Wat mécht IncludeAllNetworks an engem IKEv2-Profil op engem Mac?

An engem nativen IKEv2-Profil ass dee interessante Schlëssel keng Këscht zum Ukräizen, en ass IncludeAllNetworks, an dat, wat en ännert, ass d'Spillraum vun deem, wat de System dobausse vum Tunnel ka schécken. Setzt en op 1 a macOS behandelt den Tunnel als de Wee fir bal all IP-Trafic, minus eng Rei Ausnahmen, déi en definéiert an déi Dir kënnt erweideren. Well en an engem Profilwörterbuch läit an net an engem Menü, heescht en och net dat, wat déi meescht Leit unhuelen, wa se den Ausdrock all den Trafic schécken liesen.

Wat de Schlëssel an der Netzwierkstack ännert

Ouni en verhält sech den Tunnel wéi eng Netzwierkinterfacë mat ugehängte Routen. Eng Standardroute duerch déi Interfacë fänkt de gréissten Deel vum Trafic, an all méi spezifesch Route op enger anerer Interfacë gewënnt nach ëmmer fir hire eegenen Prefix. Dat ass normal Routing, an dofir geschitt Split-Tunnelling bal duerch Zoufall.

Wann de Schlëssel aktiv ass, ass d'Spillraum keng Routingprioritéit méi, mä eng Politik driwwer, wéi en Trafic duerch eppes anescht wéi den Tunnel erausdierf. De System muss nach ëmmer d'Netzwierk erreechen, fir d'Verbindung liewend ze halen, dofir kënnt d'Politik mat Ausnahmen, amplaz ze maachen, wéi wann et se net gëtt. En aktivéieren hält d'Maschinn ni ganz ouni funktionéierende Wee. Wat Dir kritt, ass eng méi kuerz Lëscht vu Weeër wéi Dir ugeholl hutt, an déi Lëscht ass dokumentéiert.

D'praktesch Folleg ass, datt eng Route bäisetzen d'Resultat net méi erkläert. Wann en Zil nach ëmmer direkt erreecht gëtt, ass d'Fro net, wéi eng Route gewonnen huet, mä ob eng Ausnam et deckt.

D'Ausname si Bestanddeel vun der Astellung

Apple dokumentéiert e puer Ausnamen niewent dem Haaptschlëssel, déi lokal Netzwierker, Apple Push Notification-Trafic, Mobilfunkdéngschter an d'Kommunikatioun vun Apparater ofdecken. Jiddwereen huet seng eege Plattform- a Versiounsbedingungen, dofir kann dee selwechte Profil sech tëschent macOS-Versiounen anescht behuelen.

E puer vun dësen Ausname sinn intrinsesch. Den Trafic, deen néideg ass, fir den Netzwierkzougang opzebauen an ze halen, inklusiv d'Behandlung vun captive portal, muss erlaabt ginn, soss kann d'Maschinn um Enn mat näischt verbonne sinn an et net kënne reparéieren.

Dunn kommen déi bewosst Entscheedungen. En Heemprinter erlaben ass net déiselwecht Entscheedung wéi e Prefix vun enger Aarbechtsressource erlaben, an déi zwou ënnerscheede sech dovunner, d'APNs erreechbar ze loossen, fir datt Notifikatiounen weider ukënnen. Schreift op, wat Dir aktivéiert hutt, am Profil selwer, amplaz et méi spéit aus engem Bugrapport erauszefannen.

Firwat et net d'selwecht ass wéi eng Standardroute

Eng Standardroute ass en Androu an der Routingtabell, an Routingtabellen verléieren. E méi spezifesche Prefix gewënnt géint se, eng Verbindung, déi op eng Applikatioun begrenzt ass, kann se ëmgoen, an eng zweet Interfacë mat enger besserer Metrik kann iwwerhuelen, ouni datt een un der VPN-Konfiguratioun rëselt.

Dem Apple seng Routingguidance mécht den Ënnerscheed kloer: gewéinlech Standarde kënnen duerch méi spezifesch Route iwwerschriwwe ginn, wärend déi méi breet Spillraumastellung definéiert, wéi en Trafic den Tunnel muss droen a wat dovun ausgespaart ass. Dat eng ass eng Preferenz, dat anert ass méi no un enger Regel.

Dësen Ënnerscheed ännert och, wéi Dir e Leck diagnostizéiert. Mat enger Standardroute kontrolléiert Dir Routen a Metriken. Mat dem Spillraumschlëssel kontrolléiert Dir d'Revisioun vum Profil, déi installéiert Ausnamen an d'versionsspezifescht Verhalen, well d'Routingtabell ënner enger Entscheedung läit, déi méi fréi getraff gouf.

EnforceRoutes ass en anere Knäppchen

EnforceRoutes kléngt wéi déi streng Versioun vun der selwechter Iddi, an d'Leit stacken déi zwou an der Iwwerzeegung, datt méi Schlësselen méi Ofdeckung bedeiten. Apple dokumentéiert, datt en ignoréiert gëtt, wann IncludeAllNetworks aktiv ass, dofir kaaft den zweeten Schlëssel näischt an där Kombinatioun.

Behandelt en als Alternativ fir Konfiguratiounen, déi dee méi breede Spillraum net benotzen, net als Verstäerkung. Wann Dir net erkläre kënnt, wat all Schlëssel eleng mécht, mécht et bäides ze setzen de Profil just méi schwéier ze revidéieren.

Wat d'Gateway an den Eegentümer vum Profil musse matenee klären

Eng Astellung um Client kann e Server net dozou bréngen, Trafic weiderzeleeden, fir deen en ni konfiguréiert gouf. D'Gateway muss d'Sitzung akzeptéieren, Adressen ausdeelen, en Zréckwee fir d'Prefixen ubidden, déi Dir wëllt erreechen, an DNS an där Arrangement ubidden, dat Dir gewielt hutt. Wann se nëmmen e Prefix routéiert, produzéiert de breedt Spillraum vum Client Trafic, deen ukënnt an stierft. Eng eenzeg Ufro un en Zil baussent de Routen vun der Gateway beweist dat an enger Minutt.

En Tunnel, deen enger App gehéiert, ass nach engem anere Fall. De Fournisseur muss dat ënnerstëtzt Verhalen ëmsetzen oder explizéieren; en zweeten nativen IKEv2-Profil ze installéieren ännert keen Tunnel, deen eng aner App schonn administréiert, an e IKEv2-Schlëssel ass keng OpenVPN-Direktiv, déi en anere Client géif liesen.

Fir déi aktuell Lëscht vu Schlësselen a Versiounsbedingungen liest dem Apple seng IKEv2-Payload-Referenz amplaz e Profil, deen een viru Joren kopéiert huet.

Akzeptéiert eng Profilrevisioun als Ganzt

Ier Dir en aus der Ferne administréierte Mac ännert, schreift d'ZilmacOS-Versiounen op, den intendéierten Internetausgang, d'privat Prefixen, déi erreechbar musse bleiwen, an all Ausnam, déi Dir aktivéiert. Da behält en Erhuelungswee, deen net vum Tunnel ofhänkt, deen Dir wëllt änneren.

Testelt nei ëffentlech Ufroen, privat Ufroen, béid Adressfamilljen an d'Nimmopféiselung, an kontrolléiert déi installéiert Revisioun an net d'Designfichier. Wann nach ëmmer eppes direkt geet, entscheet, ob et eng dokumentéiert Ausnam ass, en anere Verbindungskontext oder e richtegen Konfiguratiounsfehler, a ännert eng vun deenen dräi, amplaz onverbonne Schlësselen ze erweideren.