რას აკეთებს IncludeAllNetworks Mac-ის IKEv2 პროფილში?

მშობლიურ IKEv2 პროფილში საინტერესო გასაღები არ არის მოსანიშნი უჯრა, ის არის IncludeAllNetworks, და ის, რასაც ის ცვლის, არის ის ფარგლები, თუ რა შეიძლება გაგზავნოს სისტემამ გვირაბის გარეთ. დააყენეთ ის 1 მნიშვნელობაზე და macOS გვირაბს განიხილავს როგორც თითქმის მთელი IP ტრაფიკის გზას, გამოკლებული გამონაკლისების ის ნაკრები, რომელსაც ის განსაზღვრავს და რომელსაც თქვენ შეგიძლიათ გააფართოვოთ. რადგან ის პროფილის ლექსიკონში ცხოვრობს და არა მენიუში, ის ასევე არ ნიშნავს იმას, რასაც ადამიანების უმეტესობა ვარაუდობს, როცა კითხულობს ფრაზას გაგზავნე მთელი ტრაფიკი.

რას ცვლის გასაღები ქსელის სტეკში

მის გარეშე გვირაბი იქცევა როგორც ქსელური ინტერფეისი მიბმული მარშრუტებით. ამ ინტერფეისში გამავალი ნაგულისხმევი მარშრუტი იჭერს ტრაფიკის უმეტეს ნაწილს, და სხვა ინტერფეისზე ნებისმიერი უფრო კონკრეტული მარშრუტი მაინც იმარჯვებს თავისი პრეფიქსისთვის. ეს ჩვეულებრივი მარშრუტიზაციაა, და სწორედ ამიტომ ხდება გაყოფილი გვირაბიზაცია თითქმის შემთხვევით.

როცა გასაღები ჩართულია, ფარგლები წყვეტს მარშრუტიზაციის უპირატესობა იყოს და ხდება პოლიტიკა იმის შესახებ, თუ რომელ ტრაფიკს აქვს უფლება გავიდეს გვირაბის გარდა სხვა რამეში. სისტემას მაინც სჭირდება ქსელში მიღწევა კავშირის ცოცხლად შენარჩუნებლად, ამიტომ პოლიტიკა მოდის გამონაკლისებით და არა იმის მტკიცებით, რომ ისინი არ არსებობენ. მისი ჩართვა არასდროს ტოვებს მანქანას მუშა ბილიკის გარეშე. რასაც იღებთ, არის უფრო მოკლე ბილიკების სია, ვიდრე ვარაუდობდით, და ეს სია დოკუმენტირებულია.

პრაქტიკული შედეგი ის არის, რომ მარშრუტის დამატება აღარ ხსნის შედეგს. თუ დანიშნულების წერტილამდე ჯერ კიდევ პირდაპირ აღწევენ, კითხვა არ არის რომელი მარშრუტი მოიგო, არამედ თუ გამონაკლისი ფარავს მას.

გამონაკლისები პარამეტრის ნაწილია

Apple ადოკუმენტირებს რამდენიმე გამორიცხვას მთავარი გასაღების გვერდით, რომლებიც მოიცავს ლოკალურ ქსელებს, Apple Push Notification ტრაფიკს, ფიჭურ სერვისებს და მოწყობილობათა კომუნიკაციას. თითოეულს აქვს საკუთარი პლატფორმის და ვერსიის პირობები, ამიტომ ერთი და იმავე პროფილი შეიძლება განსხვავებულად მოიქცეს macOS-ის სხვადასხვა გამოშვებაში.

ამ გამორიცხვათაგან ზოგიერთი თანდაყოლილია. ქსელური წვდომის დასამყარებლად და შესანარჩუნებლად საჭირო ტრაფიკი, მათ შორის captive portal-ის დამუშავება, უნდა იყოს დაშვებული, თორემ მანქანა შეიძლება აღმოჩნდეს არაფერთან დაკავშირებული და ვერ შეძლოს ამის გამოსწორება.

შემდეგ მოდის განზრახ არჩევანი. სახლის პრინტერის დაშვება არ არის იგივე გადაწყვეტილება, რაც სამუშაო რესურსის პრეფიქსის დაშვება, და ორივე განსხვავდება იმისგან, რომ APNs დარჩეს მისაწვდომი, რათა შეტყობინებები გაგრძელდეს მოსვლას. ჩაწერეთ, რომელი ჩართეთ, თავად პროფილში, იმის ნაცვლად, რომ მოგვიანებით შეცდომის ანგარიშიდან გაიგოთ.

რატომ არ არის ეს იგივე, რაც ნაგულისხმევი მარშრუტი

ნაგულისხმევი მარშრუტი მარშრუტიზაციის ცხრილის ჩანაწერია, და მარშრუტიზაციის ცხრილები მარცხდებიან. უფრო კონკრეტული პრეფიქსი ამარცხებს მას, აპლიკაციაზე შეზღუდული კავშირი შეიძლება გვერდი აუაროს მას, და მეორე ინტერფეისი უკეთესი მეტრიკით შეიძლება ჩაუდგეს სათავეში, ვინმემ VPN-ის კონფიგურაციას ხელი არ შეეხოს.

Apple-ის მარშრუტიზაციის სახელმძღვანელო ცხადს ხდის განსხვავებას: ჩვეულებრივი ნაგულისხმევები შეიძლება გადაიფაროს უფრო კონკრეტული მარშრუტებით, ხოლო უფრო ფართო ფარგლების პარამეტრი განსაზღვრავს, რომელი ტრაფიკი უნდა ატაროს გვირაბმა და რა არის მისგან ამოღებული. ერთი უპირატესობაა, მეორე უფრო ახლოსაა წესთან.

ეს განსხვავება ცვლის იმასაც, თუ როგორ ამოიცნობთ გაჟონვას. ნაგულისხმევი მარშრუტის შემთხვევაში ამოწმებთ მარშრუტებს და მეტრიკებს. ფარგლების გასაღების შემთხვევაში ამოწმებთ პროფილის რევიზიას, დაყენებულ გამონაკლისებს და ვერსიისთვის დამახასიათებელ ქცევას, რადგან მარშრუტიზაციის ცხრილი ადრე მიღებული გადაწყვეტილების შედეგია.

EnforceRoutes სხვა გადამრთველია

EnforceRoutes ჟღერს იგივე იდეის მკაცრ ვერსიად, და ადამიანები ორივეს აწყობენ იმ რწმენით, რომ მეტი გასაღები ნიშნავს მეტ დაფარვას. Apple ადოკუმენტირებს, რომ ის უგულებელყოფილია, როცა IncludeAllNetworks ჩართულია, ამიტომ მეორე გასაღები ვერაფერს იძენს ამ კომბინაციაში.

მოექეცით მას როგორც ალტერნატივას იმ კონფიგურაციებისთვის, რომლებიც არ იყენებენ უფრო ფართო ფარგლებს, და არა როგორც გაძლიერებას. თუ ვერ ხსნით, რას აკეთებს თითოეული გასაღები დამოუკიდებლად, ორივეს დამატება მხოლოდ ართულებს პროფილის გადახედვას.

რაზე უნდა შეთანხმდნენ კარიბჭე და პროფილის მფლობელი

კლიენტის პარამეტრს არ შეუძლია სერვერს აიძულოს გადასცეს ტრაფიკი, რომელზეც ის არასდროს ყოფილა კონფიგურირებული. კარიბჭემ უნდა მიიღოს სესია, გასცეს მისამართები, უზრუნველყოს დაბრუნების გზა იმ პრეფიქსებისთვის, რომლებამდეც გსურთ მიღწევა, და მოემსახუროს DNS-ს თქვენ მიერ არჩეული მოწყობით. თუ ის მარშრუტიზაციას უკეთებს მხოლოდ ერთ პრეფიქსს, კლიენტის ფართო ფარგლები წარმოქმნის ტრაფიკს, რომელიც მოდის და კვდება. ერთი მოთხოვნა კარიბჭის მარშრუტებს გარეთ მდებარე დანიშნულებაზე ამას ერთ წუთში ამტკიცებს.

აპლიკაციის საკუთრებაში არსებული გვირაბი კვლავ ცალკე შემთხვევაა. პროვაიდერმა უნდა დანერგოს ან გამოავლინოს მხარდაჭერილი ქცევა; მეორე მშობლიური IKEv2 პროფილის დაყენება არ ცვლის გვირაბს, რომელსაც სხვა აპლიკაცია უკვე მართავს, და IKEv2 გასაღები არ არის OpenVPN-ის დირექტივა, რომელსაც სხვა კლიენტი წაიკითხავს.

გასაღებების მიმდინარე სიისა და ვერსიის პირობებისთვის წაიკითხეთ Apple-ის IKEv2 payload-ის ცნობარი და არა პროფილი, რომელიც ვიღაცამ წლების წინ დააკოპირა.

მიიღეთ პროფილის რევიზია მთლიანად

სანამ შეცვლით დისტანციურად მართულ Mac-ს, ჩაწერეთ სამიზნე macOS ვერსიები, განზრახული ინტერნეტ გასასვლელი, პირადი პრეფიქსები, რომლებიც მისაწვდომი უნდა დარჩეს, და ყოველი გამონაკლისი, რომელსაც რთავთ. შემდეგ შეინარჩუნეთ აღდგენის გზა, რომელიც არ არის დამოკიდებული იმ გვირაბზე, რომლის შეცვლასაც აპირებთ.

შეამოწმეთ ახალი საჯარო მოთხოვნები, პირადი მოთხოვნები, მისამართების ორივე ოჯახი და სახელების გარჩევა, და შეამოწმეთ დაყენებული რევიზია და არა დიზაინის ფაილი. თუ რაღაც მაინც პირდაპირ მიდის, გადაწყვიტეთ, დოკუმენტირებული გამონაკლისია, სხვა კავშირის კონტექსტი თუ რეალური კონფიგურაციის შეცდომა, და შეცვალეთ ამ სამიდან ერთი, ნაცვლად იმისა, რომ გააფართოვოთ დაუკავშირებელი გასაღებები.