Sen ela, o túnel compórtase como unha interface de rede con rutas asociadas. Unha ruta predeterminada a través desa interface captura a maior parte do tráfico, e calquera ruta máis específica noutra interface segue gañando para o seu propio prefixo. Iso é o encamiñamento normal, e é por iso que o túnel dividido ocorre case por accidente.

Coa clave activada, o alcance deixa de ser unha preferencia de encamiñamento e convértese nunha política sobre que tráfico pode saír por algo distinto do túnel. O sistema aínda necesita chegar á rede para manter viva a conexión, así que a política inclúe excepcións en vez de finxir que non existen. Activala nunca deixa a máquina sen ningunha ruta funcional. O que obtés é unha lista de rutas máis curta do que supuñas, e esa lista está documentada.

A consecuencia práctica é que engadir unha ruta xa non explica o resultado. Se un destino aínda se alcanza directamente, a pregunta non é que ruta gañou, senón se algunha excepción o cobre.

As excepcións forman parte do axuste

Apple documenta varias exclusións xunto á clave principal, que cobren redes locais, tráfico de Apple Push Notification, servizos celulares e comunicación de dispositivos. Cada unha ten as súas propias condicións de plataforma e versión, polo que o mesmo perfil pode comportarse de forma distinta entre versións de macOS.

Algunhas desas exclusións son intrínsecas. O tráfico necesario para establecer e manter o acceso á rede, incluída a xestión de portais cativos, ten que estar permitido, ou a máquina pode acabar conectada a nada e sen poder arranxalo.

Logo veñen as decisións deliberadas. Permitir unha impresora doméstica non é a mesma decisión que permitir un prefixo de recursos de traballo, e ambas difiren de deixar APNs accesible para que as notificacións sigan chegando. Anota cales activaches, no propio perfil, en vez de descubrilas despois nun informe de erros.

Por que non é o mesmo que unha ruta predeterminada

Unha ruta predeterminada é unha entrada da táboa de encamiñamento, e as táboas de encamiñamento perden. Un prefixo máis específico gáñalle, unha conexión limitada a unha aplicación pode evitala, e unha segunda interface cunha métrica mellor pode facerse cargo sen que ninguén toque a configuración da VPN.

A guía de encamiñamento de Apple fai explícita a distinción: as rutas predeterminadas comúns poden ser substituídas por rutas máis específicas, mentres que o axuste de alcance máis amplo define que tráfico debe levar o túnel e que queda fóra del. Unha é unha preferencia, a outra está máis preto dunha regra.

Esa diferenza tamén cambia como diagnosticas unha fuga. Cunha ruta predeterminada inspeccionas rutas e métricas. Coa clave de alcance inspeccionas a revisión do perfil, as excepcións instaladas e o comportamento específico da versión, porque a táboa de encamiñamento é consecuencia dunha decisión tomada antes.

EnforceRoutes é outro axuste

EnforceRoutes soa como a versión estrita da mesma idea, e a xente apila as dúas coa crenza de que máis claves significan máis cobertura. Apple documenta que se ignora cando IncludeAllNetworks está activada, así que a segunda clave non achega nada nesa combinación.

Trátaa como unha alternativa para configuracións que non usan o alcance máis amplo, non como un reforzo. Se non podes explicar que fai cada clave por si soa, engadir as dúas só fai o perfil máis difícil de revisar.

No que deben poñerse de acordo a pasarela e o propietario do perfil

Un axuste de cliente non pode facer que un servidor encamiñe tráfico para o que nunca foi configurado. A pasarela ten que aceptar a sesión, repartir enderezos, proporcionar unha ruta de volta para os prefixos aos que queres chegar e servir DNS na disposición que elixas. Se só encamiña un prefixo, o alcance amplo do cliente produce tráfico que chega e morre. Unha soa petición a un destino fóra das rutas da pasarela proba iso nun minuto.

Un túnel propiedade dunha aplicación é outro caso distinto. O provedor ten que implementar ou expoñer o comportamento admitido; instalar un segundo perfil IKEv2 nativo non modifica un túnel que outra aplicación xa xestiona, e unha clave IKEv2 non é unha directiva OpenVPN que vaia ler outro cliente.

Para a lista actual de claves e as condicións de versión, consulta a referencia de carga útil IKEv2 de Apple en vez dun perfil que alguén copiou hai anos.

Acepta unha revisión de perfil como un todo

Antes de cambiar un Mac administrado remotamente, anota as versións de macOS obxectivo, a saída a internet prevista, os prefixos privados que deben seguir accesibles e cada exclusión que activas. Despois conserva unha ruta de recuperación que non dependa do túnel que estás a piques de alterar.

Proba peticións públicas novas, peticións privadas, ambas as familias de enderezos e a resolución de nomes, e comproba a revisión instalada en vez do ficheiro de deseño. Se algo aínda vai directo, decide se é unha excepción documentada, un contexto de conexión distinto ou un erro real de configuración, e cambia un deses tres en vez de ampliar claves sen relación.