Mac IKEv2 प्रोफ़ाइल में IncludeAllNetworks क्या करता है?

नेटिव IKEv2 प्रोफ़ाइल में दिलचस्प कुंजी कोई चेकबॉक्स नहीं है, वह IncludeAllNetworks है, और यह जो बदलती है वह यह है कि सिस्टम टनल के बाहर क्या भेज सकता है। इसे 1 पर सेट करें और macOS टनल को लगभग सारे IP ट्रैफ़िक के रास्ते के रूप में मानता है, सिवाय उन अपवादों के समूह को छोड़कर जिन्हें वह परिभाषित करता है और जिन्हें आप बढ़ा सकते हैं। चूँकि यह मेन्यू में नहीं बल्कि प्रोफ़ाइल डिक्शनरी में रहती है, इसलिए यह वह अर्थ भी नहीं देती जो अधिकांश लोग सारा ट्रैफ़िक भेजें वाक्यांश पढ़कर मान लेते हैं।

यह कुंजी नेटवर्क स्टैक के भीतर क्या बदलती है

इसके बिना टनल एक नेटवर्क इंटरफ़ेस की तरह व्यवहार करता है जिससे रूट जुड़े होते हैं। उस इंटरफ़ेस से जाने वाला डिफ़ॉल्ट रूट अधिकांश ट्रैफ़िक पकड़ लेता है, और किसी दूसरे इंटरफ़ेस पर कोई अधिक विशिष्ट रूट अपने प्रीफ़िक्स के लिए फिर भी जीतता है। यह सामान्य रूटिंग है, और इसीलिए स्प्लिट टनलिंग लगभग संयोग से हो जाती है।

कुंजी सक्षम होने पर यह दायरा रूटिंग वरीयता रहना बंद कर देता है और इस बारे में नीति बन जाता है कि कौन सा ट्रैफ़िक टनल के अलावा किसी और मार्ग से बाहर जा सकता है। कनेक्शन को जीवित रखने के लिए सिस्टम को अब भी नेटवर्क तक पहुँचना होता है, इसलिए यह नीति अपवादों के साथ आती है, बजाय यह दिखावा करने के कि वे मौजूद नहीं हैं। इसे सक्षम करने से मशीन कभी भी बिना किसी काम करने वाले मार्ग के नहीं रहती। आपको जो मिलता है वह आपकी अपेक्षा से छोटी मार्गों की सूची है, और वह सूची प्रलेखित है।

व्यावहारिक परिणाम यह है कि रूट जोड़ना अब परिणाम की व्याख्या नहीं करता। अगर किसी गंतव्य तक अब भी सीधे पहुँचा जाता है, तो सवाल यह नहीं कि कौन सा रूट जीता, बल्कि यह कि क्या कोई अपवाद उसे ढकता है।

अपवाद सेटिंग का ही हिस्सा हैं

Apple मुख्य कुंजी के साथ कई अपवर्जनों का दस्तावेज़ीकरण करता है, जो स्थानीय नेटवर्क, Apple Push Notification ट्रैफ़िक, सेलुलर सेवाओं और डिवाइस संचार को कवर करते हैं। हर एक की अपनी प्लेटफ़ॉर्म और संस्करण शर्तें हैं, इसलिए वही प्रोफ़ाइल macOS संस्करणों के बीच अलग व्यवहार कर सकती है।

इनमें से कुछ अपवर्जन अंतर्निहित हैं। नेटवर्क पहुँच स्थापित करने और बनाए रखने के लिए ज़रूरी ट्रैफ़िक, जिसमें कैप्टिव पोर्टल हैंडलिंग शामिल है, अनुमत होना चाहिए, वरना मशीन किसी भी चीज़ से जुड़ी रह सकती है और उसे ठीक नहीं कर सकती।

फिर आते हैं सोचे-समझे फ़ैसले। घरेलू प्रिंटर को अनुमति देना वही फ़ैसला नहीं है जो कार्य-संसाधन प्रीफ़िक्स को अनुमति देना है, और दोनों इससे अलग हैं कि APNs पहुँच योग्य रहे ताकि सूचनाएँ आती रहें। आपने कौन से सक्षम किए, यह प्रोफ़ाइल में ही लिख लें, बजाय बाद में बग रिपोर्ट से पता लगाने के।

यह डिफ़ॉल्ट रूट जैसा क्यों नहीं है

डिफ़ॉल्ट रूट रूटिंग तालिका की एक प्रविष्टि है, और रूटिंग तालिकाएँ हार जाती हैं। अधिक विशिष्ट प्रीफ़िक्स उसे हरा देता है, किसी ऐप तक सीमित कनेक्शन उसे बायपास कर सकता है, और बेहतर मीट्रिक वाला दूसरा इंटरफ़ेस बिना किसी के VPN कॉन्फ़िगरेशन छुए नियंत्रण ले सकता है।

Apple का रूटिंग मार्गदर्शन अंतर स्पष्ट करता है: सामान्य डिफ़ॉल्ट को अधिक विशिष्ट रूट से बदला जा सकता है, जबकि व्यापक स्कोपिंग सेटिंग तय करती है कि टनल को कौन सा ट्रैफ़िक ढोना है और उसमें से क्या निकाला गया है। एक वरीयता है, दूसरा नियम के अधिक निकट है।

यह अंतर यह भी बदलता है कि लीक का निदान कैसे करें। डिफ़ॉल्ट रूट के साथ आप रूट और मीट्रिक जाँचते हैं। स्कोपिंग कुंजी के साथ आप प्रोफ़ाइल संशोधन, स्थापित अपवाद और संस्करण-विशिष्ट व्यवहार जाँचते हैं, क्योंकि रूटिंग तालिका पहले लिए गए फ़ैसले का परिणाम है।

EnforceRoutes एक अलग सेटिंग है

EnforceRoutes उसी विचार का सख्त संस्करण जैसा लगता है, और लोग दोनों को इस विश्वास से जोड़ देते हैं कि अधिक कुंजियाँ अधिक कवरेज देती हैं। Apple दस्तावेज़ीकरण करता है कि जब IncludeAllNetworks सक्षम होता है तब इसे अनदेखा किया जाता है, इसलिए उस संयोजन में दूसरी कुंजी कुछ नहीं खरीदती।

इसे उन कॉन्फ़िगरेशन के लिए विकल्प मानें जो व्यापक स्कोपिंग का उपयोग नहीं करते, सुदृढ़ीकरण के रूप में नहीं। अगर आप नहीं बता सकते कि हर कुंजी अलग से क्या करती है, तो दोनों जोड़ने से प्रोफ़ाइल की समीक्षा करना बस कठिन हो जाता है।

गेटवे और प्रोफ़ाइल स्वामी को किन बातों पर सहमत होना चाहिए

क्लाइंट सेटिंग सर्वर को ऐसा ट्रैफ़िक आगे भेजने पर विवश नहीं कर सकती जिसे भेजने के लिए उसे कभी कॉन्फ़िगर नहीं किया गया। गेटवे को सत्र स्वीकार करना होता है, पते बाँटने होते हैं, जिन प्रीफ़िक्स तक आप पहुँचना चाहते हैं उनके लिए वापसी मार्ग देना होता है, और आपके चुने हुए इंतज़ाम में DNS परोसना होता है। अगर वह सिर्फ़ एक प्रीफ़िक्स रूट करता है, तो क्लाइंट का व्यापक दायरा ऐसा ट्रैफ़िक पैदा करता है जो आता है और मर जाता है। गेटवे के रूटों से बाहर किसी गंतव्य को एक अनुरोध एक मिनट में यह साबित कर देता है।

ऐप के स्वामित्व वाली टनल फिर से अलग मामला है। प्रदाता को समर्थित व्यवहार लागू करना या उजागर करना होता है; दूसरी नेटिव IKEv2 प्रोफ़ाइल स्थापित करने से ऐसी टनल नहीं बदलती जिसे कोई दूसरा ऐप पहले से प्रबंधित कर रहा है, और IKEv2 कुंजी कोई OpenVPN निर्देश नहीं है जिसे कोई अन्य क्लाइंट पढ़ेगा।

मौजूदा कुंजी सूची और संस्करण शर्तों के लिए Apple का IKEv2 पेलोड संदर्भ पढ़ें, न कि वर्षों पहले किसी द्वारा कॉपी की गई प्रोफ़ाइल।

प्रोफ़ाइल संशोधन को समग्र रूप में स्वीकार करें

दूर से प्रबंधित Mac बदलने से पहले, लक्षित macOS संस्करण, इच्छित इंटरनेट निकास, वे निजी प्रीफ़िक्स जिन तक पहुँच बनी रहनी चाहिए, और आपके द्वारा सक्षम किया जा रहा हर अपवर्जन लिख लें। फिर ऐसा रिकवरी मार्ग बनाए रखें जो उस टनल पर निर्भर न हो जिसे आप बदलने वाले हैं।

ताज़ा सार्वजनिक अनुरोध, निजी अनुरोध, दोनों पता परिवार और नाम विभेदन जाँचें, और डिज़ाइन फ़ाइल के बजाय स्थापित संशोधन जाँचें। अगर कुछ अब भी सीधे जाता है, तय करें कि यह प्रलेखित अपवाद है, अलग कनेक्शन संदर्भ है, या वास्तविक कॉन्फ़िगरेशन त्रुटि है, और असंबंधित कुंजियाँ बढ़ाने के बजाय उन तीन में से एक बदलें।