Што прави IncludeAllNetworks во IKEv2 профил на Mac?

Во нативен IKEv2 профил интересниот клуч не е поле за штиклирање, туку IncludeAllNetworks, и она што го менува е опфатот на тоа што системот смее да го испрати надвор од тунелот. Поставете го на 1 и macOS го третира тунелот како пат за речиси целиот IP сообраќај, минус збир на исклучоци што ги дефинира и што можете да ги проширите. Бидејќи живее во речникот на профилот, а не во мени, тој исто така не значи она што повеќето луѓе го претпоставуваат кога ја читаат фразата испрати го целиот сообраќај.

Што менува клучот во мрежниот стек

Без него тунелот се однесува како мрежен интерфејс со прикачени рути. Стандардната рута низ тој интерфејс го фаќа поголемиот дел од сообраќајот, а секоја поконкретна рута на друг интерфејс сѐ уште победува за сопствениот префикс. Тоа е нормално рутирање, и затоа поделениот тунел се случува речиси случајно.

Кога клучот е овозможен, опфатот престанува да биде рутирачка предност и станува политика за тоа кој сообраќај смее да излезе низ нешто друго освен тунелот. Системот сѐ уште треба да стигне до мрежата за да ја одржи врската жива, па политиката доаѓа со исклучоци наместо да се преправа дека тие не постојат. Неговото овозможување никогаш не ја остава машината без ниту еден работен пат. Она што го добивате е пократка листа на патишта отколку што претпоставувавте, и таа листа е документирана.

Практичната последица е дека додавањето рута повеќе не го објаснува резултатот. Ако дестинацијата сѐ уште се достигнува директно, прашањето не е која рута победи, туку дали исклучокот ја покрива.

Исклучоците се дел од поставката

Apple документира неколку исклучувања покрај главниот клуч, кои покриваат локални мрежи, Apple Push Notification сообраќај, мобилни услуги и комуникација на уреди. Секое има свои услови за платформа и верзија, па истиот профил може да се однесува различно меѓу изданијата на macOS.

Некои од тие исклучувања се вродени. Сообраќајот потребен за воспоставување и одржување на мрежниот пристап, вклучувајќи ракување со captive portal, мора да биде дозволен, инаку машината може да заврши поврзана со ништо и неспособна да го поправи тоа.

Потоа доаѓаат намерните избори. Дозволувањето домашен печатач не е истата одлука како дозволувањето префикс на работен ресурс, и двете се разликуваат од оставање на APNs достапен за известувањата да продолжат да пристигнуваат. Запишете кои ги овозможивте, во самиот профил, наместо да ги откриете подоцна од извештај за грешка.

Зошто не е исто како стандардна рута

Стандардната рута е запис во табелата за рутирање, а табелите за рутирање губат. Поконкретен префикс ја победува, врска ограничена на апликација може да ја заобиколи, а втор интерфејс со подобра метрика може да преземе без никој да ја допре VPN конфигурацијата.

Упатството на Apple за рутирање ја прави разликата експлицитна: обичните стандарди можат да бидат надминати од поконкретни рути, додека пошироката поставка за опфат дефинира кој сообраќај тунелот мора да го носи и што е изземено од него. Едното е предност, другото е поблиску до правило.

Таа разлика го менува и начинот на кој дијагностицирате истекување. Со стандардна рута ги проверувате рутите и метриките. Со клучот за опфат ја проверувате ревизијата на профилот, инсталираните исклучоци и однесувањето специфично за верзијата, бидејќи табелата за рутирање е последица од одлука донесена порано.

EnforceRoutes е друго копче

EnforceRoutes звучи како строгата верзија на истата идеја, а луѓето ги наредуваат двете верувајќи дека повеќе клучеви значат поголема покриеност. Apple документира дека се игнорира кога IncludeAllNetworks е овозможен, па вториот клуч не купува ништо во таа комбинација.

Третирајте го како алтернатива за конфигурации што не го користат поширокиот опфат, не како засилување. Ако не можете да објасните што прави секој клуч сам по себе, додавањето на двете само го прави профилот потежок за преглед.

За што мора да се договорат портата и сопственикот на профилот

Поставка на клиентот не може да го принуди серверот да препрати сообраќај за кој никогаш не бил конфигуриран. Портата треба да ја прифати сесијата, да додели адреси, да обезбеди повратен пат за префиксите што сакате да ги достигнете и да служи DNS во распоредот што го избравте. Ако таа рутира само еден префикс, широкиот опфат на клиентот произведува сообраќај што пристигнува и умира. Едно барање до дестинација надвор од рутите на портата го докажува тоа за една минута.

Тунелот во сопственост на апликација е повторно посебен случај. Добавувачот мора да го имплементира или изложи поддржаното однесување; инсталирањето втор нативен IKEv2 профил не менува тунел што друга апликација веќе го управува, а IKEv2 клучот не е OpenVPN директива што би ја читал друг клиент.

За тековната листа на клучеви и условите за верзија, прочитајте ја референцата за IKEv2 товар на Apple наместо профил што некој го копирал пред години.

Прифатете ја ревизијата на профилот како целина

Пред да смените Mac што се администрира од далечина, запишете ги целните верзии на macOS, предвидениот интернет излез, приватните префикси што мора да останат достапни и секој исклучок што го овозможувате. Потоа сочувајте пат за обновување што не зависи од тунелот што ќе го менувате.

Тестирајте свежи јавни барања, приватни барања, двете семејства на адреси и резолуција на имиња, и проверете ја инсталираната ревизија наместо дизајнерската датотека. Ако нешто сѐ уште оди директно, одлучете дали е документиран исклучок, поинаков контекст на врска или вистинска грешка во конфигурацијата, и сменете едно од тие три наместо да ширитете неповрзани клучеви.