Apa fungsi IncludeAllNetworks dalam profil IKEv2 di Mac?

Dalam profil IKEv2 native, kunci yang menarik bukan sebuah kotak centang, melainkan IncludeAllNetworks, dan yang diubahnya adalah cakupan apa yang boleh dikirim sistem ke luar terowongan. Setel ke 1 dan macOS memperlakukan terowongan sebagai jalur hampir semua lalu lintas IP, dikurangi sekumpulan pengecualian yang didefinisikannya dan dapat Anda perluas. Karena ia berada di kamus profil dan bukan di menu, ia juga tidak berarti apa yang diasumsikan kebanyakan orang saat membaca frasa kirim semua lalu lintas.

Apa yang diubah kunci di dalam tumpukan jaringan

Tanpanya, terowongan berperilaku seperti antarmuka jaringan dengan rute terlampir. Rute default melalui antarmuka itu menangkap sebagian besar lalu lintas, dan rute yang lebih spesifik di antarmuka lain tetap menang untuk prefiksnya sendiri. Itu perutean normal, dan itulah sebabnya terowongan terpisah terjadi hampir tanpa sengaja.

Dengan kunci diaktifkan, cakupan berhenti menjadi preferensi perutean dan menjadi kebijakan tentang lalu lintas mana yang boleh keluar melalui apa pun selain terowongan. Sistem tetap perlu menjangkau jaringan agar koneksi tetap hidup, jadi kebijakan itu hadir dengan pengecualian alih-alih berpura-pura pengecualian itu tidak ada. Mengaktifkannya tidak pernah membuat mesin tanpa jalur yang berfungsi sama sekali. Yang Anda dapatkan adalah daftar jalur yang lebih pendek dari dugaan Anda, dan daftar itu terdokumentasi.

Konsekuensi praktisnya adalah menambahkan rute tidak lagi menjelaskan hasilnya. Jika suatu tujuan masih dijangkau langsung, pertanyaannya bukan rute mana yang menang, melainkan apakah ada pengecualian yang mencakupnya.

Pengecualian adalah bagian dari pengaturan

Apple mendokumentasikan beberapa pengecualian di samping kunci utama, mencakup jaringan lokal, lalu lintas Apple Push Notification, layanan seluler, dan komunikasi perangkat. Masing-masing punya syarat platform dan versinya sendiri, sehingga profil yang sama dapat berperilaku berbeda di antara rilis macOS.

Sebagian pengecualian itu bersifat intrinsik. Lalu lintas yang diperlukan untuk membangun dan memelihara akses jaringan, termasuk penanganan captive portal, harus diizinkan, atau mesin bisa berakhir terhubung ke ketiadaan dan tidak mampu memperbaikinya.

Lalu datang pilihan yang disengaja. Mengizinkan printer rumah bukan keputusan yang sama dengan mengizinkan prefiks sumber daya kantor, dan keduanya berbeda dari membiarkan APNs terjangkau agar notifikasi terus masuk. Catat mana yang Anda aktifkan, di dalam profil itu sendiri, alih-alih menemukannya kemudian dari laporan bug.

Mengapa itu tidak sama dengan rute default

Rute default adalah entri tabel perutean, dan tabel perutean bisa kalah. Prefiks yang lebih spesifik mengalahkannya, koneksi yang dibatasi aplikasi dapat melewatinya, dan antarmuka kedua dengan metrik lebih baik dapat mengambil alih tanpa ada yang menyentuh konfigurasi VPN.

Panduan perutean Apple membuat perbedaannya eksplisit: default biasa dapat ditimpa oleh rute yang lebih spesifik, sedangkan pengaturan cakupan yang lebih luas menentukan lalu lintas mana yang harus dibawa terowongan dan apa yang dikeluarkan darinya. Yang satu preferensi, yang lain lebih dekat ke aturan.

Perbedaan itu juga mengubah cara Anda mendiagnosis kebocoran. Dengan rute default Anda memeriksa rute dan metrik. Dengan kunci cakupan Anda memeriksa revisi profil, pengecualian yang terpasang, dan perilaku spesifik versi, karena tabel perutean berada di hilir keputusan yang dibuat sebelumnya.

EnforceRoutes adalah tombol yang berbeda

EnforceRoutes terdengar seperti versi ketat dari gagasan yang sama, dan orang menumpuk keduanya dengan keyakinan bahwa lebih banyak kunci berarti lebih banyak cakupan. Apple mendokumentasikan bahwa ia diabaikan saat IncludeAllNetworks diaktifkan, jadi kunci kedua tidak memberi apa pun dalam kombinasi itu.

Perlakukan sebagai alternatif untuk konfigurasi yang tidak memakai cakupan lebih luas, bukan sebagai penguatan. Jika Anda tidak dapat menjelaskan apa yang dilakukan tiap kunci sendiri-sendiri, menambahkan keduanya hanya membuat profil lebih sulit ditinjau.

Apa yang harus disepakati gateway dan pemilik profil

Pengaturan klien tidak dapat memaksa server meneruskan lalu lintas yang tidak pernah dikonfigurasi untuk diteruskannya. Gateway perlu menerima sesi, membagikan alamat, menyediakan jalur balik untuk prefiks yang ingin Anda jangkau, dan menyajikan DNS dalam susunan yang Anda pilih. Jika ia hanya merutekan satu prefiks, cakupan klien yang luas menghasilkan lalu lintas yang datang lalu mati. Satu permintaan ke tujuan di luar rute gateway membuktikannya dalam satu menit.

Terowongan milik aplikasi adalah kasus terpisah lagi. Penyedia harus menerapkan atau mengekspos perilaku yang didukung; memasang profil IKEv2 native kedua tidak mengubah terowongan yang sudah dikelola aplikasi lain, dan kunci IKEv2 bukan direktif OpenVPN yang akan dibaca klien lain.

Untuk daftar kunci saat ini dan syarat versi, baca referensi payload IKEv2 dari Apple, bukan profil yang disalin seseorang bertahun-tahun lalu.

Terima revisi profil sebagai satu kesatuan

Sebelum mengubah Mac yang dikelola jarak jauh, tuliskan versi macOS target, jalur keluar internet yang dimaksud, prefiks privat yang harus tetap terjangkau, dan setiap pengecualian yang Anda aktifkan. Lalu pertahankan jalur pemulihan yang tidak bergantung pada terowongan yang akan Anda ubah.

Uji permintaan publik baru, permintaan privat, kedua keluarga alamat, dan resolusi nama, lalu periksa revisi yang terpasang alih-alih berkas desain. Jika ada yang masih langsung, putuskan apakah itu pengecualian terdokumentasi, konteks koneksi berbeda, atau kesalahan konfigurasi nyata, dan ubah salah satu dari ketiganya alih-alih memperluas kunci yang tidak terkait.