Šta IncludeAllNetworks radi u IKEv2 profilu na Macu?

U izvornom IKEv2 profilu zanimljiv ključ nije potvrdni okvir, to je IncludeAllNetworks, i ono što mijenja jeste obim onoga što sistem smije slati izvan tunela. Postavite ga na 1 i macOS tretira tunel kao put za praktično sav IP saobraćaj, minus skup izuzetaka koje definiše i koje možete proširiti. Pošto živi u rječniku profila, a ne u meniju, on takođe ne znači ono što većina ljudi pretpostavi kada pročitaju frazu pošalji sav saobraćaj.

Šta ključ mijenja unutar mrežnog steka

Bez njega tunel se ponaša kao mrežni interfejs sa prikačenim rutama. Podrazumijevana ruta kroz taj interfejs hvata većinu saobraćaja, a svaka specifičnija ruta na drugom interfejsu i dalje pobjeđuje za svoj prefiks. To je normalno rutiranje i zato se podijeljeno tuneliranje dogodi gotovo slučajno.

Sa uključenim ključem obim prestaje biti preferencija rute i postaje politika o tome koji saobraćaj smije izaći kroz bilo šta osim tunela. Sistem i dalje mora doći do mreže da bi održao vezu živom, pa politika dolazi s izuzecima umjesto da se pravi da oni ne postoje. Uključivanje nikada ne ostavlja mašinu bez ikakve radne putanje. Ono što dobijate je kraća lista putanja nego što ste pretpostavili, a ta lista je dokumentovana.

Praktična posljedica je da dodavanje rute više ne objašnjava ishod. Ako se odredište još uvijek dostiže direktno, pitanje nije koja je ruta pobijedila nego da li ga pokriva izuzetak.

Izuzeci su dio postavke

Apple dokumentuje nekoliko izuzetaka uz glavni ključ, koji pokrivaju lokalne mreže, saobraćaj Apple Push Notification, mobilne usluge i komunikaciju uređaja. Svaki ima svoje uslove platforme i verzije, pa se isti profil može ponašati različito među izdanjima macOS-a.

Neki od tih izuzetaka su suštinski. Saobraćaj potreban za uspostavljanje i održavanje mrežnog pristupa, uključujući rukovanje captive portalom, mora biti dozvoljen, inače mašina može završiti povezana na ništa i nesposobna to popraviti.

Zatim dolaze namjerne odluke. Dozvoliti kućni printer nije ista odluka kao dozvoliti prefiks radnog resursa, i oboje se razlikuje od toga da APNs ostane dostupan da obavještenja nastave pristizati. Zabilježite koje ste od njih uključili, u samom profilu, umjesto da ih kasnije otkrivate iz izvještaja o grešci.

Zašto nije isto kao podrazumijevana ruta

Podrazumijevana ruta je unos u tabeli rutiranja, a tabele gube. Specifičniji prefiks je pobjeđuje, veza vezana za aplikaciju može je zaobići, a drugi interfejs s boljom metrikom može preuzeti bez da iko dira VPN konfiguraciju.

Apple-ovo uputstvo za rutiranje razliku čini izričitom: obične podrazumijevane rute mogu nadjačati specifičnije rute, dok postavka šireg obima definiše koji saobraćaj tunel mora nositi i šta je iz njega izdvojeno. Jedno je preferencija, drugo je bliže pravilu.

Ta razlika mijenja i način na koji dijagnostikujete curenje. S podrazumijevanom rutom pregledate rute i metrike. S ključem obima pregledate reviziju profila, instalirane izuzetke i ponašanje specifično za verziju, jer je tabela rutiranja nizvodno od ranije donesene odluke.

EnforceRoutes je drugi ključ

EnforceRoutes zvuči kao stroga verzija iste ideje, i ljudi slažu oba u uvjerenju da više ključeva znači više pokrivenosti. Apple dokumentuje da se ignoriše kada je IncludeAllNetworks uključen, pa drugi ključ ne kupuje ništa u toj kombinaciji.

Tretirajte ga kao alternativu za konfiguracije koje ne koriste širi obim, ne kao pojačanje. Ako ne možete objasniti šta svaki ključ radi sam za sebe, dodavanje oba samo čini profil težim za pregled.

Šta se moraju dogovoriti gateway i vlasnik profila

Klijentska postavka ne može natjerati server da prosljeđuje saobraćaj za koji nikada nije konfigurisan. Gateway mora prihvatiti sesiju, dodijeliti adrese, obezbijediti povratnu putanju za prefikse koje namjeravate dosegnuti i posluživati DNS u kojem god rasporedu ste izabrali. Ako rutira samo jedan prefiks, široki klijentski obim proizvodi saobraćaj koji stigne i umre. Jedan zahtjev ka odredištu izvan gateway ruta to dokazuje za minutu.

Tunel u vlasništvu aplikacije je opet poseban slučaj. Provajder mora implementirati ili izložiti podržano ponašanje; instaliranje drugog izvornog IKEv2 profila ne mijenja tunel kojim već upravlja druga aplikacija, a IKEv2 ključ nije OpenVPN direktiva koju će pročitati neki drugi klijent.

Za aktuelnu listu ključeva i uslove verzija čitajte Apple-ovu referencu za IKEv2 payload, a ne profil koji je neko kopirao prije godinama.

Prihvatite reviziju profila kao cjelinu

Prije nego promijenite Mac kojim se upravlja daljinski, zapišite ciljne verzije macOS-a, predviđeni izlaz na internet, privatne prefikse koji moraju ostati dostupni i svaki izuzetak koji uključujete. Zatim sačuvajte putanju za oporavak koja ne zavisi od tunela koji ćete mijenjati.

Testirajte svježe javne zahtjeve, privatne zahtjeve, obje adresne familije i razrješavanje imena, i provjerite instaliranu reviziju, a ne projektni fajl. Ako nešto i dalje ide direktno, odlučite da li je to dokumentovani izuzetak, drugačiji kontekst veze ili stvarna greška u konfiguraciji, i promijenite jedno od to troje umjesto da širite nepovezane ključeve.