Mac-тағы IKEv2 профилінде IncludeAllNetworks не істейді?

Жергілікті IKEv2 профилінде қызық кілт құсбелгі емес, ол IncludeAllNetworks, және ол өзгертетіні жүйенің туннельден тыс жібере алатын ауқымы. Оны 1 мәніне қойыңыз, сонда macOS туннельді барлық дерлік IP трафигінің жолы ретінде қарастырады, бірақ ол анықтайтын және сіз кеңейте алатын ерекшеліктер жиынын шегеріп тастайды. Ол мәзірде емес, профиль сөздігінде тұрғандықтан, барлық трафикті жіберу деген сөз тіркесін оқығанда көпшілік күтетін мағынаны да бермейді.

Кілт желілік стектің ішінде нені өзгертеді

Онсыз туннель өзіне маршруттар тіркелген желілік интерфейс сияқты әрекет етеді. Сол интерфейс арқылы өтетін әдепкі маршрут трафиктің көбін ұстап қалады, ал басқа интерфейстегі кез келген нақтырақ маршрут өз префиксі үшін әлі де жеңеді. Бұл қалыпты маршрутизация, сондықтан бөлінген туннельдеу дерлік кездейсоқ болады.

Кілт қосылған кезде ауқым маршрутизациялық таңдау болудан қалып, туннельден басқа жолмен қандай трафик шыға алатыны туралы саясатқа айналады. Жүйе байланысты тірі ұстау үшін әлі де желіге жетуі керек, сондықтан саясат ерекшеліктермен бірге келеді, олар жоқ деп көзбояушылық жасаудың орнына. Оны қосу машинаны ешқашан жұмыс істейтін жолсыз қалдырмайды. Сіз алатыныңыз күткеніңізден қысқа жолдар тізімі, және бұл тізім құжатталған.

Практикалық салдары маршрут қосу енді нәтижені түсіндірмейді. Егер баратын жерге әлі де тікелей жететін болса, сұрақ қай маршрут жеңді дегенде емес, оны ерекшелік қамти ма дегенде.

Ерекшеліктер параметрдің бөлігі

Apple негізгі кілтпен қатар бірнеше алып қоюды құжаттайды: жергілікті желілер, Apple Push Notification трафигі, ұялы қызметтер және құрылғылар байланысы. Әрқайсысының өз платформасы мен нұсқа шарттары бар, сондықтан бір профиль macOS шығарылымдарында басқаша әрекет етуі мүмкін.

Осы алып қоюлардың кейбірі табиғи. Желіге қол жеткізуді орнату және ұстау үшін қажет трафик, оның ішінде captive portal өңдеуі рұқсат етілуі керек, әйтпесе машина ешнәрсеге қосылмай қалып, оны түзетуге қабілетсіз болуы мүмкін.

Содан кейін әдейі таңдаулар келеді. Үйдегі принтерге рұқсат беру жұмыс ресурсының префиксіне рұқсат берумен бірдей шешім емес, және екеуі де хабарламалар келе беруі үшін APNs қолжетімді күйде қалдырудан өзгеше. Қайсыларын қосқаныңызды профильдің өзінде жазып қойыңыз, кейін қате туралы есептен анықтаудың орнына.

Неге бұл әдепкі маршрутпен бірдей емес

Әдепкі маршрут маршрутизация кестесінің жазбасы, ал маршрутизация кестелері ұтылады. Нақтырақ префикс оны жеңеді, қолданбаға шектелген байланыс оны айналып өте алады, ал метрикасы жақсырақ екінші интерфейс ешкім VPN конфигурациясына қол тигізбей-ақ басқарып алады.

Apple маршрутизация жөніндегі нұсқаулығы айырмашылықты айқындайды: қарапайым әдепкілерді нақтырақ маршруттар алмастыра алады, ал кеңірек ауқым параметрі туннель қандай трафикті тасуы керектігін және одан не алынып тасталатынын анықтайды. Біреуі таңдау, екіншісі ережеге жақынырақ.

Бұл айырмашылық ағып кетуді қалай диагностикалайтыныңызды да өзгертеді. Әдепкі маршрутпен маршруттар мен метрикаларды тексересіз. Ауқым кілтімен профиль редакциясын, орнатылған ерекшеліктерді және нұсқаға тән мінез-құлықты тексересіз, өйткені маршрутизация кестесі бұрын қабылданған шешімнің салдары.

EnforceRoutes басқа ажыратқыш

EnforceRoutes сол идеяның қатаң нұсқасы сияқты естіледі, ал адамдар көбірек кілт көбірек қамту деген сеніммен екеуін қабаттайды. Apple оның еленбейтінін құжаттайды, егер IncludeAllNetworks қосылған болса, сондықтан бұл үйлесімде екінші кілт ешнәрсе бермейді.

Оны кеңірек ауқымды пайдаланбайтын конфигурациялар үшін балама ретінде қарастырыңыз, күшейту ретінде емес. Егер әр кілттің жеке-дара не істейтінін түсіндіре алмасаңыз, екеуін қосу профильді тексеруді тек қиындатады.

Шлюз бен профиль иесі немен келісуі керек

Клиент параметрі серверді ол ешқашан жіберуге конфигурацияланбаған трафикті жіберуге мәжбүрлей алмайды. Шлюз сессияны қабылдауы, мекенжайларды бөлуі, жеткіңіз келетін префикстер үшін қайтару жолын беруі және таңдаған реттеуіңізде DNS қызметін көрсетуі керек. Егер ол бір ғана префиксті маршруттайтын болса, клиенттің кең ауқымы келіп өлетін трафик тудырады. Шлюз маршруттарынан тыс баратын жерге бір сұраныс мұны бір минутта дәлелдейді.

Қолданбаға тиесілі туннель тағы бөлек жағдай. Провайдер қолдау көрсетілетін мінез-құлықты енгізуі немесе ашуы керек; екінші жергілікті IKEv2 профилін орнату басқа қолданба басқарып отырған туннельді өзгертпейді, ал IKEv2 кілті басқа клиент оқитын OpenVPN директивасы емес.

Ағымдағы кілттер тізімі мен нұсқа шарттары үшін Apple-дың IKEv2 пайдалы жүктеме анықтамасын оқыңыз, жылдар бұрын біреу көшірген профильді емес.

Профиль редакциясын тұтастай қабылдаңыз

Қашықтан басқарылатын Mac-ты өзгертуден бұрын мақсатты macOS нұсқаларын, жоспарланған интернет шығуын, қолжетімді болып қалуы керек жеке префикстерді және қосып жатқан әрбір ерекшелікті жазып алыңыз. Содан кейін өзгертпек болып отырған туннельге тәуелді емес қалпына келтіру жолын сақтаңыз.

Жаңа ашық сұраныстарды, жеке сұраныстарды, екі мекенжай тұқымын және атауларды шешуді тексеріңіз, содан кейін жобалау файлын емес, орнатылған редакцияны тексеріңіз. Егер бірдеңе әлі де тікелей жүрсе, ол құжатталған ерекшелік пе, басқа байланыс контексті ме, әлде нақты конфигурация қатесі ме, соны шешіп, байланысы жоқ кілттерді кеңейтудің орнына сол үшеуінің біреуін өзгертіңіз.