Ko dara IncludeAllNetworks Mac IKEv2 profilī?

Vietējā IKEv2 profilā interesantā atslēga nav izvēles rūtiņa, tā ir IncludeAllNetworks, un tas, ko tā maina, ir apjoms tam, ko sistēma drīkst sūtīt ārpus tuneļa. Iestatiet to uz 1 un macOS uzskata tuneli par ceļu gandrīz visai IP satiksmei, atskaitot izņēmumu kopu, ko tas definē un ko jūs varat paplašināt. Tā kā tā atrodas profila vārdnīcā, nevis izvēlnē, tā arī nenozīmē to, ko lielākā daļa cilvēku pieņem, lasot frāzi sūtīt visu satiksmi.

Ko atslēga maina tīkla stekā

Bez tās tunelis uzvedas kā tīkla saskarne ar pievienotiem maršrutiem. Noklusējuma maršruts caur šo saskarni pārtver lielāko daļu satiksmes, un jebkurš konkrētāks maršruts citā saskarnē tomēr uzvar sava prefiksa dēļ. Tā ir normāla maršrutēšana, un tāpēc sadalītā tuneļošana notiek gandrīz nejauši.

Kad atslēga ir iespējota, apjoms pārstāj būt maršrutēšanas izvēle un kļūst par politiku par to, kurai satiksmei ir atļauts iziet caur kaut ko citu, nevis tuneli. Sistēmai joprojām ir jāsasniedz tīkls, lai savienojums paliktu dzīvs, tāpēc politika nāk ar izņēmumiem, nevis izliekoties, ka to nav. Tās iespējošana nekad neatstāj mašīnu bez neviena strādājoša ceļa. Jūs iegūstat īsāku ceļu sarakstu, nekā pieņēmāt, un šis saraksts ir dokumentēts.

Praktiskās sekas ir tādas, ka maršruta pievienošana vairs neizskaidro rezultātu. Ja galamērķis joprojām tiek sasniegts tieši, jautājums nav par to, kurš maršruts uzvarēja, bet gan vai izņēmums to aptver.

Izņēmumi ir iestatījuma daļa

Apple dokumentē vairākus izslēgumus blakus galvenajai atslēgai, kas aptver vietējos tīklus, Apple Push Notification satiksmi, mobilos pakalpojumus un ierīču saziņu. Katram ir savi platformas un versijas nosacījumi, tāpēc viens un tas pats profils var uzvesties atšķirīgi dažādās macOS versijās.

Daži no šiem izslēgumiem ir būtiski. Satiksmei, kas nepieciešama tīkla piekļuves izveidošanai un uzturēšanai, tostarp captive portal apstrādei, ir jābūt atļautai, citādi mašīna var palikt savienota ar neko un nespējīga to labot.

Tad nāk apzinātas izvēles. Atļaut mājas printeri nav tas pats lēmums kā atļaut darba resursa prefiksu, un abi atšķiras no APNs atstāšanas sasniedzamu, lai paziņojumi turpinātu pienākt. Pierakstiet, kurus iespējojāt, pašā profilā, nevis uzziniet vēlāk no kļūdas ziņojuma.

Kāpēc tas nav tas pats, kas noklusējuma maršruts

Noklusējuma maršruts ir maršrutēšanas tabulas ieraksts, un maršrutēšanas tabulas zaudē. Konkrētāks prefikss to pārspēj, lietotnei piesaistīts savienojums to var apiet, un otra saskarne ar labāku metriku var pārņemt, nevienam neaiztiekot VPN konfigurāciju.

Apple maršrutēšanas norādījumi skaidri parāda atšķirību: parastos noklusējumus var aizstāt ar konkrētākiem maršrutiem, savukārt plašākais apjoma iestatījums nosaka, kāda satiksme tunelim jāpārvadā un kas no tās tiek izslēgts. Viens ir izvēle, otrs ir tuvāk noteikumam.

Šī atšķirība maina arī to, kā jūs diagnosticējat noplūdi. Ar noklusējuma maršrutu jūs pārbaudāt maršrutus un metrikas. Ar apjoma atslēgu jūs pārbaudāt profila revīziju, instalētos izņēmumus un versijai raksturīgo uzvedību, jo maršrutēšanas tabula ir agrāk pieņemta lēmuma sekas.

EnforceRoutes ir cits slēdzis

EnforceRoutes izklausās kā stingrāka tās pašas idejas versija, un cilvēki krauj abus, ticot, ka vairāk atslēgu nozīmē lielāku pārklājumu. Apple dokumentē, ka tas tiek ignorēts, kad IncludeAllNetworks ir iespējots, tāpēc otrā atslēga šajā kombinācijā neko neiegūst.

Uzskatiet to par alternatīvu konfigurācijām, kas neizmanto plašāko apjomu, nevis par pastiprinājumu. Ja nevarat izskaidrot, ko katra atslēga dara atsevišķi, abu pievienošana tikai padara profilu grūtāk pārskatāmu.

Par ko jāvienojas vārtejai un profila īpašniekam

Klienta iestatījums nevar piespiest serveri pārsūtīt satiksmi, kam tas nekad nav bijis konfigurēts. Vārtejai ir jāpieņem sesija, jāizdala adreses, jānodrošina atgriešanās ceļš prefiksiem, kurus plānojat sasniegt, un jāsniedz DNS jūsu izvēlētajā kārtībā. Ja tā maršrutē tikai vienu prefiksu, klienta plašais apjoms rada satiksmi, kas pienāk un mirst. Viens pieprasījums uz galamērķi ārpus vārtejas maršrutiem to pierāda vienas minūtes laikā.

Lietotnes pārvaldīts tunelis atkal ir atsevišķs gadījums. Pakalpojumu sniedzējam ir jāievieš vai jāatklāj atbalstītā uzvedība; otra vietējā IKEv2 profila instalēšana nemaina tuneli, ko jau pārvalda cita lietotne, un IKEv2 atslēga nav OpenVPN direktīva, ko lasītu cits klients.

Pašreizējam atslēgu sarakstam un versiju nosacījumiem lasiet Apple IKEv2 lietderīgās slodzes atsauci , nevis profilu, ko kāds nokopēja pirms gadiem.

Pieņemiet profila revīziju kā veselumu

Pirms maināt attālināti pārvaldītu Mac, pierakstiet mērķa macOS versijas, paredzēto interneta izeju, privātos prefiksus, kuriem jāpaliek sasniedzamiem, un katru iespējoto izņēmumu. Pēc tam saglabājiet atjaunošanas ceļu, kas nav atkarīgs no tuneļa, kuru gatavojaties mainīt.

Pārbaudiet jaunus publiskus pieprasījumus, privātus pieprasījumus, abas adrešu saimes un nosaukumu izšķiršanu, un pārbaudiet instalēto revīziju, nevis dizaina failu. Ja kaut kas joprojām iet tieši, izlemiet, vai tā ir dokumentēts izņēmums, cits savienojuma konteksts vai īsta konfigurācijas kļūda, un mainiet vienu no šiem trim, nevis paplašiniet nesaistītas atslēgas.