Mit tesz az IncludeAllNetworks egy Mac IKEv2-profiljában?

Egy natív IKEv2-profilban az érdekes kulcs nem egy jelölőnégyzet, hanem IncludeAllNetworks, és az, amit megváltoztat, annak a hatóköre, amit a rendszer az alagúton kívül küldhet. Állítsa 1 értékre, és a macOS az alagutat gyakorlatilag minden IP-forgalom útvonalaként kezeli, mínusz az általa meghatározott és az Ön által bővíthető kivételek halmaza. Mivel profil-szótárban él, nem pedig menüben, nem is azt jelenti, amit a legtöbben feltételeznek, amikor az összes forgalom elküldése kifejezést olvassák.

Mit változtat a kulcs a hálózati veremben

Nélküle az alagút úgy viselkedik, mint egy hálózati interfész, amelyhez útvonalak kapcsolódnak. Az ezen az interfészen átmenő alapértelmezett útvonal elkapja a forgalom nagy részét, és egy másik interfész bármely konkrétabb útvonala továbbra is nyer a saját prefixéért. Ez normális útválasztás, és ezért történik az osztott alagút szinte véletlenül.

Ha a kulcs engedélyezve van, a hatókör megszűnik útválasztási preferencia lenni, és szabályzattá válik arról, hogy mely forgalom hagyhatja el az alagúton kívül bármi mást. A rendszernek továbbra is el kell érnie a hálózatot, hogy életben tartsa a kapcsolatot, ezért a szabályzat kivételekkel érkezik, nem pedig úgy tesz, mintha nem léteznének. Az engedélyezése soha nem hagyja a gépet minden működő útvonal nélkül. Amit kap, az rövidebb útvonallista a feltételezettnél, és ez a lista dokumentálva van.

A gyakorlati következmény az, hogy egy útvonal hozzáadása már nem magyarázza meg az eredményt. Ha egy cél továbbra is közvetlenül elérhető, a kérdés nem az, melyik útvonal nyert, hanem hogy lefedi-e egy kivétel.

A kivételek a beállítás részét képezik

Az Apple a fő kulcs mellett több kizárást is dokumentál, amelyek a helyi hálózatokat, az Apple Push Notification forgalmát, a mobil szolgáltatásokat és az eszközkommunikációt fedik le. Mindegyiknek megvannak a saját platform- és verziófeltételei, ezért ugyanaz a profil eltérően viselkedhet a macOS kiadásai között.

Ezek közül néhány kizárás eredendő. A hálózati hozzáférés létrehozásához és fenntartásához szükséges forgalmat, beleértve a captive portal kezelését, engedélyezni kell, különben a gép végül semmihez nem kapcsolódva maradhat, és nem tudja helyrehozni.

Aztán jönnek a szándékos döntések. Egy otthoni nyomtató engedélyezése nem ugyanaz a döntés, mint egy munkahelyi erőforrás-prefix engedélyezése, és mindkettő különbözik attól, hogy az APNs elérhető maradjon, hogy az értesítések továbbra is megérkezzenek. Jegyezze fel, melyeket engedélyezte, magában a profilban, ahelyett hogy később egy hibajelentésből derítené ki.

Miért nem ugyanaz, mint egy alapértelmezett útvonal

Az alapértelmezett útvonal egy útválasztási táblabejegyzés, és az útválasztási táblák veszítenek. Egy konkrétabb prefix legyőzi, egy alkalmazáshoz kötött kapcsolat megkerülheti, és egy jobb metrikájú második interfész átveheti anélkül, hogy bárki hozzányúlna a VPN konfigurációjához.

Az Apple útválasztási útmutatása egyértelművé teszi a különbséget: a közönséges alapértelmezéseket felülírhatják konkrétabb útvonalak, míg a tágabb hatókör-beállítás meghatározza, mely forgalmat kell az alagútnak szállítania, és mi van abból kivéve. Az egyik preferencia, a másik közelebb áll egy szabályhoz.

Ez a különbség azt is megváltoztatja, hogyan diagnosztizál egy szivárgást. Alapértelmezett útvonal esetén az útvonalakat és a metrikákat vizsgálja. A hatókörkulcs esetén a profil revízióját, a telepített kivételeket és a verzióspecifikus viselkedést vizsgálja, mert az útválasztási tábla egy korábbi döntés következménye.

Az EnforceRoutes egy másik kapcsoló

EnforceRoutes úgy hangzik, mint ugyanazon ötlet szigorú változata, és az emberek a kettőt egymásra halmozzák abban a hitben, hogy a több kulcs több lefedettséget jelent. Az Apple dokumentálja, hogy figyelmen kívül hagyják, amikor az IncludeAllNetworks engedélyezve van, tehát a második kulcs semmit sem ad ebben a kombinációban.

Tekintse alternatívának azokhoz a konfigurációkhoz, amelyek nem használják a tágabb hatókört, ne megerősítésnek. Ha nem tudja megmagyarázni, mit tesz az egyes kulcs önmagában, a kettő hozzáadása csak megnehezíti a profil áttekintését.

Miről kell megállapodnia az átjárónak és a profil tulajdonosának

Egy kliensbeállítás nem kényszeríthet egy szervert olyan forgalom továbbítására, amelyre soha nem konfigurálták. Az átjárónak fogadnia kell a munkamenetet, címeket kell osztania, visszautat kell biztosítania azokhoz a prefixekhez, amelyeket el kíván érni, és DNS-t kell szolgáltatnia a választott elrendezésben. Ha csak egy prefixet irányít, a kliens széles hatóköre olyan forgalmat termel, amely megérkezik és meghal. Egyetlen kérés az átjáró útvonalain kívüli cél felé ezt egy perc alatt bizonyítja.

Az alkalmazás tulajdonában lévő alagút ismét külön eset. A szolgáltatónak meg kell valósítania vagy fel kell tárnia a támogatott viselkedést; egy második natív IKEv2-profil telepítése nem módosít egy olyan alagutat, amelyet egy másik alkalmazás már kezel, és az IKEv2 kulcs nem OpenVPN-utasítás, amelyet egy másik kliens olvasna.

Az aktuális kulcslistáért és verziófeltételekért olvassa az Apple IKEv2 hasznos teher referenciáját , ne egy évekkel ezelőtt lemásolt profilt.

Egy profilrevíziót egészként fogadjon el

Mielőtt módosít egy távolról felügyelt Macet, írja fel a cél macOS-verziókat, a tervezett internetes kijáratot, a privát prefixeket, amelyeknek elérhetőnek kell maradniuk, és minden kizárást, amelyet engedélyez. Ezután őrizzen meg egy helyreállítási útvonalat, amely nem függ az alagúttól, amelyet módosítani készül.

Teszteljen friss nyilvános kéréseket, privát kéréseket, mindkét címcsaládot és a névfeloldást, majd ellenőrizze a telepített revíziót a tervezési fájl helyett. Ha valami továbbra is közvetlenül megy, döntse el, hogy dokumentált kivétel, más kapcsolati kontextus vagy tényleges konfigurációs hiba, és e három közül változtasson egyet, ne pedig a nem kapcsolódó kulcsokat tágítsa.