Mac IKEv2 профилинде IncludeAllNetworks эмне кылат?

Түпкү IKEv2 профилинде кызыктуу ачкыч белги кутуча эмес, ал IncludeAllNetworks, жана ал өзгөрткөн нерсе система туннелден тышкары жөнөтө алган нерсенин көлөмү. Аны 1 маанисине коюңуз, ошондо macOS туннелди дээрлик бардык IP трафигинин жолу катары карайт, бирок ал аныктаган жана сиз кеңейте алган өзгөчөлүктөрдүн топтомун кемитип. Ал менюде эмес, профилдин сөздүгүндө тургандыктан, бардык трафикти жөнөтүү деген сүйлөмдү окуганда көпчүлүк күткөн маанини да бербейт.

Ачкыч тармак стектинин ичинде эмнени өзгөртөт

Ансыз туннел өзүнө маршруттар бекитилген тармак интерфейси сыяктуу алып жүрөт. Ошол интерфейс аркылуу өткөн демейки маршрут трафиктин көбүн кармап калат, ал эми башка интерфейстеги кандайдыр бир так маршрут өз префикси үчүн дагы эле жеңет. Бул кадимки маршрутизация, ошондуктан бөлүнгөн туннелдөө дээрлик кокусунан болот.

Ачкыч күйүп турганда, көлөм маршрутизациялык тандоо болуудан калат жана туннелден башка жол менен кайсы трафик чыга алары тууралуу саясатка айланат. Система байланышты тирүү кармоо үчүн дагы эле тармакка жетиши керек, ошондуктан саясат өзгөчөлүктөр менен келет, алар жок деп жасалмалоонун ордуна. Аны күйгүзүү машинаны эч качан иштеген жолсуз калтырбайт. Сиз алган нерсе күткөнүңүздөн кыскараак жолдордун тизмеси, жана ал тизме документтелген.

Практикалык натыйжа маршрут кошуу эми натыйжаны түшүндүрбөйт. Эгер бара турган жерге дагы эле түз жетип жатса, суроо кайсы маршрут жеңди дегенде эмес, аны өзгөчөлүк камтыйбы дегенде.

Өзгөчөлүктөр параметрдин бөлүгү

Apple негизги ачкычтын жанында бир нече чыгарып салууну документтештирет: жергиликтүү тармактар, Apple Push Notification трафиги, уюлдук кызматтар жана түзмөктөрдүн байланышы. Ар биринин өз платформасы жана версия шарттары бар, ошондуктан бир профил macOS чыгарылыштарында башкача алып жүрүшү мүмкүн.

Ошол чыгарып салуулардын кээ бирлери табигый. Тармакка жетүүнү орнотуу жана кармоо үчүн керектүү трафик, анын ичинде captive portal иштетүү уруксат берилиши керек, болбосо машина эч нерсеге туташпай калып, аны оңдой албай калышы мүмкүн.

Андан кийин атайын тандоолор келет. Үйдөгү принтерге уруксат берүү жумуш ресурсунун префиксине уруксат берүү менен бирдей чечим эмес, жана экөө тең билдирүүлөр келе берүүсү үчүн APNs жеткиликтүү бойдон калтыруудан өзгөчөлөнөт. Кайсыларын күйгүзгөнүңүздү профилдин өзүнө жазып койңуз, кийинчерээк ката баяндамасынан табуунун ордуна.

Эмне үчүн бул демейки маршрут менен бирдей эмес

Демейки маршрут маршрутизация таблицасынын жазуусу, ал эми маршрутизация таблицалары утулат. Так префикс аны жеңет, колдонмого чектелген байланыш аны айланып өтө алат, ал эми метрикасы жакшыраак экинчи интерфейс эч ким VPN конфигурациясына кол тийгизбестен башкарып алат.

Apple маршрутизация боюнча нускама айырманы айкындайт: кадимки демейкилерди так маршруттар алмаштыра алат, ал эми кененирээк көлөм параметри туннел кайсы трафикти ташышы керектигин жана андан эмне алынып салынарын аныктайт. Бири тандоо, экинчиси эрежеге жакыныраак.

Бул айырма агып кетүүнү кантип диагностикалаганыңызды да өзгөртөт. Демейки маршрут менен маршруттарды жана метрикаларды текшересиз. Көлөм ачкычы менен профилдин редакциясын, орнотулган өзгөчөлүктөрдү жана версияга таандык жүрүм-турумду текшересиз, анткени маршрутизация таблицасы мурун кабыл алынган чечимдин натыйжасы.

EnforceRoutes башка которгуч

EnforceRoutes ошол эле идеянын катуу версиясындай угулат, ал эми адамдар көбүрөөк ачкыч көбүрөөк камтуу деген ишеним менен экөөнү катмарлашат. Apple анын этибарга алынбай турганын документтештирет, эгер IncludeAllNetworks күйгүзүлгөн болсо, ошондуктан бул айкалышта экинчи ачкыч эч нерсе бербейт.

Аны кененирээк көлөмдү колдонбогон конфигурациялар үчүн альтернатива катары караңыз, бекемдөө катары эмес. Эгер ар бир ачкычтын өз алдынча эмне кыларын түшүндүрө албасаңыз, экөөнү кошуу профилди кароону гана кыйындатат.

Шлюз менен профилдин ээси эмнеге макулдашуусу керек

Кардардын параметри серверди ал эч качан өткөрүүгө конфигурацияланбаган трафикти өткөрүүгө мажбурлай албайт. Шлюз сессияны кабыл алышы, дарегилерди бөлүшү, жеткиңиз келген префикстер үчүн кайтаруу жолун берүүсү жана тандаган тартибиңизде DNS кызматын көрсөтүшү керек. Эгер ал бир гана префиксти маршруттай турган болсо, кардардын кенен көлөмү келип өлгөн трафикти жаратат. Шлюздун маршруттарынан тышкаркы жерге бир суроо муну бир мүнөттө далилдейт.

Колдонмого таандык туннел дагы өзүнчө учур. Провайдер колдоого алынган жүрүм-турумду ишке ашырышы же ачышы керек; экинчи түпкү IKEv2 профилин орнотуу башка колдонмо башкарып жаткан туннелди өзгөртпөйт, ал эми IKEv2 ачкычы башка кардар окуй турган OpenVPN директивасы эмес.

Учурдагы ачкычтардын тизмеси жана версия шарттары үчүн Appleдын IKEv2 пайдалуу жүктөмү боюнча маалымдамасын окуңуз, жылдар мурун бирөө көчүргөн профилди эмес.

Профилдин редакциясын бүтүндөй кабыл алыңыз

Алыстан башкарылуучу Macды өзгөртүүдөн мурун максаттуу macOS версияларын, пландалган интернет чыгуусун, жеткиликтүү бойдон калышы керек жеке префикстерди жана күйгүзүп жаткан ар бир өзгөчөлүктү жазып алыңыз. Андан кийин өзгөртмөкчү болуп жаткан туннелге көз каранды эмес калыбына келтирүү жолун сактаңыз.

Жаңы ачык суроолорду, жеке суроолорду, эки дарек үй-бүлөсүн жана аттарды чечүүнү текшериңиз, анан долбоордук файлды эмес, орнотулган редакцияны текшериңиз. Эгер бир нерсе дагы эле түз өтсө, ал документтелген өзгөчөлүкпү, башка байланыш контекстиби же чыныгы конфигурация катасыбы, аны чечип, байланышы жок ачкычтарды кеңейтүүнүн ордуна ошол үчөөнүн бирин өзгөртүңүз.