Hvað gerir IncludeAllNetworks í IKEv2-sniði á Mac?

Í innfæddu IKEv2-sniði er áhugaverði lykillinn ekki gátreitur, hann er IncludeAllNetworks, og það sem hann breytir er umfangið sem kerfinu er heimilt að senda utan ganganna. Stilltu hann á 1 og macOS meðhöndlar göngin sem leið fyrir nánast alla IP-umferð, að frádregnum hópi undantekninga sem það skilgreinir og þú getur víkkað. Þar sem hann býr í sniðorðabók en ekki í valmynd þýðir hann heldur ekki það sem flestir gera ráð fyrir þegar þeir lesa setninguna senda alla umferð.

Hvað lykillinn breytir inni í netstakkanum

Án hans haga göngin sér eins og netviðmót með leiðum tengdum. Sjálfgefin leið í gegnum það viðmót grípur mestu umferðina, og hver nákvæmari leið á öðru viðmóti vinnur samt fyrir sitt eigið forskeyti. Þetta er eðlileg leiðarstýring, og þess vegna gerist klofin göng næstum fyrir slysni.

Þegar lykillinn er virkur hættir umfangið að vera leiðarvalsforgangur og verður stefna um hvaða umferð má fara út um annað en göngin. Kerfið þarf samt að ná sambandi við netið til að halda tengingunni lifandi, svo stefnan kemur með undantekningum í stað þess að þykjast ekki vita af þeim. Að virkja hann skilur vélina aldrei eftir án nokkurrar virkrar leiðar. Það sem þú færð er styttri listi leiða en þú gerðir ráð fyrir, og sá listi er skjalfestur.

Hagnýta afleiðingin er að það að bæta við leið útskýrir ekki lengur útkomuna. Ef enn er komist beint á áfangastað er spurningin ekki hvaða leið vann heldur hvort undantekning nær yfir hann.

Undantekningarnar eru hluti af stillingunni

Apple skjalfestir nokkrar útilokanir við hlið aðallyklisins, sem ná yfir staðbundin net, Apple Push Notification umferð, farsímajónustur og samskipti tækja. Hver hefur sín eigin skilyrði um vettvang og útgáfu, svo sama snið getur hagað sér öðruvísi milli macOS-útgáfa.

Sumar þessara útilokana eru eðlislægar. Leyfa verður umferð sem þarf til að koma á og viðhalda netaðgangi, þar á meðal meðferð captive portal, annars getur vélin endað tengd engu og ófær um að laga það.

Síðan koma viljandi ákvarðanir. Að leyfa heimaprentara er ekki sama ákvörðun og að leyfa forskeyti vinnuaðlindar, og bæði eru frábrugðin því að láta APNs vera aðgengilegt svo tilkynningar haldi áfram að berast. Skráðu hvaða þú virkjaðir, í sniðinu sjálfu, í stað þess að uppgötva þær síðar úr villuskýrslu.

Af hverju það er ekki það sama og sjálfgefin leið

Sjálfgefin leið er færsla í leiðartöflu, og leiðartöflur tapa. Nákvæmara forskeyti vinnur hana, tenging bundin við forrit getur farið fram hjá henni, og annað viðmót með betri mælikvarða getur tekið yfir án þess að nokkur snerti VPN-stillinguna.

Leiðarleiðbeining Apple gerir greinarmuninn skýran: hægt er að hnekkja venjulegum sjálfgildum með nákvæmari leiðum, en víðtækari umfangstillingsin skilgreinir hvaða umferð gangin verða að flytja og hvað er skorið út úr henni. Annað er forgangur, hitt er nær reglu.

Þessi munur breytir líka hvernig þú greinir leka. Með sjálfgefinni leið skoðar þú leiðir og mælikvarða. Með umfangslyklinum skoðar þú endurskoðun sniðsins, uppsettu undantekningarnar og hegðun sem er sérstök fyrir útgáfuna, því leiðartaflan er afleiðing af ákvörðun sem tekin var fyrr.

EnforceRoutes er annar rofi

EnforceRoutes hljómar eins og strangari útgáfa af sömu hugmynd, og fólk staflar þessu tvennu í þeirri trú að fleiri lyklar þýði meira umfang. Apple skjalfestir að honum sé hunsaður þegar IncludeAllNetworks er virkur, svo seinni lykillinn kaupir ekki neitt í þeirri samsetningu.

Líttu á hann sem valkost fyrir stillingar sem nota ekki víðtækari umfangið, ekki sem styrkingu. Ef þú getur ekki útskýrt hvað hver lykill gerir sjálfstætt eykur það bara erfiðleika við að yfirfara sniðið að bæta báðum við.

Hvað gáttin og eigandi sniðsins verða að sammælast um

Stilling biðlarans getur ekki þvingað þjóninn til að senda áfram umferð sem hann var aldrei stilltur fyrir. Gáttin þarf að samþykkja lotuna, úthluta töluðum, veita afturleið fyrir forskeytin sem þú ætlar að ná og þjóna DNS í því fyrirkomulagi sem þú valdir. Ef hún leiðarstýrir aðeins einu forskeyti framleiðir víðtækt umfang biðlarans umferð sem kemur og deyr. Ein beiðni á áfangastað utan leiða gáttarinnar sannar það á einni mínútu.

Göng í eigu forrits eru annars vegar. Veitandinn verður að útfæra eða afhjúpa studda hegðun; að setja upp annað innfætt IKEv2-snið breytir ekki göngum sem annað forrit stýrir þegar, og IKEv2-lykill er ekki OpenVPN-fyrirmæli sem annar biðlari myndi lesa.

Fyrir núverandi lyklalista og útgáfuskilyrði skaltu lesa IKEv2 farmhlutaviðmið Apple frekar en snið sem einhver afritaði fyrir árum.

Samþykktu endurskoðun sniðs í heild

Áður en þú breytir Mac sem er stýrður fjarlægt skaltu skrifa niður markmiðsútgáfur macOS, fyrirhugaða nettengingu út, einkaforskeytin sem verða að vera aðgengileg og hverja undantekningu sem þú ert að virkja. Varðveittu síðan endurheimtarleið sem er ekki háð göngunum sem þú ert að fara að breyta.

Prófaðu nýjar opinberar beiðnir, einkabeiðnir, báðar vistfangafjölskyldur og nafnaupplausn, og athugaðu uppsettu endurskoðunina frekar en hönnunarskrána. Ef eitthvað fer enn beint skaltu ákveða hvort það er skjalfest undantekning, annað tengingarsamhengi eða raunveruleg stillingarvilla, og breyta einu af þessum þremur í stað þess að víkka ótengda lykla.